Trop de redirections WordPress : la solution

Les causes côté Cloudflare suivent sa page ERR_TOO_MANY_REDIRECTS, relue le 14 octobre 2026 ; celles côté WordPress, sa documentation sur HTTPS et sur wp-config.php.

Avant tout : voir la boucle

1. Ouvrez une fenêtre de navigation privée et chargez le site : si l'erreur disparaît, ce sont les cookies de votre navigateur. Effacez ceux du site et réessayez.
2. Regardez les redirections depuis un terminal, si vous en avez un :

curl -sIL https://exemple.fr | grep -i -E "^(HTTP|location)"

Chaque ligne location montre où la page vous renvoie. Une boucle entre http:// et https:// désigne le chiffrement ; une boucle entre exemple.fr et www.exemple.fr désigne l'adresse du site.

Cause 1 : Cloudflare en mode Flexible

En mode Flexible, Cloudflare reçoit le visiteur en HTTPS, mais il interroge votre serveur en HTTP, sans chiffrement. Si le serveur ou WordPress redirige alors tout le HTTP vers HTTPS, la requête repart vers Cloudflare, qui la renvoie en HTTP : la boucle est faite. Cloudflare donne deux remèdes, retirer la redirection côté serveur ou passer en mode Full ou supérieur, ce qui suppose un certificat sur votre serveur.

1. Dans le tableau de bord de Cloudflare, ouvrez votre domaine.
2. Allez dans SSL/TLS, page Overview.
3. Choisissez le mode Full (strict) si votre serveur a un certificat valide, sinon Full.
4. Videz le cache de Cloudflare, puis rechargez le site en navigation privée.

Le chemin suit la page de Cloudflare sur les modes de chiffrement, qui recommande Full ou Full (strict) et précise qu'un mode automatique est déployé progressivement. Laisser Flexible n'est pas une solution : la liaison entre Cloudflare et votre serveur reste en clair.

Deux réglages de Cloudflare provoquent la même boucle si votre serveur redirige, à l'inverse, de HTTPS vers HTTP : « Always Use HTTPS » et HSTS, dans Edge Certificates. Le remède est alors de retirer la redirection vers HTTP sur le serveur.

Cause 2 : l'adresse du site

WordPress redirige chaque visiteur vers l'adresse enregistrée dans Réglages, Général : « Adresse web de WordPress » et « Adresse web du site ». Si elle dit http:// alors que le serveur force HTTPS, ou www.exemple.fr alors qu'une règle renvoie vers exemple.fr, les deux se répondent sans fin.

1. Si l'administration s'ouvre, mettez les deux adresses à l'identique, avec https:// et la même forme, avec ou sans www, que celle de votre certificat.
2. Si elle ne s'ouvre pas, ajoutez dans wp-config.php, au-dessus de la ligne qui demande d'arrêter les modifications :

define( 'WP_HOME', 'https://exemple.fr' );
define( 'WP_SITEURL', 'https://exemple.fr' );

Pas de barre oblique à la fin. Ces constantes passent devant les valeurs de la base sans les modifier : une fois l'administration revenue, corrigez les deux adresses dans Réglages, Général, puis retirez les deux lignes. Pour un vrai changement d'adresse, voir Changer l'URL d'un site WordPress.

Cause 3 : une extension ou le .htaccess

Une extension qui force HTTPS ou gère les redirections peut entrer en conflit avec le serveur ou avec Cloudflare. Désactivez-la pour vérifier : la marche à suivre sans administration est dans Désactiver une extension sans accès à l'admin.

Une règle ajoutée à la main dans .htaccess peut aussi renvoyer vers une adresse qui la déclenche de nouveau. Ouvrez le fichier, mettez la règle en commentaire avec un # en début de ligne, et rechargez. L'écriture d'une redirection propre est détaillée dans Redirection 301.

Derrière un autre proxy que Cloudflare

Si un service placé devant votre site termine le HTTPS et joint WordPress en HTTP, WordPress ne sait pas que le visiteur est en HTTPS. Sa documentation propose de lire l'en-tête X-Forwarded-Proto que ce service doit transmettre, dans wp-config.php. Écrit pour PHP 8, cela donne :

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && str_contains( $_SERVER['HTTP_X_FORWARDED_PROTO'], 'https' ) ) {
    $_SERVER['HTTPS'] = 'on';
}

Ne l'ajoutez que si ce service envoie bien cet en-tête.

Sur un hébergement Hubspace

Quand nous installons WordPress, ses adresses sont enregistrées en https:// et un certificat Let's Encrypt est posé et renouvelé automatiquement. Derrière Cloudflare, le mode Full (strict) convient donc dès que le certificat est en place. Le gestionnaire de fichiers de Plesk, sur toutes les offres, sert à modifier wp-config.php et .htaccess. Si la boucle persiste, écrivez-nous depuis votre espace client.

Questions fréquentes