Codes de statut HTTP

Les codes de statut HTTP sont des nombres à trois chiffres qu'un serveur renvoie dans sa réponse pour décrire le résultat de votre requête. 200 signifie que la requête a réussi, 404 que la page est introuvable, et 500 que le serveur a rencontré une erreur. Le premier chiffre regroupe le code dans l'une des cinq classes — 2xx signifie toujours un succès, 5xx signifie toujours une erreur serveur — de sorte que connaître la classe vous indique immédiatement par où commencer à déboguer : côté client ou côté serveur.

Le premier chiffre définit la classe : 1xx Informationnel (la requête a été reçue et est en cours, ex. 100 Continue), 2xx Succès (cela a fonctionné, ex. 200 OK), 3xx Redirection (vous devez aller ailleurs, ex. 301 Moved Permanently), 4xx Erreur client (votre requête est incorrecte, ex. 404 Not Found), et 5xx Erreur serveur (le serveur a échoué, ex. 500 Internal Server Error). Filtrez par n'importe quelle classe dans l'outil ci-dessus pour voir uniquement ce groupe avec l'explication de chaque code.

Les codes que vous rencontrerez quotidiennement sont 200 OK, 201 Created, 204 No Content, les redirections 301 et 302, 304 Not Modified, 400 Bad Request, 401 Unauthorized, 403 Forbidden, 404 Not Found, 429 Too Many Requests, 500 Internal Server Error, 502 Bad Gateway et 503 Service Unavailable. Activez le filtre « Codes fréquents » dans l'outil ci-dessus pour réduire la liste complète à cette sélection, avec les causes et corrections pour chacun.

200 OK est la réponse de succès standard — pour un GET, il renvoie la ressource dans le corps de la réponse ; pour un POST, il renvoie le résultat de l'action. 201 Created signifie qu'un POST ou PUT a réussi et créé une nouvelle ressource ; le serveur indique normalement l'adresse de cette nouvelle ressource dans un en-tête Location, par exemple Location: /utilisateurs/42. Si vous développez une API et créez une ressource, renvoyez 201 avec un en-tête Location — pas 200 — afin que les clients sachent où trouver le nouvel objet.

404 signifie que le serveur n'a rien trouvé à cette URL — elle n'existe pas, a été déplacée, ou le lien est cassé. Corrigez-la en vérifiant les fautes de frappe et les erreurs de casse dans l'URL, en ajoutant une redirection 301 de l'ancienne adresse vers la nouvelle, en vérifiant les règles de routage ou de réécriture de votre serveur, et en proposant une page 404 personnalisée utile. Contrairement au code 410 Gone, un 404 ne promet pas que la ressource a définitivement disparu, donc les moteurs de recherche continuent à l'explorer. MDN Web Docs couvre bien la spécification, mais cet outil affiche les causes fréquentes et les corrections directement à côté de chaque code.

301 Moved Permanently indique que la ressource a définitivement changé d'adresse, de sorte que les moteurs de recherche transfèrent les signaux de positionnement vers la nouvelle URL et mettent à jour leur index — utilisez-le lorsque vous changez une URL de façon permanente. 302 Found est temporaire : l'URL d'origine reste canonique et conserve son positionnement, utilisez-le pour des déplacements de courte durée comme des tests A/B ou une page de maintenance. Pour les requêtes non-GET, utilisez 308 (permanent) ou 307 (temporaire) à la place, car ils préservent la méthode HTTP plutôt que d'autoriser les navigateurs à rétrograder un POST en GET.

403 Forbidden signifie que le serveur a compris votre requête mais refuse de l'autoriser — et contrairement à 401, envoyer des identifiants ne servira à rien. Les causes habituelles sont des permissions ou des portées manquantes sur le compte, de mauvaises permissions de fichier sur le serveur (ex. un fichier en 600 au lieu de 644), un blocage IP ou une règle WAF, ou un listage de répertoire désactivé sans fichier index présent. Vérifiez les rôles du compte, les permissions de fichiers et les listes d'autorisation. Certains serveurs renvoient délibérément un 403 plutôt qu'un 404 pour ne pas révéler qu'une ressource existe.

Toutes sont des erreurs serveur 5xx mais ont des significations différentes. 500 Internal Server Error est une erreur générique « quelque chose a planté » — généralement une exception non gérée ou un bug dans l'application. 502 Bad Gateway signifie qu'un proxy a reçu une réponse invalide du serveur d'application en amont (souvent un crash). 503 Service Unavailable signifie que le serveur est temporairement hors ligne ou surchargé — il devrait inclure un en-tête Retry-After. 504 Gateway Timeout signifie que le serveur en amont était joignable mais trop lent pour répondre à temps. Commencez par les journaux serveur pour distinguer ces erreurs en pratique.

