Baromètre cloud : août 2026

L'inflation de la RAM provoquée par l'IA renchérit le bare metal européen, une faille CVSS 10.0 a frappé le plan d'identité du cloud, et GitHub a connu deux mauvaises journées.

En brefAoût 2026 en trois faits. OVHcloud augmente ses serveurs dédiés de génération 2026 d'environ 51 % en moyenne au 1er septembre, en invoquant l'inflation de la RAM provoquée par l'IA. GitHub a été hors service dans le monde entier pendant 7 heures 47 minutes le 17 août. Une faille CVSS 10.0 dans Entra ID et un ver auto-propagateur dans npm ont fait du plan d'identité et de la chaîne d'approvisionnement logicielle la vraie surface de risque du mois.

Le chiffre qui a le plus compté en août est un prix de RAM. OVHcloud a annoncé une deuxième vague de hausses au 1er septembre : les serveurs dédiés de génération 2026 augmentent d'environ 51 % en moyenne, les serveurs gaming jusqu'à 87 %. Le fondateur Octave Klaba met en cause l'inflation des composants provoquée par l'IA (la RAM coûte 6 fois plus cher qu'il y a un an, 9 fois attendu en septembre) [1][2]. Le boom de l'IA ne se résume plus à la pénurie de GPU. Il renchérit l'infrastructure ordinaire.

Côté fiabilité, le mois a été bruyant plutôt que catastrophique. Pas de méga-panne mondiale, mais une forte densité : GitHub hors service dans le monde entier pendant 7 heures 47 minutes le 17 août [3], des défaillances régionales chez les trois hyperscalers, et des pages de statut inhabituellement chargées chez les fournisseurs européens. Les décomptes hebdomadaires de pannes de ThousandEyes sont restés à leur niveau habituel : un internet normalement bruyant [4]. La sécurité a fait plus de bruit que la fiabilité : un ver auto-propagateur dans npm et une faille CVSS 10.0 dans Entra ID ont fait de la chaîne d'approvisionnement logicielle et du plan d'identité la vraie surface de risque du mois [5][6].

La réglementation a continué d'avancer, plus discrètement : la France a inscrit SecNumCloud 3.2 au Journal officiel, la consultation de l'UE sur le Cloud and AI Development Act se clôt le 27 août, et les obligations de transparence de l'AI Act sont devenues applicables le 2 août.

À retenir

OVHcloud frappe fort sur les prix : +51 % en moyenne sur les serveurs dédiés de génération 2026, jusqu'à +87 % sur le gaming, à partir du 1er septembre. Les tarifs actuels peuvent être bloqués jusqu'à 48 mois en prépayant avant le 1er octobre [1][2]. Si vous exploitez du bare metal européen, où que ce soit, chiffrez ce blocage cette semaine.
Hetzner refuse depuis le 26 juin de provisionner de nouveaux serveurs cloud aux nouveaux clients et à une partie des clients existants, tirés au sort, en invoquant des pénuries de composants ; la restriction était toujours active à la date de clôture [7]. Si Hetzner est votre fournisseur, ou votre plan de repli, c'est un risque de capacité, pas seulement un risque de prix.
Le 17 août a été la pire journée du mois pour la CI/CD : GitHub hors service dans le monde entier pendant près de 8 heures, avec un effet en cascade sur CircleCI [3]. Les parades pour les petites équipes sont dans la section Sécurité ; en résumé : mettez vos dépendances en cache, et gardez un chemin de déploiement qui ne passe pas par GitHub.
Le ver ChainDrop a compromis keyv, cacheable et plus de 400 paquets npm à partir du 4 août [5][8], quelques jours après que les registres ont déployé de nouvelles défenses pour la chaîne d'approvisionnement : le délai de carence (cooldown) de Dependabot chez GitHub et le blocage par PyPI des envois de fichiers vers d'anciennes releases ont passé leur premier vrai test [9].
Kubernetes v1.37, prévu pour le 26 août, déprécie le mode IPVS de kube-proxy et poursuit l'abandon progressif de cgroup v1 [10]. Si vos clusters reposent encore sur l'un ou l'autre, c'est un chantier de migration avec une date, pas une anecdote.
Microsoft Foundry applique un surcoût aux déploiements de modèles en EU Data Zone : 9 % au-dessus du tarif Global à partir du 1er septembre, annoncé le 9 juillet [11][12].
La réglementation a bougé sur deux fronts : SecNumCloud 3.2 est entré en vigueur le 15 août, les auto-déclarations des fournisseurs ne suffisent donc plus pour les données sensibles de l'État français [13][14], et la consultation de l'UE sur le Cloud and AI Development Act se clôt le 27 août [15].

