🌐 Amazon CloudFront (CDN & Edge Network)

Optimiser API Gateway avec CloudFront

Avantages de cette stack :

• Caching : Mettre en cache les réponses GET coûteuses directement à l'Edge (économise des invocations Lambda).
• Timeout : CloudFront permet de gérer des timeouts différents (jusqu'à 60s) avant de couper la connexion.

Protéger vos Serveurs (ALB / EC2)

CloudFront agit comme un bouclier devant votre Load Balancer.

Le Pipeline Vidéo AWS (VOD & Live)

CloudFront est le dernier maillon de la chaîne AWS Media Services.

Authentification à l'Edge avec Cognito

CloudFront ne supporte pas nativement Cognito (contrairement à l'ALB). Il faut ajouter de l'intelligence.

🔥 En cas d'urgence : Knowledge Center

AWS maintient des articles spécifiques pour résoudre les erreurs les plus courantes.

Outils Tiers & Sécurité

Des outils indispensables pour auditer votre distribution.

Templates & Exemples de Code

Apprendre par la pratique

Blogs Techniques (Deep Dive)

• Tout comprendre sur OAC (vs OAI)
• Architecture Multi-Région Active-Active

CloudFront Functions : La vitesse pure

Code JS minimaliste exécuté sur les 600+ Edge Locations. Idéal pour normaliser les requêtes avant le cache.

                            function handler(event) {
                            var request = event.request;
                            var uri = request.uri;

                            // Si l'URL finit par "/" et n'est pas la racine
                            if (uri.endsWith('/') && uri.length > 1) {
                            request.uri = uri.replace(/\/$/, '');
                            // Ou retourner une 301 Redirect
                            return {
                            statusCode: 301,
                            statusDescription: 'Moved Permanently',
                            headers: {
                            "location": { "value": request.uri }
                            }
                            };
                            }
                            return request;
                            }

                            function handler(event) {
                            var response = event.response;
                            var headers = response.headers;

                            // Ajout HSTS (Force HTTPS 1 an)
                            headers['strict-transport-security'] = 
                            { value: 'max-age=31536000; includeSubdomains' };

                            // Ajout XSS Protection
                            headers['x-content-type-options'] = 
                            { value: 'nosniff' };

                            return response;
                            }

Lambda@Edge : La puissance Node.js

Utilisez L@E quand vous avez besoin de contacter une base de données, une API externe, ou de manipuler des fichiers binaires.

Architecture : Redimensionnement d'image à la volée

Le cas d'usage le plus célèbre. L'utilisateur demande /img/logo.jpg?w=200. S3 n'a que l'original. L@E génère la miniature.

Géo-Restriction & Routage Intelligent

Il y a deux façons de gérer la géolocalisation.

Authentification Custom @ Edge

Pour les cas où Signed URLs ne suffisent pas (ex: Intégration Auth0 / Cognito complexe), on utilise Lambda@Edge sur le Viewer Request.

🛠️ Atelier : Créer une règle de Rate Limiting

Scénario : Un petit malin essaie de deviner vos mots de passe en envoyant 10 000 requêtes par minute sur votre page de login.
Solution : On va dire au WAF : "Si une même IP envoie plus de 100 requêtes en 5 minutes sur /login, bloque-la !".

                            {
                            "Name": "Protection-BruteForce-Login",
                            "Priority": 0,
                            "Action": { "Block": {} },
                            "VisibilityConfig": {
                            "SampledRequestsEnabled": true,
                            "CloudWatchMetricsEnabled": true,
                            "MetricName": "BruteForceLogin"
                            },
                            "Statement": {
                            "RateBasedStatement": {
                            "Limit": 100,
                            "AggregateKeyType": "IP",
                            "ScopeDownStatement": {
                            "ByteMatchStatement": {
                            "SearchString": "/login",
                            "FieldToMatch": {
                            "UriPath": {}
                            },
                            "TextTransformations": [
                            { "Priority": 0, "Type": "NONE" }
                            ],
                            "PositionalConstraint": "STARTS_WITH"
                            }
                            }
                            }
                            }
                            }

🤖 La Guerre des Robots (Bot Control)

Sur Internet, 40% du trafic vient de robots. Certains sont gentils (GoogleBot), d'autres sont méchants (Scrapers, DDOS). AWS WAF propose une fonctionnalité "clé en main" : Bot Control.

