Erreur 1020 Accès Refusé de Cloudflare : Qu'est-ce qui la Déclenche, Comment la Corriger

L'erreur 1020 n'est pas un CAPTCHA et n'est pas une limite de taux. C'est une règle que quelqu'un a écrite, correspondant à quelque chose dans votre requête — et le Ray ID vous indique laquelle.

L'erreur 1020 Accès Refusé de Cloudflare est l'un des blocages les plus clairs du web moderne, une fois que vous savez comment le lire. Ce n'est pas un code de statut HTTP — c'est une page d'erreur 1xxx de Cloudflare, normalement servie avec un 403 — et selon la documentation de support de Cloudflare, cela signifie une chose : l'accès a été refusé par une règle de pare-feu. Pas un score de bot global, pas un limiteur de taux, pas un défi que vous avez échoué. Quelqu'un qui gère le site a écrit une règle, et votre requête y a correspondu. Cela détermine tout sur la manière dont vous répondez.

Ce qu'est réellement l'erreur 1020

La documentation de Cloudflare donne comme cause commune un client ou un navigateur bloqué par les règles de pare-feu d'un client Cloudflare — les règles personnalisées WAF configurées dans le tableau de bord de ce site. Le propriétaire choisit les critères : un pays, un ASN, un modèle d'agent utilisateur, un chemin d'URL, une signature d'en-tête, un seuil de requête, ou une combinaison. Cloudflare l'applique à la périphérie. Le conseil pour les visiteurs est tout aussi direct : envoyez au propriétaire du site une capture d'écran du 1020 que vous avez reçu, car lui seul peut voir quelle règle a été déclenchée.

Deux conséquences s'ensuivent. Un 1020 est spécifique au site : le même client peut être refusé sur un domaine protégé par Cloudflare et accueilli sur le suivant, car les règles ne sont pas partagées. Et c'est déterministe plutôt que probabiliste — une règle correspond ou non. Déterminez lequel de vos signaux a correspondu et vous changez exactement celui-là.

1020 par rapport aux autres blocages de Cloudflare

Obtenir le bon code vous évite d'appliquer le mauvais correctif. La famille 1xxx se sépare clairement :

• 1020 Accès refusé — une règle personnalisée WAF a correspondu. Spécifique au site et déterministe.
• 1015 Vous êtes limité en taux — volume, pas identité. Ralentissez et répartissez la charge ; l'arithmétique de rythme est dans notre guide sur 429 trop de requêtes.
• 1010 Signature de navigateur interdite — l'empreinte de votre client a été reconnue comme automatisation. Les navigateurs sans tête avec des signatures non corrigées atterrissent ici.
• 1006 / 1007 / 1008 — l'adresse IP du visiteur elle-même a été interdite, généralement via les règles d'accès IP.
• 1009 Pays ou région interdits — règle géographique. Changez le pays de sortie et le blocage disparaît entièrement.
• Une page de défi ou Turnstile — pas du tout une erreur 1xxx. C'est une invitation à prouver que vous êtes un navigateur, et les réponses aux défis portent un en-tête cf-mitigated plutôt qu'un numéro d'erreur.

Si ce que vous voyez est un interstitiel plutôt qu'un refus, la mécanique est différente et la réponse aussi — voir comment les défis Cloudflare fonctionnent réellement en 2026.

Ce qui déclenche 1020 pour les scrapers et l'automatisation

Les propriétaires écrivent ces règles à partir de modèles, donc la même poignée de critères se répète sur les sites. En gros ordre de fréquence où ils attrapent le trafic automatisé :

• ASN d'hébergement. Bloquer des gammes entières de cloud et d'hébergement est une règle en un clic, et c'est la raison la plus courante pour laquelle un script obtient 1020 sur un VPS tandis qu'un ordinateur portable sur un réseau domestique charge la page sans problème.
• Réputation IP ou de gamme. Comme le dit un long fil de discussion communautaire, la gamme sur laquelle vous êtes a vu des abus — la règle peut vous précéder de plusieurs mois.
• Agent utilisateur. Les règles correspondant à curl, python-requests, Go-http-client, des agents utilisateurs vides ou des chaînes de scrapers connues sont triviales à écrire et largement déployées.
• Pays. Les sites desservant un marché refusent fréquemment tout le reste. Votre pays de sortie peut être la cause entière.
• Chemin. Les règles protégeant /wp-login.php, /admin, /api ou /search refusent tout ce qui les touche depuis une source inattendue.
• Anomalies d'en-tête. Un Accept-Language manquant, un agent utilisateur Chrome revendiqué sans en-têtes Sec-Fetch-*, ou un décalage entre la langue déclarée et la géographie de sortie.
• Modèle de requête. Les règles qui comptent les frappes par minute par IP puis refusent plutôt que de défier, ce qui produit un 1020 qui ressemble à une limite de taux mais n'expire jamais de lui-même.

