Accueil / Synthèse
Menaces et journal des ruptures
Une taxonomie des modes de défaillance, puis trente incidents réels et datés. Le tri par catégorie révèle un fait inconfortable : les erreurs d'exploitation ont coupé Internet à bien plus de monde que les attaques.
Huit façons de casser le socle
Chaque famille appelle une parade différente, et certaines n'ont aucune réponse technique.
Faire dire autre chose
Empoisonnement de cache DNS, faux certificat émis par une autorité compromise, réponse forgée injectée sur le chemin. L'utilisateur atteint une destination qui n'est pas la bonne, sans aucun signe visible.
Contré parDNSSEC, Certificate Transparency, CAA, DANE.Prendre le chemin
Annonce BGP illégitime, fuite de routes, interception au niveau du transit. Le trafic passe là où il ne devrait pas, ce qui permet l'observation, le rejet ou la modification.
Contré parRPKI et validation d'origine, filtres de préfixes, ASPA, chiffrement de bout en bout.Empêcher de répondre
Déni de service distribué, amplification via des services ouverts, requêtes sur des sous-domaines aléatoires qui contournent le cache. Le service existe mais devient injoignable.
Contré parAnycast, surdimensionnement, limitation de débit, BCP 38 chez les autres.Passer par le guichet
Prise de contrôle d'un compte chez un bureau d'enregistrement, transfert frauduleux, délégation orpheline récupérée chez un hébergeur. Aucune faille de protocole n'est nécessaire.
Contré parDouble authentification, verrouillage au registre, surveillance des journaux de certificats.Couper
Rupture de câble accidentelle ou délibérée, panne électrique, incendie, catastrophe naturelle, destruction militaire. Le plus ancien mode de défaillance, et toujours le plus efficace.
Contré parDiversité réelle des chemins, redondance géographique, capacité de secours.Se couper soi-même
Configuration erronée poussée en production, automatisation mal testée, signature expirée, certificat oublié. Statistiquement le premier facteur de grandes pannes mondiales.
Contré parRevue par les pairs, déploiement progressif, tests automatisés, retour arrière rapide, surveillance.Trop d'œufs, un panier
Un opérateur DNS unique, une région cloud unique, un réseau de diffusion unique. La défaillance d'un seul acteur produit une panne perçue comme mondiale, sans qu'aucune attaque n'ait eu lieu.
Contré parMulti-fournisseur pour les fonctions critiques, plan de bascule testé.Décider de couper
Coupures nationales décidées par un gouvernement, filtrage imposé, blocage d'extensions. En 2026, plusieurs pays ont connu des coupures prolongées ou récurrentes, parfois liées à des périodes d'examens ou de troubles.
Contré parAucune mesure technique n'y répond entièrement. C'est une question de gouvernance.Journal des ruptures
Trente-deux événements datés, du ver Morris aux échéances à venir. Filtrez par catégorie pour voir les régularités.
32 événements affichés
Le ver Morris révèle la fragilité d'un réseau de confianceDNS
Le premier incident de sécurité de grande ampleur sur Internet paralyse une part importante des machines connectées. Il conduit à la création des premières équipes de réponse aux incidents, dont le modèle est toujours en usage.
Une erreur de manipulation corrompt la zone racineDNS
Un fichier erroné est distribué depuis le registre. Une partie du DNS mondial devient incohérente pendant plusieurs heures. L'incident conduit à formaliser les procédures de génération et de distribution de la zone racine.
Attaque coordonnée contre les treize serveurs racinesDDOS
Plusieurs identités sont dégradées pendant environ une heure. Aucun utilisateur ne s'en aperçoit, grâce au cache des résolveurs. L'épisode accélère le déploiement généralisé de l'anycast, engagé la même année par le premier opérateur racine.
Le séisme de Sumatra coupe plusieurs câblesPHYSIQUE
Les glissements de terrain sous-marins consécutifs au séisme endommagent plusieurs systèmes en Asie du Sud-Est. Les réparations prennent des semaines et mettent en évidence la sensibilité sismique du détroit de Luzon.
