Panne AWS : Coinbase et CME paralysés, la finance otage d’un climatiseur

Une climatisation. C’est tout ce qu’il a fallu pour interrompre les transactions sur le premier marché de produits dérivés au monde ^[1] et sur la principale bourse de cryptomonnaies américaine ^[2]. Le 8 mai 2026 ^[3], Amazon Web Services a signalé une panne dans une de ses zones de centres de données en Virginie du Nord ^[4], conséquence directe d’une hausse des températures au sein d’un seul centre de données ^[5]. Les premières alertes sont tombées vers 7h59 heure de Paris ^[6]. À 11h08, les services n’étaient toujours pas pleinement rétablis ^[7].

LES ENJEUX

Concentration extrême du cloud

AWS contrôle près d'un tiers du marché mondial du cloud, Azure et Google Cloud se partagent le deuxième tiers. Trois acteurs américains tiennent les deux tiers de l'infrastructure numérique mondiale.

Le point de défaillance Virginie du Nord

US-East-1, plus ancien et plus important centre AWS depuis 2006, concentre les pannes répétées. Décembre 2021, octobre 2025, mai 2026: même lieu, mêmes effets.

Conformité DORA en panne

96 % des entreprises financières EMEA et 94 % en France estiment leur niveau de résilience non conforme à DORA, six mois après l'entrée en vigueur du règlement.

Climatisation: la cause récurrente

Densité électrique des baies en hausse avec l'IA, refroidissement legacy dimensionné pour des charges plus faibles, redondance N+1 insuffisante: le talon d'Achille du cloud financier.

Souveraineté numérique européenne

OVHcloud, T-Systems, Hetzner existent et certains sont qualifiés SecNumCloud, mais le coût de migration et la profondeur de catalogue freinent l'adoption par les institutions financières.

CME Group ^[8] a averti ses utilisateurs de déconnexions liées à une maintenance essentielle ^[9]. Coinbase, de son côté, a directement attribué les dysfonctionnements de sa plateforme à la panne d’AWS ^[10]. Sur sa page de statut, le message est sec: « Your funds are safe » ^[11]. Tous les marchés ont été basculés en mode « Cancel Only » avant la réactivation ^[12]. Le trading sur coinbase.com et les applications iOS et Android a fini par reprendre ^[13]. CME a annoncé l’achèvement de ses travaux de maintenance et la restauration de l’accès à CME Direct ^[14]. L’opérateur n’a pas précisé la cause exacte de ses propres problèmes techniques et de latence ^[15]. À l’heure de publication de cet article, aucune des sources consultées ne mentionne de réaction publique des régulateurs américains concernant les dysfonctionnements observés sur Coinbase ou CME Group. Ce silence des autorités, alors même que le premier marché de dérivés mondial s’est trouvé inaccessible, est en soi un fait journalistique.

Une concentration qui transforme un incident technique en risque systémique

Le calcul est simple. AWS pèse près d’un tiers du marché mondial du cloud ^[17], Microsoft Azure et Google Cloud se partageant le deuxième tiers ^[18][19]. Trois acteurs américains contrôlent les deux tiers de l’infrastructure numérique de la planète. Quand l’un d’eux éternue, la finance mondiale s’enrhume. Et le point de défaillance est toujours le même: la Virginie du Nord, où se concentre US-East-1, le centre AWS le plus ancien (2006) et le plus important ^[20].

Ce n’est pas la première fois, et ce n’est pas la deuxième non plus. En octobre 2025 ^[21], une panne AWS au même endroit a paralysé Snapchat ^[22], Reddit ^[23], Fortnite ^[24], Slack ^[25], Airbnb ^[26] et Roblox ^[27] pendant une quinzaine d’heures ^[28]. Le déclencheur, alors, était un problème de DNS affectant la base DynamoDB, qui a propagé la panne en cascade aux serveurs EC2 ^[29][30][31]. Octobre 2025 ^[21], mai 2026 ^[3]: même lieu, même architecture défaillante. La récurrence n’est plus statistique, elle est structurelle.