Lisez votre propre blocage : le Ray ID

Chaque réponse Cloudflare porte un en-tête cf-ray, et la page 1020 imprime le même Ray ID à l'écran. C'est l'ID de transaction pour votre requête dans le journal des événements de sécurité du site — la seule chose qui permet à un propriétaire de vous dire quelle règle a été déclenchée. Capturez-le avant de commencer à expérimenter.

# Capture the evidence: status, Ray ID, and Cloudflare's view of your geo
curl -sS -o /tmp/block.html -D - https://target.example/page \
  | grep -iE 'HTTP/|cf-ray|cf-mitigated|server:'

# Then confirm what the edge thinks of your exit IP
curl -sS https://target.example/cdn-cgi/trace

Le point de terminaison /cdn-cgi/trace existe sur chaque domaine en façade Cloudflare et renvoie votre IP visible, le pays détecté et le centre de données de service. C'est le moyen le plus rapide de confirmer que votre géographie de sortie est ce que vous pensez qu'elle est — un nombre surprenant de 1020 sont des règles de pays déclenchées parce que la sortie a atterri quelque part d'inattendu. Notre vérificateur de score de qualité IP gratuit complète le tableau : si cette adresse est déjà signalée dans les bases de données de proxy et de liste noire.

Les voies légitimes à travers

Il n'y a pas de truc astucieux qui annule la règle de pare-feu de quelqu'un d'autre, et prétendre le contraire vous fait perdre votre temps. Ce que vous pouvez faire, c'est arrêter de la correspondre. Par ordre croissant de coût :

• Changez le réseau de sortie. Si la règle cible des ASN d'hébergement ou une gamme brûlée, une IP résidentielle ou mobile ne la correspond tout simplement pas. Cela résout plus de 1020 que tout le reste combiné.
• Changez le pays de sortie pour un que le site dessert, lorsque le point de terminaison trace montre un décalage géographique.
• Rendez le client cohérent. Un agent utilisateur de navigateur actuel, la chaîne complète Accept, une langue qui correspond à la géographie de sortie, et les en-têtes Sec-Fetch-* qu'une navigation réelle transporte. Le détail est dans l'échelle de correction du 403.
• Ralentissez et gardez les sessions. Les règles qui comptent les requêtes par IP cessent de correspondre lorsque le compte reste bas, et le rendu n'aide que lorsque les couches réseau et d'en-tête sont déjà propres.
• Utilisez la voie officielle. De nombreux sites protégés publient une API, un flux de données ou un programme partenaire. C'est moins cher que tout ce qui précède et cela ne casse pas.
• Demandez. Si vous avez une raison commerciale légitime, envoyez au propriétaire votre Ray ID et demandez une entrée sur la liste blanche. Le flux de travail documenté de Cloudflare est construit autour de cet échange exact.

Pour les deux premiers, les proxies résidentiels sont l'instrument direct : plus de 90 millions d'IP dans plus de 200 pays, rotation par requête ou sessions persistantes, HTTP et SOCKS5 sur chaque plan, donc changer d'ASN ou de pays est une ligne de configuration plutôt qu'un projet. Rien ici n'est un conseil juridique, et rien de tout cela ne remplace les conditions d'utilisation d'un site — collectez des données publiques, respectez ce que le propriétaire a demandé, et utilisez le canal autorisé lorsqu'il existe.

