Chapitre 6.19Le cloud

Pendant longtemps, mettre un site ou une application en ligne voulait dire acheter des serveurs physiques, les installer dans une salle climatisée, les câbler au réseau, les surveiller, les remplacer quand ils tombaient en panne, et prier pour que la climatisation tienne le coup au mois d'août.

Le cloud, le nuage en français, a changé tout ça. Le mot est aujourd'hui utilisé à toutes les sauces, souvent pour dire à peu près n'importe quoi. Voyons ce qu'il y a derrière.

Le principe

Il n'y a pas de cloud, il y a juste l'ordinateur de quelqu'un d'autre.

Cette blague d'informaticien résume bien l'idée. Au lieu d'acheter tes propres machines, tu loues de la puissance de calcul, du stockage et des services à un fournisseur qui possède et gère l'infrastructure à ta place.

Ce qui distingue vraiment le cloud d'un hébergement classique, ce n'est pas la location, elle existait déjà. Ce sont deux choses. D'abord le libre-service, tu crées ou détruis un serveur en quelques secondes depuis une interface web, sans appeler personne. Ensuite la facturation à l'usage, tu paies à l'heure, à la minute, parfois à la requête.

Les trois géants du secteur sont les suivants.

• AWS (Amazon Web Services) : le pionnier, lancé en 2006, et toujours le leader du marché. La légende veut qu'Amazon ait simplement revendu les serveurs qui dormaient entre deux pics de Noël. Amazon dément et raconte plutôt une autre histoire, celle d'équipes internes qui passaient un temps fou à remonter la même infrastructure pour chaque projet, jusqu'à ce que quelqu'un décide d'en faire un service.
• Microsoft Azure : le challenger, très présent dans les grandes entreprises déjà équipées en outils Microsoft, ce qui lui a donné un boulevard commercial.
• Google Cloud Platform : le troisième, réputé fort sur l'intelligence artificielle, le big data et les technologies de conteneurs, dont Google est largement à l'origine.

D'autres acteurs existent, comme OVH et Scaleway en France, Infomaniak en Suisse, DigitalOcean ou Alibaba Cloud. Mais à eux trois, les géants américains concentrent environ les deux tiers du marché mondial, une concentration qui interroge de plus en plus les États.

Les modèles de service

Le cloud se décline en trois grands modèles, selon le niveau de contrôle que tu veux garder et la quantité de travail que tu veux déléguer.

• IaaS (Infrastructure as a Service) : on te fournit des machines virtuelles, du stockage et du réseau. C'est toi qui installes et configures tout le reste, système d'exploitation compris. C'est comme louer un appartement vide, tu as les murs, l'électricité et l'eau, mais tu apportes tes meubles.
• PaaS (Platform as a Service) : on te fournit une plateforme prête à l'emploi. Tu n'as qu'à déployer ton code, le fournisseur gère l'infrastructure en dessous, les mises à jour et souvent la montée en charge. C'est l'appartement meublé.
• SaaS (Software as a Service) : le logiciel est directement accessible en ligne et tu ne gères rien du tout. Gmail, Slack, Salesforce, Notion sont des SaaS. C'est l'hôtel, tu poses ta valise et quelqu'un fait le lit.

Une quatrième catégorie a émergé plus récemment, le serverless, où tu ne déploies même plus une application mais des bouts de code exécutés à la demande, facturés à l'exécution. Le nom est trompeur, il y a évidemment toujours des serveurs, simplement tu n'en entends plus jamais parler.

Régions et zones de disponibilité

Quand tu crées une ressource dans le cloud, on te demande systématiquement de choisir une région, par exemple Paris, Francfort ou l'Oregon. Ce choix n'est pas cosmétique et il a trois conséquences.

• La latence : plus tes serveurs sont proches de tes utilisateurs, plus le site répond vite. Un aller-retour Paris-Sydney coûte plusieurs centaines de millisecondes, quoi que tu fasses.
• Le droit : des données personnelles d'Européens stockées en Europe simplifient beaucoup ta conformité au RGPD.
• Le prix : à service identique, une même ressource ne coûte pas le même tarif d'une région à l'autre.

