Ton site WordPress affiche soudain « 429 Too Many Requests » et tes visiteurs tombent sur une page d'erreur ? Pas de panique : ton site n'est pas piraté et tes données ne sont pas perdues. Quelque chose — ton hébergeur, Cloudflare ou WordPress lui-même — a juste décidé que trop de requêtes arrivaient trop vite, et il a mis le holà.

Le problème, c'est que ce « trop de requêtes » peut venir d'une attaque, d'un plugin mal réglé ou... de ton propre trafic légitime. Voici comment identifier la vraie cause et remettre ton site en ligne.

Erreur 429 : c'est quoi, concrètement ?

Le code 429 signifie « trop de requêtes » : le serveur a reçu plus de demandes qu'il n'accepte d'en traiter dans un laps de temps donné, et il refuse temporairement les suivantes. C'est un mécanisme de protection, pas une panne.

Concrètement, trois acteurs peuvent déclencher une 429 sur ton site :

  • Ton hébergeur, qui limite les requêtes par seconde sur les offres mutualisées pour protéger ses serveurs ;
  • Cloudflare (ou un autre CDN/pare-feu), via ses règles de limitation de débit ;
  • WordPress lui-même, quand un composant génère un flot anormal de requêtes internes.

La 429 est presque toujours temporaire : elle se lève quand le flot de requêtes retombe. Mais si la cause persiste, elle revient — d'où l'importance de traiter la racine du problème.

Le petit réflexe hunter : avant tout, attends 5 minutes et recharge la page. Si l'erreur a disparu, c'était un pic temporaire (pic de trafic, tâche cron, sauvegarde). Si elle revient systématiquement sur les mêmes pages, la cause est structurelle : continue la lecture.

Les 6 causes les plus fréquentes sur WordPress

1. Une attaque par force brute sur la page de connexion

Des robots tentent des milliers de combinaisons identifiant/mot de passe sur wp-login.php. Ton hébergeur ou ton pare-feu finit par bloquer... y compris toi. Symptôme typique : la 429 apparaît surtout quand tu essaies de te connecter à l'admin.

2. L'API Heartbeat de WordPress qui s'emballe

WordPress envoie des requêtes automatiques régulières (admin-ajax.php) pour la sauvegarde auto des brouillons, le verrouillage des articles, les notifications. Avec plusieurs onglets d'admin ouverts ou un plugin qui l'exploite mal, ça génère un flot continu de requêtes.

3. Un plugin trop gourmand ou mal configuré

Plugins de sécurité agressifs, de statistiques en temps réel, de chat en direct, de sauvegarde qui tournent en boucle : certains multiplient les requêtes à chaque visite. Un plugin récemment installé ou mis à jour juste avant l'apparition des 429 est suspect n°1.

4. Un cache mal configuré ou absent

Sans cache de page, chaque visiteur déclenche l'exécution complète de WordPress (PHP + base de données). Un pic de trafic modeste suffit alors à dépasser les limites de l'hébergeur.

5. Une règle Cloudflare trop stricte

Si ton site passe par Cloudflare, une règle de « rate limiting » mal calibrée peut bloquer du trafic légitime — par exemple tous les visiteurs derrière un même réseau d'entreprise ou un VPN partagé.

6. Les limites de ton offre d'hébergement

Sur un mutualisé d'entrée de gamme, les limites (requêtes/seconde, processus PHP simultanés) sont basses. Un site qui grandit finit par les toucher en permanence : la 429 devient alors chronique.

