OVHCloud, le numéro un de l’hébergement Web en Europe, est sous le feu des projecteurs depuis maintenant un mois. Vous avez dû voir passer l’information, le 9 mars le datacenter de Strasbourg brûle. Aucune victime n'est à déplorer mais beaucoup de serveurs sont détruits. Retour sur l’incident et ce que l’on sait aujourd’hui.
Données irrécupérables, deuxième départ de feu quelques jours après l'incendie, dédommagements maladroits… Qui aurait cru, il y a encore quelques années, qu'un simple incendie pourrait bloquer une aussi grande partie de l'internet français ?
OVHCloud est dans la tourmente suite à l'incendie du datacenter de Strasbourg et ce n'est toujours pas terminé : un mois après l'incident certains clients n'ont toujours pas accès à leurs données. Cette catastrophe sans précédent nous amène à nous interroger sur le sujet de la responsabilité partagée dans le monde de l'hébergement web ainsi que des conséquences engendrées.
De quoi parlons-nous ?
Le rôle de l'hébergeur internet
Par définition, un hébergeur internet est une entité mettant à disposition des ressources informatiques pour stocker des données via le web. Afin d'entreposer et exploiter les serveurs nécessaires à la bonne exécution de ces services les hébergeurs disposent de datacenters ou centres de données en bon français. Il convient donc à l’hébergeur de sécuriser l’accès physique aux salles serveurs, tenir le matériel et les logiciels à jour et fournir conseil et support technique à ses clients.
Il existe deux modèles d’hébergement aujourd’hui : dédié ou mutualisé, c’est-à-dire le partage des ressources entre plusieurs clients.
Il y a plusieurs raisons pour lesquelles une entreprise peut vouloir héberger ses données dans le Cloud. Le plus gros avantage est la lutte contre l’obsolescence et les limites matérielles inhérents à une infrastructure informatique locale. L'hébergement est une solution qui s’adapte parfaitement aux besoins, notamment grâce au système pay-as-you-go (soit payer uniquement les ressources dont on a besoin). Enfin, la réduction du nombre de serveurs dans une entreprise permet à celle-ci de réduire son empreinte carbone et devenir un peu plus écoresponsable.
Qui est OVHCloud ?
OVHCloud, anciennement connu sous le nom OVH (« On Vous Héberge »), a été créé en 1999 par Octave Klaba, un entrepreneur français. Il débute son activité avec l’hébergement web et, une année plus tard, l’hébergement de noms de domaine (identifiant d’une adresse web tel que clubic.com). Deux ans plus tard les serveurs « Made In OVHCloud » font leur apparition : il s'agit notamment de réduire la dépendance à l’égard des fournisseurs. En 2004, OVHCloud commence à s’implanter à l’étranger avec la création de bureaux en Pologne et en Espagne puis un an plus tard étend son activité avec la création de son premier datacenter à Roubaix, ville qui deviendra le siège social de l’entreprise.
OVHCloud explose dans les années 2010. Avec l’émergence du cloud computing, l’hébergeur lance son offre de cloud dédié et devient en 2011 l’hébergeur web numéro 1 d’Europe.
Aujourd’hui OVHCloud dispose de 27 centres de données dans le monde
dont 18 en Europe. L’Élysée, Michelin ou encore AG2R font partie des 1,5 million de clients mondiaux de la firme mais a su également conquérir particuliers notamment grâce à ses prix très avantageux.
Les concurrents les plus notables d’OVHCloud au niveau mondial sont les américains Google, Amazon avec son offre AWS et Microsoft Azure. Retrouvez à ce propos le comparatif Clubic des meilleurs hébergeurs en 2021.
L’infrastructure du site de Strasbourg
OVHCloud ouvre le premier datacenter de Strasbourg en 2011. Il s’agit de la deuxième ville française choisie pour l’implantation après Roubaix. L’hébergeur choisi de mettre en place les serveurs dans des conteneurs
comme vous pouvez le voir ci-dessous :
Solution assez populaire à l’époque, les conteneurs permettent notamment de faciliter l’installation et l’assemblage du site et de ses composants. Trois autres centres de données arriveront à Strasbourg par la suite en 2012, 2013 et 2015 pour créer le parc que l’on connaît aujourd’hui. Les datacenters sont nommés de la façon suivante : SBG1, SBG2, SBG3 et SBG4 (SBG pour StrasBourG, donc).
Que se passe t-il en mars 2021 ?
Incendie du 10 mars
Dans la nuit du 9 au 10 mars 2021, un incendie se déclare dans le datacenter SBG2 sur le site OVHCloud de Strasbourg. Aucun blessé n’est à déplorer mais les flammes emportent un grand nombre de serveurs sur ce site historique. Les pompiers ne réussiront à arrêter l’incendie que dans la matinée.