Incidents : hyperscalers

AWS a connu trois événements distincts qui méritent l'attention d'un CTO. Le 4 août, us-west-2 a perdu sa connectivité externe pendant environ 20 minutes, sur le même chemin réseau Oregon-Seattle mis en cause dans la panne du 24 juillet ; c'est le quatrième incident de fiabilité d'AWS depuis mai, et AWS n'a pas dit si les deux défaillances partagent une cause racine [16][17]. À Francfort, une infiltration d'eau sur le site de colocation Equinix FR5 a mis hors service des équipements Direct Connect pendant environ trois jours (du 15 au 18 août) ; ce récit repose sur le canal support d'AWS et sur des trackers de pannes, pas sur un compte rendu post-incident publié [18][19]. Les clients dont les circuits n'aboutissaient qu'à FR5 ont subi une perte de paquets prolongée vers eu-central-1 ; ceux qui disposaient d'un site redondant n'ont rien remarqué. À Londres, la zone de disponibilité euw2-az4, tout juste lancée, est arrivée avec un défaut du VPC par défaut qui a fait grimper les erreurs de lancement EC2 pendant environ 18 heures ; AWS l'a reconnu dans un avis de statut relayé par des trackers tiers, sans publier de compte rendu post-incident [20]. Un défaut de premier jour dans une AZ de premier jour.

Google Cloud a suivi le 20 août : une maintenance fibre planifiée dans us-west1 a mal tourné, le reroutage automatique a échoué, et quelque 26 services (Compute Engine, GKE, Cloud Storage, BigQuery, Cloud SQL et d'autres) ont été dégradés pendant jusqu'à trois heures environ [21]. L'Australie a traversé une mauvaise passe : la région de Melbourne australia-southeast2 est tombée pendant environ 12 heures le 17 août, un mois après son lancement commercial [22], et une perturbation de Google Workspace le 19 août a duré des heures pendant que le tableau de bord de Google restait au vert, la confirmation n'arrivant que tard dans l'incident [23]. La leçon à retenir n'est pas la liste des incidents, c'est le tableau de bord : les pages de statut des fournisseurs sont un indicateur retardé, et la seule supervision fiable pendant un incident est la vôtre.

La région Southeast Asia d'Azure a subi le 25 août une défaillance liée à l'alimentation électrique qui a perturbé Storage (environ 25 minutes) et Virtual Network (environ 2,5 heures), selon des trackers de statut tiers ; à la date de clôture, un problème résiduel sur un seul stamp restait ouvert et Microsoft n'avait publié aucun compte rendu post-incident [24]. Le 26 août, une opération de maintenance a dégradé les réunions Teams en Asie-Pacifique pendant environ 30 minutes [25].

Incidents : fournisseurs européens

OVHcloud a eu le mois le plus chargé. Un incident majeur sur Cloud Databases, ouvert le 25 août, a touché 58 composants (Kafka, OpenSearch, ClickHouse et leurs tableaux de bord) dans 11 régions et n'était toujours pas clos à la date de clôture [26]. Le stockage objet de Strasbourg a renvoyé des 503 intermittents pendant environ 25 heures (du 17 au 18 août), celui de Paris a connu des périodes de dégradation plus tôt dans le mois, et le compute de Gravelines est tombé pendant environ une heure dans six régions le 25 août [26]. L'e-mail a fait pire : MX Plan a essuyé trois pannes matérielles (deux pannes globales, environ 30 minutes le 10 août et environ 1,5 heure le 16 août, plus une perturbation d'environ 4,5 heures limitée à un serveur de messagerie de Gravelines), et Zimbra a enregistré trois incidents, le dernier ouvert le 26 août et résolu le jour même [27].

