Aller au contenu principal

Laisser le robot de Meta accéder à votre boutique : réglages Cloudflare et pare-feu

Imaginez que vous avez tout configuré : le pixel est connecté, le Pixel Helper affiche un ViewContent vert sur chaque page produit, et pourtant votre catalogue dans Commerce Manager reste vide. Ou bien Commerce Manager indique que l'URL de votre flux « ne pointe pas vers un fichier valide ou accessible », alors qu'elle s'ouvre parfaitement dans votre navigateur.

Dans bien des cas, le module et les données n'y sont pour rien. Le problème, c'est la porte : avant d'ajouter un produit à un catalogue, l'un des serveurs de Meta doit visiter votre boutique et lire la page ou le fichier. Si votre système de sécurité prend cette visite pour une attaque et l'arrête, Meta ne voit jamais vos produits, alors que tout semble normal de votre côté.

La bonne nouvelle : c'est rapide à vérifier, et la solution est une petite exception dans Cloudflare ou dans le pare-feu de votre hébergeur. Vous n'avez pas besoin de désactiver votre protection.

La réponse courte​

  • Vos événements arrivent chez Meta depuis les navigateurs de vos visiteurs (et depuis votre serveur, avec l'API de Conversion). Le catalogue a besoin d'autre chose : le robot de Meta doit télécharger la page produit ou le fichier du flux.
  • Un événement ViewContent réussi ne prouve pas que Meta a pu lire la page. Si le robot est bloqué, les produits peuvent rester hors du catalogue alors que tous les tests d'événements passent.
  • La documentation de Cloudflare décrit les causes habituelles : le mode I'm Under Attack, une règle personnalisée qui défie ou bloque les adresses IP de Facebook, ou une règle par pays. Meta explore depuis les États-Unis et l'Irlande ; une règle qui défie les autres pays peut donc le bloquer.
  • La solution recommandée par Cloudflare est une règle qui cible les réseaux de Meta (les ASN AS32934 et AS63293) et ne désactive que la protection qui les bloque, plutôt qu'une liste d'adresses IP faite à la main.

Comment Meta lit votre boutique​

Ce que vous voyezCe que cela signifie
ViewContent se déclenche et le produit apparaît dans le catalogueLes événements et le robot fonctionnent.
ViewContent se déclenche, mais le catalogue reste vide pendant des joursLes événements arrivent ; vérifiez si le robot est bloqué.
L'URL du flux s'ouvre dans votre navigateur, Commerce Manager dit qu'elle n'est pas accessibleVotre navigateur passe ; le robot de Meta, non.
Le Sharing Debugger affiche une page d'erreur ou un code de réponse 403Le robot de Meta est bloqué ou défié.

Meta identifie son robot par l'agent utilisateur facebookexternalhit/1.1. Sur sa page de documentation consacrée à ses robots, Meta suggère d'autoriser soit cet agent utilisateur, soit les adresses IP du robot. Meta n'y publie pas de liste fixe de plages d'IP. C'est pourquoi les listes copiées dans de vieux messages de forum ne sont pas fiables : elles deviennent obsolètes sans prévenir.

Pas à pas​

1. Testez du côté de Meta, pas depuis votre navigateur​

Votre propre navigateur passe toujours ; il ne peut donc pas vous dire si Meta est bloqué. Utilisez un outil qui récupère la page depuis les serveurs de Meta :

  1. Ouvrez le Sharing Debugger de Meta (https://developers.facebook.com/tools/debug/).
  2. Collez l'URL d'une de vos pages produit (ou l'URL de votre flux) et cliquez sur Debug.
  3. Cliquez sur Scrape Again (ou Fetch New Scrape Information) pour que Meta récupère la page maintenant.
  4. Regardez le Response Code ainsi que le titre et l'image trouvés par Meta.

Une réponse 200 avec le vrai titre et la vraie image de votre produit signifie que le robot passe. Un 403, un 503, ou un titre comme « Attention Required! » ou « Just a moment... » signifie qu'un système de sécurité l'arrête.

astuce

Les utilisateurs de Pixel Plus peuvent aussi utiliser l'outil de test des microdonnées dans l'onglet Microdonnées du module : il ouvre une page produit au hasard dans le Microdata Debug Tool de Meta, qui récupère lui aussi la page depuis les serveurs de Meta.

