Drift (dérive d’infrastructure)

Le drift (dérive) est l’écart entre l’état qu’un outil d’infrastructure as code déclare (dans son fichier de state, sa base de vérité) et l’état réel du système observé chez le fournisseur. Il apparaît dès qu’une ressource est modifiée par un autre chemin que celui-là : une main qui édite une ressource dans une console web, un autre outil qui touche la même infrastructure, une action manuelle d’urgence jamais reportée dans le code.

Pourquoi c’est dangereux en silence

Un outil comme Terraform part du principe qu’il est le seul acteur à modifier l’infrastructure qu’il gère. Un drift non détecté ne casse rien dans l’immédiat, mais il fausse la prochaine planification : un plan calculé contre un état qui ne correspond plus à la réalité peut proposer une action inattendue, parfois destructive, sans que rien dans l’historique du code ne l’explique.

Le détecter avant qu’il ne détecte à votre place

La détection consiste à rafraîchir périodiquement l’état contre la réalité et à comparer le résultat à ce que le code déclare, en dehors de tout changement volontaire prévu. Faire tourner cette vérification sur un calendrier régulier (en tâche de fond du pipeline CI/CD plutôt qu’en découverte au prochain déploiement) transforme une dérive silencieuse en alerte exploitable, avant qu’elle ne se manifeste comme un incident de production.