Le problème principal chez Scaleway : après un déploiement défectueux le 20 août, les routes ont cessé d'être annoncées sur les passerelles VPN site à site de fr-par, et l'incident était toujours en surveillance le 26 août. Autour, une série dense d'incidents courts : pannes du serverless, 503 sur Edge, indisponibilité de l'API à it-mil, latence du stockage objet à pl-waw, et une dégradation de Cockpit ouverte depuis le 11 août [28].

L'incident du stockage objet de Hetzner à Nuremberg, le 25 août, a mis des données en danger ; Hetzner indique que l'intégrité et la redondance sont rétablies, avec des performances dégradées pendant la récupération en ligne. Il vient couronner des dégradations récurrentes du stockage objet à fsn1 et hel1 tout au long du mois, plus une panne intermittente du backbone Francfort-Helsinki ouverte depuis le 21 août [29].

Ailleurs : l'hébergement web d'Infomaniak a été perturbé pendant environ 10 heures le 20 août [30] ; la zone de Francfort d'UpCloud a perdu des serveurs cloud à cause d'un problème de backend de stockage pendant environ 7 heures dans la nuit du 25 au 26 août [31] ; IONOS a enchaîné les incidents pendant deux semaines (hébergement WordPress, connexion au Control Center, Cloud VPS), et si l'indisponibilité de son site web a été résolue le 26 août en milieu d'après-midi, la dégradation du webmail n'était toujours pas levée en fin de mois [32]. Exoscale : maintenance planifiée uniquement [33]. Un mois véritablement calme.

Un schéma qui ressort de ce journal mérite plus d'attention que n'importe quel incident isolé : le stockage objet a défailli chez quatre fournisseurs européens indépendants le même mois. OVHcloud Strasbourg a servi des 503 pendant une journée, Hetzner Nuremberg a eu des données en danger, Scaleway pl-waw a vu des pics de latence à deux reprises, UpCloud Francfort a perdu un backend de stockage pendant sept heures. Causes racines différentes, même couche. Si votre architecture suppose que le stockage objet est toujours disponible, août est l'argument pour répliquer chez un second fournisseur tout ce que vous ne pouvez pas régénérer, et pour savoir ce que fait réellement votre stack pendant plusieurs heures de 503. Les autres récidivistes du mois, le plan d'identité et la chaîne CI/CD, ont leur propre section plus bas.

Prix et annonces produit

Au-delà des pourcentages phares d'OVHcloud : les savings plans sont restructurés (seules les durées de 12 et 36 mois subsistent, à prix bloqué), tandis qu'un mécanisme de prépaiement distinct, un renouvellement anticipé de 12, 24 ou 48 mois sur les serveurs existants éligibles avant le 1er octobre, est ce qui bloque les tarifs actuels jusqu'à 48 mois. À partir du 1er octobre, le stockage et l'IPv4 deviennent aussi des lignes de facturation distinctes sur les instances Public Cloud Gen3 [1][2]. Les causes avancées par Klaba : la RAM multipliée par 12 à l'horizon début 2027, le NVMe par 7, les disques durs par 3,5 [1]. Si ces projections se confirment, ce n'est pas la dernière vague.

Ce n'est déjà plus le seul problème d'OVHcloud. Hetzner restreint depuis le 26 juin la création de nouveaux serveurs cloud pour les nouveaux clients et pour une partie des clients existants, tirés au sort, en invoquant des pénuries de composants, et la restriction est restée active tout le mois d'août [7]. Elle fait suite à trois hausses de prix plus tôt en 2026 [34] : certains tarifs de VPS ont triplé [35], et l'option 128 Go de RAM est passée de 45,88 à 264 euros, soit une multiplication par 5,75 (environ +475 %) [36]. Lue dans cet ordre, la vague de septembre d'OVHcloud est le deuxième domino européen, pas le premier.

