Erreur 404, 403, 401 et 400 — ce que signifient les codes d’erreur d’un site et comment les corriger

Si vous voyez une erreur 404 sur le site de quelqu’un d’autre, il suffit généralement de vérifier l’adresse : une faute de frappe, un lien coupé dans un e-mail, un ancien favori. La page que vous cherchez ne se trouve pas à cette adresse — elle a peut-être été déplacée ou supprimée. Rechercher son nom ou passer par la page d’accueil du site règle généralement la question.

S’il s’agit de votre site, les choses se présentent autrement. Les codes de la série 4xx disent formellement que le problème vient de la requête — mauvaise adresse, absence d’autorisation, absence de connexion. Mais sur votre propre site, la plupart sont le fait du propriétaire : une erreur 404, c’est généralement une page supprimée ou déplacée sans redirection, ou un lien du menu qui ne mène nulle part. Une erreur 403 — un pare-feu, une extension de sécurité ou des droits d’accès mal réglés. Ce sont des erreurs qu’on peut trouver et corriger avant qu’un client ne les voie.

Cet article commence par une carte de tous les codes, parce qu’elle facilite la lecture de la suite, puis traite ceux qu’on rencontre réellement sur les sites d’entreprise. Les codes d’erreur serveur — 500, 502, 503, 504 — ont leur propre article, parce qu’ils demandent un autre diagnostic et s’adressent à un autre interlocuteur.

Codes HTTP — la carte en un seul endroit

Chaque réponse d’un serveur commence par un code à trois chiffres, le code de statut HTTP. Le premier chiffre dit ce qui s’est passé, et cela suffit pour savoir à peu près où chercher.

• 2xx — succès. 200 signifie que le serveur a fourni une page. Comme vous le verrez plus bas, cela ne veut pas dire qu’il a fourni la bonne.
• 3xx — redirection. L’adresse a changé. 301 et 308 — définitivement, 302 et 307 — temporairement ; la différence compte beaucoup pour les moteurs de recherche, et nous la détaillons dans l’article sur la migration de site web.
• 4xx — problème côté requête. Le serveur fonctionne, mais ne peut pas ou ne veut pas fournir ce qui est demandé : l’adresse n’existe pas, l’accès est interdit, une connexion est nécessaire, la requête est mal formée.
• 5xx — problème côté serveur. La requête était correcte ; c’est le serveur ou l’application qui a lâché. C’est l’objet d’un article distinct.

Un point de cette carte compte pour toute la suite. Selon la documentation de Google, tous les codes 4xx sauf 429 sont traités de la même manière : les robots transmettent l’information qu’il n’y a pas de contenu à cette adresse. Pour un moteur de recherche, 404, 403, 401 et 410 sont en pratique le même signal. Ils diffèrent pour les personnes — et pour celui qui doit les corriger.

Erreur 404 — ce qu’elle signifie

« 404 Not Found » est le code d’erreur le plus connu d’internet. La spécification HTTP le définit ainsi : le serveur « did not find a current representation for the target resource or is not willing to disclose that one exists » — il n’a rien trouvé à cette adresse, ou ne veut pas révéler qu’il s’y trouve quelque chose. Et elle ajoute une phrase qui a des conséquences pratiques : le code 404 ne dit pas si l’absence est temporaire ou définitive.

Du point de vue d’un moteur de recherche, les effets sont décrits précisément. Google n’utilise pas le contenu des adresses qui renvoient un code 4xx. Si une adresse figurait dans l’index et renvoie désormais une erreur 404, elle en est retirée avec le temps. Les adresses rencontrées pour la première fois avec une erreur 404 ne sont pas traitées du tout. Et la fréquence à laquelle le robot revient sur une telle adresse diminue progressivement.

Il vaut aussi la peine de dire ce que cette documentation ne dit pas : elle ne présente pas l’erreur 404 comme une pénalité pour le reste du site, seulement comme le signe qu’il n’y a pas de contenu à cette adresse. Quelques adresses renvoyant 404, c’est l’état normal de tout site vivant — les produits s’épuisent, les offres expirent, les articles vieillissent. Le problème ne commence pas quand une erreur 404 existe, mais quand quelque chose y mène alors que cela ne devrait pas : un lien de votre menu, un lien d’un autre site qui vous recommandait autrefois, ou une adresse où se trouvait une page importante et où il n’y a plus rien.