2. Cherchez Meta dans les événements de sécurité de Cloudflare​

Si votre site utilise Cloudflare :

  1. Ouvrez votre tableau de bord Cloudflare et sélectionnez votre site web.
  2. Ouvrez le journal des événements de sécurité (Security → Events ; le nom du menu varie selon les versions du tableau de bord).
  3. Ajoutez un filtre sur le champ ASN avec les valeurs 32934 et 63293, ou sur l'agent utilisateur facebookexternalhit.
  4. Notez quel service ou quelle règle a agi (par exemple une règle personnalisée, le niveau de sécurité, une règle par pays ou la protection contre les bots) et s'il s'agissait d'un blocage ou d'un défi.

Cela vous indique précisément quelle protection assouplir. Ne corrigez que celle-là.

3. Créez une règle Skip pour les réseaux de Meta​

La page de dépannage de Cloudflare pour le partage Facebook propose deux options : supprimer la règle qui défie ou bloque Facebook, ou créer une règle Skip pour les ASN AS32934 et AS63293 qui désactive Security Level.

Pour créer la règle Skip :

  1. Dans votre tableau de bord Cloudflare, ouvrez Security → WAF → Custom rules (dans le nouveau tableau de bord, Security → Security rules) et créez une nouvelle règle.

  2. Donnez-lui un nom clair, par exemple Allow Meta crawler.

  3. Cliquez sur Edit expression et saisissez :

    (ip.src.asnum in {32934 63293})

    Voici notre exemple d'expression qui cible les requêtes provenant de ces deux réseaux de Meta.

  4. Comme action, choisissez Skip.

  5. Sélectionnez Security Level, comme le recommande Cloudflare. Si les événements de l'étape 2 ont montré qu'une autre protection bloquait Meta (par exemple une autre règle personnalisée), sélectionnez-la aussi — et rien d'autre.

  6. Enregistrez et déployez la règle, et placez-la avant les règles qui bloquaient Meta.

attention

Ne désactivez pas toutes les protections « au cas où ». Ne désactivez que ce que les événements de sécurité ont montré comme bloquant Meta. Une exception ciblée garde votre boutique protégée tout en laissant entrer le robot.

Cloudflare recommande aussi de vérifier vos configuration rules et vos Page Rules, et de s'assurer que le mode I'm Under Attack n'est pas activé. Ce mode défie tous les visiteurs, Meta compris.

4. Vérifiez aussi le pare-feu de votre hébergeur​

Cloudflare et votre serveur d'hébergement peuvent avoir des systèmes de sécurité indépendants. Même quand Cloudflare laisse passer Meta, le serveur situé derrière peut tout de même bloquer la requête. Les plus courants sont :

  • ModSecurity (fréquent sur les hébergements cPanel et Plesk)
  • Imunify360
  • BitNinja
  • CSF ou Fail2Ban

Si vous ne gérez pas le serveur vous-même, envoyez à votre hébergeur l'URL qui échoue et demandez-lui de vérifier les journaux de son pare-feu pour les requêtes avec l'agent utilisateur facebookexternalhit/1.1, et de les autoriser.

5. Demandez à Meta de relire la page​

Après avoir modifié une règle, retournez dans le Sharing Debugger et cliquez sur Scrape Again. Quand il affiche une réponse 200 avec votre vrai titre et votre vraie image, Meta peut lire votre boutique. Les articles du catalogue commencent alors à apparaître ou à se mettre à jour au fil du traitement par Meta ; ce n'est pas instantané.

