Contexte de l'incident

Le 29 2026, la plateforme Archive of Our Own (AO3) a signalé une interruption majeure, qualifiée de « maintenance » mais précisée comme une réponse à un incident de sécurité détecté plus tôt dans la journée. Les mises à jour successives indiquent que l’enquête est encore à ses débuts et que la durée prévue de l’indisponibilité varie entre deux et quatre semaines, avec la possibilité d’un mode dégradé en lecture seule.

Données potentiellement compromises

Les responsables affirment qu’aucune donnée n’a été supprimée, mais ils ne peuvent pas exclure le vol du base de données utilisateurs. Cette base contient les noms d’utilisateur, adresses e‑mail, adresses IP et un hachage du mot de passe. Le texte précise que les mots de passe sont stockés avec « des techniques standards de l’industrie », ce qui implique l’usage de fonctions de hachage cryptographiques (par ex. bcrypt, Argon2) et de salage. Malgré cela, les auteurs reconnaissent que le hachage ne protège pas un mot de passe faible ou réutilisé, qui pourrait être craqué par force brute ou par dictionnaire.

Le site ne collecte pas de noms réels, limitant ainsi le risque d’exposition d’informations d’identité. De plus, les informations des donateurs sont conservées dans un système distinct, jamais lié à la base AO3, et ne sont donc pas concernées par l’incident.

Mesures de mitigation proposées

En l’absence de confirmation de vol, l’équipe recommande aux utilisateurs de changer leurs mots de passe sur tous les services où ils réutilisent les mêmes identifiants. Cette précaution vise à réduire la surface d’attaque au cas où les hachages seraient compromis. Aucun correctif technique n’est détaillé dans les communications, mais la mention d’un « mode dégradé » suggère que les serveurs seront relancés avec des services limités pendant la phase de récupération.

Impact sur le service et perspectives

Le site restera inaccessible pendant au moins douze heures, mais les prévisions indiquent une indisponibilité prolongée. Le mode dégradé pourrait permettre un accès en lecture seule, mais les administrateurs avertissent que des interruptions supplémentaires sont possibles pendant la résolution. Aucun délai précis n’est donné pour la restauration complète, et les réponses aux demandes individuelles des utilisateurs seront limitées. Les utilisateurs sont invités à suivre les canaux officiels pour les mises à jour futures.