Erreur 404 — comment la corriger sur votre site

Corriger une erreur 404 commence par une question : d’où viennent les gens qui arrivent sur une adresse inexistante ? Il y a trois sources, et chacune se corrige différemment.

Vos propres liens. Un lien dans le menu, le pied de page ou le texte qui mène à une page supprimée. C’est le plus facile à trouver et le plus gênant, parce que le visiteur tombe sur l’erreur en cliquant sur quelque chose que vous lui avez montré vous-mêmes. Les outils de vérification de liens — beaucoup sont gratuits — parcourent tout le site et listent les liens qui renvoient une erreur. La correction consiste à réparer le lien, pas à mettre en place une redirection.

Les adresses qui ont existé. Une page déplacée vers une nouvelle adresse ou supprimée lors d’une refonte, alors que l’ancienne adresse figure encore dans les résultats de Google, dans les favoris des clients et dans les liens d’autres sites. Ici, la correction est une redirection permanente 301 ou 308 vers la nouvelle adresse ou, si le contenu a disparu, vers la page la plus proche sur le même sujet. Nous gérons nous-mêmes 318 règles de redirection de cette façon — chacune est une adresse qui a existé et qui mène aujourd’hui là où son contenu est parti. Comment organiser cela lors d’un changement plus important, nous l’expliquons dans l’article sur la migration de site web.

Les liens entrants erronés. Quelqu’un a mis un lien vers votre site avec une faute de frappe dans l’adresse. Vous ne corrigerez pas la page de quelqu’un d’autre, mais si ce lien apporte du trafic, une redirection de la mauvaise adresse vers la bonne le récupère en une minute.

Où trouver ces adresses : dans Search Console, le rapport d’indexation des pages liste les adresses marquées « Introuvable (404) » — c’est la liste de ce sur quoi le robot de Google est tombé. Votre outil d’analyse, lui, montre les visites de la page d’erreur et les adresses d’où elles venaient ; c’est la liste de ce sur quoi les personnes sont tombées. Seules les deux ensemble disent quoi corriger en premier.

Et encore une chose : une page 404 bien faite est aussi une correction. Elle ne change ni le code de réponse ni ce que voit Google, mais elle change le fait qu’une personne reste ou non sur le site. Une bonne page d’erreur 404 comporte quatre éléments :

• une phrase qui dit ce qui s’est passé, sans jargon — « cette page n’existe pas, elle a peut-être été déplacée » plutôt que « 404 Not Found » ;
• un champ de recherche, ou au moins un lien vers celui-ci, parce que le visiteur sait généralement ce qu’il cherchait ;
• des liens vers les endroits les plus importants — vos prestations, le contact, les rubriques les plus visitées ;
• l’apparence du reste du site : menu, pied de page, logo. Une page d’erreur brute du serveur ressemble à la fin du site, pas à un virage.

La page 404 est aussi un bon endroit pour mesurer : si votre outil d’analyse compte ses affichages avec l’adresse d’où venait le visiteur, vous obtenez une liste toute prête de liens à corriger.

404 ou 410

Le code 410 « Gone » est le petit frère du 404, et il en dit plus : cette adresse n’existe plus et ne reviendra pas. La spécification le recommande plutôt que 404 quand le serveur sait que l’absence est définitive — par exemple après la suppression délibérée d’une rubrique ou d’une offre que vous ne reprendrez pas.

Pour les moteurs de recherche, la différence est plus faible que ne le suggèrent beaucoup de guides. La documentation de Google cite 404 et 410 ensemble et les traite de la même manière — tous deux signifient qu’il n’y a pas de contenu à cette adresse, et tous deux conduisent à son retrait de l’index. Le choix entre les deux relève donc du rangement, pas du positionnement. Si votre système permet de renvoyer facilement un 410 pour les contenus supprimés, cela en vaut la peine, parce que l’information est plus précise. Sinon, un 404 fera la même chose.

Plus importante que le choix du code est la décision qui le précède : le contenu supprimé a-t-il un équivalent vers lequel rediriger ? Si oui — ni 404, ni 410, mais une redirection.

