Histoire de facture cauchemar
82 314 $ en 48 heures : une clé Maps publique qui pouvait appeler Gemini
21 octobre 2026 · 3 min de lecture
Une startup qui dépensait 180 $ par mois a activé Gemini sur un projet dont la clé navigateur était publique. Deux jours plus tard, la facture dépassait 82 000 $.
Raconté d'après The Register, par Jessica Lyons, March 3, 2026. Résumé dans nos propres mots ; tous les chiffres proviennent de la source.
Ce qui s'est passé
Une startup mexicaine de trois personnes dépensait habituellement environ 180 $ par mois sur Google Cloud. Sa clé d'API avait été intégrée au code du site web pour utiliser un service Maps, ce qui est normal pour une clé navigateur. Puis un membre de l'équipe a activé l'API Gemini sur le même projet, et cette clé publique a soudain pu appeler Gemini aussi.
La clé a été exploitée les 11 et 12 février 2026, et environ 82 314,44 $ de frais Gemini se sont accumulés en à peu près 48 heures. Le développeur, cité par The Register d'après son message sur Reddit : "I am in a state of shock and panic right now" (« je suis en état de choc et de panique en ce moment »). L'entreprise de sécurité Truffle Security a trouvé 2 863 clés actives exposées de la même façon.
Comment ça s'est terminé
Le développeur a supprimé la clé, désactivé Gemini et renouvelé ses identifiants. Le support Google a invoqué le modèle de responsabilité partagée et indiqué que les frais étaient maintenus. Aucun remboursement n'a été signalé.
Ce qui l'aurait arrêté
- Restreindre la clé. Une clé navigateur restreinte aux API Maps dont elle a besoin ne peut pas appeler Gemini, quoi qu'il soit activé d'autre sur le projet.
- Un quota sur l'API coûteuse. Un quota de requêtes par jour sur l'API Gemini limite ce qu'une clé volée peut dépenser (comment fixer des limites).
- La détection de pics à partir de zéro. Un service sans aucune utilisation qui reçoit soudain des milliers de requêtes, c'est l'anomalie la plus évidente qui soit. Surveiller l'utilisation de Gemini l'aurait signalé en quelques minutes, et une action automatique aurait pu l'arrêter dès le premier jour au lieu du troisième.
