AWS a perdu définitivement des données clients à Bahreïn - trois zones, une seule adresse

Le terme de « cloud » évoque quelque chose qui est partout et nulle part. Puis, comme l'a écrit Lukasz Olejnik, chercheur polonais en cybersécurité et ancien conseiller en cyberguerre auprès du Comité international de la Croix-Rouge, dans un message sur X : « Il s'avère que le cloud a une adresse postale, et qu'elle était à portée de drone. »

Le mardi 15 septembre, AWS, premier fournisseur de cloud au monde, a ajouté deux messages sur sa page d'état. À Bahreïn, l'entreprise n'est « pas en mesure de rétablir l'accès aux ressources et aux données hébergées exclusivement dans cette région ». Aux Émirats, la même chose vaut pour l'une des trois zones - mec1-az2. Reuters a été le premier à le rapporter. C'est très probablement la première fois que des actes de guerre effacent définitivement un morceau du cloud mondial.

Comment en est-on arrivé là ? Fin février, les États-Unis et Israël ont attaqué l'Iran, et l'Iran a répondu par des frappes sur les pays du Golfe. Le dimanche 1ᵉʳ mars, le premier centre de données d'AWS aux Émirats a été touché par ce que l'entreprise a appelé des « objets » : incendie, alimentation coupée. Un jour plus tard, une deuxième zone aux Émirats est tombée, elle aussi après un tir direct, ainsi que la première à Bahreïn, endommagée par une frappe de drone juste à côté. L'extinction des incendies y a ajouté des dégâts des eaux. Bahreïn abrite la Vᵉ flotte américaine. En avril, une deuxième zone y est tombée et toute la région a cessé de fonctionner. En juillet, les Gardiens de la révolution iraniens ont annoncé avoir détruit « la structure restante » du site d'Amazon. Dans les messages d'AWS, le mot « Iran » n'apparaît pas une seule fois.

Tout ce que l'entreprise a dit publiquement dans cette affaire tient en 38 entrées sur la page d'état, avec un trou du 30 avril au 15 septembre. Pas de billet de blog, pas de communiqué de presse et, pour l'instant, pas de rapport d'incident du type de ceux qu'AWS publie après les pannes majeures (formellement, l'événement est toujours ouvert). L'entreprise n'a pas précisé quel volume de données a été perdu ni combien de clients sont concernés. Elle écrit seulement que « la plupart » ont réussi à migrer à temps. The Register a demandé un commentaire et s'est entendu répondre qu'AWS n'avait rien à ajouter.

Et les fameux onze 9 ? Selon AWS, S3 est conçu pour offrir une durabilité de 99,999999999 %. Sauf que ce chiffre porte sur une seule région et ne tient compte que de la perte d'une zone au maximum. D'après la documentation, les zones sont séparées par « plusieurs kilomètres », mais toutes se trouvent à moins de 100 km les unes des autres. Pour une coupure de courant, ce sont trois endroits indépendants. Pour un missile, c'est une seule cible. Olejnik l'a formulé ainsi : « Le Multi-AZ protège d'un incendie dans un bâtiment, pas d'une guerre. » AWS l'a elle-même décrit le 2 mars : après la perte de la première zone, S3 « a continué à fonctionner normalement », et quand la deuxième est tombée, les erreurs ont commencé. La documentation dit aussi clairement que les objets « ne quittent jamais cette région, sauf si vous les transférez explicitement vers une autre région ».

Le contrat ne laisse pas d'illusions non plus. Les sauvegardes sont l'affaire du client. AWS n'est pas responsable de « la valeur de votre contenu », la responsabilité totale est plafonnée au montant payé au cours des 12 derniers mois, et la liste des cas de force majeure comprend la guerre. Les SLA ne couvrent que la disponibilité du service ; ils ne disent rien de la durabilité des données. Publiquement, AWS a promis une seule chose : la facturation est suspendue dans les deux régions. Selon des informations de Forbes, les clients ont aussi reçu environ 150 millions de dollars de crédits de service après les frappes de mars.