Dès les heures suivant l'incendie un premier bilan est dressé par Octave Klaba, le P.-D.G. d’OVHCloud :
- SBG2 est complètement détruit
- SBG1 est détruit partiellement avec 4 salles touchées sur 12
- SBG3 et SBG4 ne sont visiblement pas impactés
Par mesure de précaution, Klaba prend la décision d’éteindre tous les serveurs du centre de données de Strasbourg, coupant ainsi toute connexion possible aux données hébergées dans ce centre de données. Dès ce premier bilan, Klaba promet une transparence complète sur les causes de l’incendie ainsi que sur la remise en service progressive et aussi rapide que possible de ses équipements.
Coïncidence, OVHCloud avait annoncé la veille, le 8 mars 2021, vouloir entrer à la Bourse de Paris.
Deuxième incendie le 19 mars
9 jours après l’incident du datacenter, alors que les opérations de remise en service des serveurs non touchés par l’incendie commençaient tout juste, de la fumée est remarquée dans un local contenant des batteries non connectées destinées à SBG1. Les pompiers réussissent à circonscrire l’incident en quelques minutes, le PDG précisant plus tard qu’aucun incendie n’avait eu le temps de se déclarer. Suite à cette frayeur, les alimentations électriques de SBG1 et 4 sont coupées par mesure de précaution.
Le lendemain, il est décidé que SBG1 ne serait plus jamais utilisé et que les serveurs encore en état de fonctionner seraient déplacés vers les datacenters de Roubaix, Gravelines ainsi que SBG4.
La gestion de l’incident les jours suivants
Les premières réactions d'OVHCloud
Pour rappel, tous les serveurs des datacenters de Strasbourg ont été éteint par mesure de sécurité après l'incendie. Le dirigeant de l’hébergeur, Octave Klaba, a été réactif concernant la communication. Dès 3h du matin, la nuit de l’incident, il tweet :
Comme précisé dans le tweet, la première chose recommandée aux clients est l’activation du Disaster Recovery Plan, la solution de reprise d’activité du géant européen. Non compris dans l’offre d’hébergement de base, ce plan permet de sauvegarder les données OVHCloud vers un autre centre de données.
La sauvegarde est un mécanisme majeur dans le plan de reprise d’activité (PRA) d’une entreprise : il s’agit de restaurer au plus vite les données en cas d’accident touchant le système d’information.
Les clients ayant souscrit à ce plan ont normalement eu une perte de service minimale car les données étaient toujours accessibles sur un autre serveur, mais nous verrons un peu plus tard que ce n’est pas toujours le cas.
Les priorités d’OVHCloud après l’incident concernant les clients étaient les suivantes :
- Réserver des infrastructures sur les sites de Roubaix et Gravelines pour palier rapidement à l’indisponibilité de services pour les serveurs non touchés
- Augmentation de la production de serveurs pour faciliter la prochaine mise en production
- Renforcement de l’équipe technique support pour assurer la prise en charge totale des appels et tickets clients
Il est rapidement établi que seul SBG2 ne sera plus utilisable. La stratégie d’OVHCloud à ce moment et de remettre en état électriquement les salles SBG1, 3 et 4 pour le 15 mars, avec un redémarrage des serveurs prévu le 22 mars. Cependant suite à l’apparition de fumée dans le local de stockage de SBG1 (dont nous parlions plus haut), il est décidé que SBG1 ne redémarrera pas. Les opérations sur SBG3 et 4 sont ajournées.
Les canaux de communication
OVHCloud publie sur son site internet une page dédiée à l’actualité concernant le site de Strasbourg. Durant les deux premières semaines la page était alimentée tous les jours afin de tenir au courant les clients des opérations effectuées pendant la journée (physiques, matérielles et logicielles) et de les informer de la suite avec un planning prévisionnel. Vous pouvez découvrir la page d’actualité à cette adresse.
Au moment où ces lignes sont rédigées, le dernier article date du 6 avril. Alors que SBG3 et 4 sont à 99% fonctionnels, SBG1 est encore en difficultés avec 35% de services rétablis.
Vous avez pu le voir précédemment, Octave Klaba est resté très actif sur Twitter en tenant les clients informés à chaque nouvelle étape du rétablissement. Il publiera trois vidéos d’environ 8 minutes à chaque grande étape du rétablissement les 11, 16 et 22 mars avec une version en français et en anglais.
