DynamoDB est-il chiffré ?

Oui. Toutes les données DynamoDB sont chiffrées au repos par défaut, à l'aide de clés de chiffrement stockées dans AWS Key Management Service (KMS), et le chiffrement ne peut pas être désactivé. Tu choisis le type de clé — une clé détenue par AWS (par défaut, gratuite), une clé gérée par AWS ou une clé gérée par le client — et les données en transit sont protégées par HTTPS/TLS.

Ce que couvre le chiffrement au repos

Le chiffrement s'applique à tout ce qu'une table chiffrée stocke sur support durable : la table elle-même, y compris sa clé primaire, les index secondaires locaux et globaux, les flux, les tables globales et les sauvegardes. Note que si ta table a une clé de tri, certaines des clés de tri qui marquent les limites de plage sont stockées en clair dans les métadonnées de la table.

Les trois options de clé

Clé détenue par AWS — l'option par défaut. Détenue et gérée par DynamoDB, sans frais supplémentaires.
Clé gérée par AWS — stockée dans ton compte et gérée par AWS KMS (des frais KMS s'appliquent).
Clé gérée par le client — créée, détenue et pivotée par toi, avec un contrôle total sur l'accès (des frais KMS s'appliquent).

Tu peux passer d'un type de clé à l'autre à tout moment depuis la console, la CLI ou l'API.

C'est transparent pour ton application

DynamoDB déchiffre les données de façon transparente lorsque tu les lis. Tu ne changes aucun code pour travailler avec une table chiffrée, les requêtes fonctionnent sans changement, et la latence reste dans la même plage de l'ordre de la milliseconde à un chiffre. Pour une protection de bout en bout des valeurs d'attribut individuelles avant qu'elles ne quittent ton application, AWS propose aussi le chiffrement côté client via l'AWS Database Encryption SDK.

Pour aller plus loin

Les sauvegardes sont chiffrées elles aussi — vois comment elles fonctionnent dans le guide sauvegardes et PITR, estime les coûts de table (KMS est facturé séparément) avec le calculateur de tarification, et télécharge DynoTable pour parcourir tes tables chiffrées — le déchiffrement est assuré par AWS avant que les données n'atteignent le moindre client.

Références

Dernière vérification le 2026-07-13 par rapport à la documentation officielle AWS liée ci-dessus.