Insights
Insights & expertises sécurité cloud
Articles, retours d’expérience et analyses pratiques pour les équipes qui sécurisent du critique dans le cloud.
Supply chain
GitHub Actions : les 10 misconfigurations qui donnent un accès prod à un contributeur externe
pull_request_target, injection ${{ }}, write-all, actions non pinnées : les 10 erreurs de workflow qui ouvrent la prod à une PR externe, avec le workflow corrigé et zizmor en CI.
Posture cloud
Escalade de privilèges IAM : les 8 patterns qu'on retrouve dans presque toutes les PME
iam:PassRole, CreatePolicyVersion, UpdateAssumeRolePolicy : 8 chemins d'escalade IAM courants, comment les bloquer (SCP, conditions, Access Analyzer en CI) et les prouver à un auditeur.
Sécurité IA
Agents IA qui appellent vos APIs : le moindre privilège, hop par hop
Un agent Bedrock avec un rôle IAM unique est un accès admin de fait. Identité de workload, échange de jeton OBO, autorisation par outil au Gateway : la méthode et les artefacts.
Supply chain
Durcir les AppProject Argo CD : le contrôle multi-tenant que tout le monde laisse ouvert
Analyse DevSecOps : neutraliser le projet default, restreindre sourceRepos et destinations, whitelister les kinds, et prouver le RBAC projet avant qu'un auditeur ne le fasse.
Écosystème
Wiz + Terramate : checker les configs cloud avant le apply, pas après l'incident
Analyse DevSecOps : orchestrer les stacks Terramate changées, scanner le plan Terraform avec wizcli, bloquer les misconfigs critiques en CI, puis corréler au runtime Wiz.
Posture cloud
Golden AMI : construire, distribuer et imposer des images EC2 durcies en production
Pipeline Golden AMI complet : base épinglée, durcissement avec EC2 Image Builder, publication par SSM Parameter, interdiction des autres images via SCP, Allowed AMIs et AWS Config.
FinOps
ProsperOps et l'automatisation des Savings Plans : ROI réel, pièges et cas où ça ne vaut pas le coup
ProsperOps automatise l'achat et le laddering des Savings Plans AWS via un modèle de Savings Share. ROI réel face au Cost Optimization Hub natif, et quand une organisation doit s'en passer.
Écosystème
Grafana Cloud vs Datadog vs Honeycomb : quel outil d'observabilité AWS en 2026
CloudWatch, Grafana Cloud, Datadog, Honeycomb : quatre modèles de tarification radicalement différents pour le même besoin. Comparatif chiffré pour choisir son outil d'observabilité AWS en 2026.
FinOps
Vantage, CloudZero, Cloudability : quel outil FinOps SaaS choisir sous 100 K€/mois AWS
Cost Explorer suffit-il encore ? Comparatif chiffré de Vantage, CloudZero et Cloudability pour une organisation AWS entre 10 et 100 K€/mois : tarifs réels, ce qu'ils ajoutent au natif, et quand rester sur AWS seul.
Écosystème
Kubecost sur EKS : mesurer le vrai coût par équipe et par service
EKS facture un forfait global, pas un coût par équipe. Split Cost Allocation Data (natif AWS) et Kubecost : méthode concrète pour attribuer la facture par namespace et service.
FinOps
Facture Datadog qui explose : les leviers concrets sur logs, métriques et APM
Logs indexés en trop, cardinalité de métriques hors de contrôle, APM activé partout : les trois postes qui font déraper Datadog, et les leviers Terraform pour les reprendre en main sans perdre en visibilité.
Écosystème
Prisma Cloud (Cortex Cloud) : sur-dimensionné, ou vraiment utile face à Wiz et Orca ?
Prisma Cloud est devenu Cortex Cloud chez Palo Alto Networks. Face à Wiz (racheté par Google) et Orca, coûte-t-il sa place dans le budget sécurité d'une organisation AWS, ou est-ce du surdimensionnement ?
FinOps
Savings Plans vs Reserved Instances en 2026 : l'arbre de décision complet
Compute SP, EC2 Instance SP, Standard RI, Convertible RI : les 4 mécanismes d'engagement AWS comparés, avec un arbre de décision et un cas chiffré.