Soft 404 — et pourquoi notre site répond avec un code 200

Il existe une troisième possibilité, pire que les deux autres : une page qui ressemble à une erreur mais répond avec un code 200, c’est-à-dire « tout va bien ». Google appelle cela un soft 404. Sa documentation avertit que de telles pages d’erreur peuvent se retrouver dans l’index et apparaître dans les résultats de recherche, et Search Console signale ces pages comme des soft 404 lorsque leur contenu ressemble à une erreur ou est vide, malgré un code de succès.

Nous avons exactement ce cas sur notre propre site — et nous le gardons délibérément. Quand quelqu’un saisit une adresse qui n’existe pas sur notre site, il obtient une page intitulée « 404 — page introuvable » et un code 200. Cela tient à la manière dont la page est envoyée au navigateur.

Notre site est construit avec Next.js et envoyé au navigateur en flux : le navigateur reçoit les premiers fragments avant que le serveur ait fini de préparer le reste. Le contenu s’affiche ainsi plus vite. Mais le code de réponse fait partie de l’en-tête, et l’en-tête part en premier. La documentation de Next.js le dit clairement : une fois le flux lancé, le serveur s’est déjà engagé sur un « 200 », et s’il s’avère en cours de route que l’adresse n’existe pas, il ne peut plus changer le code en 404. Il fait donc la seule chose qui lui reste — il ajoute à la page une balise noindex, qui demande aux moteurs de recherche de ne pas l’indexer. Nous avons vérifié : notre page d’erreur la contient bien.

Un vrai code 404 serait possible, mais il faudrait vérifier l’existence de l’adresse avant le début du flux — autrement dit renoncer au streaming sur les pages où il apporte le plus. Nous avons jugé que la vitesse de chaque vraie page vaut plus qu’un code correct sur une page qui n’existe pas. La balise noindex fait que Google ne l’indexera pas, donc le risque contre lequel la documentation met en garde ne nous concerne pas.

Cela a toutefois des coûts qu’il vaut la peine de connaître avant de prendre une décision semblable pour votre site :

• Le monitoring de disponibilité qui ne vérifie que le code considérera chaque adresse inexistante comme une page qui fonctionne — c’est pourquoi, dans l’article sur le monitoring de site web, nous recommandons de vérifier le contenu, pas seulement le code.
• Les outils SEO peuvent signaler ces adresses comme des soft 404, et il faut savoir lire cette alerte.
• Les redirections doivent être complètes : une ancienne adresse sans règle ne renverra pas une erreur 404, mais un code 200 avec la page d’erreur, si bien qu’une redirection manquante se remarque moins.

Si votre site est construit de la même manière, ce n’est pas une raison de le refaire. C’est une raison de vérifier que la page d’erreur porte bien noindex, et de ne pas vous fier au seul code là où il importe de savoir si une page existe vraiment.

Erreur 403 — accès refusé

Le code 403 « Forbidden » signifie, selon la spécification, que le serveur a compris la requête mais refuse de l’exécuter. Ce n’est pas que la page n’existe pas, ni qu’il faut se connecter — le serveur sait ce que vous demandez et répond « non ».

Sur les sites d’entreprise, une erreur 403 vient le plus souvent de l’une de ces quatre causes :

• Les droits d’accès aux fichiers sur le serveur — après le déménagement du site ou une modification manuelle des fichiers, le serveur n’a pas le droit de lire un dossier ou un fichier, alors il refuse.
• Une extension de sécurité ou un pare-feu — il a bloqué une adresse IP, un pays, un type de navigateur ou un comportement jugé suspect. Il bloque souvent aussi le propriétaire lui-même, après plusieurs connexions avec un mauvais mot de passe.
• L’absence de page d’accueil dans un dossier — l’adresse désigne un dossier sans fichier de page d’accueil, et le serveur n’autorise pas l’affichage de la liste des fichiers.
• La protection contre le hotlinking — une image ou un document n’est accessible que depuis votre propre domaine, si bien qu’un lien vers celui-ci depuis ailleurs aboutit à un refus.