Comme la plupart des hébergeurs web, OVHCloud dispose d’une plateforme de suivi d’incident en temps réel. Il s’agit d’une page d’information à destination des clients permettant de suivre l’avancée d’incidents et les opérations de maintenance en cours pouvant potentiellement avoir un impact sur leurs données. Après l’incident de Strasbourg, et par souci de transparence, la plateforme a été tenue à jour en détail, notamment sur les opérations de remise en service.
Des répercussions dramatiques pour les clients
Pour les clients dont les données ont été touchées par l’incident les conséquences peuvent être désastreuses ou non selon la façon dont elles étaient gérées. Là où certaines entreprises ont pu rapidement restaurer leurs données depuis une sauvegarde, d’autres ont perdu tout ce qu’elles avaient dû à l’absence de plan de reprise d’activité. Le jeu de survie Rust fait partie des victimes : n’ayant aucune sauvegarde mise en place le studio de développement a perdu toutes les données européennes de son jeu, incluant la progression des joueurs.
Il est important de faire la distinction : l’externalisation de ses données ne veut en aucun cas dire qu’elles sont sauvegardées. C’est ainsi que beaucoup de clients ont vu rouge le lendemain de l’incendie en se rendant compte qu’il n’existait aucune copie de leurs données. Si ces clients étaient hébergés sur un serveur parti en flammes, il n’y aura malheureusement aucun moyen de retrouver les données.
Il y a un espoir cependant pour les entreprises hébergées sur un serveur détruit mais ayant souscrit à l’offre de sauvegarde Disaster Recovery Plan en supplément de l’hébergement. Celles-ci ont sûrement poussé un soupir de soulagement en sachant que leurs données étaient copiées régulièrement sur un autre serveur. Mais malheureusement plusieurs clients ont dû vite déchanter en apprenant qu’OVHCloud avait, dans certains cas, stocké les sauvegardes dans le même centre de données, parfois même dans la même salle, que l’environnement de production. Il s’agit là d’une faute grave dans le monde des bonnes pratiques de la sauvegarde car cela rend inaccessible toute donnée de production et de sauvegarde en cas d’incident.
Outre la perte de données, l’incident a engendré une inaccessibilité conséquente à un grand nombre de sites internet dans le monde. On déplore environ 3,6 millions de sites web globalement impactés, dont 184 000 possédants un domaine en .fr, ce qui concernerait 1,9% de l’internet français dans le monde.
Les causes de l’incendie encore inconnues
Ce que l’on sait aujourd’hui
Une enquête est toujours en cours pour déterminer les causes exactes du départ de feu. La piste accidentelle est privilégiée par les autorités pour le moment.
Dans sa première vidéo, postée sur Twitter, Octave Klaba annonce que ses soupçons se tournent vers un onduleur ayant subi une opération de maintenance plus tôt dans la journée du 9 mars. Il fonde ses propos sur le fait que les pompiers aient utilisé une caméra thermique ayant montré deux onduleurs en feu quelques minutes après le début de l’alerte. Un onduleur est un dispositif équipé de batteries permettant de protéger les équipements informatiques en cas de défaut électrique. Il permet notamment d’assurer la continuité en alimentation électrique dans le cas d’une coupure de courant ou d’une surtension. Les opérations de maintenance sur les onduleurs sont assez courantes, dans ce cas il s’agissait d’un changement de pièce.
Il est malheureusement assez courant de voir les onduleurs prendre feu pour une quelconque raison et il est probable que ce soit ici la cause de l’incendie du datacenter. Nous n’en savons pas plus à l’heure actuelle.
Des lacunes en termes de sécurité incendie
Sur son site internet, OVHCloud met en avant ses engagements concernant la sécurité dans ses datacenters contre les risques naturels et environnementaux. Parmi ces mesures notons l’installation de paratonnerres, la mise en place d’un système de refroidissement liquide des serveurs pour réduire la dépendance aux climatiseurs ou encore « un système de détection d’incendie », sans plus de précisions concernant ce dernier point. Il est également énoncé que des exercices anti-incendie sont réalisés tous les 6 mois dans les datacenters.
En complément à ces mesures, OVHCloud détient la certification ISO 27001, qui est une norme globale sur la gestion des risques dans un système d’information. Il est également souligné que « OVH s’appuie sur les normes ISO 27002 afin de mettre en place des bonnes pratiques en termes de gestion de la sécurité de l’information, et ISO 27005 afin de réaliser son appréciation des risques ainsi que leurs traitements associés. »
Attention au mot utilisé ici : OVHCloud « s’appuie » sur ces normes mais n’est pas certifié. ISO 27002 présente notamment un chapitre entier dédié à la sécurité physique et environnementale d’un système d’information.