Si vous voyez X, faites Y​

Si vous voyez…Faites ceci
Sharing Debugger : 403, 503, « Attention Required! » ou « Just a moment... »Cloudflare défie Meta. Passez aux étapes 2 et 3.
Les événements Cloudflare n'affichent rien, mais le débogueur échoue toujoursLe blocage a lieu sur votre serveur. Passez à l'étape 4.
Le débogueur affiche 200, mais le titre ou le prix est incorrectLe robot entre ; le problème vient des microdonnées de votre page. Vérifiez-les dans l'onglet Microdonnées de Pixel Plus.
Le débogueur affiche 200 avec des données correctes, le catalogue reste videVérifiez que le pixel est connecté au catalogue comme source de données et apparaît comme Ready, et consultez les Diagnostics du catalogue dans Commerce Manager.
Une règle par pays défie les visiteurs hors de votre marchéExcluez les ASN de Meta de cette règle : Meta explore depuis les États-Unis et l'Irlande.

Questions fréquentes​

Q : Mes événements pixel fonctionnent. Pourquoi le robot de Meta serait-il bloqué ? R : Les événements sont envoyés depuis les navigateurs de vos visiteurs et depuis votre serveur ; votre système de sécurité ne les arrête donc jamais. Le robot est une requête distincte qui provient des serveurs de Meta, et les pare-feu considèrent souvent comme suspectes les requêtes automatisées venant de l'étranger.

Q : Dois-je ajouter les adresses IP de Meta à la liste d'autorisation de mon pare-feu ? R : Meta ne publie pas de liste fixe d'adresses IP de son robot sur sa page dédiée, et les anciennes listes deviennent obsolètes. Dans Cloudflare, une règle basée sur les ASN de Meta (AS32934 et AS63293), comme le documente Cloudflare, est plus facile à maintenir.

Q : La règle Skip désactive-t-elle la protection de Cloudflare pour ma boutique ? R : Non. Elle ne s'applique qu'aux requêtes provenant des réseaux de Meta, et ne désactive que les protections que vous sélectionnez. Tous les autres visiteurs passent par les mêmes contrôles qu'avant.

Q : J'ai créé la règle. Combien de temps avant que les produits apparaissent dans le catalogue ? R : L'accès lui-même fonctionne immédiatement — confirmez-le avec le Sharing Debugger. Meta traite ensuite les produits à son rythme ; les articles apparaissent donc progressivement et non d'un seul coup.

Q : Cela s'applique-t-il aussi aux flux produits ? R : Oui. Quand votre catalogue utilise une URL de flux, Meta télécharge ce fichier depuis ses serveurs, et les mêmes règles Cloudflare ou serveur peuvent le bloquer.

Mes événements pixel fonctionnent. Pourquoi le robot de Meta serait-il bloqué ?

Les événements sont envoyés depuis les navigateurs de vos visiteurs et depuis votre serveur ; votre système de sécurité ne les arrête donc jamais. Le robot est une requête distincte qui provient des serveurs de Meta, et les pare-feu considèrent souvent comme suspectes les requêtes automatisées venant de l'étranger.

Dois-je ajouter les adresses IP de Meta à la liste d'autorisation de mon pare-feu ?

Meta ne publie pas de liste fixe d'adresses IP de son robot sur sa page dédiée, et les anciennes listes deviennent obsolètes. Dans Cloudflare, une règle basée sur les ASN de Meta (AS32934 et AS63293), comme le documente Cloudflare, est plus facile à maintenir.

La règle Skip désactive-t-elle la protection de Cloudflare pour ma boutique ?

Non. Elle ne s'applique qu'aux requêtes provenant des réseaux de Meta, et ne désactive que les protections que vous sélectionnez. Tous les autres visiteurs passent par les mêmes contrôles qu'avant.

J'ai créé la règle. Combien de temps avant que les produits apparaissent dans le catalogue ?

L'accès lui-même fonctionne immédiatement — confirmez-le avec le Sharing Debugger. Meta traite ensuite les produits à son rythme ; les articles apparaissent donc progressivement et non d'un seul coup.

Cela s'applique-t-il aussi aux flux produits ?

Oui. Quand votre catalogue utilise une URL de flux, Meta télécharge ce fichier depuis ses serveurs, et les mêmes règles Cloudflare ou serveur peuvent le bloquer.

Fonctionnalités associées​

Documentation officielle​