Qu’est-ce que l’erreur 522 et comment la résoudre ?

Contrôler le diagnostic côté Cloudflare

Commencez par vérifier si Cloudflare a des indices dans son tableau de bord. L’objectif : confirmer que le problème vient bien de la connexion à l’origine.

• Dans Cloudflare Dashboard, allez dans Overview puis Errors (ou Analytics selon votre interface).
• Repérez la fenêtre de temps (horodatage) où l’erreur 522 apparaît.
• Contrôlez aussi SSL/TLS (mode SSL “Full”, “Full (strict)”, etc.) si vous utilisez HTTPS.
• Vérifiez que les DNS (A/AAAA/CNAME) pointent bien vers votre origin actuel.

Si vous avez un basculement récent de serveur (migration), un DNS pointant encore vers l’ancienne IP est une cause classique.

Tester la connectivité vers votre serveur d’origine

Le test clé consiste à vérifier : depuis l’extérieur, est-ce que votre origin répond sur les ports attendus, et avec le bon TLS ?

Contrôle rapide depuis votre machine (curl)

Sur macOS, Linux ou Windows (WSL), utilisez curl pour vérifier le comportement sur 80/443.

1. Test HTTP (port 80) :

curl -I http://votre-domaine.com

1. Test HTTPS avec vérification :

curl -I https://votre-domaine.com

1. Test TLS en forçant un nom de serveur (utile si SNI est en cause) :

openssl s_client -connect votre-ip-ou-domaine:443 -servername votre-domaine.com

Interprétez les résultats : un “connection timed out”, “could not connect”, ou une erreur TLS renforce l’hypothèse réseau/pare-feu ou certificat.

Vérifier si le port est joignable (nc / telnet)

Pour tester le niveau “réseau” (sans HTTP), vérifiez la présence d’écoute sur le port.

1. Port 80 :

nc -vz votre-ip:80

1. Port 443 :

nc -vz votre-ip:443

Si 443 n’est pas joignable, Cloudflare ne peut pas établir une session HTTPS et peut remonter une 522.

Analyser les connexions entrantes (côté serveur)

Sur le serveur origin, surveillez les logs et les connexions pendant une tentative de chargement (ou un curl répété).

1. Regardez Nginx (exemple) :

sudo tail -n 200 /var/log/nginx/error.log

1. Ou Apache :

sudo tail -n 200 /var/log/apache2/error.log

1. Surveillez aussi les ports :

sudo ss -lntp | grep -E ':80|:443'

Vous cherchez : erreurs de handshake TLS, upstream down, accept() bloqué, surcharge, ou refus de connexion.

Correctifs fréquents côté serveur (Nginx, Apache, app)

Une fois que vous avez identifié la famille de cause (réseau, TLS, serveur web, reverse proxy), appliquez les correctifs ci-dessous.

Réglages réseau et timeouts (connexion qui n’aboutit pas)

Si vos tests montrent une connexion qui se “pend”, augmentez la robustesse de votre stack web et vérifiez que le serveur répond.

Sur Nginx, vérifiez par exemple la disponibilité de l’upstream et évitez les upstreams qui restent non connectables. Si vous utilisez un reverse proxy vers une app interne, testez aussi l’accessibilité locale (par IP/port interne).

• Contrôlez l’état de service : systemctl status nginx / apache2.
• Vérifiez que Nginx écoute bien : listen 80; et listen 443 ssl;.
• Confirmez que votre app derrière Nginx répond (ex : localhost:3000, php-fpm).

Problèmes TLS/SSL (certificat, SNI, protocoles)

Une erreur 522 peut aussi survenir si Cloudflare ne parvient pas à établir le handshake TLS correctement. Les causes fréquentes : certificat expiré, mauvaise chaîne, ou configuration qui ne gère pas le SNI.

• Vérifiez l’expiration du certificat : openssl x509 -in /chemin/cert.pem -noout -enddate
• Vérifiez la chaîne complète (server + intermediate) dans votre ssl_certificate.
• Si vous utilisez plusieurs vhosts, assurez-vous que le bon server_name correspond au domaine demandé par Cloudflare.

Si vous avez récemment renouvelé le certificat, assurez-vous que Nginx/Apache a bien relancé la config (reload/restart).

Pare-feu, Security Groups et WAF

Si vous avez modifié le firewall récemment, c’est souvent la cause n°1.

• Sur Linux avec UFW : vérifiez les règles pour autoriser 80/443.
• Sur iptables : cherchez des règles qui rejettent l’entrée vers 443.
• Sur AWS/GCP : vérifiez les Security Groups / Firewall rules pour autoriser l’accès vers les ports 80/443.
• Si vous bloquez des plages IP, assurez-vous que vos règles n’excluent pas les IP Cloudflare.

Ressources en surcharge (CPU/RAM) et saturation

Quand la machine origin est saturée, elle accepte la connexion mais tarde à répondre, ce qui peut déclencher un timeout côté Cloudflare.

1. Surveillez CPU/RAM : top ou htop.
2. Vérifiez la charge disque : iostat (si disponible) ou df -h pour l’espace.
3. Regardez les logs applicatifs : timeouts, exceptions, saturation de pool.

