Incendie du centre de données d'OVHcloud à Strasbourg

Dans la nuit du 9 au 10 mars 2021, un incendie se déclare dans les centres de données de Strasbourg de la société OVHCloud. L'incendie part de SBG2 pour le détruire entièrement en épargnant SBG3 SBG4. SBG1 reste partiellement affecté. Tous les centres de données strasbourgeois d'OVH sont arrêtés lors de l'incendie.

Les causes de l'incendie, déclaré peu avant 1 h, sont encore inconnues. Les premiers éléments de l'enquête penchent sur un départ de feu accidentel depuis deux onduleurs, dont l'un avait eu des opérations de maintenance quelques heures avant l'incendie[6] - [7].

Le nombre de sites internet touchés dont certains du gouvernement français ou de sites officiels est très important, OVHcloud étant un acteur de premier plan en matière d'hébergement en France. À l’éducation nationale des problèmes ont été constatés au cours de la journée du mercredi 10 mars sur les Espaces numériques de travail (ENT)[8].

Les plugins ou service en ligne utilisés dans la conception d'autres sites entraine des conséquences en cascade sur le Web mondial. À titre d'exemple, l'indisponibilité du plugin de compression d'images Imagify touche 400 000 de ses clients à travers le monde[9].

Les données contenues dans les serveurs détruits sont perdues, à moins d'avoir été sauvegardées par ailleurs, chez d'autres hébergeurs ou sur d'autres serveurs d'autres sites d'OVHcloud. Alexandre Archambault, avocat spécialiste des questions numériques le rappelle « ... un site Web, une activité Internet critique, se redonde sur au moins deux prestataires distincts... »[10]. La société OVHCloud demande à ses clients d'engager leur plan de reprise d'activité informatique.

Message du site du Centre Pompidou annonçant qu'il ne marchait pas suite à l'incendie.

D'après une analyse de Netcraft, spécialiste anglais du monitoring d'Internet, environ 3,6 millions de serveurs HTTP représentant 464 000 noms de domaines, et 18 % des IP attribuées à OVH, ne répondaient plus le 10 mars entre 7 h et 8 h du matin[11].

Les sinistrés, affectés à différents degrés, incluent notamment[3] - [12] - [13] - [14] - [10] :

Les sites hébergés dans les centres de donnés d'OVHcloud à Roubaix et à Gravelines (Nord), et à Beauharnois au Canada n'ont pas été affectés.

Le 19 mars au soir, un nouvel incendie a lieu dans un local à batteries du bâtiment SBG1, interrompant les travaux de remise en état[4].

En tant qu'hébergeur, OVH aurait eu quelques négligences sur la conception de son centre de données à Strasbourg. Ces choix d'infrastructure ont eu un impact direct sur la propagation de l'incendie et la relance des centres de données adjacents, pourtant épargnés par le feu pour certains :

• les datacenters SBG1 et SBG4 devaient être fermés (annoncé en 2017)[19] - [20] ;
• le datacenter SBG4 n’était pas indépendant énergétiquement comme annoncé en 2017[19] - [20] ;
• SBG3 n’avait pas sa propre salle réseau[19] ;
• des sauvegardes étaient réalisés sur le même datacenter[19] ;
• les planchers du datacenter SBG2 étaient en bois[19] - [21] ;
• il n'y avait pas de système d’extinction automatisé sur SBG2[19] - [21] ;
• l'énergie stockée dans des batteries en plomb (qui sous les flammes brûlent leur énergie) dans les salles serveurs[21] ;
• le courant d'air dû à la conception free cooling qui a propagé l'incendie dans les étages[21] ;
• l'absence de coupe-feu[21].

Le centre de données de Strasbourg (SBG2) est basé sur le concept d'une tour de cinq à six étages afin de s'appuyer sur le free cooling. À ce jour, d'autres centres de données d'OVH exploitent la même conception, à savoir Roubaix 4 (RBX4) et Beauharnois 1-2 (BHS1-2)[20].

170 entreprises[22], hébergées dans la ferme de serveurs du prestataire informatique qui a brûlé à Strasbourg en mars 2021, se sont regroupées et préparent une action collective pour obtenir réparation[23].

Le 26 janvier 2023, le tribunal de commerce de Lille rend un jugement[24]qui établit qu'OVHcloud a commis un manquement contractuel en stockant les sauvegardes au même endroit que les données principales et qui condamne la société OVHcloud à payer 100 000 € de dommages et intérêts à Bâti Courtage, un client dont les données et les sauvegardes ont été perdues dans l'incendie[25].

Le 9 mars 2023, le tribunal de commerce de Lille a rendu un nouveau jugement[26] qui établit qu'OVHcloud a commis une faute vis-à-vis de son client et condamne la société OVHcloud à payer environ 145 000 € de dommages et intérêts à la société Bluepad, un client dont les données et les sauvegardes ont été perdues dans l'incendie[27].

Le 27 mai 2022, le Bureau d'enquêtes et d'analyses sur les risques industriels (BEA-RI) rend un rapport d'enquête[28] comprenant une chronologie détaillée de l'évènement, les conclusions de l'enquête et des préconisations quant à la reconstruction de SBG2 et la construction de futurs datacenters. Celui-ci ne mentionne pas les expertises judiciaires en cours menées par le collège d’experts désigné par le Tribunal Judiciaire de Strasbourg.

Ce rapport pointe d'une part des problèmes structurels liés à la conception du bâtiment et à l'absence de système d’extinction automatisé et, d'autre part, la difficulté de couper totalement l'alimentation électrique du site (qu'elle soit externe, via le réseau Strasbourg Électricité Réseaux, ou interne, via les réseaux de batteries et les générateurs de secours censés fournir de l'électricité en cas de défaillance de l'alimentation externe). Ces différents facteurs ont favorisé la progression de l'incendie et retardé l'intervention des secours incendie, expliquant l' « embrasement généralisé de SBG2 et la propagation de l’incendie à des bâtiments voisins »[28].