Des utilisateurs Google Cloud facturés des milliers de dollars par erreur

Un truc franchement rageant remonte du côté de chez Google Cloud, et c’est
The Register
qui a mené l’enquête. Plusieurs développeurs ont vu leur facture Google Cloud exploser entre 3000 et 10000 dollars en quelques minutes, pour des services qu’ils n’ont jamais utilisés : génération vidéo Veo 3, tokens du modèle Gemini, le tout via leurs clés API Maps. Et le pire, c’est qu’ils avaient suivi à la lettre les recommandations officielles de Google.

La doc Google vous dit en effet de mettre votre clé Maps en clair côté client (dans le JavaScript de votre site, par exemple), parce qu’elle sert à afficher une carte dans un navigateur. Sauf que voilà, si vous activez sur votre projet Google Cloud d’autres APIs (comme Gemini ou Veo, l’outil de génération vidéo de Google), la même clé peut être utilisée pour appeler ces services.

Un bot malveillant trouve la clé sur n’importe quel site (le code source d’une page web est lisible par tout le monde), s’en sert pour générer des milliers de vidéos IA, et c’est le proprio du projet qui paie l’addition.

Le plus pénible, ce sont les spending caps, ces plafonds de dépenses que Google met en avant comme garde-fou. En pratique, ils ne déclenchent qu’une alerte par mail, pas une coupure réelle des services.

Vous recevez l’alerte alors que la facture grimpe déjà depuis dix minutes, et le temps de réagir, c’est déjà fini. Plusieurs devs disent avoir vu leur compte passer de quelques euros à plusieurs milliers en moins d’une heure. Ça pique.

Et Google ? La firme refuse les remboursements en parlant d’un problème “industrie-wide”, autrement dit “tout le monde a ce souci, c’est pas notre faute”. Pratique pour eux, moins pour les développeurs qui se retrouvent avec une note salée pour des services qu’ils n’ont jamais demandés.

Le vrai sujet, c’est le mélange clé Maps publique par design + accès Gemini activé par défaut sur le même projet. Ce n’est pas une faille au sens technique du terme, c’est une configuration que Google a choisie et qui transforme chaque clé Maps en bombe potentielle pour le portefeuille de celui qui l’utilise.

Si vous bossez sur Google Cloud, allez donc vérifier que Gemini et Veo ne sont pas activés sur les projets qui n’en ont pas besoin, et restreignez vos clés Maps à des domaines précis dans la console. C’est moche, mais visiblement c’est à vous de le faire.

Source :
The Register