Autoriser PostShip dans votre pare-feu

Certains hébergeurs protègent les sites derrière un défi anti-robot : une page intermédiaire qu'un navigateur franchit tout seul, en exécutant un script, et qu'un outil de surveillance ne franchit pas. Vercel l'appelle Security Checkpoint, Cloudflare Just a moment…. Quand il répond à la place de votre page, PostShip ne peut pas dire si la page va bien : il le signale, garde le dernier verdict tel quel et n'ouvre pas d'incident.

PostShip ne contourne pas ce défi. Se faire passer pour un navigateur reviendrait à percer la protection de votre site, et l'hébergeur finirait par bloquer PostShip pour tout le monde. Le chemin propre est que vous l'autorisiez.

Ce que PostShip vérifie

Toutes les vérifications de pages partent d'une seule machine, à adresse IP fixe :

L'adresse IP est le moyen le plus fiable : un User-Agent peut être copié par n'importe qui, une adresse non. Les sondes des 5 continents partent d'ailleurs et ne sont pas concernées.

Un défi est reconnu à sa signature — l'en-tête x-vercel-mitigated ou cf-mitigated, ou une page 403 qui se présente comme un point de contrôle — et jamais confondu avec une vraie page 403.

Régler

Vercel

Firewall → System Bypass Rules → Add Rule : l'adresse 141.253.121.153, pour votre domaine. Vercel réserve cette exemption à ses offres payantes, Pro et Enterprise.

Sur son offre gratuite Hobby, aucune exemption n'est possible. Le défi se déclenche quand une même adresse envoie beaucoup de requêtes au site, et se lève de lui-même quand le trafic retombe : surveiller moins d'URL sur ce domaine le rend plus rare.

Cloudflare

Security → WAF → Tools → IP Access Rules : ajoutez 141.253.121.153 avec l'action Allow, pour ce site ou pour tout le compte. Sur un plan payant, une règle personnalisée (Security → WAF → Custom rules) dont la condition est IP Source Address égale à 141.253.121.153 et l'action Skip fait la même chose, en choisissant précisément les protections à sauter.

Autre hébergeur ou pare-feu

Autorisez l'adresse IP ; à défaut, le User-Agent. Pour une page privée — une préproduction, un back-office —, un en-tête secret propre à chaque URL se règle à l'ajout de l'URL, écran « Ce qu'on attend de la page », champ Page privée : en-tête d'accès.

Ce qui déclenche une alerte

Un défi n'est pas une panne : aucune alerte ne part au premier passage barré. Si le défi dure plus d'une heure, une seule alerte vous le dit, pour que vous autorisiez PostShip. Sur la page de l'URL, un bandeau indique depuis quand le pare-feu barre PostShip et reprend l'adresse et le User-Agent à autoriser. Les mêmes informations sont dans Projet → Paramètres → Avancé.

Limites et plans

L'autorisation se règle chez votre hébergeur ; elle ne dépend pas de votre plan PostShip. Voir les plans.

Dépannage

J'ai ajouté l'adresse, et le défi revient

Vérifiez que la règle vise bien le domaine surveillé (et ses sous-domaines, comme www.), et qu'elle est active. Chez Cloudflare, une règle Allow placée après une règle de blocage peut ne jamais s'appliquer : vérifiez l'ordre.

Pourquoi la vérification SSL passe, et pas celle de la page ?

Le certificat se lit à la connexion, avant toute page : le défi ne s'applique qu'à la réponse HTTP. C'est pour cela qu'une URL peut être barrée alors que sa carte « Certificat » reste verte.