Cloudflare : un script d'automatisation retire 25 % des préfixes BYOIP du réseau

2026-02-20 · Éditeur : Cloudflare · Domaine : Cloud & DevOps

Le 20 février 2026, un paramètre vide dans un appel d'API de Cloudflare fait retirer environ 1 100 préfixes d'adresses IP des clients (BYOIP), soit 25 % de l'ensemble. L'incident dure plus de six heures.

### Ce qui change Le 20 février 2026, **Cloudflare** subit un incident, qui dure **6 heures et 7 minutes** selon son post-mortem, à partir de 17 h 48 UTC. Une automatisation de l'API d'adressage devait supprimer des préfixes en attente de suppression (`pending_delete`). Le client de l'API a transmis ce paramètre sans valeur, ce qui produit une chaîne vide : le système a alors interprété que **tous** les préfixes retournés étaient à supprimer, et s'est mis à supprimer méthodiquement les préfixes BYOIP (« bring your own IP », les adresses IP apportées par les clients) et leurs objets dépendants. ### Caractéristiques - Environ **1 100 préfixes BYOIP**, soit 25 % de l'ensemble, ont été retirés du réseau de Cloudflare. - Chronologie : début de l'impact à 17 h 56 UTC, problème identifié à 18 h 46, mitigation lancée à 19 h 11, premiers clients rétablis par eux-mêmes à 19 h 19 via le tableau de bord, dernières mises à jour de configuration à 23 h 03 UTC. - Services touchés : CDN et services de sécurité, Spectrum, Dedicated Egress, Magic Transit, et le site web de 1.1.1.1 (pas la résolution DNS). - Suites : Cloudflare rattache son plan d'action à son initiative « Code Orange: Fail Small » : déploiements contrôlés pour tout changement de configuration, séparation de l'état opérationnel et de l'état configuré, disjoncteurs contre les changements trop larges. ### Pourquoi c'est important L'incident vient d'une validation de paramètre absente dans une opération de suppression : une requête mal formée s'interprète comme « tout ». Pour les équipes plateforme, c'est un cas à citer pour exiger la confirmation explicite sur les opérations destructives, des limites sur le nombre d'objets modifiables par appel et un mode simulation. C'est aussi le troisième incident majeur de Cloudflare en trois mois, après ceux du 18 novembre et du 5 décembre 2025. ### À retenir Un paramètre vide a été lu comme « tout supprimer » : les opérations destructives exigent des garde-fous de volume.

Tags : Incident, Edge, Cloud