Le trafic mondial d'une plateforme vidéo détourné vers le PakistanBGP
Un opérateur national annonce une route plus précise pour bloquer le site sur son territoire. L'annonce fuit vers son fournisseur puis vers le monde entier. Le service devient inaccessible partout pendant environ deux heures. C'est l'exemple canonique du détournement BGP involontaire.
La faille Kaminsky rend l'empoisonnement de cache trivialDNS
Une méthode permet d'injecter de fausses réponses dans les caches en quelques secondes. Un correctif coordonné est déployé mondialement dans le secret, puis publié. DNSSEC, spécifié depuis des années, passe enfin au déploiement réel : la racine sera signée en juillet 2010.
Première publication d'une zone racine signéeDNSSEC
Après une décennie de travaux, la racine du DNS est signée. KSK-2010 devient l'ancre de confiance mondiale. C'est le point de départ de tout ce qui suit en matière de validation DNS.
L'affaire DigiNotarTLS
Une autorité de certification néerlandaise est compromise. Des centaines de certificats frauduleux sont émis, dont un utilisé pour intercepter les communications d'utilisateurs iraniens. L'autorité est retirée de tous les magasins de confiance et fait faillite. La transparence des certificats naîtra de cet incident.
Attaque record par amplification DNSDDOS
Une attaque contre une organisation antispam atteint des volumes jusqu'alors inédits, en exploitant des résolveurs DNS ouverts. Elle relance la campagne mondiale pour la fermeture des résolveurs ouverts et l'application du filtrage d'adresses source.
Cinq millions de requêtes par seconde et par serveur racineDDOS
Deux vagues d'attaque frappent le système racine. La plupart des opérateurs continuent de répondre aux requêtes légitimes. La démonstration valide l'architecture anycast en conditions réelles.
Mirai coupe l'accès à un opérateur DNS majeurDDOS
Un botnet composé d'objets connectés sature l'infrastructure DNS d'un seul prestataire. Des dizaines de grands sites deviennent injoignables aux États-Unis et en Europe. La leçon retenue : confier ses noms de domaine à un unique fournisseur est un point unique de défaillance.
Le retrait progressif de la confiance à SymantecTLS
Une série de manquements aux règles d'émission conduit les navigateurs à retirer la confiance accordée à l'une des plus grandes autorités du marché. Des centaines de milliers de sites doivent remplacer leurs certificats sur un calendrier imposé.
Détournement BGP pour voler des cryptomonnaiesBGP
Des annonces illégitimes détournent le trafic vers les serveurs DNS d'un fournisseur cloud majeur. Les utilisateurs d'un portefeuille de cryptomonnaies sont redirigés vers une copie frauduleuse munie d'un certificat obtenu au passage. Détournement de routage, puis de nom, puis d'argent.
Première bascule de la clé racineDNSSEC
KSK-2017 remplace KSK-2010, après un report d'un an décidé en 2017 devant l'incertitude sur la préparation des résolveurs. L'opération se déroule sans incident majeur et sert de référence pour la bascule de 2026.
Une fuite de routes détourne une part du trafic mondialBGP
Un petit opérateur retransmet à son fournisseur des routes apprises ailleurs. Le fournisseur ne filtre pas. Une partie considérable du trafic mondial est aspirée vers un réseau incapable de l'absorber. Congestion massive pendant environ deux heures.
Une erreur de configuration chez un réseau de diffusion coupe des sites majeursCONCENTRATION
Une modification de configuration active un défaut latent. Pendant environ une heure, de grands sites d'information deviennent inaccessibles simultanément. Premier signal d'alarme largement médiatisé sur la concentration des fonctions critiques.
Incendie dans un centre de données européenPHYSIQUE
Un bâtiment est détruit, un autre endommagé. Des milliers de clients perdent des données faute de sauvegarde hors site : beaucoup avaient confondu redondance interne et sauvegarde externe.
Un groupe mondial se retire lui-même du réseauBGP
Une erreur de configuration retire les annonces BGP couvrant les serveurs de noms de l'entreprise. Ses domaines cessent d'exister pour le reste du monde pendant près de six heures, y compris pour ses propres outils internes de contrôle d'accès aux bâtiments.
