phpBB Lab

Vous entrez votre identifiant et votre mot de passe, phpBB semble vous connecter… puis vous vous retrouvez immédiatement déconnecté ?

Vous voyez parfois un paramètre [c]sid=[/c] apparaître dans les URL, le formulaire de connexion devient invalide, ou le problème se produit uniquement avec [c]www[/c], sans [c]www[/c], en HTTP ou en HTTPS ?

Dans ce cas, le mot de passe n’est pas forcément en cause.

Très souvent, le problème vient plutôt d’une incohérence entre :

• le domaine utilisé pour accéder au forum ;

• les paramètres de cookies de phpBB ;

• les paramètres serveur enregistrés dans phpBB ;

• HTTP et HTTPS ;

• les variantes avec et sans [c]www[/c] ;

• une ancienne redirection conservée par le navigateur ;

• ou une session qui ne peut plus être reconnue correctement.

Ce guide propose une méthode progressive pour comprendre ce qui se passe et corriger le problème sans modifier des réglages au hasard.

1. Comprendre ce qui permet à phpBB de vous reconnaître

Lorsque vous vous connectez, phpBB doit pouvoir reconnaître votre navigateur lors de la requête suivante.

Pour simplifier, deux éléments interviennent principalement :

• phpBB conserve des informations de session côté serveur ;

• votre navigateur reçoit des cookies qui permettent à phpBB de retrouver correctement votre session.

Si le navigateur ne renvoie pas le bon cookie, ou si ce cookie n’est pas valable pour l’adresse actuellement utilisée, phpBB peut considérer la requête suivante comme une nouvelle visite.

Cela donne des symptômes comme :

• connexion acceptée puis déconnexion immédiate ;

• administrateur impossible à maintenir connecté ;

• formulaire annoncé comme invalide ;

• identifiant de session [c]sid[/c] qui revient continuellement dans les URL ;

• forum qui fonctionne avec une adresse mais pas avec une autre.

Le but du diagnostic est donc d’abord de vérifier que toutes les couches utilisent la même adresse de référence.

2. Déterminer l’adresse officielle du forum

Avant de modifier quoi que ce soit, choisissez l’adresse qui doit réellement être utilisée.

Par exemple :

https://example.com/

ou, si le forum se trouve dans un sous-dossier :

https://example.com/forum/

Il faut également décider si vous utilisez :

https://example.com/

ou :

https://www.example.com/

Les deux peuvent techniquement exister, mais pour un forum il est beaucoup plus propre de choisir une seule adresse canonique et de rediriger automatiquement toutes les autres variantes vers celle-ci.

Par exemple, si l’adresse officielle est :

https://example.com/

les variantes suivantes devraient finalement arriver vers cette même adresse :

http://example.com/

http://www.example.com/

https://www.example.com/

Cela évite qu’un utilisateur commence une session sur un hôte et poursuive sa navigation sur un autre.

3. Vérifier les paramètres des cookies dans phpBB

Dans le PCA, ouvrez les paramètres des cookies.

Selon la traduction utilisée, ils se trouvent généralement dans :

PCA > Général > Configuration du serveur > Paramètres des cookies

Les éléments importants sont les suivants.

Domaine du cookie

Pour un forum accessible sur :

https://example.com/

le domaine doit correspondre au domaine réellement utilisé.

Exemple :

example.com

Certaines installations utilisent également :

.example.com

Le point initial permet historiquement de couvrir les sous-domaines. Les navigateurs modernes traitent ce cas de manière plus souple, mais l’essentiel est surtout de ne pas avoir ici un ancien domaine ou un autre nom d’hôte.

Exemple de mauvais réglage après un changement de domaine :

ancien-domaine.com

alors que le forum fonctionne désormais sur :

nouveau-domaine.com

Dans ce cas, le navigateur peut recevoir un cookie qu’il ne renverra jamais au bon site.

Chemin du cookie

Dans la majorité des installations, utilisez :

/

Cela permet au cookie d’être disponible sur l’ensemble du domaine.

Ne changez pas ce réglage pour tenter de réparer une connexion au hasard.

Cookie sécurisé

Si votre forum fonctionne exclusivement en HTTPS :

Cookie sécurisé : Oui

est normalement le réglage attendu.

Attention toutefois à un piège important.

Un cookie marqué comme sécurisé n’est envoyé que via HTTPS.

Si certaines pages restent accessibles en HTTP sans redirection vers HTTPS, vous pouvez obtenir un comportement incohérent.