Il est impossible de déterminer sur quelles mesures s’appuie OVHCloud et ce qui était exactement mis en place dans le datacenter de Strasbourg. Avec l’ampleur de cette affaire, il est probable qu’OVHCloud travaillera à l’amélioration de la sécurité incendie dans un futur proche.
Une responsabilité divisée
L’hébergeur s'engage partiellement
La question de la responsabilité est un sujet compliqué, globalement cela dépendra du contrat établi entre l’hébergeur et le client. Comme précisé plus tôt dans cet article il existe deux types de contrat : le simple hébergement de données ou l’hébergement avec des services en supplément, comme la sauvegarde.
Dans les deux cas, OVHCloud va s’engager sur le niveau de services fourni, appelé le SLA. Sur la plupart de ses contrats, OVHCloud garantie une disponibilité de services à 99 %. En cas de non-respect de ce taux l’hébergeur fera en partie crédit du paiement mensuel au client par minute d’indisponibilité. Dans cette affaire il est indiscutable qu’OVHCloud est responsable sur cette partie.
Là où la question se complique est le cas où les données client ne sont pas récupérables. Si le client n’avait pas souscrit au Disaster Recovery Plan (l’offre de sauvegarde), alors il s’agit là de sa propre responsabilité. Cependant si le client disposait d’une sauvegarde gérée par l’hébergeur, la responsabilité d’OVHCloud sera remise en cause selon le résultat de l’enquête. Si le cas de force majeure est avéré, c’est-à-dire qu’OVHCloud n’aurait pu prévoir l’incendie, alors l’hébergeur se dégagera de toute responsabilité comme énoncé dans le contrat.
Vos données, votre responsabilité
Dans le monde de l’hébergement il faut savoir qu’en aucun cas lorsque vous confiez vos données à un tiers il en va de sa responsabilité, sauf si vous souscrivez à un service derrière. Dans ses contrats d’hébergement simple, OVHCloud précise d’ailleurs que « OVHcloud n'effectue aucune sauvegarde spécifique du contenu stocké dans le cadre des Services. Il appartient en conséquence au client de prendre toutes mesures nécessaires à la sauvegarde de ses Contenus afin de se prémunir contre les risques de perte ou de détérioration, quelle qu'en soit la cause ».
Il faut savoir que l’hébergement web s’est démocratisé ces dernières années avec l’émergence du cloud computing. Le cloud computing est
l’acte d’accéder à des données hébergées par un tiers.
On distingue trois modèles : le SaaS (Software As A Service), PaaS (Platform As A Service) et IaaS (Infrastructure As A Service). Ces modèles fonctionnent en responsabilité partagée : en clair selon le modèle choisi vous serez responsables ou non de tel ou tel service. Par exemple si vous utilisez Microsoft 365 à usage personnel, vous utilisez le modèle SaaS. Ainsi seules vos données restent à votre charge. Pour mieux comprendre voici un schéma expliquant en détail les modèles de cloud computing :
Comme vous pouvez le voir à mesure que l’on évolue vers l’IaaS, la responsabilité du client augmente. Cela est normal car vous confiez une partie plus conséquente de votre infrastructure à l’hébergeur.
Mais revenons-en à l'affaire qui nous intéresse. Le modèle de responsabilité partagée du cloud computing est à l’origine de toutes ces interrogations concernant la part de responsabilité d’OVHCloud dans la perte de données clientes. Mais s'il y a bien une chose qu'il faut retenir : vos données, votre responsabilité.
Hébergement : quelles sont les bonnes pratiques ?
En informatique, la sauvegarde est une pratique essentielle pour préserver la disponibilité et l’intégrité des données d’un système d’information. Celle-ci vous permettra de restaurer vos données en cas de sinistre, incident involontaire ou volontaire tels que les fameux ransomwares (ou rançongiciels) et autres cyberattaques populaires en ce moment. À noter qu’il est également important de sauvegarder vos données personnelles chez vous et ainsi ne pas reposer uniquement sur un disque dur qui pourrait vous lâcher à tout moment.
Pour dessiner toute infrastructure de sauvegarde il est nécessaire de s’appuyer sur la fameuse règle 3-2-1 qui permet de gérer efficacement tout scénario de défaillance :
- La création de trois copies de données : les données en production ainsi que deux sauvegardes. Cela réduit considérablement la probabilité de défaillance.
- Sur deux types de support différents : un disque dur interne et des supports amovibles tels que des disques durs externes ou des bandes par exemple. En théorie, les cartes SD, lecteur USB ou CD sont valides mais très peu utilisés en entreprise aujourd’hui.