Quatre câbles coupés au large de l'Afrique de l'OuestPHYSIQUE
Des ruptures quasi simultanées privent plusieurs pays d'une grande partie de leur capacité internationale. Les réparations prennent des semaines. Un opérateur nigérian signale sept heures d'interruption totale pour des millions de clients.
La majorité des routes IPv4 couvertes par la RPKIBGP
Pour la première fois, plus de la moitié des routes IPv4 du routage mondial sont couvertes par une autorisation d'origine signée. IPv6 avait franchi ce seuil quelques mois plus tôt.
Deux câbles coupés en mer Baltique, effet quasi nulPHYSIQUE
Contre-exemple utile : les pays concernés disposaient d'une redondance suffisante, et l'impact observable sur la connectivité a été minime. La résilience se joue à l'achat de capacité, pas pendant l'incident.
Lancement d'un service européen de résolution DNSGOUVERNANCE
Un consortium de dix pays met en service un résolveur public opéré dans l'Union européenne, soumis au droit européen, sans monétisation des données. Réponse directe à la concentration du marché de la résolution.
Coupures en mer Rouge, reroutage Europe–AsiePHYSIQUE
Plusieurs systèmes sont endommagés dans un corridor stratégique. Latence en forte hausse et bascule de services cloud sur des chemins de secours pour l'Asie et le Moyen-Orient.
Fuite de routes de vingt-cinq minutes depuis MiamiBGP
Un changement de configuration automatisé chez un grand fournisseur d'infrastructure produit une politique de routage trop permissive. Du trafic tiers en IPv6 est aspiré vers un centre de données unique. L'opérateur publie une analyse détaillée et corrige son automatisation.
Retrait accidentel de routes clientesBGP
Un sous-ensemble de clients apportant leurs propres adresses voit ses routes retirées du routage mondial à la suite d'une opération interne. Incident bref, mais illustration du couplage entre plan de contrôle et disponibilité.
Première réduction de la durée de vie des certificatsTLS
La durée maximale d'un certificat TLS publiquement reconnu passe de 398 à 200 jours. Le même jour, les autorités de certification doivent commencer à tenir compte de DNSSEC lors de la validation du contrôle d'un domaine.
Signatures DNSSEC erronées diffusées en AllemagneDNSSEC
Une erreur de signature rend des domaines invalides pour les résolveurs qui valident correctement, et parfaitement accessibles pour les autres. Rappel que DNSSEC transforme une erreur d'exploitation en indisponibilité franche, par conception.
Trimestre chargé côté couche physiqueGOUVERNANCE
Un typhon au nord de Guam provoque la plus longue panne du trimestre. Des coupures décidées par des gouvernements pendant des périodes d'examens sont les plus fréquentes. Un pays rétablit son accès international après quatre-vingt-huit jours de coupure nationale.
Record de couverture RPKIBGP
67,43 % des préfixes annoncés dans le routage mondial sont couverts par une autorisation signée, soit 1 065 730 routes sur 1 580 470. Trois semaines plus tard, une publication rappelle que la validation d'origine ne couvre qu'une partie des familles d'attaques.
Deux câbles endommagés au large de PerthPHYSIQUE
Deux systèmes reliant l'Australie subissent une avarie coup sur coup, à proximité l'un de l'autre et à l'intérieur d'une zone de protection fédérale. La police fédérale australienne ouvre une enquête pour sabotage possible.
Bascule de l'ancre de confiance mondialeÀ venir
Événement planifié, annoncé deux ans à l'avance, testé et mesuré. Le seul risque restant tient aux résolveurs dont plus personne ne s'occupe. Dans — jours.
Les certificats TLS passent à 100 joursÀ venir
Deuxième étape du calendrier adopté en 2025. C'est celle qui rend le renouvellement manuel intenable pour la plupart des organisations.
Le premier adversaire, c'est le déploiement du vendredi
Relisez la frise en filtrant sur les catégories. Un constat s'impose : parmi les incidents qui ont réellement coupé Internet à des dizaines de millions de personnes, la majorité n'impliquait aucun adversaire.
Le schéma se répète
- Une modification légitime est préparée, souvent par une automatisation.
- Elle est appliquée globalement plutôt que progressivement.