Il faut donc vérifier les deux éléments ensemble :

• forum réellement accessible en HTTPS ;

• HTTP redirigé vers HTTPS.

Nom du cookie

Le nom n’est généralement pas la cause du problème.

Cependant, changer le nom du cookie peut être utile après une ancienne installation ou une migration, car cela force les navigateurs à utiliser une nouvelle série de cookies.

Attention : changer ce nom déconnectera normalement les utilisateurs actuellement connectés.

Ne le faites donc pas comme première tentative.

4. Vérifier les paramètres serveur de phpBB

Ouvrez ensuite les paramètres serveur dans le PCA.

Cherchez notamment :

• le protocole ;

• le nom du domaine ;

• le port ;

• le chemin du script.

Prenons un forum installé directement à la racine :

https://example.com/

Les valeurs doivent être cohérentes avec cette adresse.

Par exemple :

Protocole : https://

Nom de domaine : example.com

Port : 443

Chemin du script : /

Pour un forum installé dans :

https://example.com/forum/

le chemin du script doit naturellement correspondre à cette installation.

Par exemple :

/forum

L’erreur classique est de conserver un ancien domaine ou une ancienne variante :

www.example.com

alors que le site redirige maintenant vers :

example.com

Le navigateur, le serveur web et phpBB ne travaillent alors plus forcément avec la même représentation de l’adresse du forum.

5. Vérifier les redirections HTTP, HTTPS, www et non-www

Voici une règle très importante :

un utilisateur ne devrait pas pouvoir naviguer alternativement entre plusieurs variantes de l’adresse du forum.

Si votre adresse officielle est :

https://example.com/

testez manuellement :

http://example.com/

http://www.example.com/

https://www.example.com/

https://example.com/

Toutes les variantes non officielles devraient aboutir à :

https://example.com/

Si ce n’est pas le cas, le problème doit être corrigé au niveau du serveur web, du VirtualHost, de la configuration de l’hébergeur ou du proxy utilisé devant le serveur.

Évitez d’empiler plusieurs systèmes de redirection différents.

Par exemple :

• une redirection dans Apache ;

• une autre dans le panneau de l’hébergeur ;

• une autre dans un proxy ;

• et encore une dans un fichier [c].htaccess[/c].

Cela peut provoquer des boucles ou des comportements difficiles à diagnostiquer.

Une seule logique claire est préférable.

6. Le paramètre sid dans l’URL : un indice très utile

phpBB peut utiliser un identifiant de session dans l’URL lorsque les cookies ne permettent pas de maintenir normalement la session.

Vous pouvez alors voir quelque chose comme :

https://example.com/index.php?sid=xxxxxxxxxxxxxxxx

Voir occasionnellement un [c]sid[/c] ne suffit pas à prouver qu’il existe un problème.

En revanche, si un nouveau SID apparaît continuellement pendant votre navigation, même lorsque vous ouvrez simplement plusieurs pages du forum, c’est un indice important.

Cela signifie qu’il faut vérifier en priorité :

• les cookies ;

• le domaine ;

• HTTPS ;

• les redirections ;

• et la conservation réelle de la session.

Ne commencez pas par modifier le code de phpBB.

Un problème de session est très souvent provoqué par la configuration qui entoure phpBB plutôt que par le cœur du logiciel.

7. Purger le cache phpBB après une modification

Après avoir corrigé un paramètre serveur ou une configuration importante, purgez le cache depuis le PCA.

Ensuite, ne testez pas immédiatement avec dix modifications supplémentaires.

Faites une seule modification logique, purgez le cache, puis testez.

Cette méthode permet de savoir exactement quelle correction a résolu le problème.

8. Supprimer les anciens cookies du navigateur

Même avec une configuration maintenant correcte, votre navigateur peut encore posséder des cookies provenant de l’ancienne configuration.

Après avoir corrigé phpBB :

• déconnectez-vous si possible ;

• supprimez les cookies du domaine concerné ;

• fermez éventuellement les onglets du forum ;

• ouvrez de nouveau l’adresse officielle ;

• puis reconnectez-vous.

Une autre méthode de test très pratique consiste à utiliser temporairement une fenêtre de navigation privée.

Si la connexion fonctionne immédiatement dans cette fenêtre mais pas dans votre session normale, les anciens cookies ou données du navigateur deviennent un suspect sérieux.

