Que faire si j'ai un message "you may be a victim of cross-site request forgery" qui s'affiche ?

Lors d’une connexion Facebook, vous pouvez rencontrer le message suivant :

The state doesn't match. You may be a victim of cross-site request forgery or you may have decided to cancel the login process. Please close this window.

En français : « L’état ne correspond pas. Il se peut que vous soyez victime d’une falsification de requête intersite ou que vous ayez décidé d’interrompre le processus de connexion. Veuillez fermer cette fenêtre. »

Ou ce message :

You may have not allowed the email address to be used or the token is not valid. You may be a victim of cross-site request forgery or the method of connecting to the Facebook URL with HTTPS is not allowed. Please contact the merchant to warn him.

En français : « Vous n’avez peut être pas permis d’utiliser votre adresse e-mail ou le token n’est pas valide. Il se peut que vous soyez victime d’une falsification de requête intersite ou que la méthode de connexion à l’URL de Facebook avec HTTPS ne soit pas autorisée. Veuillez contacter le marchand pour l’avertir. »

Ces messages ne suffisent pas à identifier une cause unique. Le premier signale que les données d’état du retour ne correspondent pas à celles de la session, ou que le code attendu manque. Une tentative interrompue ou une session perdue peut notamment conduire à ce contrôle.

Vérifications

1. Fermez la fenêtre de connexion et recommencez une seule tentative depuis la boutique, sans réutiliser une ancienne URL de retour.
2. Comparez l’URL de redirection affichée par le module pour la boutique concernée avec l’URI OAuth autorisée dans votre application Facebook. Reprenez l’URL complète et exacte.
3. Vérifiez HTTPS et l’hôte utilisé pendant la tentative : une redirection entre www et sans www, ou entre deux boutiques, peut changer le contexte de session.
4. Si l’erreur persiste, faites vérifier la conservation de la session, les redirections et les journaux expurgés par votre intégrateur ou le support.

Les URL de politique de confidentialité doivent respecter les exigences de l’application ; elles n’ont pas toutes à partager mécaniquement le préfixe du callback.

Ne désactivez pas le contrôle d’état pour contourner l’erreur. Pour la configuration générale de l’application, consultez la procédure Facebook. Pour une session qui ne reste pas connectée, consultez cette FAQ.