La panne de Workday est partie d’un test de secours, et les salariés n’ont pas pu pointer

Workday, le logiciel utilisé par de nombreux grands employeurs pour gérer la paie, les heures de travail et les congés, est devenu inaccessible à ses clients après l’échec d’un test de son propre système de secours. En vérifiant ses dispositifs de reprise après sinistre, l’entreprise a découvert que ses services de sauvegarde s’étaient connectés de manière inattendue aux bases de données de production utilisées par ses clients, laissant les données dans un état incohérent. Workday a mis hors ligne les systèmes concernés pour les réparer.

Pour les salariés, la panne s’est traduite par une page de connexion affichant le message « Workday is currently unavailable » (« Workday est actuellement indisponible »). Dans les entreprises touchées, le personnel ne pouvait ni pointer à l’arrivée ou au départ, ni consulter les informations de paie, ni demander des congés, ni terminer son inscription aux avantages sociaux. Des tâches programmées alimentant d’autres systèmes de l’entreprise risquaient également d’échouer. Le filet de sécurité censé assurer la continuité du service en cas de sinistre est précisément ce qui l’a mis à terre.

L’ampleur du service explique pourquoi la panne dépasse le seul cadre des ressources humaines. Workday indique que plus de 11 500 organisations utilisent ses logiciels. Parmi les clients cités publiquement par l’entreprise figurent Walmart, Target, Netflix, Chipotle, Southwest Airlines, le département américain de l’Énergie et le Jet Propulsion Laboratory de la NASA. Workday n’a pas précisé combien d’entre eux ont été touchés, se contentant de parler de « certains de nos clients » : les publications virales affirmant que toutes ces entreprises étaient en panne vont donc au-delà des faits. Selon UC Today, des plateformes de suivi des pannes ont enregistré des signalements aux États-Unis et en Inde.

L’explication de Workday, publiée sur sa page d’état destinée aux clients et citée par l’équipe informatique de Washington University, est d’une franchise inhabituelle. « Lors de la validation de la fenêtre de maintenance hebdomadaire des environnements de reprise après sinistre, nous avons constaté que les services associés aux environnements du site de reprise après sinistre s’étaient connectés de manière inattendue aux bases de données de production », indiquait l’avis, précisant que les données avaient été laissées « dans un état incohérent », susceptible de provoquer des erreurs à l’ouverture des comptes ou de faire échouer certaines tâches. L’entreprise a ensuite placé en maintenance tous les environnements de production du groupe de clients qu’elle désigne sous le nom de WD1 et s’est engagée à publier des mises à jour toutes les 30 minutes.

Cette explication laisse sans réponse la principale question. Une copie de reprise après sinistre est censée empêcher un problème sur un site de se propager à l’autre ; or, dans ce cas, le test a atteint les systèmes réels. Workday n’a pas expliqué comment cette connexion était possible ni si des données avaient été perdues, plutôt que simplement désynchronisées. Sa communication a également suscité des critiques. Sur les forums sysadmin et Workday de Reddit, des administrateurs ont affirmé que le problème avait commencé plusieurs heures avant la première alerte adressée aux clients, un calendrier que Workday n’a pas confirmé. Un courriel envoyé à un client et partagé sur ces forums reconnaissait qu’aucun délai de rétablissement ne pouvait être annoncé et conseillait aux entreprises confrontées à des échéances critiques de basculer sur leurs plans de continuité d’activité.

Pour les salariés, les conséquences concrètes dépendent du moment où la panne est survenue. Les employés payés à l’heure qui n’ont pas pu pointer devront faire rectifier manuellement leurs heures, tandis que ceux qui devaient respecter une échéance pour leurs avantages sociaux se sont heurtés à une porte fermée. Certains employeurs ont repoussé la date limite : Emerson College a annoncé avoir prolongé sa période d’inscription annuelle en raison de la panne. L’incident est aussi survenu au terme d’une mauvaise semaine pour les logiciels de travail, après une défaillance de Microsoft 365 qui a rendu les courriels Outlook et Exchange peu fiables jusque dans la deuxième journée.

Voici la chronologie connue à ce stade : Emerson College a indiqué que Workday avait mis le système hors ligne vers 17 h 15, heure de l’Est, le vendredi 13 novembre, et LiveNOW from FOX a rapporté que Downdetector avait enregistré près de 3 000 signalements de problèmes peu après 17 heures. Un porte-parole de Workday a déclaré que l’entreprise « travaillait en urgence pour enquêter sur le problème et le résoudre », et a présenté ses excuses aux clients concernés. Samedi matin, Workday a informé ses clients que la réindexation et la remise en service de leurs environnements devraient être achevées pour la majorité d’entre eux avant 11 heures, heure de l’Est, le samedi 14 novembre, certains cas nécessitant davantage de temps. Les clients concernés seraient contactés dans le cadre d’un dossier d’assistance. La période d’inscription prolongée d’Emerson prendra désormais fin à midi, heure de l’Est, le lundi 16 novembre.

Le rétablissement du service ne répondra pas à la question de fond que les employeurs posent désormais à leur fournisseur. Ils voudront savoir pourquoi un test conçu pour prouver que Workday peut résister à un sinistre disposait d’un accès aux données qu’il était censé protéger.

Étiquettes: cloud, logiciel RH, paie, pannes informatiques, reprise après sinistre, Workday