- L’une de ces copies doit se situer hors du site de production principal, que ce soit physiquement ailleurs ou dans le cloud. Cela évite de perdre toutes les données en cas d’incendie dans le bâtiment par exemple.
S’agissant des règles de base de la sauvegarde on aurait pu s’attendre à ce qu’OVH suive ces principes. Malheureusement… il semblerait que non au vu du fait que certains clients ont perdu leurs données ainsi que la sauvegarde en même temps, outrepassant la règle de faire une copie hors site. On comprend alors la rage des clients.
Les conséquences de l’incident
Les engagements d’OVH
Il n’y a pas à tourner autour du pot : ce qui est perdu est perdu et OVHCloud ne pourra jamais récupérer les données parties en fumée. Encore aujourd’hui toutes les données ne sont pas accessibles : soit car les serveurs en cause n’ont pas été redémarrés, soit car les données ou sauvegardes n’ont pas encore été transférées vers d’autres datacenters. Dans tous les cas certains clients commencent à perdre patience, beaucoup d’entre eux ont d’ailleurs fait le choix de changer d’hébergeur.
OVHCloud a su prendre les devants assez rapidement après l’incident et a proposé 3 ou 6 mois d’hébergement web offert selon si le client a souffert d’une indisponibilité ou d'une perte de données. Dédommagement considéré comme dérisoire pour beaucoup, le cas d’une jeune vendeuse sur internet a fait beaucoup parler de lui après l’annonce de la firme française. Avec un préjudice qu’elle estime à 2000€, la jeune femme s’est vu offrir un geste commercial de 6 mois d’hébergement gratuit, soit un équivalent à… 30€. Elle raconte cependant ne plus avoir envie de faire
confiance à OVHCloud ; d'autres pourront lui dire qu'ils ont perdu bien plus gros.
À l’heure ou ces lignes sont écrites nous n’avons pas d’informations sur la suite des opérations ni sur un autre potentiel dédommagement qu’OVHCloud pourrait mettre en place.
Les clients et le RGPD
Le RGPD (Règlement Général sur la Protection des Données), entré en vigueur en 2018, est un texte chargé d’encadrer le traitement des données personnelles. Chaque entreprise traitant des données personnelles doit s’y conformer. En France c’est la CNIL (Commission Nationale de l'Informatique et des Libertés) qui veille à la bonne application de ce règlement.
Dans le cadre de l’hébergement web, l’hébergeur est considéré comme un sous-traitant, il est donc responsable de la sécurité des données qui lui sont confiées. Cependant il n’est pas responsable de la mise en conformité avec le RGPD du contenu des données qu’il stocke, cela reste à la charge du client.
C’est pourquoi le 22 mars, soit presque deux semaines après l’incendie, la CNIL publie un article sur son site internet rappelant aux clients touchés par l’incendie d’OVHCloud les obligations concernant les données personnelles. Dans l'article, la CNIL rappelle qu’il est nécessaire de documenter dans un registre interne la destruction temporaire ou définitive d’une donnée personnelle. Une notification n’est cependant pas nécessaire si un PRA ou un PCA (Plan de Continuité d’Activité) a été mis en œuvre, ou bien si les données ont pu être restaurées via une sauvegarde.
Que retenir de cet incident ?
Cet incendie est une première dans le monde de l'hébergement internet et il est certain que les entreprises et particuliers touchés s'en souviendront.
Il s'agit bien là d'une catastrophe que l'on peut qualifier de moderne : aujourd'hui presque tout ce que l'on fait sur un ordinateur repose sur la dématérialisation vers le cloud. Il aurait été sûrement difficile il y a quelques années d'imaginer qu'un incident de cette ampleur puisse paralyser autant l'activité d'un pays.
Même si OVHCloud a su réagir rapidement et mettre en place des solutions de secours efficaces pour les clients touchés, il n'en reste pas moins qu'aujourd'hui certaines entreprises et particuliers n'ont toujours pas accès à leurs données.
Alors que l'on ne connaît toujours pas les causes de cet incendie, l'enjeu va être de déterminer ou non si la responsabilité d'OVHCloud peut être engagée. Si la réponse est oui, alors l'hébergeur devra payer très cher cette mauvaise gestion de locaux et de serveurs.
Enfin, s'il y a bien une chose à retenir de cette péripétie du géant de l'hébergement, c'est qu'en aucun cas vos données sont à l'abri dans le cloud. Il faut toujours s'assurer d'avoir au moins une copie de ses données, que ce soit localement, chez un autre hébergeur ou bien si vous décidez de rester chez OVHCloud… au moins dans un datacenter différent.
