Amazon S3 est l'entrepôt de fichiers d'AWS : sauvegardes, documents, images, tout ce que vous voulez. L'erreur classique est de rendre un bucket public pour pouvoir passer un lien à quelqu'un. Ce n'est pas nécessaire, et c'est la cause d'une bonne partie des fuites de données qui font la presse. S3 permet de générer un lien temporaire (URL présignée) vers un fichier précis, qui fonctionne pendant la durée que vous décidez puis cesse de fonctionner, avec le bucket complètement fermé.
Ce guide monte le bucket correctement dès le départ et vous montre les deux façons de générer le lien : à la souris et avec une commande.
Avant de commencer : ce que signifie chaque chose
- S3
- Le service de stockage de fichiers d'Amazon. Il conserve n'importe quel type de fichier et le sert quand on le lui demande.
- Bucket
- Un « dossier racine » dans S3, avec un nom unique dans le monde entier. Vos fichiers et sous-dossiers vont dedans. La console française l'appelle « compartiment ».
- Objet
- C'est ainsi que S3 appelle chaque fichier stocké.
- Accès public
- Le fait que n'importe qui sur Internet puisse voir un fichier en connaissant son adresse. Il est bloqué par défaut et doit le rester.
- URL présignée (lien temporaire)
- Une adresse spéciale, longue et portant une signature, qui permet de télécharger un fichier précis pendant la durée que vous choisissez, puis cesse de fonctionner.
- CloudShell
- Le terminal intégré à la console web d'AWS, où l'on tape des commandes. Rien à installer.
- Gestion des versions
- Option grâce à laquelle S3 conserve les versions précédentes d'un fichier quand vous le modifiez ou le supprimez.
- Règle de cycle de vie
- Une règle automatique de nettoyage : supprimer les anciennes versions ou les fichiers après quelques jours.
- CloudFront
- Le réseau de diffusion d'Amazon : la bonne façon de servir au public les fichiers d'un bucket sans ouvrir le bucket.
Pas à pas
Créez le bucket avec l'accès public bloqué
Dans la console S3, Créer un compartiment. Le nom est unique dans tout AWS, utilisez donc quelque chose comme
copias-miempresa-2026, en minuscules et sans espaces. Choisissez la région où se trouvent vos autres ressources. Dans Paramètres de blocage de l'accès public, laissez cochée la case Bloquer tous les accès publics : c'est la valeur par défaut et c'est la bonne. Plus bas, activez le chiffrement par défaut (SSE-S3 suffit) et, si vous allez y stocker des choses importantes, la gestion des versions, qui conserve les versions précédentes d'un fichier quand vous l'écrasez ou le supprimez.Envoyez le fichier
Entrez dans le bucket, Charger, glissez le fichier et cliquez sur Charger. Vous pouvez créer des dossiers pour ranger ; dans S3 les dossiers ne sont qu'une partie du nom du fichier, mais dans la console ils fonctionnent comme vous l'attendez. Quand c'est terminé, cliquez sur le fichier : vous verrez son URL d'objet. Si vous l'ouvrez dans le navigateur, vous obtiendrez « Access Denied ». Parfait : cela veut dire que le bucket est fermé.
Générez le lien temporaire depuis la console
Avec le fichier sélectionné, menu Actions, Partager avec une URL présignée. Choisissez combien de temps il doit fonctionner (minutes ou heures ; la console a un maximum de quelques heures) et cliquez sur Créer. L'URL est copiée dans le presse-papiers. Elle est longue et porte une signature : quiconque la possède peut télécharger ce fichier jusqu'à son expiration, et rien d'autre.
Ou générez le lien depuis CloudShell
Si vous en avez souvent besoin ou si vous voulez un délai plus long, ouvrez CloudShell (icône de terminal dans la console) et tapez :
aws s3 presign s3://copias-miempresa-2026/informes/octubre.pdf --expires-in 86400Le nombre est en secondes : 86400, c'est un jour. Le lien renvoyé peut être collé dans un e-mail ou un chat. Le délai maximal dépend du type d'identifiant avec lequel vous le signez ; avec une clé d'accès d'utilisateur IAM, il peut aller jusqu'à une semaine.
Donnez le lien et vérifiez qu'il expire
Envoyez-le à la personne qui doit télécharger le fichier. Passé le délai, le lien renvoie une erreur « Request has expired ». Si quelqu'un en a de nouveau besoin, vous en générez un autre : c'est l'affaire d'un instant. Il n'est pas nécessaire de supprimer ni de changer quoi que ce soit dans le bucket.
Si vous avez hérité d'un bucket public, fermez-le
Dans la liste des buckets, la colonne Accès vous dit si l'un d'eux est public. Entrez dedans, onglet Autorisations, activez Bloquer tous les accès publics et supprimez la politique de compartiment qui l'ouvrait. Ensuite, pour les fichiers qui doivent vraiment être publics (les images d'un site, par exemple), la bonne façon est de les servir via CloudFront, pas d'ouvrir le bucket.
Ce qui peut mal tourner
Le lien donne « Access Denied » au lieu de télécharger
L'URL présignée fonctionne avec les permissions de celui qui l'a signée. Si votre utilisateur ne peut pas lire cet objet, le lien non plus. Cela arrive aussi si l'URL a été copiée incomplète : elle est très longue et certains e-mails la coupent. Envoyez-la comme lien, pas comme texte brut, ou raccourcissez-la avec un service de confiance.
Le lien expire avant le délai demandé
Si vous l'avez généré depuis CloudShell ou avec des identifiants temporaires (un rôle), l'URL cesse de fonctionner quand ces identifiants expirent, même si vous aviez demandé plus de temps. Pour les délais longs, signez-le avec la clé d'un utilisateur IAM qui n'a que la permission de lecture sur ce bucket.
Le nom du bucket existe déjà
Les noms sont globaux : un autre client AWS quelque part dans le monde l'utilise déjà. Ajoutez le nom de votre entreprise ou un suffixe.
La facture S3 augmente sans rien envoyer
Avec la gestion des versions active, supprimer un fichier ne le supprime pas : cela crée un « marqueur de suppression » et la version précédente continue d'occuper de l'espace. Mettez une règle de cycle de vie qui élimine les anciennes versions après quelques jours. Les chargements partitionnés incomplets occupent aussi de l'espace invisible ; une autre règle de cycle de vie les nettoie.
Dans Simplio
Dans Simplio, vous ouvrez le bucket comme un dossier : vous envoyez, téléchargez et supprimez des fichiers sans entrer dans la console AWS, et chaque personne de votre équipe ne voit que les buckets que vous lui attribuez et peut ou non supprimer selon la permission que vous lui donnez. L'accès public bloqué reste bloqué : Simplio n'ouvre jamais un bucket.
La même chose, dans AWS et dans Simplio
| Dans la console AWS | Dans Simplio | |
|---|---|---|
| Envoyer et organiser des fichiers | Console S3, bucket par bucket, compte par compte | Les buckets de tous vos comptes comme des dossiers sur un seul écran |
| Donner accès à quelqu'un de l'équipe | Utilisateur IAM avec une politique S3 écrite à la main | Lui attribuer le bucket et cocher s'il peut supprimer |
| Savoir qui a supprimé un fichier | CloudTrail avec la journalisation des événements de données activée (payant) | Journal d'activité de Simplio, par personne et par bucket |