Klaba est aussi la personne qui a le plus intérêt à dramatiser ces chiffres ; confrontez-les donc à un étalon indépendant. Les données de TrendForce vont dans le même sens : les prix de détail de la DDR5 en Allemagne étaient à près de 5 fois leur niveau d'il y a un an à la mi-août, les hausses trimestrielles de prix contractuels publiées par TrendForce, une fois cumulées, donnent aussi un facteur d'environ 5 depuis la mi-2025, et les contrats de DRAM serveur progressent encore de 13 à 18 % d'un trimestre sur l'autre au T3 [37][38]. Le facteur 6 est donc le haut de la fourchette d'une tendance réelle, pas une invention ; les facteurs 9 et 12 sont des projections, pas des mesures. Le même rapport TrendForce explique aussi pourquoi aucun des trois grands n'a touché à ses prix catalogue de VM généralistes en août : les contrats d'approvisionnement à long terme plafonnent les hausses que les fabricants de mémoire peuvent répercuter sur les plus gros acheteurs [38], la pression ressort donc là où les contrats ne protègent pas (réservations de GPU, tarification des modèles d'IA), et les hyperscalers peuvent absorber le reste plus longtemps que n'importe quel fournisseur de bare metal. En pratique : si vous exploitez du bare metal européen, où que ce soit, chiffrez dès maintenant un engagement de 12 à 36 mois, en gardant en tête la date limite de prépaiement d'OVHcloud au 1er octobre, et budgétez 2027 en partant du principe que cette inflation atteindra les services managés des hyperscalers avec retard, mais qu'elle les atteindra.

Les hyperscalers ont répondu par de la capacité plutôt que par des remises. AWS a ajouté une quatrième zone de disponibilité à Londres, équipée d'instances accélérées Trainium3 et P6 [39], après avoir relevé les prix des EC2 Capacity Blocks d'environ 20 % en juillet, deuxième hausse sur la capacité GPU en six mois [40][41]. Microsoft a ouvert India South Central à Hyderabad, sa quatrième région indienne [42]. Microsoft Foundry a annoncé le 9 juillet des hausses de prix sur le déploiement de modèles au 1er septembre : les déploiements en EU Data Zone passent à 9 % au-dessus du tarif Global, les déploiements régionaux hors États-Unis à 7 à 16 % au-dessus [11][12]. Un surcoût affiché sur les déploiements de modèles de pointe en EU Data Zone est un signal de marché à surveiller. Google Cloud a étendu les Flex Committed Use Discounts aux VM GPU L4 et RTX Pro 6000, une remise supplémentaire plutôt qu'un changement de prix [43].

Côté européen : la cotation prévue d'Infomaniak au SIX Swiss Exchange, par prise de contrôle inversée de Perrot Duval, annoncée fin juillet, a progressé vers le vote des actionnaires du 24 septembre, avec un prospectus attendu autour du 2 septembre et la Fondation Infomaniak conservant la majorité des droits de vote [44][45]. IONOS a publié un premier semestre record (701,1 millions d'euros de chiffre d'affaires, +6,9 %, le cloud comme moteur de croissance) [46]. Exoscale a lancé Managed ClickHouse [47].

Souveraineté et réglementation

La France a terminé le travail. Le Premier ministre a signé l'arrêté approuvant SecNumCloud 3.2 le 12 août ; il a été publié au Journal officiel le 14 août et est entré en vigueur le 15 août [13][14]. Pour les données sensibles de l'État, la conformité s'atteste désormais par la qualification ANSSI ou une certification européenne équivalente ; les administrations et leurs chaînes de sous-traitance doivent vérifier que la qualification correspond à l'architecture déployée et que les données restent hors de portée des autorités de pays tiers. Les neuf fournisseurs qualifiés par l'ANSSI sont désormais les seules options conformes pour les données sensibles de l'État.

