425 Too Early (RFC 8470) est lié aux données précoces (early data) de TLS 1.3, aussi appelées 0-RTT. Un client qui reprend une session TLS peut envoyer sa première requête en même temps que la négociation, avant que celle-ci soit terminée, pour économiser un aller-retour. Un attaquant peut rejouer ces données précoces : elles ne sont donc sûres que pour des requêtes sans effet de bord.
Un serveur qui reçoit une requête en early data et ne veut pas prendre le risque de la traiter peut répondre 425. Le client doit alors réessayer automatiquement la requête une fois la négociation terminée. Les CDN et autres intermédiaires qui transmettent des requêtes en early data ajoutent l’en-tête Early-Data: 1, afin que le serveur d’origine puisse répondre 425 lorsqu’un rejeu serait dangereux.
Exemple de réponse
HTTP/1.1 425 Too Early
Date: Fri, 06 Nov 2026 10:15:32 GMT
Content-Length: 0SEO et vérification des redirections
Les navigateurs gèrent le code 425 automatiquement et les utilisateurs ne le voient jamais. Les robots d’exploration et les vérificateurs de redirections utilisent rarement le 0-RTT : ce code n’a donc pas d’impact SEO concret.
Causes fréquentes et cas d’usage
- Une connexion TLS 1.3 reprise a envoyé un
POSTen early data, et le serveur l’a rejeté pour empêcher un rejeu. - Un serveur d’origine placé derrière un CDN où le 0-RTT est activé refuse les requêtes marquées
Early-Data: 1. - Une application incapable de gérer les rejeux en toute sécurité rejette toutes les early data avec un 425.