Un pare-feu, la protection anti-bots d’un CDN ou une extension de sécurité peut bloquer nos contrôles alors que les vrais visiteurs passent. Le moniteur signale alors une panne qui n’en est pas une, généralement HTTP 403, HTTP 429 ou un délai dépassé. Autorisez nos contrôles une fois pour toutes et le problème disparaît.
D’où viennent les contrôles
Stockholm, Suède : 95.111.205.91 et, en IPv6, 2a04:3541:8000:1000::/64Londres, Royaume-Uni : 94.237.50.166 et, en IPv6, 2a04:3541:1000:500::/64New York, États-Unis : 209.94.56.204 et, en IPv6, 2605:7380:8000:1000::/64
Quand nous ajoutons un emplacement, son adresse est ajoutée à cette liste : revenez donc ici lorsqu’un nouvel emplacement apparaît sous Locations dans le formulaire d’un moniteur. Un moniteur sans emplacements choisis est contrôlé depuis tous les emplacements en ligne, si bien qu’un nouvel emplacement commence aussitôt à le contrôler.
Les contrôles de site web, de port et de ping, les contrôles de confirmation et les traceroutes proviennent de toutes ces adresses. Les parcours multi-étapes, les analyses de santé du site, Test request dans le formulaire du moniteur et les alertes webhook proviennent uniquement de Stockholm. Si votre site a une adresse IPv6 (un enregistrement AAAA), les contrôles peuvent arriver en IPv6 depuis n’importe quelle adresse des plages IPv6 ci-dessus : autorisez donc les plages entières, pas des adresses isolées.
User agents
Contrôles de sites web et d’API, et parcours : Uptimecheck/1.0 (+https://uptimecheck.com). Un User-Agent que vous ajoutez sous Request headers le remplace.Analyses de santé du site : Mozilla/5.0 (compatible; UptimecheckBot/1.0; +https://uptimecheck.com/bot).Test request dans le formulaire : Uptimecheck/1.0 (+https://uptimecheck.com; test run). Alertes webhook : Uptimecheck-Alerts/1.0.Les parcours avec Run in a real browser et les captures d’écran d’incident s’exécutent sur le réseau de Cloudflare, et non depuis les adresses ci-dessus. Leurs user agents contiennent Uptimecheck/1.0.Page speed est mesuré par Google PageSpeed Insights : ces requêtes proviennent donc de Google, avec un user agent contenant Chrome-Lighthouse.
Tous les nôtres contiennent Uptimecheck. N’importe qui peut envoyer un user agent : autorisez donc par adresse quand c’est possible.
Cloudflare
Si votre site est derrière Cloudflare, autorisez-nous dans Cloudflare : votre propre serveur ne voit que les adresses de Cloudflare.
Dans le tableau de bord Cloudflare, ouvrez votre domaine, allez dans Security rules et choisissez Create rule › Custom rules.Nommez-la « Uptimecheck », choisissez Edit expression et saisissez (ip.src in {95.111.205.91 2a04:3541:8000:1000::/64 94.237.50.166 2a04:3541:1000:500::/64 209.94.56.204 2605:7380:8000:1000::/64}). Ajoutez d’autres adresses entre les accolades, séparées par des espaces.Sous Then take action, choisissez Skip et cochez All remaining custom rules, All rate limiting rules et All managed rules, ainsi que All Super Bot Fight Mode rules si votre offre le propose. Parmi les autres composants, cochez Browser Integrity Check et Security Level.Placez la règle en premier et choisissez Deploy.
Bot Fight Mode, sur l’offre Free de Cloudflare, ne peut pas être contourné par une règle personnalisée. Ajoutez plutôt une règle d’accès IP : Create rule › IP access rules, saisissez une adresse, choisissez l’action Allow puis Create, une fois pour chaque adresse et plage IPv6 ci-dessus. Quand une règle d’accès IP s’applique en premier, Bot Fight Mode n’intervient pas. Pour savoir ce qui a bloqué un contrôle, ouvrez Security analytics, onglet Events, et regardez le champ Service.
Extensions de sécurité WordPress
Dans Wordfence, ouvrez Firewall › All Firewall Options, ajoutez les adresses à Allowlisted IP addresses that bypass all rules et enregistrez. Solid Security, All-In-One Security et les extensions similaires ont aussi une liste d’autorisation. Si votre hébergeur utilise son propre pare-feu, comme Imunify360 ou ModSecurity, demandez-lui d’ajouter les adresses à sa liste d’autorisation. Avec fail2ban :
# /etc/fail2ban/jail.local
[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 95.111.205.91 2a04:3541:8000:1000::/64 94.237.50.166 2a04:3541:1000:500::/64 209.94.56.204 2605:7380:8000:1000::/64
nginx
Si nginx restreint un chemin à des adresses connues, ajoutez les nôtres :
location = /health {
allow 95.111.205.91;
allow 2a04:3541:8000:1000::/64;
allow 94.237.50.166;
allow 2a04:3541:1000:500::/64;
allow 209.94.56.204;
allow 2605:7380:8000:1000::/64;
deny all;
proxy_pass http://127.0.0.1:8080;
}
Pour conserver une limite de débit pour tous les autres, attribuez une clé vide à nos adresses. nginx ne compte pas les requêtes dont la clé est vide :
geo $limit {
default 1;
95.111.205.91 0;
2a04:3541:8000:1000::/64 0;
94.237.50.166 0;
2a04:3541:1000:500::/64 0;
209.94.56.204 0;
2605:7380:8000:1000::/64 0;
}
map $limit $limit_key {
0 « »;
1 $binary_remote_addr;
}
limit_req_zone $limit_key zone=perip:10m rate=10r/s;
Derrière un CDN ou un répartiteur de charge, nginx voit l’adresse du proxy, sauf si real_ip_header est configuré.
Ou autorisez un en-tête secret
Les adresses changent quand nous ajoutons des emplacements ; un en-tête, non. Sur un moniteur Website or API, choisissez Keyword, headers and more et ajoutez une ligne sous Request headers, par exemple X-Monitor-Token: a-long-random-value. Autorisez ensuite les requêtes qui le portent, par exemple dans une règle personnalisée Cloudflare : any(http.request.headers[« x-monitor-token »][*] == « a-long-random-value »). Tous les membres de votre espace de travail peuvent voir la valeur : ne l’utilisez pour rien d’autre.
Tâches cron et agent serveur
Les pings de tâches cron et l’agent serveur se connectent en sortie à app.uptimecheck.com en HTTPS (port 443). Si vos serveurs ne peuvent joindre que des hôtes approuvés, autorisez ce nom. Les tâches et agents configurés avant le 16 octobre 2026 peuvent utiliser platform.uptimecheck.com, notre ancienne adresse, qui fonctionne toujours.
Toujours en panne ? Voyez pourquoi un moniteur est en panne alors que votre site fonctionne. En savoir plus sur la surveillance de disponibilité.