Explosion de facturation à 54 000 € en 13 heures : des appels à l’API Gemini via une clé de navigateur Firebase sans restriction d’API

• Une clé de navigateur Firebase exposée sans restriction d’API a permis le déclenchement automatique de requêtes vers l’API Gemini depuis l’extérieur, entraînant une facturation massive en très peu de temps
• Plus de 54 000 € de coûts ont été facturés en 13 heures, sans rapport avec le trafic réel des utilisateurs, et le déclenchement tardif des alertes de coût a retardé la réponse
• L’équipe de support Google Cloud a classé ces requêtes comme un usage valide (valid usage) et a refusé la demande d’ajustement de facture
• Google introduit des protections comme les plafonds de dépense, les clés d’authentification, le blocage automatique des clés et la facturation prépayée, et prévoit de supprimer progressivement l’usage des clés sans restriction
• Les développeurs doivent éviter d’inclure des clés dans le code client et appliquer impérativement des restrictions sur les clés API ainsi que des plafonds de budget

---

Cas de forte hausse de facturation Gemini API causée par l’exposition d’une clé de navigateur Firebase

• Vue d’ensemble de l’incident

  • Dans un projet qui utilisait jusque-là uniquement Firebase Authentication, la consommation de Firebase AI Logic a fortement augmenté juste après son activation
  • Des requêtes automatisées, sans lien avec le trafic réel des utilisateurs, ont été générées en peu de temps, provoquant plus de 54 000 € de facturation sur environ 13 heures
  • Le trafic anormal s’est arrêté après la désactivation de l’API et la rotation des identifiants (credentials)
  • Les alertes budgétaires (80 €) et les alertes de détection d’anomalies de coût se sont déclenchées avec plusieurs heures de retard ; au moment de la réaction, les coûts avaient déjà atteint environ 28 000 €
  • Le montant final facturé a été confirmé à plus de 54 000 € en raison du retard dans le reporting des coûts

• Résultat du support Google Cloud

  • Malgré la soumission de journaux et de données d’analyse, les requêtes ont été classées comme un usage valide (valid usage) provenant du projet, et la demande d’ajustement des frais a été refusée
  • Bien que cet usage ait été anormal et non initié par des utilisateurs, il a été traité par le système comme une facturation normale

• Questions posées par l’utilisateur

  • Il demande s’il existe des cas similaires après l’activation de Firebase AI Logic ou de Gemini
  • Il demande s’il existe d’autres moyens de protection, au-delà de App Check, des quotas et du passage à des appels côté serveur
  • Il demande s’il existe une voie de recours supplémentaire (escalation path) pour ce type de situation

Réponse de Google (Logan Kilpatrick)

• Fonctions de facturation et de limitation d’usage

  • Des plafonds de facturation pour les utilisateurs de l’API Gemini (billing account caps) ont été introduits ; les utilisateurs Tier 1 sont automatiquement bloqués après une limite mensuelle de 250 $
  • Il est possible de configurer des plafonds de dépense par projet (project spend caps) ; par exemple, un compte personnel peut être limité à 50 $
  • Tous les rapports de facturation comportent un délai d’environ 10 minutes

• Sécurité des clés API et changements prévus

  • L’usage de clés API sans restriction (unrestricted key) sera bientôt désactivé pour l’API Gemini

    • Pour les nouveaux utilisateurs, une clé d’authentification (Auth key) est désormais créée par défaut, avec un niveau de sécurité renforcé par rapport au passé
    • Il ne faut pas inclure de clé dans le code client ; en cas d’exposition, cela peut entraîner des coûts
    • Une fonctionnalité permet de détecter automatiquement les clés exposées sur le web public puis de les désactiver ; dans certains cas réels, le blocage a eu lieu en quelques minutes

• Restriction des clés et périmètre des services

  • Les clés créées dans Google AI Studio sont par défaut limitées à l’API Gemini

    • En revanche, les clés créées via Google Cloud Console ou d’autres parcours peuvent accéder à plusieurs services ; si nécessaire, il faut appliquer des restrictions par service

• Mesures supplémentaires et plan à venir

  • Il demande à être contacté directement par e-mail ([e-mail]) afin d’examiner ce cas
  • Un système de facturation prépayée (prepaid billing) a été introduit afin d’évoluer vers un paiement avant utilisation
  • Il est déjà déployé pour les nouveaux comptes aux États-Unis et en cours d’extension progressive au reste du monde
  • Ces mesures visent à renforcer le contrôle des coûts pour les développeurs et à éviter des facturations inattendues