Redis

Qu'est, ce que Redis

Redis (Remote Dictionary Server) est un magasin de données en mémoire open source utilisé comme cache, base clé valeur, magasin de sessions, broker de messages et limiteur de débit. Très déployé derrière les applications web, il sert à réduire la charge des bases et à accélérer les réponses. Les offres managées courantes sont Redis Cloud, Amazon ElastiCache for Redis, Google Cloud Memorystore et Azure Cache for Redis.

Quelles données transitent par Redis

Comme tout cache, Redis stocke ce que votre application y dépose. En usage courant cela inclut sessions, jetons JWT ou OAuth, codes de réinitialisation de mot de passe, profils utilisateurs mis en cache, paniers, compteurs de rate limiting indexés sur l'IP et files de tâches en arrière, plan. Même avec un TTL court, cela peut constituer des données personnelles tant qu'elles sont en mémoire.

Implications RGPD et ePrivacy

Le RGPD s'applique dès que Redis contient des données personnelles, même brièvement. Il faut une base légale, des accès sécurisés et restreints, et l'application des mêmes garanties aux sauvegardes et répliques. La directive ePrivacy vise les cookies et technologies similaires en navigateur, pas Redis lui même ; toutefois, lorsque Redis stocke un identifiant de session lié à un cookie strictement nécessaire, ce cookie reste exempté de consentement.

Consentement et base légale

Aucun consentement navigateur n'est requis pour utiliser Redis car le stockage est côté serveur. La base légale est généralement l'exécution du contrat (art. 6(1)(b) RGPD) quand Redis sert aux sessions et logins, ou l'intérêt légitime (art. 6(1)(f) RGPD) pour le cache, le rate limiting et la lutte contre la fraude. Les données restent soumises à la minimisation et à la sécurité.

Transferts et hébergement

Redis Cloud, Amazon ElastiCache for Redis, Google Cloud Memorystore et Azure Cache for Redis sont opérés par des fournisseurs américains. Même avec une région UE, le risque lié au CLOUD Act subsiste : il faut ancrer les transferts dans le Data Privacy Framework UE US ou des Clauses Contractuelles Types avec analyse d'impact de transfert. Côté Europe, citons Scaleway Managed Redis, OVHcloud et le self hosting sur une infrastructure souveraine.

Étapes de mise en conformité

Activez TLS pour le trafic clients et de réplication, exigez une authentification, isolez Redis sur un réseau privé, fixez des TTL conservateurs, évitez la persistance (RDB/AOF) inutile pour les données sensibles, chiffrez les fichiers de persistance si vous les conservez, restreignez FLUSHALL et KEYS, surveillez les accès non autorisés et inscrivez Redis au registre des traitements.