L'arme ultime : Le CAPTCHA AWS

🛡️ AWS Shield : L'Assurance Tous Risques

Une attaque DDoS (Déni de Service Distribué), c'est comme si 10 000 personnes essayaient de rentrer en même temps dans votre magasin pour empêcher les vrais clients d'entrer.

🕵️ Atelier Debug : "Au secours, mon client est bloqué !"

C'est le problème n°1 du WAF : les Faux Positifs. Vous avez bloqué un vrai client par erreur. Comment savoir pourquoi ?

La méthode d'investigation via Athena (SQL)

Si vous avez activé les logs WAF (vers S3), voici comment trouver le coupable :

Interprétation :
Si vous voyez que la règle REGLE_COUPABLE est "GenericSQLInjection" et que l'URL est /search?query=select, c'est normal (le client tente une injection).
Si l'URL est /blog/article-sur-le-select, c'est un Faux Positif ! Il faut ajouter une exception.

Pourquoi est-ce indispensable en Production ?

Déployer une app web sans CloudFront aujourd'hui est considéré comme une erreur d'architecture (Anti-pattern).

Le voyage d'une requête (Life of a Request)

Comprendre ce flux est vital pour le debugging.

Comparatif : Hébergement Site Statique

Pourquoi ne pas juste activer "Static Website Hosting" sur S3 ? C'est plus simple, non ?

Le Petit Lexique du Débutant CloudFront

Origins & Origin Groups (Haute Disponibilité)

Une distribution peut avoir plusieurs sources. Mais comment gérer la panne d'un serveur ?

Origin Group (Failover Automatique)

Cache Behaviors : L'Aiguillage Intelligent

Le Behavior est le cœur logique. Il intercepte l'URL et décide : "Quel cache ? Quelle origine ? Quelle sécurité ?". L'ordre des règles est CRITIQUE (Priorité 0 gagne toujours).

Verrouiller S3 : OAC vs OAI

Ne laissez jamais votre Bucket S3 "Public". Tout le monde doit passer par la porte d'entrée (CloudFront).

La Bucket Policy S3 (Copier-Coller)

Voici la politique à mettre sur votre bucket pour n'autoriser QUE votre distribution :

                    {
                    "Version": "2012-10-17",
                    "Statement": {
                    "Sid": "AllowCloudFrontServicePrincipalReadOnly",
                    "Effect": "Allow",
                    "Principal": {
                    "Service": "cloudfront.amazonaws.com"
                    },
                    "Action": "s3:GetObject",
                    "Resource": "arn:aws:s3:::MON-NOM-DE-BUCKET/*",
                    "Condition": {
                    "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::123456789012:distribution/E1ABCD2EFGHIJK"
                    }
                    }
                    }
                    }

Remplacez MON-NOM-DE-BUCKET et l'ARN de la distribution (E1ABCD...) par vos valeurs.

Le secret de la vitesse : "TLS Termination at Edge"

CloudFront ne sert pas juste à mettre en cache. Il accélère aussi les contenus dynamiques (API) grâce à la physique des connexions.

Internet Public vs AWS Backbone

La Magie de l'IP Unique (Anycast)

Comment CloudFront sait-il où envoyer l'utilisateur ?

Avantage : Résilience totale. Si l'Edge de Madrid tombe en panne, le réseau redirige instantanément les paquets vers l'Edge de Marseille ou Lisbonne, sans changer de DNS.

Les types d'Origins supportés

La Logique de Priorité des Behaviors

CloudFront analyse l'URL demandée et cherche le premier "Path Pattern" qui correspond. L'ordre est CRITIQUE.

Origin Groups : Haute Disponibilité (Failover)

Que se passe-t-il si votre serveur principal (Origin A) plante (Erreur 500) ?

⚠️ Le Piège S3 : Website vs REST Endpoint

Quand vous configurez un Origin S3, CloudFront vous propose deux choix. Ne vous trompez pas !

Maîtriser les Headers HTTP

C'est le langage universel du cache web. Voici les directives que CloudFront comprend.

Cache Policy : Définir la "Cache Key"

La Cache Key est l'identifiant unique d'un objet. Par défaut, c'est juste l'URL. Une Cache Policy permet d'ajouter des variables à cette clé.

Exemple : L'impact des Query Strings

La confusion classique : Cache vs Origin Request

C'est la nuance la plus importante pour l'architecture avancée.

Contrôler QUI peut voir le contenu

Verrouiller l'arrière-boutique (Origin Security)

Si un attaquant découvre l'URL directe de votre ALB ou S3, il peut contourner le WAF et le CDN. Il faut fermer cette porte.