- Un effet de bord non anticipé se manifeste — souvent un couplage invisible entre deux systèmes.
- Les outils nécessaires au retour arrière dépendent eux-mêmes de ce qui vient de tomber.
- La correction prend des heures, non pour des raisons techniques, mais d'accès.
Le quatrième point est le plus instructif. En octobre 2021, les équipes ne pouvaient plus entrer dans leurs propres locaux parce que le contrôle d'accès dépendait de la résolution d'un nom devenu inexistant. Une infrastructure de reprise qui dépend de l'infrastructure en panne n'est pas une infrastructure de reprise.
Quatre mesures qui traitent la cause réelle
Déploiement progressif. Aucune modification de configuration réseau ou DNS ne devrait s'appliquer partout à la fois. Un pourcentage, une région, puis le reste.
Chemin de secours indépendant. Accès physique, console hors bande, authentification qui ne dépend pas du service à réparer.
Retour arrière testé. Un retour arrière jamais exécuté n'est pas un retour arrière : c'est une intention.
TTL et durées de vie courtes avant tout changement. Ce qui permet de corriger en minutes plutôt qu'en jours.
Huit questions
Une seule réponse par question. L'explication apparaît après votre choix.
01Pourquoi y a-t-il exactement treize serveurs racines ?
La limite vient de la taille maximale d'une réponse DNS non fragmentée en UDP, fixée à 512 octets par le RFC 1035. Le calcul de l'époque laissait juste la place pour treize couples nom-adresse. La contrainte n'existe plus depuis EDNS(0), mais l'anycast a rendu l'ajout d'identités inutile.
02Que garantit DNSSEC ?
DNSSEC signe, il ne chiffre pas. Il prouve l'origine et l'intégrité, plus l'inexistence d'un nom. Le chiffrement relève de DoT, DoH ou DoQ. Et un domaine malveillant peut être parfaitement signé.
03Un attaquant annonce en BGP un préfixe plus spécifique que le vôtre. Que se passe-t-il ?
La règle du préfixe le plus spécifique est absolue en BGP et ne tient aucun compte de l'émetteur. C'est le mécanisme exploité par la plupart des détournements. Seule la validation d'origine RPKI permet de rejeter une telle annonce — et encore, uniquement chez les réseaux qui valident.
04Que se passera-t-il le 11 octobre 2026 pour un résolveur dont l'ancre de confiance n'a jamais été mise à jour ?
Un résolveur qui valide avec une ancre obsolète ne peut plus vérifier la chaîne : il renvoie SERVFAIL. L'utilisateur ne verra qu'une page qui ne charge pas. La mise à jour automatique du RFC 5011 devait être activée en amont, pendant la période de pré-publication de deux ans.
05Pourquoi réduit-on la durée de vie des certificats TLS à 47 jours ?
Les navigateurs échouent en silence quand ils ne peuvent pas vérifier la révocation, faute de quoi la panne d'une autorité couperait des millions de sites. La seule fenêtre d'exposition réellement contrôlable est donc la durée de validité elle-même. Effet secondaire assumé : rendre l'automatisation obligatoire.
06Quelle est la cause la plus fréquente des grandes pannes mondiales documentées ?
Octobre 2021, juin 2021, janvier 2026, deuxième trimestre 2026 : dans chaque cas, une modification légitime appliquée globalement. Les attaques existent, mais elles n'ont jamais produit de coupure aussi étendue que les erreurs internes des opérateurs eux-mêmes.
07Que protège l'enregistrement CAA d'un domaine ?
Le CAA réduit d'un coup la surface d'attaque de quelques centaines d'autorités à celles que vous désignez. Comme il repose sur le DNS, il gagne beaucoup à être protégé par DNSSEC — c'est précisément l'objet du bulletin SC-085v2 entré en vigueur le 15 mars 2026.
08Pourquoi une coupure de câble en Baltique en 2024 a-t-elle eu un effet quasi nul, contrairement à celles d'Afrique de l'Ouest la même année ?
La résilience ne tient pas au câble mais à la diversité des routes disponibles. C'est une décision d'achat de capacité prise des années avant l'incident. Vingt-cinq pays et territoires dépendent encore d'un seul câble.
Score : —