Tous les projets

Déploiement d’un site web statique sur AWS avec CI/CD (S3 + CloudFront)

Site portfolio rapide, sécurisé et peu coûteux, hébergé sur Amazon S3, diffusé par Amazon CloudFront et mis à jour automatiquement avec GitHub Actions.

Date

13 octobre 2026

Site

nicktechs.com

Code source

sitewebstatics3

Auteur

Eyanam TCHALIM

Contexte et objectifs

Ce projet décrit la conception, le déploiement et l’optimisation d’un site web statique sur AWS. Il a été conçu pour créer un site portfolio rapide, sécurisé et facile à maintenir. Il s’agit de https://nicktechs.com.

Le nom de domaine nicktechs.com a été acquis pour ce site. Le besoin impose une architecture simple et peu coûteuse, un accès sécurisé en HTTPS, des frais d’exploitation minimaux et une gestion simplifiée des mises à jour.

Objectifs :

• permettre l’accès au site nicktechs.com en HTTPS ;
• garder une architecture simple, sans serveur à administrer ;
• maintenir des frais d’exploitation minimaux ;
• versionner le site dans GitHub pour simplifier la gestion et la restauration des mises à jour ;
• automatiser le déploiement avec GitHub Actions, en limitant les droits au strict nécessaire.

Architecture

Les visiteurs atteignent le site par Route 53 et CloudFront ; le contenu est stocké dans S3 et mis à jour par un pipeline GitHub Actions.

Les requêtes des utilisateurs sont acheminées via Route 53 vers une distribution CloudFront, qui diffuse le contenu mis en cache depuis un compartiment S3. ACM fournit le certificat SSL utilisé pour la diffusion HTTPS via CloudFront.

Le site est construit en HTML. Les mises à jour sont préparées localement et versionnées dans GitHub avant leur déploiement sur AWS.

Flux d’une requête

1. Le visiteur saisit nicktechs.com ; Route 53 renvoie l’adresse de la distribution CloudFront.
2. La connexion HTTPS s’établit avec CloudFront, avec le certificat fourni par ACM.
3. Si le fichier demandé est en cache, CloudFront le renvoie immédiatement.
4. Sinon, CloudFront le lit dans le compartiment S3, le met en cache puis le renvoie au visiteur.

Flux de mise à jour

1. Le développeur modifie le site localement et exécute git push vers GitHub.
2. GitHub Actions déclenche le workflow de déploiement.
3. Le workflow s’authentifie auprès d’AWS avec l’identité IAM.
4. Il synchronise les fichiers vers S3 (aws s3 sync).
5. Il invalide le cache CloudFront pour que la nouvelle version soit visible immédiatement.

Services AWS utilisés

Le site repose sur cinq services AWS, auxquels s’ajoute GitHub pour le code et l’automatisation.

Sécurité

La sécurité repose sur le chiffrement HTTPS, un accès au stockage réservé à CloudFront et des droits de déploiement limités au strict nécessaire.

Chiffrement et accès

• HTTPS obligatoire : le certificat ACM sécurise les échanges et CloudFront redirige tout le trafic HTTP vers HTTPS.
• Compartiment non public : seul CloudFront peut lire les fichiers, grâce à un Origin Access Control (OAC) ; la politique du compartiment est limitée à la distribution.
• Surface d’attaque réduite : un site statique n’a ni serveur applicatif, ni base de données, ni formulaire à protéger.

Droits de déploiement

Le pipeline utilise une identité IAM dédiée, dont les droits sont limités au compartiment du site et à l’invalidation du cache CloudFront.

• Le workflow s’authentifie avec les clés d’accès de cet utilisateur IAM, conservées dans les secrets du dépôt GitHub (AWS_ACCESS_KEY_ID et AWS_SECRET_ACCESS_KEY) ; elles ne sont jamais écrites dans le code.
• Le déploiement n’est déclenché que par la branche principale (main), ce qui empêche qu’une branche de test modifie le site public.

Fiabilité et performance

Il n’y a aucun serveur à maintenir : la disponibilité et la performance reposent sur les services gérés S3, CloudFront et Route 53.

Mise en œuvre

La mise en place suit sept étapes ; ensuite, chaque mise à jour du site se déploie par un simple git push.