Informer le Navigateur (Response Headers Policy)

CloudFront peut injecter des en-têtes HTTP pour durcir la sécurité côté client (navigateur).

Astuce : AWS fournit des "Managed Policies" (ex: SecurityHeadersPolicy) prêtes à l'emploi à attacher à vos Behaviors.

Conformité & Field-Level Encryption

L'erreur n°1 du débutant : La Région ACM

Sécuriser le tuyau : Quelle politique TLS choisir ?

CloudFront vous demande de choisir une "Security Policy". C'est la liste des algorithmes de chiffrement autorisés.

Le Bonus : TLS 1.3 & 0-RTT

CloudFront active automatiquement TLS 1.3 pour les clients compatibles.
Gain : Le "Handshake" (la poignée de main de sécurité) se fait en 1 seul aller-retour au lieu de 2. C'est vital pour la performance mobile.

SNI vs VIP : Le piège à 600$

Lors de l'ajout du certificat, CloudFront propose une option obscure. Attention à la facture.

OCSP Stapling

CloudFront gère l'OCSP Stapling par défaut. Au lieu que le navigateur demande à l'autorité de certif "Ce certif est-il révoqué ?", c'est CloudFront qui le fait et agrafe (staple) la preuve signée à la réponse.
Gain : +30% de vitesse sur la connexion SSL.

Le Dilemme : Signed URL ou Signed Cookie ?

C'est la première question d'architecture à se poser.

Infrastructure : Trusted Key Groups

La méthode moderne (2024+) :

1. Générer une paire RSA (Local) :
   openssl genrsa -out private_key.pem 2048
openssl rsa -pubout -in private_key.pem -out public_key.pem
2. Uploader la Clé Publique :
   Dans la console CloudFront > Public keys.
3. Créer un Key Group :
   Grouper une ou plusieurs clés publiques (pour permettre la rotation de clés sans downtime).
4. Associer au Behavior :
   Dans le Behavior (ex: /premium/*), activer "Restrict Viewer Access" et sélectionner le "Trusted Key Group".

Code Backend : Générer une URL (Python/Boto3)

Exemple de code à mettre dans votre Lambda ou serveur Django.

                    import datetime
                    from cryptography.hazmat.primitives import serialization
                    from cryptography.hazmat.backends import default_backend
                    from botocore.signers import CloudFrontSigner

                    # 1. Charger la clé privée
                    def rsa_signer(message):
                    with open('private_key.pem', 'rb') as key_file:
                    private_key = serialization.load_pem_private_key(
                    key_file.read(), password=None, backend=default_backend()
                    )
                    return private_key.sign(message, padding.PKCS1v15(), hashes.SHA1())

                    # 2. Configurer le Signer
                    key_id = 'K2JCJMDEHXQW5F' # ID de la Public Key dans CloudFront
                    url = 'https://d123.cloudfront.net/premium/video.mp4'
                    expire_date = datetime.datetime.now() + datetime.timedelta(hours=1)

                    cloudfront_signer = CloudFrontSigner(key_id, rsa_signer)

                    # 3. Générer l'URL
                    signed_url = cloudfront_signer.generate_presigned_url(
                    url, date_less_than=expire_date
                    )

                    print(signed_url)

Custom Policy : Aller plus loin que la date

Il existe deux types de politiques : Canned Policy (Juste une date de fin, URL courte) et Custom Policy (Complexe, URL longue).

Structure d'une Custom Policy (JSON)

Permet de restreindre l'IP ou d'autoriser un dossier complet avec le wildcard *.

                    {
                    "Statement": [
                    {
                    "Resource": "http://d123.cloudfront.net/training/*",
                    "Condition": {
                    "DateLessThan": { "AWS:EpochTime": 1698500000 },
                    "DateGreaterThan": { "AWS:EpochTime": 1698400000 },
                    "IpAddress": { "AWS:SourceIp": "192.168.0.0/24" }
                    }
                    }
                    ]
                    }

• Resource : Notez l'étoile * à la fin. Utile pour signer l'accès à tout un cours vidéo d'un coup.
• IpAddress : Empêche l'utilisateur de partager son lien URL avec un ami sur un autre réseau.

Cache Policies & Compression

Ne réinventez pas la roue, utilisez les "Managed Policies" d'AWS.

Pourquoi Brotli ?