Chaque région est elle-même découpée en zones de disponibilité, qui sont des centres de données distincts, alimentés et refroidis séparément, mais reliés entre eux par des liaisons très rapides. Répartir ton application sur plusieurs zones lui permet de survivre à l'incendie ou à la panne électrique d'un bâtiment. C'est le principe de la haute disponibilité, et il ne s'active pas tout seul, il faut le prévoir et le payer.

Pourquoi le cloud a tout changé

Avant le cloud, lancer un projet web demandait un investissement initial important. Il fallait estimer la charge maximale, acheter les serveurs en conséquence, attendre plusieurs semaines qu'ils soient livrés et installés, puis les regarder tourner à vide l'essentiel du temps.

Le cloud a introduit l'élasticité, la capacité d'augmenter ou de réduire les ressources en quelques minutes selon la demande réelle. Un site e-commerce peut multiplier ses serveurs pendant les soldes ou le Black Friday, puis revenir à la normale le lendemain. On ne paie que ce qu'on consomme.

Cette souplesse a démocratisé l'entrepreneuriat tech. Plus besoin de lever des fonds pour acheter du matériel, une startup démarre avec quelques euros par mois et monte en charge à mesure que ses clients arrivent. C'est l'une des raisons de l'explosion du nombre de startups dans les années 2010, au même titre que l'arrivée des smartphones.

Un effet plus discret mais tout aussi profond concerne les équipes. Quand créer un serveur devient une commande au lieu d'un bon de commande, les développeurs peuvent tester, casser et recommencer sans demander la permission. C'est ce qui a rendu possible la culture DevOps et les déploiements plusieurs fois par jour.

Qui est responsable de quoi

Une confusion très répandue consiste à croire qu'être dans le cloud rend automatiquement sécurisé. Les fournisseurs appliquent en réalité un modèle de responsabilité partagée.

Le fournisseur garantit la sécurité du cloud, à savoir les bâtiments, le matériel, le réseau et la couche logicielle qui découpe ses machines physiques en machines virtuelles. Toi, tu restes responsable de la sécurité dans le cloud, c'est-à-dire tes mots de passe, tes droits d'accès, la configuration de tes services et tes propres données.

Les fuites de données spectaculaires attribuées au cloud sont presque toujours des erreurs de configuration côté client, typiquement un espace de stockage laissé ouvert au public par distraction. Le fournisseur n'y est pour rien, et son contrat le précise très clairement.

Les limites

Le cloud n'est pas une baguette magique, et il a ses revers.

• La dépendance : plus tu utilises les services propriétaires d'un fournisseur, plus partir devient long et coûteux. C'est ce qu'on appelle le vendor lock-in, l'enfermement chez un fournisseur.
• Les coûts : à grande échelle et avec une charge stable et prévisible, le cloud revient souvent plus cher que des machines en propre. Plusieurs entreprises connues ont fait le chemin inverse ces dernières années et communiqué sur les économies réalisées.
• La facture surprise : la facturation à l'usage marche dans les deux sens. Un script mal écrit, une boucle infinie ou un trafic inattendu peuvent transformer une note de cinquante euros en plusieurs milliers. Les alertes de budget ne sont pas un luxe.
• La souveraineté : tes données sont chez un tiers, souvent soumis au droit américain. Pour la santé, la défense ou la finance, ça pose de vraies questions juridiques.
• La panne géante : quand une grande région d'un géant du cloud tombe, ce sont des milliers de sites qui tombent en même temps. La mutualisation concentre aussi les risques.

Malgré tout ça, le cloud est devenu la norme. La quasi-totalité des nouveaux projets y démarrent, et les grandes entreprises historiques y migrent progressivement leur existant. Le vrai débat aujourd'hui ne porte plus sur l'opportunité d'y aller, mais sur le choix des fournisseurs, la maîtrise des coûts et la capacité à en sortir si besoin.