Le 3 août, le Tribunal de l'Union européenne a rejeté la demande de Broadcom visant à bloquer une demande de documents de la Commission dans l'enquête antitrust sur VMware, au motif que le secret professionnel des juristes d'entreprise, tel qu'il existe aux États-Unis, ne s'applique pas en droit de l'UE ; l'enquête sur les licences VMware se poursuit avec un accès complet aux pièces [48]. Notre compte rendu repose sur la couverture presse, pas sur le texte de l'ordonnance. Pour les titulaires de licences VMware, l'enjeu pratique est mince pour l'instant : les enquêtes formelles durent des années, l'ordonnance d'août établit seulement que la collecte de pièces se poursuit, et rien ici ne change les prix ni les calendriers de renouvellement à court terme. La consultation sur le Cloud and AI Development Act, avec son cadre d'assurance de souveraineté à quatre niveaux et son objectif de tripler la capacité des centres de données de l'UE, se clôt le 27 août [15]. Les obligations de transparence de l'AI Act (étiquetage des deepfakes, information sur l'interaction avec une IA) sont devenues applicables le 2 août, avec des sanctions allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial [49]. Et AWS a discrètement ajouté la fédération d'identité IAM sortante à son European Sovereign Cloud, un pas de plus vers la parité fonctionnelle, au service de son argument selon lequel la souveraineté n'oblige pas à quitter l'écosystème [50].

Les chiffres de Synergy pour le T2 donnent la toile de fond : le chiffre d'affaires de l'infrastructure cloud a atteint 143,4 milliards de dollars, en hausse de 43 % sur un an, la croissance la plus rapide depuis huit ans, avec Amazon à 28 %, Microsoft à 20 % et Google à 15 % [51]. La poussée souverainiste n'a pas entamé les 63 % des trois grands. Si SecNumCloud 3.2 et le Cloud and AI Act changent la donne, cela se verra dans ces chiffres d'ici un à deux ans.

Sécurité et écosystème DevOps

Août a été le mois du ver. Le 4 août à 9 h UTC, un compte de mainteneur compromis a commencé à diffuser des versions malveillantes de keyv, et une variante auto-propagatrice de Shai-Hulud, baptisée ChainDrop, s'est répandue dans plus de 400 paquets npm et plus de 1 300 versions, moissonnant des identifiants cloud et CI, installant des mécanismes de persistance et exfiltrant le tout vers des dépôts GitHub des attaquants [5][8]. Pour vérifier votre exposition : Wiz tient la liste de référence des paquets et versions touchés [5] ; comparez-y l'historique de votre lockfile pour tout ce qui a été installé à partir du 4 août (npm ls keyv cacheable est une première passe rapide), et si une version listée apparaît, renouvelez chaque identifiant auquel le build avait accès. Les retraits se sont faits paquet par paquet, ne supposez donc pas une date de fin nette pour la fenêtre. Les nouvelles défenses des registres sont la partie utile, et elles précèdent le ver : le délai de carence par défaut de 3 jours de Dependabot chez GitHub sur les montées de version non liées à la sécurité, et le blocage par PyPI de tout nouvel envoi de fichier vers une release de plus de 14 jours, ont été livrés en réponse à la vague de vers de l'an dernier [9]. ChainDrop a été leur premier vrai test. Activez le délai de carence. C'est presque gratuit.

La faille la plus grave divulguée ce mois-ci n'était pas dans un registre mais dans le plan d'identité du cloud. Fin août, Microsoft a divulgué CVE-2026-69836, une exécution de code à distance non authentifiée de sévérité maximale (CVSS 10.0) dans Entra ID (désérialisation de données non fiables), aux côtés de CVE-2026-59115, une élévation de privilèges CVSS 9.9 dans l'Entra Provisioning Service, corrigée lors du Patch Tuesday d'août [6][52]. Les deux ont été entièrement neutralisées côté serveur par Microsoft, sans action requise des clients. Les premiers rapports indiquaient que la 10.0 avait été exploitée en conditions réelles ; Microsoft a rectifié le 24 août [53]. Un bug de sévérité maximale dans la couche d'identité qui sert de porte d'entrée à la plupart des clouds d'entreprise, corrigé avant que les clients puissent agir : le modèle managé fonctionne comme prévu, et cela donne la mesure de la confiance qu'il consomme.