9. Tester méthodiquement

Une fois les réglages corrigés, effectuez ce test simple.

Étape 1

Ouvrez uniquement l’adresse officielle.

Exemple :

https://example.com/

Étape 2

Connectez-vous.

Étape 3

Ouvrez plusieurs pages normales :

• index ;

• forum ;

• sujet ;

• panneau de l’utilisateur.

Vous devez rester connecté.

Étape 4

Fermez le navigateur puis rouvrez le forum si vous utilisez une connexion persistante.

Étape 5

Testez volontairement une ancienne variante de l’adresse.

Exemple :

http://www.example.com/

Elle doit être redirigée vers l’adresse officielle.

10. Le message « Le formulaire envoyé n’est pas valide »

Ce message ne signifie pas automatiquement que les cookies sont responsables.

phpBB utilise également des mécanismes de protection des formulaires.

Cependant, si ce message apparaît principalement lors de la connexion et qu’il est accompagné de symptômes comme :

• nouvelle session permanente ;

• SID qui change ;

• www fonctionnel mais non-www défaillant, ou inversement ;

• HTTP fonctionnel mais HTTPS défaillant ;

• connexion immédiatement perdue ;

alors il est logique de vérifier d’abord la cohérence du domaine, des cookies, du protocole et des sessions.

11. Cas particulier : le problème est apparu après une migration

Après un changement de serveur ou de domaine, vérifiez systématiquement :

• l’ancien domaine dans les paramètres serveur ;

• l’ancien domaine du cookie ;

• le protocole HTTP/HTTPS ;

• le chemin d’installation ;

• les redirections du nouveau serveur ;

• les anciens cookies présents dans le navigateur.

Une base de données restaurée contient naturellement les paramètres de l’ancien forum.

Déplacer les fichiers et importer la base ne suffit donc pas toujours à rendre immédiatement les sessions cohérentes sur la nouvelle adresse.

12. Cas particulier : le forum est derrière un proxy ou un CDN

Avec un reverse proxy, un CDN ou certaines architectures d’hébergement, le visiteur peut accéder au site en HTTPS alors que la connexion entre le proxy et le serveur d’origine utilise un autre protocole.

Si cette architecture est mal configurée, l’application peut recevoir des informations incohérentes sur :

• le protocole réellement utilisé par le visiteur ;

• le nom d’hôte ;

• le port.

Dans ce cas, modifier uniquement les cookies dans phpBB peut masquer temporairement le problème sans traiter sa cause.

Il faut également vérifier la configuration du proxy et du serveur web.

13. Ce qu’il ne faut pas faire

Évitez les corrections au hasard comme :

• désactiver HTTPS simplement pour voir ;

• changer simultanément le domaine, le cookie, le chemin et le nom du cookie ;

• modifier le cœur de phpBB ;

• supprimer des tables de sessions dans la base sans diagnostic ;

• installer une extension pour tenter de réparer un problème de configuration ;

• ajouter plusieurs redirections trouvées sur Internet sans comprendre celles déjà présentes.

Une modification à la fois est beaucoup plus efficace.

Ordre de diagnostic conseillé

Si vous voulez aller directement à l’essentiel, utilisez cet ordre :

1. déterminez l’URL officielle exacte du forum ;

2. vérifiez que toutes les autres variantes redirigent vers elle ;

3. vérifiez le domaine et le chemin des cookies ;

4. vérifiez le réglage du cookie sécurisé ;

5. vérifiez le domaine, le protocole, le port et le chemin dans les paramètres serveur ;

6. purgez le cache phpBB ;

7. supprimez les anciens cookies du navigateur ;

8. testez dans une fenêtre privée ;

9. observez si le SID change encore continuellement.

À retenir

Lorsqu’une connexion phpBB disparaît immédiatement, le problème n’est pas nécessairement l’identifiant ou le mot de passe.

Une session correcte dépend d’une chaîne cohérente :

URL utilisée

→ domaine

→ HTTPS

→ redirection

→ cookie

→ session phpBB

Si un seul de ces éléments ne correspond plus aux autres, le résultat peut donner l’impression que phpBB « refuse » la connexion alors que le véritable problème se trouve dans la manière dont la session est conservée.

Commencez donc toujours par vérifier la cohérence de l’adresse officielle et des cookies avant de toucher au code ou à la base de données.

Cette méthode permet généralement de transformer un problème de connexion apparemment aléatoire en un diagnostic beaucoup plus simple et reproductible.