Pourquoi la promesse de la redondance multi-régions ne tient pas

AWS avait pourtant découpé le monde en une quarantaine de régions ^[34] précisément pour éviter ce type de propagation. La défense géographique n’a pas tenu. La contradiction est technique, mais elle s’explique. Une zone de disponibilité est, dans la définition même d’AWS, un ensemble de centres de données physiques connectés conçus pour fonctionner de manière indépendante au sein d’une région ^[35][36]. Sur le papier, basculer une charge de la zone défaillante vers une zone voisine devrait être instantané; AWS l’a d’ailleurs fait pour la plupart de ses propres services ^[37][38]. En pratique, la majorité des grands clients, et en particulier les acteurs financiers, utilisent US-East-1 comme région primaire sans architecture active-active réellement opérationnelle vers une seconde région.

Trois raisons à cela. D’abord, le coût: répliquer une infrastructure critique en miroir sur une seconde région revient à doubler la facture cloud, ce que peu de directions financières acceptent en dehors d’un mandat réglementaire explicite. Ensuite, la latence: pour un moteur d’appariement d’ordres ou une plateforme de trading haute fréquence, quelques millisecondes supplémentaires entre deux régions suffisent à dégrader l’exécution. Enfin, la dépendance aux services dits « globaux » d’AWS, dont certains, comme l’IAM ou Route 53, ont historiquement leurs plans de contrôle ancrés à US-East-1: un client peut très bien avoir basculé ses serveurs ailleurs et rester paralysé parce que sa couche d’authentification, elle, ne répond plus. La redondance multi-régions vendue dans les brochures commerciales se heurte donc à une réalité d’ingénierie et de budget qui la rend, pour l’essentiel, théorique.

Refroidissement: un maillon physique qui revient dans les incidents financiers

La finance, elle, a déjà donné. Avant la panne AWS de ce printemps, les marchés mondiaux de contrats à terme avaient été perturbés pendant plusieurs heures à la suite de l’une des plus longues pannes du CME Group depuis des années ^[39]. La cause? Une défaillance du système de refroidissement des centres de données gérés par CyrusOne, dont l’installation de Chicago avait affecté ses clients dont le CME ^[40][41]. Lors de l’incident du 8 mai 2026, CME Group n’a pas communiqué la cause de ses propres problèmes techniques et de latence ^[15], mais la panne AWS concomitante avait, elle, pour origine une hausse des températures dans un centre de données ^[5].

La récurrence du facteur thermique n’est pas un hasard. La densité de puissance électrique dans les baies de serveurs a fortement progressé avec la généralisation des charges de travail liées à l’intelligence artificielle, selon plusieurs sources, et l’ du parc des grands hyperscalers, et particulièrement les centres anciens comme US-East-1 mis en service en 2006 ^[20], a été dimensionné pour des densités très inférieures. Les systèmes de refroidissement par air, conçus pour des charges modérées, atteignent leurs limites lors des pics estivaux ou des montées en charge, et la redondance N+1 - une unité de secours pour chaque unité active - devient insuffisante dès qu’une seule défaillance se produit en période de stress thermique. Quand AWS reconnaît avoir mis du temps à activer une « capacité supplémentaire de refroidissement » ^[42][43], cela signifie en clair que la marge de sécurité thermique avait été consommée. Tant que les opérateurs ne réinvestissent pas massivement dans le refroidissement liquide direct et la redondance thermique 2N, ce point de défaillance physique restera un talon d’Achille du cloud financier.

À cela s’ajoute le précédent CrowdStrike de juillet 2024 ^[44], qui avait touché environ 8,5 millions d’appareils ^[45] et paralysé hôpitaux, banques et aéroports ^[46]. Trois épisodes en moins de deux ans, sur un périmètre presque identique. Les chiffres disent ce que les communiqués euphémisent: l’infrastructure de la finance globale repose sur un nombre infime de points de défaillance physiques, et certains tiennent à un système de refroidissement.

