Sous-réseaux privés : Tous les services fonctionnent dans des sous-réseaux privés sans adresses IP publiques. Aucun service n’est accessible directement depuis Internet.

Règles réseau au moindre privilège : Chaque service ne peut communiquer qu’avec les services dont il a besoin pour fonctionner. Toutes les autres connexions sont bloquées.

Séparation complète des environnements : Il n’y a aucune connexion réseau entre les environnements (UE, US, CH, DEV) — pas de peering VPC, pas de routes inter-comptes. Chaque environnement est entièrement isolé.

Trafic interne : Les accès aux services de stockage et de base de données passent par des points de terminaison privés au sein du réseau AWS et ne le quittent pas.

Sortie contrôlée : Le trafic Internet sortant est centralisé via une passerelle NAT et filtré par des règles de pare-feu DNS.