Une erreur 521 signifie que Cloudflare reçoit bien la demande d’un visiteur, mais que le serveur qui héberge le site refuse sa connexion. Le problème ne vient donc pas nécessairement de Cloudflare. Il faut d’abord vérifier le serveur d’origine, le service web, le pare-feu et la configuration HTTPS. En suivant les contrôles dans le bon ordre, le site peut souvent être rétabli rapidement.
Ce que signale réellement l’erreur 521
Le message Web Server Is Down apparaît lorsque le serveur d’origine ne répond pas aux tentatives de connexion de Cloudflare ou les rejette explicitement. Cloudflare sert d’intermédiaire entre les visiteurs et l’hébergement : il protège, met en cache et distribue le contenu, mais il doit pouvoir joindre le serveur web sur le port 80 pour HTTP ou 443 pour HTTPS.
Cette situation ne correspond pas forcément à une panne générale de Cloudflare. Lorsqu’une erreur 521 s’affiche, la requête a déjà atteint l’infrastructure Cloudflare. Le point de rupture se situe ensuite, sur le trajet vers le serveur d’origine : service arrêté, processus Apache, Nginx ou LiteSpeed indisponible, règle de sécurité trop restrictive ou problème réseau local.
521, 520 et 522 : trois signaux différents
| Code | Ce qu’il traduit | Piste prioritaire |
|---|---|---|
| 520 | Le serveur d’origine a renvoyé une réponse vide, inattendue ou inexploitable. | Examiner les journaux applicatifs et web. |
| 521 | La connexion de Cloudflare vers le serveur d’origine est refusée. | Vérifier le service web, les ports et le pare-feu. |
| 522 | Le serveur met trop de temps à répondre à Cloudflare. | Rechercher une saturation, une latence ou un délai d’attente. |
Cette distinction évite de partir sur une mauvaise piste. Un 521 appelle d’abord un contrôle de l’acceptation de la connexion. Un 522 oriente plutôt vers les performances, la saturation ou les délais d’attente.
Les causes les plus probables côté serveur d’origine
Service web arrêté, planté ou serveur saturé
Un redémarrage, une mise à jour, une maintenance inachevée ou un crash applicatif peuvent arrêter le service web sans rendre toute la machine inaccessible. Une saturation de la mémoire, du processeur ou des connexions simultanées peut aussi empêcher Apache, Nginx ou LiteSpeed d’accepter de nouvelles connexions. Sur un serveur administré, vérifiez l’état du service avec systemctl status nginx ou systemctl status apache2, selon la pile utilisée.
Résoudre l’erreur 521 de Cloudflare — Découvrez pourquoi le serveur d’origine refuse les connexions Cloudflare et comment corriger ce blocage.
Firewall ou protection anti-intrusion qui bloque Cloudflare
Le pare-feu est une cause fréquente de l’erreur 521. Il peut considérer les requêtes de Cloudflare comme suspectes, notamment après un durcissement de la sécurité, l’ajout d’une règle dans ufw ou iptables, ou l’activation d’un outil anti-intrusion. Les visiteurs passent alors par Cloudflare, mais Cloudflare ne peut plus joindre l’hébergement.
La correction consiste à autoriser les plages d’adresses IP utilisées par Cloudflare dans le pare-feu du serveur, mais aussi dans ceux de l’hébergeur, du panneau d’administration ou d’un service de sécurité tiers. N’ajoutez pas une seule adresse relevée dans un journal. Les plages officielles doivent rester à jour pour éviter une nouvelle coupure lors d’un changement d’infrastructure.
HTTPS et configuration SSL/TLS incohérents
Un certificat expiré, mal installé ou non reconnu par le serveur peut provoquer un refus de connexion HTTPS. Vérifiez que le certificat couvre le nom de domaine demandé, que la chaîne de certificats est complète et que le serveur écoute sur le port 443. Le mode SSL/TLS choisi dans Cloudflare doit aussi correspondre à la configuration réelle du serveur d’origine.
Le mode Full (Strict) exige un certificat valide côté serveur. Le mode Flexible peut créer des comportements indésirables dans certaines configurations de redirection. Une modification du mode SSL/TLS ne doit donc pas servir de solution permanente sans vérification du certificat et du serveur.
