Ameli et CAF sont en panne, impossible de se connecter : ce qu’on sait de la panne

Depuis mercredi soir, de nombreux assurés n’arrivent plus à ouvrir leur compte Ameli, que ce soit sur le site ou sur l’application. Ce jeudi 22 octobre au matin, la panne dure toujours. Clubic a vu les premiers signalements arriver vers 21 heures mercredi sur Downdetector, un site qui recense les plaintes d’internautes. Le pic est arrivé vers 22 h 30 et la courbe n’est jamais retombée à zéro de la nuit. Au même moment, la CAF a fermé caf.fr. Les assurés comme les allocataires ne peuvent donc plus suivre en ligne ni leurs remboursements ni leurs droits.

Les signalements sont repartis à la hausse jeudi matin. Sur l’application, certains tombent dès l’ouverture sur le message « Une erreur est survenue lors de la récupération des données ». Dans un navigateur, c’est assure.ameli.fr qui ne répond plus. C’est l’adresse de l’espace personnel et de Mon espace santé, le carnet de santé numérique des assurés. La partie vitrine d’ameli.fr, avec les pages d’information générale, reste consultable.

Une maintenance qui tombe le jour des failles PHP

Officiellement, l’Assurance maladie parle d’une « maintenance programmée » du compte ameli, sur le site comme sur l’application. Dans la nuit, la CAF a annoncé à son tour une « opération de maintenance » qui rend caf.fr indisponible. Elle assure que la sécurité de ses services et des données est sa priorité. Pourtant, aucune des deux ne cite PHP, ne parle de faille ni ne donne d’heure de retour.

Or, ce mercredi 21 octobre, l’équipe de PHP, le langage qui fait tourner une large partie des sites web côté serveur, a publié en urgence des correctifs pour deux failles critiques. Avec ces failles, un pirate peut exécuter des commandes sur un serveur à distance, sans le moindre mot de passe. Le jour même, le CERT-FR, le centre de l’ANSSI chargé de répondre aux attaques informatiques, a publié une alerte. Elle recommande d’isoler les équipements touchés avant de passer à une version corrigée. Pour un site public, isoler un serveur revient à le couper d’internet le temps de la mise à jour. Et la semaine reste chargée côté sécurité : GitLab, la plateforme où de nombreuses entreprises hébergent leur code, a corrigé à son tour une faille critique notée 10 sur 10.

D’autres organismes publics ont fait ce choix ouvertement. Mercredi, Météo France a fermé tous ses sites par précaution en citant les failles PHP. Le ministère de l’Intérieur a mis hors ligne les sites des préfectures, lui aussi par précaution.

L’Assurance maladie et la CAF n’ont rien dit de tel, et rien ne confirme à ce stade que leurs coupures ont la même origine. D’ailleurs, certains internautes signalaient déjà des problèmes de connexion à Ameli les jours précédents. Mercredi, Orange a aussi connu une longue panne, sans lien établi avec ces incidents.

Ce que vous pouvez faire en attendant le retour d’Ameli et de la CAF

Si vous deviez faire votre déclaration à la CAF, pas de panique : vous gardez le délai habituel, jusqu’au début du mois suivant. Pour une démarche urgente, l’Assurance maladie répond au téléphone au 36 46. Ce jeudi matin, ni l’Assurance maladie ni la CAF n’avaient donné d’heure de retour à la normale.