Migration de base ratée en production : qui paie les 80 000 € de données perdues ?
Un ALTER TABLE lancé sur la mauvaise base, pas de dump exploitable, un week-end de reconstitution. Décortiquons ce que coûte vraiment une migration ratée et qui en supporte la facture.
- Une migration de schéma mal testée peut détruire des données de production de façon irréversible si la sauvegarde n'est pas restaurable.
- Le préjudice n'est pas le coût de votre prestation : c'est la perte d'exploitation et la reconstitution de données chez le client, qui se chiffrent vite en dizaines de milliers d'euros.
- La responsabilité du prestataire DevOps est engagée même sans faute intentionnelle : une négligence dans le plan de rollback suffit.
- La RC Pro avec extension aux préjudices immatériels et à la perte de données est la seule barrière entre votre trésorerie et la facture.
Le scénario : un vendredi 18 h, un script et aucun retour en arrière
Vous êtes missionné chez un éditeur de SaaS pour fiabiliser sa chaîne de déploiement. Une migration de schéma est planifiée : ajout de colonnes, normalisation de plusieurs tables, suppression d'un champ devenu obsolète. Le script tourne en quelques secondes sur l'environnement de recette. Vendredi soir, vous l'appliquez en production pour profiter du faible trafic du week-end.
Sauf que la migration de recette s'appuyait sur un jeu de données réduit. En production, une contrainte d'intégrité non anticipée fait échouer le script au milieu de son exécution. La transaction n'était pas atomique : une partie des données est déjà transformée, une autre non. La table est dans un état incohérent. Vous tentez le rollback : le dump de la veille existe, mais il a été pris pendant une opération de maintenance et se révèle corrompu et non restaurable.
Trois jours de données clients — commandes, paiements, historiques — sont perdus. L'application est indisponible tout le week-end. Lundi matin, le client découvre l'ampleur du problème.
Décomposer la facture : ce que coûte vraiment l'incident
Le réflexe est de penser que le préjudice se limite à votre prestation. C'est une erreur de raisonnement. Ce qui est réclamé, c'est le dommage subi par le client. Voici une ventilation réaliste d'un tel sinistre :
| Poste de préjudice | Montant estimé |
|---|---|
| Reconstitution manuelle des données (forensic + ressaisie) | 28 000 € |
| Perte d'exploitation (3 jours d'indisponibilité) | 22 000 € |
| Indemnisation des clients finaux de l'éditeur (avoirs, SLA) | 18 000 € |
| Prestation d'expert tiers pour audit post-incident | 9 000 € |
| Heures internes mobilisées en gestion de crise | 5 000 € |
Total : environ 82 000 €. Aucun de ces postes ne correspond au montant de votre mission, qui était peut-être de quelques milliers d'euros. C'est tout l'enjeu : un préjudice de prestation IT est sans commune mesure avec le prix de la prestation elle-même.
Êtes-vous juridiquement responsable ? La question de la faute
Beaucoup d'ingénieurs pensent qu'ils ne sont pas responsables tant qu'ils n'ont pas agi de mauvaise foi. C'est faux. En droit français, le prestataire est tenu d'une obligation de moyens renforcée : il doit mettre en œuvre toute la diligence professionnelle attendue d'un expert.
Or, dans notre scénario, plusieurs négligences caractérisées sont identifiables :
- Ne pas avoir testé la migration sur un jeu de données représentatif de la production ;
- Ne pas avoir vérifié la restaurabilité du dump avant de lancer une opération destructrice (un backup non testé n'est pas un backup) ;
- Ne pas avoir encadré la migration dans une transaction réversible ou prévu un plan de rollback documenté.
La responsabilité civile professionnelle ne suppose pas une intention de nuire. Une simple négligence technique, dès lors qu'elle cause un dommage, suffit à engager le prestataire.
Autrement dit : vous n'avez rien fait « de mal » au sens moral, mais vous avez commis une faute au sens juridique. Et c'est précisément ce type de faute non intentionnelle que la RC Professionnelle a vocation à couvrir.
Ce que couvre — et ne couvre pas — votre assurance
Toutes les RC Pro ne se valent pas pour un métier comme le vôtre. Le point critique est la couverture des préjudices immatériels, c'est-à-dire les pertes financières qui ne résultent pas d'un dommage matériel ou corporel. Une indisponibilité de service et une perte de données sont des préjudices immatériels par excellence.
Pour ce sinistre, les garanties qui interviennent sont :
- La RC Pro pour la faute de prestation (le script défaillant) ;
- L'extension perte et reconstitution de données pour le poste forensic et ressaisie ;
- La garantie préjudices financiers immatériels pour la perte d'exploitation du client ;
- La protection juridique pour gérer la mise en cause et négocier le quantum.
À l'inverse, une RC Pro « généraliste » sans extension immatérielle laisserait l'essentiel de la facture à votre charge. Vérifiez systématiquement ce point dans vos conditions particulières. Notre garantie cyber complète utilement le dispositif lorsque l'incident a une composante de sécurité (exfiltration, intrusion).
Cinq garde-fous qui auraient évité — ou plafonné — le sinistre
L'assurance paie, mais elle ne remplace pas l'hygiène opérationnelle. Voici les pratiques qui, dans ce dossier, auraient changé l'issue :
- Migrations idempotentes et transactionnelles : encadrez tout changement de schéma dans une transaction, ou utilisez un outil de migration versionné avec down migration testée.
- Backup vérifié, pas seulement pris : automatisez une restauration de test régulière. Un dump jamais restauré est un faux filet de sécurité.
- Fenêtre de maintenance annoncée : déployer « en douce » un vendredi soir vous prive de l'assistance des équipes du client en cas de problème.
- Plan de rollback écrit et validé avant l'opération, signé par le client.
- Limitation contractuelle de responsabilité : une clause plafonnant votre responsabilité au montant de la mission est un complément précieux à l'assurance.
Ces garde-fous réduisent la probabilité du sinistre ; l'assurance traite ce qui passe malgré tout au travers. Les deux sont indispensables.
Questions fréquentes
Oui. Une clause limitative de responsabilité n'est pas toujours opposable, notamment en cas de faute lourde, et certains clients la refusent. L'assurance prend le relais lorsque le plafond contractuel est écarté ou que le client engage votre responsabilité délictuelle.
Seulement si votre contrat comporte une extension explicite « atteinte aux données » ou « préjudices immatériels ». Une RC Pro de base ne la couvre pas systématiquement : c'est le point à vérifier en priorité pour un ingénieur DevOps.
Le client se retourne d'abord contre vous, son prestataire. Vous pouvez ensuite exercer un recours contre l'éditeur de l'outil, mais c'est vous qui devez gérer l'indemnisation initiale. L'assurance et la protection juridique servent précisément à porter cette charge.
Oui, c'est ce qu'on appelle le préjudice en cascade. Si l'indisponibilité a déclenché des pénalités SLA que votre client a dû verser à ses utilisateurs, ce montant peut être inclus dans sa réclamation contre vous.
À partir de 14,90 €/mois pour une RC Pro incluant les préjudices immatériels et une brique cyber, le tarif dépendant de votre chiffre d'affaires et de l'étendue des extensions choisies.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Ingénieur DevOps — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Ingénieur DevOps →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.