Diagnostiquer sans modifier plusieurs réglages à l’aveugle
Lorsqu’un site marchand ou un formulaire de contact devient inaccessible, chaque modification non vérifiée peut prolonger l’interruption. Suivez plutôt une séquence courte. Elle aide à identifier le maillon défaillant et fournit des éléments précis à l’hébergeur si son intervention devient nécessaire.
- Contrôlez l’état du serveur. Consultez le tableau de bord de l’hébergeur : machine en ligne, maintenance annoncée, alertes de ressources, redémarrage récent ou espace disque saturé.
- Vérifiez le service web. Confirmez que Nginx, Apache ou LiteSpeed est actif. Redémarrez-le uniquement si vous disposez des droits nécessaires et si cette action est compatible avec votre exploitation.
- Testez l’origine directement. Depuis le serveur ou un environnement autorisé, une requête curl vers l’adresse d’origine indique si le serveur répond indépendamment de Cloudflare. Sur un hébergement mutualisé, conservez le bon en-tête de domaine.
- Lisez les logs à l’heure exacte de l’incident. Les journaux d’accès, d’erreur et du pare-feu peuvent révéler un refus, un certificat défaillant, une limite de ressources ou une adresse bloquée. La commande tail permet de suivre les dernières entrées.
- Contrôlez les règles réseau. Assurez-vous que les ports 80 et 443 sont ouverts et que les adresses IP de Cloudflare ne sont ni refusées ni limitées par débit.
Les journaux donnent souvent une indication plus fiable qu’un simple tableau de bord de disponibilité. Une succession régulière de réponses, suivie d’un silence brutal ou d’une série de refus au même moment, peut révéler la nature de l’incident. Comparez cette chronologie avec les déploiements, sauvegardes, renouvellements de certificat et changements de règles effectués à la même heure. Cette méthode réduit le nombre de pistes à examiner.
Corriger selon le résultat du contrôle
Quand le serveur ou le service web ne répond plus
Redémarrez le service concerné, puis consultez son journal de démarrage. Un redémarrage qui rétablit le site sans expliquer la cause peut masquer une fuite mémoire, un manque d’espace disque ou une limite de processus. Si la machine reste inaccessible, contactez l’hébergeur en indiquant l’heure de début, le domaine touché, le code 521 et les extraits de journaux utiles. Ces informations l’aideront à vérifier le réseau ou le matériel.
Quand Cloudflare est bloqué par la sécurité
Ajoutez les plages IP de Cloudflare à la liste d’autorisation du pare-feu, puis rechargez la configuration sans désactiver durablement les protections. Vérifiez aussi les règles de blocage géographique, les limitations de requêtes et les modules de sécurité du serveur web. Une autorisation trop large accordée dans l’urgence peut créer une faille. Il faut autoriser précisément le trafic de l’intermédiaire légitime, sans supprimer le filtrage.
Quand le problème concerne SSL/TLS
Renouvelez ou réinstallez le certificat si nécessaire, corrigez la chaîne intermédiaire et vérifiez le nom de domaine présenté par le serveur. Après chaque modification, testez l’accès HTTPS à l’origine avant de conclure que Cloudflare est en cause. Si vous utilisez Full (Strict), conservez ce niveau de validation une fois le certificat corrigé. Réduire durablement l’exigence TLS pour contourner l’erreur affaiblit la sécurité.
Éviter que l’incident ne se transforme en perte d’activité
Une erreur 521 peut rendre un site invisible pour les visiteurs, interrompre des commandes ou empêcher l’envoi d’une demande de devis. La prévention repose sur des contrôles réguliers et documentés, pas uniquement sur une intervention après la panne.
- Surveillez la disponibilité depuis un point extérieur au serveur pour détecter une rupture entre Cloudflare et l’origine.
- Créez des alertes sur l’espace disque, la mémoire, la charge et l’état des services web.
- Documentez les plages IP Cloudflare autorisées et vérifiez-les après toute modification du pare-feu.
- Planifiez le renouvellement des certificats et testez les changements HTTPS sur un environnement de préproduction lorsque c’est possible.
- Conservez l’historique des déploiements et des règles de sécurité pour faciliter la comparaison avec une panne.
Si vous n’avez pas accès à l’administration système, transmettez à votre prestataire une demande concise : domaine concerné, heure de l’erreur, capture éventuelle, état du service web, résultat du test vers l’origine et vérification des adresses IP Cloudflare. Ces éléments transforment l’erreur 521 en diagnostic exploitable et permettent de distinguer une indisponibilité du serveur d’un problème lié à l’intermédiaire Cloudflare.