Les tenants Entra ont encaissé un second coup, sans lien avec le premier. Un acteur malveillant a mis en vente environ 3,6 millions d'enregistrements présentés comme volés dans les tenants Azure et Entra d'entreprises du Fortune 500 (McDonald's, Gap, Vodafone, TCS, HCL, IHG, Kyndryl entre autres), dont un dump d'environ 1,7 million de fiches d'employés de McDonald's publié autour du 16 août [54][55]. Les éléments pointent vers des identifiants collectés par des infostealers, pas vers une vulnérabilité de la plateforme. Le remède n'a rien de spectaculaire : hygiène des identifiants et accès conditionnel.

GitHub lui-même a eu un mauvais mois : la panne mondiale du 17 août (7 h 47, un répartiteur de charge qui n'a pas suivi un nouveau pic de trafic, une reprise retardée par une tempête de retries venue de VS Code) [3], plus environ 10 heures de dégradation d'Actions et de Pages le 6 août [56]. Pour une petite équipe, les parades sont peu coûteuses et précises. Faites tourner un cache pull-through pour les dépendances et les images de conteneurs, afin qu'une perte du registre ou de GitHub n'arrête pas les builds. Gardez un chemin de déploiement d'urgence qui n'a besoin que de votre registre d'artefacts, pas de GitHub Actions. Et notez ce qu'implique la tempête de retries : la politique de retry de vos propres clients fait partie du rayon d'impact de quelqu'un d'autre, mettez donc un backoff exponentiel sur tout ce qui interroge GitHub. Docker Hub a connu, le même jour que la grande panne, un incident d'environ 7 heures affectant les builds de Docker Hardened Images (trackers tiers uniquement ; aucun avis officiel) [57]. GitLab a livré un correctif d'urgence pour CVE-2026-19478 (CVSS 9.4, modification non authentifiée de projets publics via GraphQL), son deuxième cycle de correctifs en cinq jours [58]. Des travaux publiés en août ont chiffré la compromission PyPI de LiteLLM de mars à une exposition potentielle de plus de 2 500 organisations ; si vous avez exécuté les builds empoisonnés, vos secrets ne sont plus les vôtres [59][60]. Kubernetes v1.37 doit sortir le 26 août, notre jour de clôture, avec 16 fonctionnalités passant en stable et des dépréciations notables (mode IPVS, cgroup v1) ; au moment de la publication, c'est le calendrier de l'équipe de release, pas une version livrée [10].

Infrastructure transversale

Cloudflare a enregistré 13 incidents en 8 jours (du 7 au 14 août) : R2, Workers KV, Durable Objects, Magic Transit et des pics de 5xx régionaux. Large mais le plus souvent superficiel, à une exception près : une perturbation de la remise des e-mails le 12 août, causée par l'inscription d'adresses IP Cloudflare sur une liste Spamhaus, a été classée majeure, bien que résolue en deux heures environ [61][62]. Pas de post-mortem consolidé. Deux câbles sous-marins au large de Perth (INDIGO West et INDIGO Central) ont subi des défauts de shunt coup sur coup, à l'intérieur d'une zone protégée, et la police fédérale australienne examine un signalement de sabotage possible [63]. Namecheap a mis environ 30 heures à rétablir entièrement son service après qu'un orage a mis hors service le refroidissement de son centre de données de Phoenix, son site principal restant inaccessible près de 12 heures ; le DNS autoritaire se trouvait dans le même bâtiment, si bien que des sites hébergés ailleurs sont aussi tombés (source unique) [64]. La défaillance qui a compté, c'est d'avoir gardé le DNS autoritaire sous le même toit que tout le reste. L'opérateur Tier-1 Arelion a connu deux courtes pannes multi-régions (les 14 et 21 août), la seconde touchant des clients dans environ 30 pays [4].

