Réversibilité : la clause qu'on relit trop tard

Il existe deux façons de quitter un fournisseur. La première consiste à récupérer ses données et à reconstruire ailleurs, avec le temps et les compétences nécessaires. La seconde consiste à renoncer et à renégocier. La clause de réversibilité décide de laquelle des deux vous sera accessible, et elle le décide au moment de la signature, pas au moment du départ.

Ce qu'une clause exécutable contient

Six éléments distinguent une clause opérante d'une clause décorative. Le périmètre : quelles données, quelles configurations, quels journaux, quelles images de machines. La durée : combien de temps le service reste disponible après notification, en incluant la période de recouvrement pendant laquelle les deux environnements tournent. Les formats : ouverts et documentés, avec un exemple d'export fourni sur demande avant signature. L'assistance : un volume de jours chiffré, avec un tarif, et non une obligation vague de coopération. Le coût : montant ou méthode de calcul, connu à l'avance. L'effacement : suppression certifiée à l'issue, sauvegardes comprises, avec une attestation.

Le point sur les sauvegardes est celui qu'on oublie le plus. Un fournisseur peut restituer vos données et conserver légitimement des copies pendant plusieurs semaines au titre de sa propre politique de rétention. Ce délai doit être écrit, et l'attestation d'effacement doit le couvrir.

Ce qui bloque réellement

La donnée brute est rarement le problème. Un jeu de fichiers ou une base se copie, et le règlement européen sur les données a d'ailleurs resserré les obligations en matière de changement de fournisseur, avec des frais de transfert limités aux coûts encourus puis supprimés à compter de janvier 2027. Le sujet des coûts est traité dans notre méthode pour lire une facture cloud à l'envers.

Ce qui bloque, ce sont les services managés propriétaires autour de la donnée : la file de messages, le service d'authentification, la base gérée avec ses extensions maison, les fonctions déclenchées par événement, les règles de pare-feu applicatif, les identités et leurs droits. Ces objets n'ont pas de format d'export universel et ils portent une part importante de la logique du système. Reconstruire ailleurs suppose de réécrire, pas de copier.

Le second point de blocage est humain. Une équipe qui exploite depuis quatre ans une plateforme sans avoir jamais installé les composants équivalents ailleurs ne les installera pas en trois semaines. C'est le même mécanisme que celui observé lors des changements d'hyperviseur, où le coût de migration se concentre sur l'outillage et l'habitude plutôt que sur la machine virtuelle elle-même, comme nous l'avons montré dans notre analyse des chemins ouverts après la refonte des licences de virtualisation.

La seule preuve : un exercice partiel

Une clause ne devient crédible qu'après avoir été jouée au moins partiellement. L'exercice utile ne consiste pas à tout migrer, mais à choisir un périmètre représentatif et à le reconstruire ailleurs, en conditions réelles, en chronométrant. Trois choses en sortent : la liste des dépendances non documentées, le temps réel de transfert, et la liste des secrets qui n'existaient que dans la console du fournisseur.

Cet exercice appartient à la même famille que le test de restauration, et il se planifie de la même manière : périmètre tournant, chronomètre, compte rendu écrit. Nous en décrivons la mécanique dans nos notes sur le rituel trimestriel de test de restauration.

Les motifs de sortie qu'il faut prévoir

Une clause bien écrite prévoit des déclencheurs. La perte d'une qualification ou d'une certification sur laquelle reposait le choix initial en est un, et il mérite d'être nommé explicitement, comme nous l'évoquons à propos du périmètre réel de la qualification SecNumCloud. Une hausse tarifaire au-delà d'un seuil en est un autre. Un changement de contrôle du prestataire en est un troisième, particulièrement pertinent depuis que plusieurs éditeurs d'infrastructure ont modifié leurs modèles de licence après un rachat.

Enfin, la sortie doit rester possible dans l'urgence, ce qui suppose que la sauvegarde vive en dehors du périmètre du fournisseur. C'est un des acquis des grandes pannes récentes, et c'est aussi ce qui donne à la bande magnétique un rôle résiduel mais réel, sujet traité dans notre point sur l'utilité actuelle de la bande. La cohérence d'ensemble entre engagement de service et conditions de sortie se vérifie par la méthode exposée dans notre lecture d'un SLA ligne à ligne.