CloudFront supporte Gzip (standard) et Brotli (Google). Brotli compresse le CSS/JS 20% mieux que Gzip. Assurez-vous de l'activer, c'est gratuit et réduit la facture de Data Transfer.

Mettre à jour le contenu : La Guerre des Méthodes

Vous venez de déployer une nouvelle version de votre site. Comment s'assurer que les utilisateurs voient le nouveau logo ?

Verdict : Utilisez le Versioning pour les assets (CSS/JS/IMG) et l'Invalidation uniquement pour les fichiers d'entrée (index.html).

Edge Compute : Exécuter du code au plus près du client

AWS propose deux moteurs pour exécuter du code sur le CDN. Ne vous trompez pas de choix.

Exemple : Redirection WWW vers non-WWW (CFF)

                    function handler(event) {
                    var request = event.request;
                    var host = request.headers.host.value;

                    if (host.startsWith('www.')) {
                    var newUrl = 'https://' + host.slice(4) + request.uri;
                    return {
                    statusCode: 301,
                    statusDescription: 'Moved Permanently',
                    headers: { "location": { "value": newUrl } }
                    };
                    }
                    return request;
                    }

Origin Shield : Le Bouclier Ultime

Logging : Standard ou Temps Réel ?

CloudFront propose deux types de logs. Le choix dépend de votre besoin de réactivité et de votre budget.

L'outil magique : Requêter les logs avec Athena

Une fois vos logs dans S3, utilisez Amazon Athena pour lancer des requêtes SQL dessus. Voici les "Golden Queries" :

1. Top 10 des URLs les plus lentes (Optimisation Perf)

                    SELECT 
                    cs_uri_stem as URL, 
                    avg(time_taken) as "Latence Moyenne (s)", 
                    max(time_taken) as "Max (s)", 
                    count(*) as "Nb Requêtes"
                    FROM cloudfront_logs
                    WHERE date >= current_date - interval '1' day
                    GROUP BY cs_uri_stem
                    ORDER BY avg(time_taken) DESC
                    LIMIT 10;

2. Identifier les erreurs 404 (Liens morts / Scans)

                    SELECT 
                    cs_uri_stem as "Page Introuvable", 
                    count(*) as Count, 
                    c_ip as "IP Client"
                    FROM cloudfront_logs
                    WHERE sc_status = '404'
                    GROUP BY cs_uri_stem, c_ip
                    ORDER BY Count DESC
                    LIMIT 20;

Quand réveiller l'astreinte ? (CloudWatch Alarms)

Configurez ces alarmes pour ne pas découvrir les pannes via Twitter.

Aller plus loin : CloudWatch RUM

Le Levier Puissant : Les "Price Classes"

Pourquoi payer des serveurs chers à Sydney si vos clients sont tous à Paris ? CloudFront permet de désactiver les régions coûteuses.

Réductions & Offre Gratuite

⚠️ Attention aux Coûts Cachés : Invalidations

Vider le cache manuellement coûte cher si on s'y prend mal.
Tarif : Les 1 000 premiers chemins par mois sont gratuits. Ensuite : 0,005 $ par chemin.

Checklist d'Optimisation FinOps

Anycast : Une IP pour les gouverner tous

CloudFront n'utilise pas le DNS pour diriger le trafic (comme les vieux load balancers). Il utilise BGP Anycast.

L'Arme Secrète : Regional Edge Caches (REC)

Les 600+ Edge Locations (PoP) sont petits. Ils doivent souvent vider leur mémoire (Eviction). C'est là qu'interviennent les 13 Regional Edge Caches.

AWS Backbone : L'Autoroute Privée

Optimisations TCP & Réseau (Sous le capot)

CloudFront applique des réglages noyau (Kernel) avancés pour booster la vitesse.

Ne réinventez pas la roue : AWS Managed Policies

AWS maintient des politiques optimisées. Utilisez-les dans 95% des cas.

Le Piège des Headers et Cookies

Si vous devez absolument varier le cache selon un paramètre (ex: langue, devise), soyez chirurgical.

Gérer les Query Strings (UTM & Tracking)

Les marketeurs adorent ajouter des ?utm_source=facebook&utm_campaign=summer. Si vous configurez mal votre Cache Policy, ces paramètres tuent votre cache.

Compression : Gzip vs Brotli

La Cache Policy gère aussi la compression automatique. CloudFront compresse les fichiers à la volée entre l'Origin et l'Edge.

