Comment partager des fichiers S3 et R2 privés avec des URL présignées

L'URL contient tout ce dont S3 a besoin pour vérifier la requête : la clé qui a servi à la signer, la date de signature, la durée de validité et une signature. Elle ressemble à ceci :

https://your-bucket.s3.eu-central-1.amazonaws.com/contract.pdf
  ?X-Amz-Algorithm=AWS4-HMAC-SHA256
  &X-Amz-Credential=AKIA…/20260930/eu-central-1/s3/aws4_request
  &X-Amz-Date=20260930T120000Z
  &X-Amz-Expires=3600
  &X-Amz-SignedHeaders=host
  &X-Amz-Signature=…

La signature se fait sur votre ordinateur. Rien n'est envoyé au fournisseur tant que personne n'ouvre le lien, et modifier la moindre partie de l'URL invalide la signature.

aws s3 presign s3://your-bucket/contract.pdf --expires-in 86400

Ce lien fonctionne pendant 24 heures. Pour Cloudflare R2 ou un autre service compatible S3, indiquez son endpoint à la CLI :

aws s3 presign s3://your-bucket/contract.pdf --expires-in 86400 \
  --endpoint-url https://<ACCOUNT_ID>.r2.cloudflarestorage.com

• 7 jours maximum. Signature Version 4 autorise jusqu'à 604 800 secondes, sur S3 comme sur R2.
• Les identifiants temporaires expirent plus tôt. Une URL signée avec une session STS ou SSO cesse de fonctionner à l'expiration de cette session, même si vous avez demandé plus longtemps.
• R2 exige le domaine de l'API. Sur R2, les URL présignées fonctionnent avec <ACCOUNT_ID>.r2.cloudflarestorage.com, pas avec un domaine personnalisé.
• Toute personne qui a le lien peut l'utiliser. Traitez-le comme un mot de passe jusqu'à son expiration.
• Pas de révocation par lien. Pour couper un lien plus tôt, supprimez ou renommez l'objet, ou désactivez la clé d'accès qui l'a signé.

Utilisez un bucket public pour les fichiers destinés à être vus et qui doivent rester accessibles : captures dans une documentation, images dans un README. Utilisez des URL présignées pour tout ce qui est sensible ou éphémère. Beaucoup gardent un bucket de chaque type et choisissent fichier par fichier.