Architecture
Sauvegarde et PRA sur AWS : le minimum viable
AWS Backup, Vault Lock, Elastic Disaster Recovery : ce qu'une organisation doit réellement mettre en place pour survivre à un ransomware ou une erreur humaine, sans sur-investir.
Écosystème
Datadog vs CloudWatch sur AWS : quand payer un tiers, quand rester natif
CloudWatch et Datadog n'ont pas la même logique de facturation — par unité vs par hôte. Tarifs officiels, exemple chiffré sur une organisation de 15 serveurs, et le vrai facteur qui fait déraper la facture.
FinOps
Frais de sortie AWS : cartographier et réduire vos coûts de data transfer avant janvier 2027
Egress internet, cross-AZ, NAT Gateway : la méthode pour cartographier vos frais de sortie AWS et les réduire, avant l'interdiction totale des frais de switching au 12 janvier 2027 (Data Act européen).
Architecture
EKS vs ECS vs Fargate : le vrai comparatif coût/complexité
ECS, EKS ou Fargate pour une stack sur AWS : coûts réels (control plane EKS, tarifs Fargate eu-west-3), complexité opérationnelle et arbre de décision concret pour trancher.
Sécurité & Conformité
RGPD et résidence des données sur AWS : pourquoi eu-west-3 ne suffit pas toujours
eu-west-3 coche la case RGPD mais pas celle du CLOUD Act. Entre AWS European Sovereign Cloud (lancé en janvier 2026) et SecNumCloud, la grille de décision pour une organisation française.
FinOps
RDS : 7 leviers d'optimisation de coûts que personne n'active
Storage gp3, Reserved Instances vs Database Savings Plans, Graviton, Performance Insights : 7 leviers concrets pour réduire la facture RDS d'une organisation en 2026.
Écosystème
Wiz vs AWS Security Hub + GuardDuty : ce qu'un CSPM tiers apporte vraiment
GuardDuty et Security Hub couvrent la détection de menaces et la posture AWS nativement. Wiz, racheté 32 Md$ par Google en 2026, promet mieux — sur quels critères, à quel prix, pour quelle organisation ?
Architecture
Well-Architected Review : ce qu'un audit révèle vraiment, retour de terrain
Ce que trouve vraiment une Well-Architected Review AWS en organisation : nombre moyen de High Risk Issues, pièges classiques, et comment récupérer jusqu'à 5 000 $ de crédits AWS.
AI Engineering
Amazon Bedrock : cas d'usage rentables et coûts à anticiper
Quels cas d'usage Bedrock sont vraiment rentables pour une organisation, et quels coûts cachés (Knowledge Bases, vector store, Guardrails) font exploser la facture.
Sécurité & Conformité
AI Act : le vrai calendrier de conformité 2026-2027 après le report du Digital Omnibus
Le Digital Omnibus repousse les obligations haut risque de l'AI Act à décembre 2027. Ce qui reste dû dès maintenant, et pourquoi attendre reste risqué pour une organisation.
FinOps
Graviton : migrer ses workloads ARM sans casse
Méthode d'évaluation, gains réels constatés et pièges à éviter pour migrer vos workloads AWS vers Graviton (ARM) sans risque opérationnel.
FinOps
Réduire votre facture AWS sans casser votre architecture : méthodes concrètes
Méthodes FinOps éprouvées pour récupérer 30 à 50 % d'une facture AWS, sans introduire de risques opérationnels.
Sécurité & Conformité
Préparer un audit SOC2 sur AWS sans ralentir votre équipe
La séquence éprouvée pour préparer un audit SOC2 Type 1 ou Type 2 sur AWS en 90 jours, avec les contrôles techniques par couche.
Architecture
AWS multi-comptes : 5 erreurs critiques à éviter en 2026
Les anti-patterns les plus coûteux en architecture AWS multi-comptes, et comment les éviter avec une Landing Zone minimale.
FinOps
FinOps : où se cachent vraiment vos coûts AWS
Les postes les plus sous-estimés d'une facture AWS — data transfer, NAT Gateway, CloudWatch, ressources orphelines. Avec les commandes pour les chasser.