429 signifie que vous avez atteint une limite de débit — trop de requêtes dans une fenêtre de temps donnée. Le serveur devrait inclure un en-tête Retry-After indiquant combien de temps attendre. Corrigez cela en respectant cet en-tête, en ajoutant un délai exponentiel entre les nouvelles tentatives, en mettant en cache les réponses pour réduire le volume de requêtes, ou en demandant un quota plus élevé. Ce code est fréquent sur les API publiques et les points d'authentification protégés contre les abus. GitHub, Stripe et Twitter/X utilisent tous 429 pour la limitation du débit de leurs API.

Les erreurs 4xx sont de la faute du client — la requête elle-même est incorrecte, renvoyer exactement la même ne servira donc à rien (400 Bad Request, 401 Unauthorized, 404 Not Found). Les erreurs 5xx sont de la faute du serveur — votre requête peut être parfaitement valide mais le serveur n'a pas pu y répondre (500, 502, 503), donc la même requête peut réussir une fois le serveur rétabli. Corrigez votre requête pour les erreurs 4xx, corrigez le serveur pour les erreurs 5xx. Cette distinction est importante pour la logique de nouvelle tentative : ne relancez que sur les erreurs 5xx avec un délai exponentiel, pas sur les erreurs 4xx.

Les codes essentiels sont 200 OK (chaque page indexable doit renvoyer ce code), 301 Moved Permanently (transfère le positionnement vers une nouvelle URL lors des migrations), 302 Found (temporaire — conserve le positionnement sur l'URL d'origine), 404 Not Found et 410 Gone (indiquent aux robots d'exploration qu'une page est manquante ; 410 est retiré de l'index plus rapidement car il est permanent), et 503 Service Unavailable (le code SEO-safe pour une maintenance planifiée — indique à Google de revenir plus tard plutôt que de désindexer la page).

401 Unauthorized signifie en réalité « non authentifié » — vous n'avez pas prouvé votre identité, donc envoyer des identifiants valides (un token, une clé API ou une session de connexion) peut résoudre le problème ; le serveur devrait répondre avec un en-tête WWW-Authenticate. 403 Forbidden signifie que vous êtes authentifié mais que vous n'êtes tout simplement pas autorisé à accéder à cette ressource — de meilleures identifiants n'aideront pas, vous avez besoin de permissions différentes. Règle mnémotechnique : 401 = qui êtes-vous, 403 = vous n'avez pas le droit.

Les quatre sont des redirections, mais 307 et 308 garantissent que la méthode HTTP d'origine et le corps de la requête sont préservés, tandis que 301 et 302 permettent historiquement aux clients de changer un POST en GET lors de la requête redirigée. Ainsi, 301 (permanent) et 302 (temporaire) conviennent pour les redirections de pages ordinaires, mais pour un point de terminaison qui reçoit des données POST ou PUT, utilisez 308 pour les déplacements permanents et 307 pour les temporaires afin de conserver la méthode et d'éviter toute perte de données.

Les codes de la plage 520–530 sont des codes non standards que Cloudflare renvoie lorsqu'un problème survient entre Cloudflare et votre serveur d'origine — ils ne font pas partie de la spécification HTTP officielle, mais vous les rencontrerez constamment derrière Cloudflare. 520 signifie que l'origine a envoyé une réponse vide ou inattendue, 521 que l'origine a refusé la connexion (hors ligne ou bloquant les IP Cloudflare), 522 que la connexion TCP a expiré, 523 que l'origine est inaccessible, 524 que l'origine s'est connectée mais n'a pas répondu dans les 100 secondes, 525 et 526 sont des échecs de handshake SSL et de certificat, et 530 est généralement une erreur DNS de l'origine accompagnée d'un code 1xxx. Recherchez n'importe lequel de ces numéros ci-dessus pour obtenir les causes et les corrections.

MDN Web Docs est la référence de spécification officielle, mais il n'a pas de barre de recherche en direct, pas de filtre par classe, et pas de vue aide-mémoire compacte — vous naviguez page par page pour chaque code. httpstatuses.com présente les codes dans une grille mais omet les causes et les corrections pratiques. restapitutorial.com couvre les conventions REST sans recherche interactive. HTTP.cat est un site humoristique (chaque code correspond à une photo de chat) mais peu pratique pour un vrai débogage. Cet outil combine une référence consultable, un filtre par classe, un mode aide-mémoire, des causes et corrections en français clair, et les codes Cloudflare 5xx que la plupart des références ignorent — le tout sur une seule page fonctionnant hors ligne, sans publicité ni inscription.

Complètement. L'intégralité de la liste est incluse dans la page sous forme de données statiques, de sorte que chaque recherche, filtre et consultation s'exécute localement dans votre navigateur — rien n'est téléchargé, enregistré ou envoyé à un serveur. Cela signifie également que la page se charge instantanément et continue de fonctionner hors ligne une fois ouverte. Sans inscription, sans compte, sans limite de débit et sans abonnement payant. Juste une référence rapide et privée qui fonctionne aussi bien sur mobile que sur ordinateur.