Amazon renonce à restaurer les données perdues dans sa région cloud de Bahreïn

Décryptage

Amazon Web Services a renoncé. Dans une mise à jour publiée le 15 septembre sur son tableau de bord de santé, l’hébergeur déclare ne plus pouvoir restaurer l’accès aux ressources et aux données hébergées exclusivement dans sa région cloud de Bahreïn, frappée par des drones iraniens depuis le 1er mars 2026, et fait le même constat pour l’une des trois zones de son implantation aux Émirats arabes unis.

La phrase de l’entreprise est plus précise que la nouvelle : « Les dégâts causés à notre infrastructure ont touché plusieurs zones de disponibilité et dépassé ce que nos services régionaux et multi-AZ sont conçus pour encaisser. » Ce n’est pas le cloud qui a lâché, c’est le périmètre géographique à l’intérieur duquel il promettait quelque chose.

Ce qu’Amazon a écrit, mot pour mot

Deux constats séparés, deux régions. Aux Émirats arabes unis, AWS indique ne pas pouvoir restaurer l’accès aux ressources et aux données hébergées exclusivement dans une zone de disponibilité identifiée comme mec1-az2 ; les deux autres zones de la même région, mec1-az1 et mec1-az3, font encore l’objet de travaux de récupération.

À Bahreïn, le constat porte sur la région entière. « Après une évaluation approfondie, nous avons déterminé que nous ne pouvons pas restaurer l’accès aux ressources et aux données hébergées exclusivement dans cette région », écrit l’entreprise, qui dit avoir évalué chaque infrastructure touchée et épuisé les options de récupération pour ce qui n’avait pas été migré. AWS ajoute avoir accompagné les derniers clients concernés vers d’autres régions, en s’appuyant sur les sauvegardes disponibles quand il y en avait, ou sur des solutions de contournement quand les données étaient devenues inaccessibles. Des précisions sur les Émirats sont annoncées « dans les prochains mois ».

Une région, des zones, et une frontière que rien ne franchit tout seul

Le vocabulaire d’AWS a l’air interchangeable. Il ne l’est pas. Une région est un regroupement de centres de données dans une zone géographique, avec « au minimum trois zones de disponibilité isolées et physiquement séparées ». Une zone de disponibilité, c’est « un ou plusieurs centres de données distincts, dotés d’une alimentation, d’un réseau et d’une connectivité redondants ». Et la séparation a une borne écrite noir sur blanc : les zones sont distantes de plusieurs kilomètres les unes des autres, « mais toutes situées à moins de 100 kilomètres » entre elles.

Deux zones de disponibilité d’une même région AWS sont séparées d’au plus 100 kilomètres, quand Bahreïn et la région AWS de Paris en comptent environ 4 840 : le 15 septembre 2026, Amazon a déclaré ne plus pouvoir restaurer les données hébergées exclusivement à Bahreïn. Franchir la frontière régionale met donc environ quarante-huit fois plus de distance entre une donnée et un sinistre que ne le fait la redondance entre zones d’une même région.

Cette frontière, personne ne la franchit à votre place. La documentation d’Amazon EC2 est explicite : « les régions sont isolées les unes des autres » et « nous ne répliquons pas automatiquement les ressources entre régions ». Concrètement, la redondance géographique n’est pas un réglage d’usine du cloud : c’est une option que le client configure et paie. Le graphique ci-dessous met les trois niveaux de séparation à la même échelle.

Pourquoi le multi-AZ n’a pas suffi

Le 1er mars 2026, trois centres de données d’AWS sont touchés dans la même nuit : deux dans la région des Émirats, un à Bahreïn. Un mois plus tard, jour pour jour, une seconde frappe vise Bahreïn et met la région hors service. Aux clients, AWS tient alors un langage d’exploitant : « Les clients doivent activer leurs plans de reprise, restaurer depuis des sauvegardes distantes stockées dans d’autres régions et modifier leurs applications pour détourner le trafic des régions touchées. »

Le multi-AZ fait pourtant exactement ce pour quoi il est conçu : il encaisse la perte d’un site à l’intérieur d’une région, en supposant que les zones voisines tiennent. « Le multi-AZ n’est pas un plan de reprise d’activité : il protège des pannes matérielles, pas d’un missile qui touche tout un groupe de zones de disponibilité », écrivait Harshwardhan Choudhary, cité par InfoQ dès le mois de mars. Six mois plus tard, AWS le formule dans ses propres termes.

Ce qu’il fallait avoir activé pour ne rien perdre

Le fournisseur publie depuis des années la liste des gestes qui auraient changé l’issue. Son guide de reprise après sinistre décrit quatre stratégies, de la simple sauvegarde au double site actif : sauvegarde et restauration, pilot light, warm standby, multi-site actif/actif. Le texte pose lui-même la ligne de partage : pour la perte d’un centre de données, une sauvegarde suffit ; « si votre définition d’un sinistre va au-delà de la perturbation ou de la perte d’un centre de données physique, jusqu’à celle d’une région », il faut passer aux trois autres.

La doctrine se joue service par service, parce que chacun a son propre interrupteur géographique. Voici ce qui reste dans la région tant que personne n’a rien coché, et ce qui l’en fait sortir.

La colonne de gauche est gratuite, celle de droite se configure. Aurora rend l’écart visible : une base globale se promeut en écriture dans une autre région « en moins d’une minute », quand une restauration depuis instantané se compte en heures et suppose d’avoir redéployé autour d’elle l’infrastructure, la configuration et le code applicatif.

Souveraineté et résilience ne répondent pas à la même question

En France, le réflexe devant un incident cloud américain est de parler souveraineté. Le visa SecNumCloud de l’ANSSI vise à « protéger les données et les traitements sensibles face à la menace cybercriminelle et à l’application de lois extraterritoriales ». C’est une réponse juridique, et elle traite un risque réel. Elle ne dit rien de la distance entre deux copies d’un même fichier.

La leçon de Bahreïn est d’un autre ordre. « L’atténuation consiste à réduire votre exposition régionale, pas votre exposition à un fournisseur », notait l’architecte Gregor Hohpe, cité par InfoQ. Un second prestataire dont les machines sont installées dans le même pays subit les mêmes frappes ; une seconde région du même prestataire, à quelques milliers de kilomètres, n’aurait rien vu passer. Le débat public sur le cloud porte le plus souvent sur le drapeau du fournisseur. Cette semaine, il porte sur une carte.

Pour une entreprise française, la question tient en une ligne de configuration : où atterrit la copie de secours, et son code de région est-il différent de celui de la production ? La même question s’était déjà posée lors d’un autre incident cloud. Amazon, lui, a fixé son prochain point d’étape sur Bahreïn au début 2027.

Article créé en collaboration avec l’IA.