Il est facile de dire qu'ils l'ont bien cherché, car qui ne garde pas une copie ailleurs ? Sauf qu'à Bahreïn, selon un fournisseur anonyme qui y opérait et qui témoigne sur Hacker News, « personne ne stocke de données à Bahreïn, sauf s'il existe des exigences de résidence des données qui l'imposent ». Les avertissements d'AWS arrivaient sans arrêt, mais il était « contractuellement et légalement interdit » à son entreprise de copier hors du pays des données, même chiffrées. « Le mieux que nous pouvions faire, c'était de dire à nos sous-clients de télécharger tous leurs buckets dans leurs bureaux ou sur les portables de quelques employés au bureau. » Un deuxième commentateur, dont les clients tournaient à Bahreïn, écrit qu'après la perte de la première zone, son entreprise a voulu sortir les données, ne serait-ce que sous forme de sauvegardes froides, mais que le service juridique « a coupé court assez vite ». Au début du conflit, la banque centrale des Émirats a temporairement assoupli son exigence de garder les données bancaires dans le pays, a rapporté The Banker.

Le message le plus commenté du fil Hacker News est une citation de 2017. Le journaliste de CBS David Pogue a demandé à Matt Wood, d'AWS, ce qui se passerait si quelqu'un faisait sauter l'un des centres de données de l'entreprise. Wood a répondu en riant : « Oui, vous ne vous en rendriez pas compte. Enfin, nous serions peut-être un peu contrariés, mais vous ne vous en rendriez pas compte ! » Dans une autre branche du fil, Danny O'Brien, ancien directeur de l'Electronic Frontier Foundation, a écrit que dans les années 2010 il essayait d'expliquer aux législateurs que la redondance géographique « était une bonne chose, en fait ». Selon lui, au lieu de demander dans quel pays se trouvent les données, il aurait fallu demander qui détient les clés de chiffrement et les accès d'administration.

Pourquoi est-ce important en France ? Parce qu'AWS n'a ici qu'une seule région, Europe (Paris), identifiant eu-west-3, ouverte en 2017 et découpée en trois zones de disponibilité : euw3-az1, euw3-az2 et euw3-az3. Trois zones, mais un seul point sur la carte, puisque la documentation d'AWS place toutes les zones d'une région à moins de 100 km les unes des autres. Une entreprise française « dans le cloud d'Amazon » a donc le plus souvent tout au même endroit, sauf si elle a payé elle-même pour une copie ailleurs. Et c'est la France qui pousse le plus loin en Europe le « cloud souverain », rebaptisé « cloud de confiance ». La qualification SecNumCloud de l'ANSSI exige que le stockage et le traitement des données des clients, mais aussi les sauvegardes, soient localisés sur le territoire de l'Union européenne, et que le prestataire résiste à une injonction fondée sur une loi extraterritoriale. La différence avec Bahreïn tient en une phrase : l'Union européenne est assez grande pour y poser un deuxième site. Depuis le 17 janvier 2025, le règlement DORA impose en plus aux banques, aux assureurs et au reste du secteur financier d'encadrer le risque porté par leurs prestataires informatiques. Les autres n'ont que le bon sens. Et à Bahreïn, ce sont justement les données que la loi empêchait de sortir du pays qui ont disparu.

Ne comptez pas non plus sur les tribunaux. Après l'incendie qui a ravagé le site strasbourgeois d'OVHcloud dans la nuit du 9 au 10 mars 2021, le tribunal de commerce de Lille Métropole a condamné l'hébergeur, le 26 janvier 2023, à verser 101 172 euros à Bâti Courtage, un client qui payait pour un service de sauvegarde. La sauvegarde se trouvait dans le même bâtiment que le serveur et a brûlé avec lui. En avril 2025, la cour d'appel de Douai a infirmé ce jugement : l'hébergeur n'a pas commis de faute en ne sauvegardant pas les données sur un site géographiquement distant, rien dans le contrat ne l'y obligeait. Elle a ramené l'indemnité à 1 800,48 euros, le plafond prévu au contrat, soit l'équivalent de six mois de service de sauvegarde. Alors posez aujourd'hui une seule question à votre prestataire : où se trouve physiquement ma sauvegarde ? Si c'est à la même adresse que l'original, ce n'est pas une sauvegarde.

Région - chez AWS, un groupe de centres de données dans une même zone géographique, découpé en au moins trois zones de disponibilité (availability zones), chacune avec son alimentation et ses liaisons réseau propres. S3 - le service de stockage de fichiers d'AWS. SLA - accord de niveau de service, une garantie exprimée le plus souvent en pourcentage du temps pendant lequel le service sera disponible. Résidence des données - obligation légale de conserver physiquement les données dans un pays donné. SecNumCloud - qualification délivrée par l'ANSSI aux offres de cloud « de confiance », qui impose notamment la localisation des données et des sauvegardes dans l'Union européenne. DORA - règlement européen sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.