Les actions courantes : augmenter la capacité, corriger une boucle applicative, ajuster des pools (PHP-FPM, workers Node, threads Java), ou activer un cache.

Redirections et boucles (HTTP→HTTPS, reverse proxy)

Un mauvais schéma de redirection peut faire perdre du temps à la requête ou créer une boucle qui n’aboutit pas.

• Testez directement les deux URLs : http://votre-domaine.com et https://votre-domaine.com.
• Contrôlez les règles de redirection Nginx/Apache.
• Si vous utilisez des en-têtes comme X-Forwarded-Proto, vérifiez que votre reverse proxy transmet bien la valeur correcte.

Étapes de résolution selon le type d’installation

Serveur bare metal ou VM (Ubuntu/Debian/CentOS)

Procédez par ordre de probabilité, en vérifiant d’abord le réseau puis la couche web.

1. Validez l’écoute des ports : sudo ss -lntp (80/443).
2. Vérifiez le service : systemctl status nginx ou apache2.
3. Contrôlez le firewall : UFW, iptables, ou security hardening.
4. Testez TLS : openssl s_client avec -servername correct.
5. Regardez les logs pendant un test (tail -f sur error.log + access.log).

Hébergement managé / panel (cPanel, Plesk, etc.)

Dans un panel, les modifications de certificats et de redirection sont fréquentes. Gardez une trace de ce que vous changez et revenez à la dernière configuration stable.

1. Contrôlez le certificat SSL : état “installé” + chaîne complète.
2. Vérifiez les redirections HTTP→HTTPS : aucune boucle, destination valide.
3. Revalidez la configuration du domaine : vhost actif, bon document root.
4. Relancez les services web depuis le panel si nécessaire.

Reverse proxy et conteneurs (Docker, Kubernetes)

Dans ces scénarios, l’erreur 522 arrive souvent quand l’origin ne peut pas joindre le service interne.

1. Depuis le reverse proxy, testez la connectivité vers l’upstream (IP/port interne).
2. Vérifiez les health checks (Docker/K8s) et le redémarrage des pods/containers.
3. Contrôlez les ports exposés et les mapping (ex : 80/443 côté node, port applicatif côté container).
4. Vérifiez la configuration SNI si TLS est géré à l’intérieur.
5. Regardez les logs du proxy (Nginx/Traefik/HAProxy) pour “upstream timed out” ou “connection refused”.

Comment vérifier que c’est corrigé

Une correction n’est confirmée que quand Cloudflare reçoit une réponse stable et suffisamment rapide.

• Testez à nouveau en chargeant votre site depuis un navigateur ou via curl -I.
• Refaites un test de port : nc -vz votre-ip:443.
• Surveillez la baisse de l’erreur 522 dans Cloudflare Dashboard (généralement sur quelques minutes).

Si vous utilisez Cloudflare avec caching, des pages peuvent rester visibles via cache, mais l’erreur 522 révèle un problème de connectivité à l’origine. Surveillez aussi les nouveaux hits “miss” (ou pages non mises en cache).

Erreurs proches à ne pas confondre (522 vs 520/521/523)

Le code aide à orienter le diagnostic. Voici les confusions les plus courantes.

Questions fréquentes

Est-ce que l’erreur 522 vient forcément de Cloudflare ?

Non. Cloudflare affiche 522 quand son serveur ne réussit pas à se connecter à votre origin. Dans la majorité des cas, la cause est côté serveur (ports, pare-feu, TLS, surcharge).

Combien de temps faut-il après correction pour que l’erreur disparaisse ?

Souvent quelques minutes, mais la propagation dépend de la mise en cache, du navigateur et de la variation du trafic. L’important est que les tests réseau vers l’origin passent et que les erreurs Cloudflare baissent.

Que faire si mon site marche chez moi mais pas pour les autres ?

Testez depuis un réseau différent et surtout vérifiez le firewall. Il est fréquent qu’une règle n’autorise que certaines IP (ou que le routage soit différent).

Mon certificat est valide, pourquoi ça peut quand même échouer ?

Un certificat “valide” peut échouer si la chaîne intermédiaire est manquante, si le mauvais vhost est servi, ou si le serveur ne gère pas correctement SNI.

Je viens de migrer mon serveur. Est-ce que l’erreur 522 peut venir du DNS ?

Oui. Si les DNS Cloudflare pointent vers une IP où rien n’écoute sur 80/443, Cloudflare tentera une connexion et échouera.

Bottom Line

L’erreur 522 est un signal que Cloudflare ne parvient pas à joindre votre serveur d’origine en temps voulu. Le chemin le plus efficace consiste à vérifier l’écoute des ports 80/443, tester le TLS (avec SNI), contrôler pare-feu et logs, puis corriger la configuration web ou le reverse proxy.

Une fois la connectivité rétablie, refaites des tests curl/openssl et confirmez la disparition des erreurs dans Cloudflare Dashboard.

Quick Recap

Bestseller No. 1

LA TROISIÈME ERREUR D'EINSTEIN: PRINCIPE D'ÉQUIVALENCE (french. PROBLEMES DE PHYSIQUE MODERNE. LES ERREURS D'EINSTEIN.) (French Edition)

$7.94

Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.