DynamoDB est-il chiffré ?

Oui. Toutes les données DynamoDB sont chiffrées au repos par défaut, avec des clés de chiffrement stockées dans AWS Key Management Service (KMS), et le chiffrement ne peut pas être désactivé. Tu choisis le type de clé — une clé détenue par AWS (le défaut, gratuite), une clé gérée par AWS, ou une clé gérée par le client — et les données en transit sont protégées par HTTPS/TLS.

Ce que couvre le chiffrement au repos

Le chiffrement s'applique à tout ce qu'une table chiffrée stocke sur support durable : la table elle-même, y compris sa clé primaire, les index secondaires locaux et globaux, les streams, les tables globales et les sauvegardes. Note que si ta table a une clé de tri, certaines des clés de tri qui marquent les limites de plages sont stockées en clair dans les métadonnées de la table.

Les trois options de clé

Clé détenue par AWS — le défaut. Détenue et gérée par DynamoDB, sans frais supplémentaires.
Clé gérée par AWS — stockée dans ton compte et gérée par AWS KMS (les frais KMS s'appliquent).
Clé gérée par le client — créée, détenue et alternée par toi, avec un contrôle total sur les accès (les frais KMS s'appliquent).

Tu peux passer d'un type de clé à l'autre à tout moment depuis la console, la CLI ou l'API.

Ce que coûte réellement « les frais KMS s'appliquent »

AWS dit que les frais existent et te laisse les chiffrer, si bien qu'on suppose des frais par requête sur une base de données qui en fait des millions. Ce n'en est pas. La documentation sur le chiffrement est explicite : "DynamoDB doesn't call AWS KMS for every DynamoDB operation. The key is refreshed once every 5 minutes per caller with active traffic."

Ça se ramène à une arithmétique que tu peux vérifier. Un appelant au trafic continu rafraîchit 12 fois par heure, soit, sur un mois de 730 heures :

Requêtes : 12 × 730 = 8 760 appels KMS, à 0,03 $ pour 10 000 = 0,026 $.
La clé elle-même : 1 $/mois pour une clé gérée par le client, au prorata horaire. Une clé gérée par AWS ne porte aucuns frais mensuels de clé, seulement les frais de requête.

Une clé gérée par le client sur une table très sollicitée coûte donc environ 1,03 $/mois, et la part « requêtes » bouge à peine quand le trafic augmente. Cinquante instances applicatives qui frappent la même table, c'est 438 000 appels, soit 1,31 $. Si DynamoDB avait appelé KMS à chaque opération, une table servant 200 millions de requêtes par mois aurait ajouté 600 $.

Une dernière chose à budgéter avant de choisir une clé gérée par le client : la désactiver ou programmer sa suppression place la table dans un état Inaccessible, et si DynamoDB ne peut pas atteindre la clé pendant plus de sept jours, la table est archivée dans une sauvegarde on-demand qui t'est ensuite facturée.

C'est transparent pour ton application

DynamoDB déchiffre les données de façon transparente quand tu les lis. Tu ne changes aucun code pour travailler avec une table chiffrée, les requêtes fonctionnent à l'identique, et la latence reste dans la même plage de quelques millisecondes à un chiffre. Pour une protection de bout en bout des valeurs d'attributs individuelles avant qu'elles ne quittent ton application, AWS propose aussi le chiffrement côté client via l'AWS Database Encryption SDK.

Aller plus loin

Les sauvegardes sont chiffrées elles aussi — vois comment elles fonctionnent dans le guide sauvegardes et PITR, estime le coût de tes tables (KMS est facturé à part) avec le calculateur de tarifs, et télécharge DynoTable pour parcourir tes tables chiffrées — le déchiffrement est assuré par AWS avant que les données n'atteignent le moindre client.

Références

Dernière vérification le 2026-07-13 par rapport à la documentation officielle AWS liée ci-dessus. L'intervalle de rafraîchissement KMS et les prix utilisés dans la section de coûts ont été consultés le 2026-07-28.