Corriger l'erreur ERR_TUNNEL_CONNECTION_FAILED avec un proxy

Deux cas de figure reproduits

Ces deux tests ont été réalisés sur un proxy de test, illustré ici avec les identifiants de documentation 203.0.113.10:8080 et user123:pass456. Dans une fenêtre Chrome standard, le code 407 ne génère pas d'erreur de tunnel : Chrome ouvre simplement une boîte de dialogue pour demander l'identifiant et le mot de passe du proxy. Les erreurs de tunnel liées à une 407 apparaissent donc surtout dans les outils d'automatisation et les applications incapables d'afficher cette invite de connexion.

Causes principales, par ordre de probabilité

• Un script d'automatisation n'envoie aucun identifiant. Le flag --proxy-server de Chrome n'accepte que l'hôte et le port, sans user:pass. Puppeteer ou Selenium en mode headless reçoit un code 407 et signale un échec de tunnel.
• Une application mobile derrière un proxy Wi-Fi protégé par mot de passe. L'application ne propose aucune invite d'authentification : les requêtes HTTPS échouent alors que la navigation web fonctionne toujours.
• Le proxy ne parvient pas à joindre le site cible. Il renvoie une erreur 502 à la requête CONNECT ; notre guide sur l'erreur 502 Bad Gateway détaille ce cas.
• Seuls certains sites sont inaccessibles. Le serveur distant est indisponible ou bloque vos requêtes, alors que d'autres sites fonctionnent parfaitement via le même proxy.

Identifier le code réel avec une seule commande curl

Exécutez curl -v -x http://user123:[email protected]:8080 https://example.com en remplaçant les valeurs par vos propres paramètres. Observez la ligne située juste après > CONNECT example.com:443 HTTP/1.1 : un code 407 invite à suivre notre guide sur l'erreur 407 ; un code 502 indique un problème au niveau de la destination ou de la route réseau en amont du proxy. Si vous préférez éviter le terminal, collez votre ligne dans notre testeur de proxy, qui indiquera auth failed (407) ou HTTP 502 pour ces mêmes situations.

Solutions selon votre environnement

• Puppeteer : conservez --proxy-server=http://host:port au lancement et appelez page.authenticate({ username, password }) avant toute navigation. Exemple complet dans notre guide proxy Puppeteer.
• Playwright : transmettez proxy: { server, username, password } lors du lancement du navigateur ; Playwright gère automatiquement l'authentification 407. Voir notre guide Playwright.
• Selenium : Chrome n'accepte pas user:pass directement en ligne de commande ; le guide Selenium propose des solutions adaptées.
• Chrome sur Windows : si la boîte de dialogue d'authentification n'apparaît jamais, vérifiez si une extension de proxy la bloque, puis faites un essai dans une fenêtre vierge de toute extension.
• Smartphones : pour les applications nécessitant un proxy avec mot de passe, utilisez une application proxy dédiée prenant en charge les identifiants user:pass, comme expliqué dans notre guide de configuration Android.

Étape par étape

1. 1

   Identifier la réponse à la commande CONNECT

   Exécutez curl -v -x avec les paramètres de votre proxy, ou collez-les dans le testeur, pour savoir si le proxy renvoie une erreur 407 ou 502.

2. 2

   En cas d'erreur 407 : configurez correctement vos identifiants

   Dans vos scripts, utilisez le mécanisme d'authentification natif de la bibliothèque plutôt que d'insérer user:pass dans --proxy-server.

3. 3

   En cas d'erreur 502 : testez un autre site

   Chargez un grand site comme example.com via le même proxy. S'il répond correctement, le problème vient du site cible initial.

4. 4

   Relancez et vérifiez l'adresse IP de sortie

   Dès que le tunnel est établi, consultez la page mon IP depuis ce même navigateur pour vérifier que le trafic transite bien par le proxy.

Questions fréquentes