# Isolate the network variable in one command: identical request,
# residential exit instead of your hosting IP.
curl -sS -o /dev/null -w 'status=%{http_code}\n' \
  -x 'http://USER:PASS@gate.quantumproxies.io:8000' \
  -A 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36' \
  -H 'Accept-Language: en-GB,en;q=0.9' \
  'https://target.example/page'

# 200 -> the rule was about your ASN or country.
# 1020 again -> keep going: headers, then rendering.

Laissez l'API Scraper gérer les sorties et le rendu

Si c'est votre propre site qui affiche 1020

De nombreuses personnes recherchant cette erreur sont des propriétaires de sites dont les vrais clients sont refusés. La correction de Cloudflare est une recherche en trois étapes : obtenez une capture d'écran de la page 1020 du visiteur, recherchez dans le journal des événements de sécurité — sous Sécurité, puis Événements — ce Ray ID ou l'IP du client, et lisez quelle règle a correspondu. À partir de là, vous pouvez soit affiner la règle pour qu'elle cesse de capturer le trafic légitime, soit ajouter l'adresse du visiteur aux règles d'accès IP comme entrée autorisée.

Deux choses à vérifier pendant que vous y êtes. Les blocages ASN ou de pays trop larges causent la plupart des faux positifs, surtout pour les clients mobiles : le CGNAT met des milliers de vrais abonnés derrière une adresse, donc la bloquer bloque une foule. Et les règles écrites il y a des années contre le produit de règles de pare-feu hérité se déclenchent encore — révisez-les avant d'en ajouter de nouvelles par-dessus.

Questions fréquemment posées

Que signifie l'erreur 1020 accès refusé de Cloudflare ?

Cela signifie qu'une règle de pare-feu Cloudflare configurée par le propriétaire du site a refusé votre requête à la périphérie. Elle est livrée sous forme de page d'erreur avec un statut 403 et un Ray ID plutôt que comme son propre code HTTP. Parce que la règle appartient à ce site spécifique, le même client peut être bloqué là et accepté sur d'autres domaines protégés par Cloudflare.

Comment puis-je corriger l'erreur 1020 de Cloudflare ?

Arrêtez de correspondre à la règle. Changez le réseau de sortie d'un ASN d'hébergement à une IP résidentielle, vérifiez votre pays de sortie contre /cdn-cgi/trace, envoyez un ensemble d'en-têtes de navigateur cohérent, et ralentissez le taux de requêtes. Si vous êtes un utilisateur légitime du service, envoyez au propriétaire votre Ray ID et demandez à être sur liste blanche — c'est le flux de travail documenté par Cloudflare.

L'erreur 1020 est-elle la même chose qu'une limitation de taux ?

Non. La limitation de taux sur Cloudflare apparaît comme l'erreur 1015, et elle s'atténue une fois la fenêtre passée. Un 1020 est une correspondance de règle de pare-feu et n'expire pas de lui-même — attendre ne change rien. Une règle peut être écrite pour compter les requêtes, ce qui rend les deux similaires, mais le remède doit encore être un changement dans ce que vous envoyez, pas de la patience.

Pourquoi ai-je 1020 sur un VPS mais pas sur mon ordinateur portable ?

Parce que les gammes d'IP d'hébergement et de cloud sont publiées et faciles à bloquer avec une règle, tandis que le haut débit domestique ne l'est pas. Votre ordinateur portable sort par un fournisseur d'accès internet grand public que la règle ne correspond pas. Acheminer le trafic du serveur par une sortie résidentielle reproduit le résultat de l'ordinateur portable sans déplacer le code.

Un VPN ou un proxy gratuit peut-il corriger l'erreur 1020 ?

Rarement, et souvent cela empire les choses. Les gammes de VPN publics et de proxy gratuits sont parmi les espaces d'adresses les plus lourdement bloqués sur internet, donc vous échangez un signal correspondant pour un autre. Des adresses résidentielles ou mobiles propres avec une réputation vérifiée font la différence ; vérifiez le score de fraude de toute IP avant de lui faire confiance pour un essai.

L'erreur 1020 est une règle que quelqu'un a écrite dans un tableau de bord, et votre requête y a correspondu. Capturez le Ray ID, testez une variable à la fois — le réseau de sortie d'abord — et escaladez seulement lorsque les réponses bon marché sont épuisées. Une clé API bat une règle de pare-feu tous les jours de la semaine.

Obtenez des IP résidentielles que les règles de pare-feu ne ciblent pas