Veille fournisseurs

Fournisseur	Août 2026
OVHcloud	+51 % en moyenne sur les dédiés génération 2026 (jusqu'à +87 % sur le gaming) à partir du 1er sept. [1] ; incidents majeurs sur les bases de données, le stockage, le compute et l'e-mail, l'incident Cloud Databases toujours ouvert à la clôture [26][27]
Scaleway	Annonce des routes VPN cassée à fr-par depuis le 20 août, toujours en surveillance ; série dense d'incidents courts dans trois régions [28]
Hetzner	Incident d'intégrité des données sur le stockage objet de NBG ; dégradations récurrentes du stockage ; panne du backbone FRA-HEL ouverte [29] ; provisionnement de nouveaux serveurs toujours restreint sur fond de pénurie de composants, après trois hausses de prix en 2026 [7][34]
Infomaniak	Cotation au SIX (annoncée fin juillet) en route vers le vote du 24 sept. [44][45] ; ~10 h de perturbation de l'hébergement web le 20 août [30]
Exoscale	Mois calme [33] ; lancement de Managed ClickHouse [47]
UpCloud	~7 h d'incident sur le backend de stockage de Francfort dans la nuit du 25 au 26 août ; sinon incidents mineurs et maintenance planifiée [31]
IONOS	Résultats S1 record [46] ; incidents à répétition sur l'hébergement et l'e-mail, dégradation du webmail non résolue en fin de mois [32]
AWS	Nouvelle défaillance de connectivité sur us-west-2 [16] ; dégradation de Direct Connect à Francfort pendant 3 jours [18] ; défaut de premier jour sur l'AZ de Londres (avis de statut uniquement ; pas de compte rendu post-incident) [20] ; quatrième AZ de Londres lancée [39]
Microsoft Azure	CVSS 10.0 Entra ID corrigée côté serveur [6] ; campagne revendiquée de vol de données de tenants, 3,6 M d'enregistrements [54] ; incident électrique en Southeast Asia [24] ; ouverture de la région d'Hyderabad [42] ; hausse de prix Foundry EU à partir du 1er sept. [11]
Google Cloud	Panne multi-services sur us-west1 [21] ; Melbourne hors ligne 12 h un mois après le lancement [22] ; Flex CUD étendus aux GPU d'inférence [43]

Méthode

Nous avons passé en revue les pages de statut des fournisseurs et leurs flux exploitables par machine (API Statuspage d'OVHcloud, Scaleway, Hetzner, UpCloud, Exoscale, Infomaniak, IONOS, Cloudflare, GitHub), les annonces officielles, les textes réglementaires et la couverture presse, pour les événements survenus entre le 1er août et la clôture du 26 août. Le panel est celui des dix fournisseurs de notre carte de la souveraineté : sept fournisseurs européens (sociétés dont le siège est en Europe et qui exploitent leurs propres centres de données ; nous ne réauditons pas les structures de propriété chaque mois) et les trois hyperscalers américains, plus l'infrastructure qu'ils partagent ; les incidents hors de ce panel (par exemple chez des fournisseurs régionaux asiatiques) ne sont pas couverts. Plusieurs incidents étaient encore ouverts au moment de la publication ; lorsqu'une résolution le jour même était visible avant publication, nous le disons. Lorsqu'un chiffre ne peut pas être connu, nous le disons au lieu de deviner : les affirmations faiblement sourcées sont signalées dans le texte par (source unique) ou (trackers tiers uniquement ; aucun avis officiel). Deux histoires en circulation ont été écartées d'emblée : un supposé pacte entre AWS et Google Cloud pour abolir les frais de sortie réseau (egress) en multicloud, parce qu'aucune source primaire n'existe, et le décompte par un tracker de six incidents cloud australiens en une semaine, parce que nous n'avons pas pu le vérifier auprès de sources primaires. Le calme est aussi un constat : le journal d'incidents vide d'Exoscale est rapporté avec la même confiance que celui, bien rempli, d'OVHcloud.