Les solutions, dans l'ordre

Applique-les dans cet ordre, du plus simple au plus technique. Teste ton site après chaque étape :

  1. Désactive le plugin suspect. Si les 429 ont commencé après l'installation d'un plugin, désactive-le (ou renomme son dossier en plugin-desactive via FTP si tu n'as plus accès à l'admin). Les plugins de sécurité et de stats sont les premiers à tester.
  2. Limite l'API Heartbeat. Avec une extension comme « Heartbeat Control », réduis sa fréquence ou désactive-la sur le tableau de bord et le front-end. Ça coupe net une source majeure de requêtes parasites.
  3. Active un vrai cache de page. Une extension de cache (avec cache navigateur et minification) transforme 90 % de tes pages en fichiers statiques : le serveur ne « travaille » presque plus. C'est aussi la base pour accélérer un site WordPress lent.
  4. Protège wp-login.php. Limite les tentatives de connexion (extension de limitation de tentatives), change l'URL de connexion, et active la double authentification sur ton compte admin. Moins d'attaques = moins de requêtes = moins de 429.
  5. Vérifie les tâches planifiées. Dans Outils > Santé du site ou avec une extension de gestion des crons, repère les tâches qui tournent trop souvent (sauvegardes horaires, synchronisations) et espace-les.
  6. Contacte ton hébergeur. Demande-lui les journaux d'accès des dernières heures : il verra immédiatement si les requêtes viennent d'une IP attaquante, d'un bot ou de ton propre site. C'est aussi le moment de discuter des limites de ton offre si ton trafic a grandi.

Notre reco : dans la majorité des cas qu'on dépannne, le coupable est un plugin installé récemment ou l'API Heartbeat qui tourne en boucle. Les étapes 1 et 2 règlent le problème en dix minutes, sans toucher au serveur.

Cas particulier : l'erreur 429 vient de Cloudflare

Si ton site est derrière Cloudflare et que la page d'erreur affiche son logo, la cause est côté Cloudflare :

  • va dans ton tableau de bord Cloudflare > Sécurité > Événements : tu verras quelles règles bloquent quelles IP ;
  • vérifie les règles de limitation de débit (Security > WAF > Rate limiting rules) : assouplis les seuils ou ajoute une exception pour tes propres IP et celles de ton équipe ;
  • si le blocage touche les visiteurs d'un pays ou d'un réseau précis, c'est souvent une règle trop large : affine-la plutôt que de la supprimer.

Pour les autres erreurs Cloudflare fréquentes, on a aussi des guides dédiés : erreur 521 et erreur 525.

Attention : ne désactive jamais complètement la protection contre les abus pour « faire disparaître » la 429. Sans limite de débit, une attaque par force brute ou par déni de service fera tomber ton site bien plus sûrement qu'une 429 temporaire. On calibre les seuils, on ne les supprime pas.

L'erreur 429 signifie-t-elle que mon site est piraté ?

Pas nécessairement. La 429 signale un excès de requêtes, dont les causes les plus fréquentes sont un plugin gourmand, l'API Heartbeat ou une attaque par force brute sur la page de connexion. Vérifie les causes dans l'ordre de cet article avant de conclure à un piratage.

Combien de temps dure une erreur 429 ?

La plupart des limites sont temporaires : de quelques secondes à quelques minutes après la fin du pic de requêtes. Si l'erreur persiste des heures, la cause est continue (attaque en cours, plugin en boucle) et il faut la traiter.

Pourquoi la 429 n'apparaît-elle que sur wp-admin ?

Parce que l'admin génère beaucoup plus de requêtes que le site public (Heartbeat, sauvegardes auto, vérifications de mises à jour). C'est typique d'une limite côté hébergeur ou d'une attaque par force brute sur wp-login.php.

Un meilleur hébergement supprime-t-il les 429 ?

Il relève les seuils, mais ne corrige pas un plugin en boucle ou une attaque : même un serveur puissant finit par saturer face à un flot anormal. Traite toujours la cause avant d'envisager de changer d'offre.

Les visiteurs voient-ils aussi l'erreur 429 ?

Oui, si la limite est atteinte au niveau de l'hébergeur ou de Cloudflare : tout le monde est bloqué temporairement, pas seulement toi. D'où l'urgence de corriger la cause quand les 429 se répètent.

Cloudflare gratuit protège-t-il contre les 429 ?

L'offre gratuite inclut une protection de base, mais les règles de limitation de débit fines sont réservées aux offres payantes. En gratuit, tu peux déjà agir via le mode « Under Attack », les règles de pare-feu et le cache agressif des pages statiques.