Les 5 lignes qui plombent ta facture

Le classement

Ordre de grandeur d'un audit typique sur une infra de scale-up : la part mensuelle de chaque coût caché, une fois isolée du reste.

Pourquoi elles gonflent

Les correctifs

La topologie qui coupe le NAT

Le NAT Gateway ne coûte pas cher parce qu'il est allumé — il coûte cher parce que tout le trafic sortant d'un subnet privé le traverse, et qu'on paie 0,045 $ à l'heure PLUS 0,045 $ par Go traité. Chaque `GET` vers S3, chaque requête DynamoDB, chaque `docker pull` d'une instance privée s'additionne. La question n'est donc pas « comment payer le NAT moins cher » mais « quel trafic n'a rien à y faire ».

Les gateway endpoints : gratuits, et c'est là que je commence

S3 et DynamoDB proposent des gateway endpoints qui injectent une route dans ta table de routage et court-circuitent complètement le NAT — sans passerelle Internet, sans device NAT. Et l'argument massue : `There is no additional charge for using gateway endpoints`. Zéro frais horaire, zéro frais au Go. Sur une infra data-heavy qui lit des téraoctets de S3 depuis des subnets privés, ce seul changement fait tomber la ligne NAT de plusieurs centaines de dollars par mois. C'est la première chose que je pose sur un audit, parce que le rapport effort/gain est indécent.

Pour ECR, Secrets Manager, SSM ou les API AWS internes, ce sont des interface endpoints (PrivateLink) — eux sont facturés, mais dès qu'un cluster tire ses images toute la journée, le coût de l'endpoint reste sous celui du NAT qu'il remplace. Je fais toujours le calcul avant : volume mensuel × 0,045 $ côté NAT, versus le forfait horaire de l'endpoint. En dessous d'un certain débit, garder le NAT reste plus malin.

Stockage et logs : les gains silencieux

gp2 → gp3 : 20 % en une commande, sans downtime

Le gp3 coûte jusqu'à 20 % moins cher par Go que le gp2, avec un baseline garanti de 3 000 IOPS et 125 Mio/s quelle que soit la taille. Le vrai levier est là : sur du gp2, on surdimensionne le volume juste pour gratter des IOPS (l'IOPS est liée à la taille). Sur du gp3, on découple IOPS et débit du stockage — donc on peut souvent réduire la taille en gardant la perf. AWS donne l'exemple d'un volume gp2 de 2 To à 200 $/mois remplacé par un gp3 de 1 To à performance équivalente pour 100 $ : 50 % de moins, pas 20. La migration passe par Elastic Volumes, à chaud, sans détacher ni redémarrer l'instance.

Logs CloudWatch : la rétention infinie est le vrai coût

Par défaut, un log group garde ses logs pour toujours — personne ne coche cette case à la création, et c'est exactement le problème. Deux leviers : d'abord poser une rétention sur CHAQUE log group (7, 30, 90 jours selon l'usage), ensuite basculer les groupes éligibles vers la classe Infrequent Access, qui divise par deux le prix d'ingestion (0,25 $/Go contre 0,50 $/Go en Standard). Depuis début 2026, l'IA supporte les requêtes Logs Insights complètes, donc pour des logs applicatifs qui n'ont pas besoin de metric filters temps réel, c'est le défaut que je recommande.

# Poser une rétention 30j sur tous les log groups qui n'en ont pas
# Set 30-day retention on every log group that has none
aws logs describe-log-groups \
  --query "logGroups[?retentionInDays==null].logGroupName" \
  --output text | tr '\t' '\n' | while read lg; do
  aws logs put-retention-policy \
    --log-group-name "\${lg}" \
    --retention-in-days 30
done

Le garde-fou qui rattrape ce que tu n'as pas anticipé

Snapshots, volumes détachés, log groups sans rétention : on peut tous les traquer une fois. Mais le prochain leak, il vient de ce qu'on ne surveille pas encore. J'active donc AWS Cost Anomaly Detection, qui applique un modèle ML sur le coût net et alerte par e-mail ou SNS (relayable dans Slack) dès qu'un poste dérape, en classant la cause par service, compte, région ou usage type. C'est gratuit, ça tourne ~3 fois par jour, il faut ~10 jours d'historique pour calibrer. Un seul angle mort à connaître : les produits Marketplace, dont les LLM tiers sur Bedrock, ne sont pas couverts — pour ça, un AWS Budget prend le relais.

Sources & ressources