DORA: six mois après, l’écart entre la règle et le terrain

L’Europe a vu le risque venir. Le règlement Digital Operational Resilience Act (DORA), entré en vigueur pour harmoniser et renforcer la opérationnelle numérique des acteurs financiers ^[47][48], a franchi une nouvelle étape le 20 novembre 2025 avec la publication par les Autorités européennes de surveillance de la liste des prestataires informatiques critiques placés sous surveillance directe ^[49][50][51]. L’ACPR, autorité nationale française, prête main-forte ^[52]. L’objectif est explicite: atténuer les risques ^[53]. Une attaque sur cinq vise une société financière ^[54].

Le terrain ne suit pas. Selon une étude de Veeam, 96 % des entreprises de services financiers de la zone EMEA estiment que leur niveau de n’est pas conforme aux exigences de DORA ^[16][55]. En France, le chiffre est de 94 % ^[56]. Edwin Weijdema, Field CTO EMEA de Veeam, le dit sans détour: les institutions financières « rencontrent des difficultés pour obtenir le budget nécessaire » ^[57][58]. Six mois après l’entrée en vigueur, l’écart entre l’ambition réglementaire et la réalité opérationnelle est béant.

Souveraineté européenne: des alternatives existent, mais peu de preneurs

L’angle mort est ailleurs. Les marges du cloud expliquent pourquoi rien ne change. Un nombre croissant d’entreprises, suisses comme internationales, ont renoncé à exploiter leurs propres serveurs internes au profit de solutions d’hébergement externalisées chez quelques prestataires américains: Microsoft, Amazon, Oracle et Google ^{[60][61][62][63][64]}. La Finma, autorité de régulation suisse, exige des entités sous sa supervision des plans de continuité et de réversibilité ^[65][66]. Sur le papier. En pratique, basculer un système de trading hors d’AWS prend des mois, parfois des années.

Des alternatives européennes existent pourtant. OVHcloud, qui dispose de la qualification SecNumCloud délivrée par l’ANSSI, propose des offres conformes aux exigences de souveraineté françaises; d’autres opérateurs européens, en Allemagne et en Italie, complètent un paysage encore fragmenté. L’Europe tente une parade plus structurelle avec le projet franco-allemand Gaia-X, infrastructure de données fédérée ^[67], et la Commission européenne développe une stratégie « Backbone networks for pan-European cloud federations » ^[68][69][70]. Mais les obstacles à l’adoption par les grandes institutions financières sont concrets: un catalogue de services managés bien plus restreint que celui d’AWS ou d’Azure, des SLA de continuité parfois moins ambitieux contractuellement, un coût de migration qui se chiffre en dizaines de millions d’euros pour une banque de marché, et l’absence d’effets de réseau comparables à ceux des hyperscalers américains. Tant qu’aucun régulateur n’imposera un quota minimal d’hébergement souverain pour les fonctions critiques - comme le fait déjà la doctrine « cloud au centre » de l’État français pour ses propres données sensibles - l’inertie commerciale l’emportera. Gaia-X, pour l’instant, reste à mi-chemin entre l’ambition politique et le PowerPoint. AWS, Azure et Google, eux, sont des centres de données qui font tourner les bourses.

La conclusion est froide. La finance mondiale, qui se présente comme l’industrie la plus régulée et la mieux contrôlée, dépend de quelques bâtiments en Virginie du Nord, dont la stabilité tient à des systèmes de refroidissement industriels. À chaque incident, les opérateurs renvoient la balle à leur prestataire, le prestataire annonce qu’il « observe les premiers signes de rétablissement » ^[42][43], et personne ne fixe de calendrier de rétablissement complet ^[32][71]. Tant que les marchés rouvriront en quelques heures, rien ne bougera. Le jour où une panne durera quarante-huit heures pendant une séance de forte volatilité, la facture sera tout autre.