Étape 1 : Verrouiller le Bucket (OAC)

OAC (Origin Access Control) est le remplaçant moderne de l'OAI. Il supporte le chiffrement KMS et toutes les régions.

La Bucket Policy (Copier-Coller)

                    {
                    "Version": "2012-10-17",
                    "Statement": {
                    "Sid": "AllowCloudFrontServicePrincipalReadOnly",
                    "Effect": "Allow",
                    "Principal": {
                    "Service": "cloudfront.amazonaws.com"
                    },
                    "Action": "s3:GetObject",
                    "Resource": "arn:aws:s3:::MON-BUCKET/*",
                    "Condition": {
                    "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::123456789012:distribution/E1XXXXXX"
                    }
                    }
                    }
                    }

Le problème "404" des Single Page Apps

Déployer comme un Pro (AWS CLI)

Ne glissez-déposez pas vos fichiers à la main. Utilisez un script de déploiement.

Commande de Sync Optimisée

                    # 1. Uploader les assets (CSS/JS/Img) avec un cache LONG (1 an)
                    aws s3 sync ./build s3://mon-bucket \
                    --exclude "index.html" \
                    --cache-control "max-age=31536000,public"

                    # 2. Uploader index.html avec un cache COURT (0s)
                    aws s3 cp ./build/index.html s3://mon-bucket/index.html \
                    --cache-control "max-age=0,no-cache,no-store,must-revalidate"

                    # 3. Invalider le cache CloudFront (pour voir les changements de suite)
                    aws cloudfront create-invalidation \
                    --distribution-id E1XXXXXX \
                    --paths "/index.html"

Pourquoi ? Cette stratégie garantit que vos utilisateurs ont toujours la dernière version de l'app (index.html frais) tout en chargeant les images/scripts depuis le cache du navigateur (max perf).

Lier le Nom de Domaine (Route53)

Dernière étape : Brancher www.monsite.com.

Intégration : Quelle source choisir ?

Le Cache sur une API : Risque ou Opportunité ?

Cacher une API peut être désastreux (fuite de données utilisateur) ou génial (sauve la DB). Tout est dans la nuance.

Empêcher le contournement (Bypass)

Si un attaquant trouve l'URL directe de votre ALB (ex: my-alb-123.aws.com), il peut attaquer votre serveur sans passer par le WAF CloudFront.

La technique du "Shared Secret Header"

Résultat : Seul CloudFront (qui connaît le secret) peut parler à l'ALB. Tout accès direct est rejeté.

Timeouts & Keep-Alive

Les problèmes classiques en prod et comment les éviter.

Pipeline de VOD sur AWS

Comment passer d'un fichier brut (MOV/AVI) à une diffusion mondiale Netflix-style.

Configuration Cache : Manifest vs Segments

C'est l'erreur classique. On ne cache pas un fichier de menu (.m3u8) comme on cache un morceau de vidéo (.ts).

Optimisations Réseau

• Activer CORS : Indispensable car le Player (JS) va faire des requêtes XHR vers le domaine CDN. Headers : Access-Control-Allow-Origin: *.
• Range Requests : CloudFront supporte les requêtes partielles (Byte-Range) nativement. Vital pour permettre à l'utilisateur d'avancer dans la vidéo sans tout télécharger.

Protéger le Contenu (Anti-Piratage)

Comment empêcher qu'on vole vos vidéos ?

Réduire la facture Streaming

La vidéo consomme énormément de bande passante (Data Transfer Out). Voici comment limiter la casse.

Le Levier Puissant : Les "Price Classes"

Pourquoi payer des serveurs chers à Sydney si vos clients sont tous à Paris ? CloudFront permet de désactiver les régions coûteuses.

Réductions & Offre Gratuite

⚠️ Attention aux Coûts Cachés : Invalidations

Vider le cache manuellement coûte cher si on s'y prend mal.
Tarif : Les 1 000 premiers chemins par mois sont gratuits. Ensuite : 0,005 $ par chemin.

Checklist d'Optimisation FinOps

Réduire la taille des payloads

Cache Policy : Définir la "Cache Key"

C'est ici qu'on décide de la granularité du cache. Plus la clé est précise, moins le hit ratio est élevé.

La Nuance Critique : Cache vs Origin Request

C'est la distinction la plus importante pour l'architecture CloudFront moderne.

Sécurité & CORS (Sans toucher au Backend)

CloudFront peut injecter des en-têtes HTTP dans la réponse après qu'elle soit sortie de l'origine.