Du point de vue d’un moteur de recherche, la deuxième cause est la plus dangereuse. Si un pare-feu se met à répondre au robot de Google par une erreur 403, les adresses sortent de l’index exactement comme avec une erreur 404 — parce que pour Google, c’est le même signal. Google précise aussi que les codes 401 et 403 ne doivent pas servir à limiter la vitesse à laquelle le robot parcourt le site ; c’est le rôle du 429. Après avoir activé une nouvelle protection, vérifiez dans Search Console que le robot de Google n’a pas commencé à essuyer des refus.

Comment corriger une erreur 403 sur votre site : vérifiez d’abord si elle touche tout le monde ou seulement vous — depuis un téléphone, sur les données mobiles. Si c’est seulement vous, la cause est généralement un blocage de votre adresse IP. Si c’est tout le monde, ce sont les droits d’accès ou la configuration du serveur, et la question s’adresse à votre hébergeur ou à votre prestataire.

Erreur 401 — connexion requise

Le code 401 « Unauthorized » signifie que la requête ne contient pas d’identifiants valides pour une ressource qui en exige. La spécification impose au serveur d’indiquer dans cette réponse comment s’authentifier — c’est pourquoi le navigateur affiche une fenêtre demandant un nom d’utilisateur et un mot de passe.

Sur un site d’entreprise, une erreur 401 est normale à un endroit typique : la version de test, protégée par un mot de passe pour que ni les clients ni les moteurs de recherche ne la voient. C’est une erreur quand elle apparaît sur le site public — généralement parce que la protection de la version de test a été copiée en production avec le reste des fichiers, ou parce qu’une extension d’espace membres a fermé un contenu qui devait rester ouvert. Pour Google, une page publique qui renvoie 401 est une page qui n’existe pas.

À noter : beaucoup de recherches sur l’erreur 401 n’ont rien à voir avec votre site ; elles concernent des systèmes que vous n’exploitez pas — banque en ligne, portails fiscaux, logiciels d’entreprise. C’est le même code dans un autre contexte : le système indique que les identifiants ont expiré ou ne sont pas valables.

Erreur 400 et 405 — requête mal formée

Le code 400 « Bad Request » est, selon la spécification, un refus dû à ce que le serveur considère comme une erreur du client : une requête mal formée, un format non valable. Du point de vue du visiteur, les causes les plus fréquentes sont un lien endommagé — avec des caractères non autorisés ou un encodage cassé — et des cookies enregistrés par le navigateur trop volumineux ou corrompus. D’où le conseil à donner à un client : supprimer les cookies de ce seul site, ou l’ouvrir dans une fenêtre de navigation privée. Si une erreur 400 apparaît chez beaucoup de personnes à la fois, c’est le signe que le site crée lui-même des liens mal formés ou dépose des cookies trop volumineux — et la question s’adresse alors à votre prestataire.

Le code 405 « Method Not Allowed » signifie que le serveur connaît la manière dont la requête a été envoyée, mais que cette adresse ne la prend pas en charge — typiquement un formulaire qui envoie des données à une adresse qui n’accepte que l’affichage de pages. La spécification impose d’indiquer dans la réponse la liste des méthodes autorisées. Sur un site d’entreprise, une erreur 405 signale presque toujours un problème de formulaire ou d’intégration, et elle va directement chez le prestataire.

Ce que cet article laisse volontairement de côté

• Les erreurs serveur 500, 502, 503 et 504 — un article distinct, avec un tableau indiquant qui appeler pour quel code.
• Comment mettre en place des redirections lors d’un déménagement de site — la migration de site web.
• Comment repérer les erreurs avant un client — le monitoring de site web.
• Les pare-feu et la sécurité côté configuration — un sujet à part, qui relève de la sécurisation du site.

Le résumé le plus court : sur votre propre site, une erreur 404 est généralement la trace d’un changement que personne n’a terminé — une page supprimée sans redirection ou un lien que personne n’a corrigé. Google traite tous les codes 4xx de la même manière et cesse simplement d’utiliser une telle adresse ; la correction consiste donc à rediriger ce qui a été déplacé, à réparer vos propres liens et à vérifier que votre pare-feu ne refuse pas le robot. Et si votre site, comme le nôtre, répond aux adresses inexistantes par un code 200 — vérifiez qu’il porte noindex, et ne vous fiez pas au code seul.