1. Acquérir le nom de domaine nicktechs.com et créer la zone hébergée Route 53.
2. Créer le compartiment S3 du site, avec l’accès public bloqué.
3. Demander dans ACM, en région us-east-1, un certificat pour nicktechs.com.
4. Créer la distribution CloudFront : origine S3 avec Origin Access Control, redirection de HTTP vers HTTPS, certificat ACM, objet racine index.html.
5. Créer l’enregistrement alias Route 53 (nicktechs.com) vers la distribution.
6. Créer l’utilisateur IAM de déploiement avec la politique limitée de la section Sécurité, puis enregistrer ses clés et l’identifiant de la distribution dans les secrets du dépôt GitHub.
7. Ajouter le workflow de déploiement dans .github/workflows/ du dépôt.

Workflow GitHub Actions

Le workflow se déclenche à chaque push sur main, synchronise les fichiers vers S3, puis invalide le cache CloudFront.

name: Deploy static website to AWS S3

on:
  push:
    branches: [main]

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - uses: aws-actions/configure-aws-credentials@v4
        with:
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: us-east-1

      - name: Synchroniser le site vers S3
        run: |
          aws s3 sync . s3://nicktech --delete \
            --exclude ".git/*" --exclude ".github/*"

      - name: Invalider le cache CloudFront
        run: |
          aws cloudfront create-invalidation \
            --distribution-id ${{ secrets.CLOUDFRONT_DISTRIBUTION_ID }} \
            --paths "/*"

Les exclusions évitent d’envoyer le dossier .git (historique) et le dossier .github (workflows) dans un compartiment qui sert un site public. Vérifiez les versions actuelles des actions dans leur documentation avant de figer le workflow.

Mettre à jour le site

Après modification des fichiers en local :

git add .
git commit -m "Mise à jour du site"
git push origin main

Le déploiement démarre automatiquement ; son déroulement se suit dans l’onglet Actions du dépôt GitHub.

Coûts et optimisation

En fonctionnement normal, le site coûte environ 1,60 $ par mois, dont les deux tiers pour le nom de domaine ; CloudFront, S3 et ACM sont pratiquement gratuits à ce niveau de trafic.

Estimation des coûts

Hypothèses : région us-east-1, 10 000 visites par mois, site de 50 Mo, 2 Mo transférés par visite (soit 20 Go par mois), tarifs à la demande relevés le 13 octobre 2026. Les volumes de trafic sont une hypothèse de travail.

Le trafic devrait dépasser environ 500 000 visites par mois (à 2 Mo chacune) avant de sortir de l’offre gratuite permanente de CloudFront. Au-delà, le transfert sortant est facturé environ 0,085 $ par Go dans la première tranche.

Coûts non inclus : journaux d’accès CloudFront, versioning S3, alarmes CloudWatch. Les tarifs proviennent des pages tarifaires et de la documentation d’AWS, complétées par des sources tierces pour S3 et le prix du domaine ; à confirmer avec l’AWS Pricing Calculator.

Suivi des coûts

• Un budget AWS Budgets de quelques dollars, avec alerte à 80 % et 100 %, signale immédiatement une dérive.
• Des étiquettes de coût (par exemple Projet = site-statique) permettront de suivre ce site dans Cost Explorer si le compte héberge d’autres projets.

Solutions de réduction, avec leur compromis

Compromis coût et simplicité

Une architecture S3 et CloudFront ramène les coûts fixes à la zone Route 53 et au nom de domaine : il n’y a ni instance à payer en continu, ni serveur à administrer. Le compromis est l’absence de traitement côté serveur : un formulaire de contact ou une fonction dynamique demanderait de compléter l’architecture, par exemple avec API Gateway et Lambda.

Résultats

Le site est en production à l’adresse https://nicktechs.com avec un déploiement automatisé ; les constats ci-dessous reposent sur la description du projet.

Enseignements et évolutions

Le projet atteint son objectif d’un site rapide, sécurisé et peu coûteux ; sept pistes permettent de le durcir et de l’industrialiser.

Enseignements

• Une architecture statique S3 et CloudFront répond au besoin pour un coût proche de celui du seul nom de domaine.
• Le certificat ACM d’une distribution CloudFront doit être créé en us-east-1, quelle que soit la région du compartiment.
• Invalider le cache à chaque déploiement évite de servir du contenu périmé.
• Versionner le site dans GitHub simplifie les mises à jour et la restauration d’une version précédente.

Pistes d’amélioration