Depuis la soirée du mardi 21 octobre 2026, des milliers d’assurés ne peuvent plus ouvrir leur compte Ameli, et les allocataires ne peuvent plus joindre caf.fr. L’application affiche un message d’erreur au moment de la récupération des données, tandis que l’adresse assure.ameli.fr ne répond plus dans un navigateur, selon le constat publié par Frandroid le 22 octobre 2026. Les premiers signalements sont arrivés vers 21 heures sur Downdetector, le pic a été atteint vers 22 h 30 et la courbe n’est jamais retombée à zéro pendant la nuit, d’après les relevés cités par Clubic et repris par Frandroid. Le jeudi 22 octobre au matin, la panne dure toujours. L’Assurance Maladie évoque une « maintenance programmée » de son compte en ligne, sur le site comme sur l’application, et la Caisse d’allocations familiales annonce de son côté une « opération de maintenance » en assurant que la sécurité de ses services et des données reste sa priorité, selon le Journal du Geek. Cette double coupure tombe au moment où l’équipe du langage PHP publie en urgence des correctifs pour deux failles critiques, et où plusieurs sites publics basculent eux aussi en maintenance à la demande de l’ANSSI. Faut-il craindre pour ses données de santé et ses prestations familiales, combien de temps un compte peut-il rester bloqué, et comment se faire rembourser quand tout passe par un écran noir ? Cet article répond point par point, avec les textes applicables et les réflexes qui protègent vos droits.
I. Compte Ameli bloqué, combien de temps : ce que la panne du 22 octobre change pour vos démarches
A. Compte Ameli inaccessible depuis le 21 octobre au soir : que s’est-il passé exactement ?
Le calendrier des faits est documenté heure par heure par la presse spécialisée. D’après Frandroid, les premiers internautes signalent l’impossibilité de se connecter à leur compte Ameli le mercredi 21 octobre vers 21 heures, via Downdetector, le site qui recense les plaintes des utilisateurs. Le pic des signalements survient vers 22 h 30 et la courbe ne retombe jamais à zéro pendant la nuit. Le jeudi 22 octobre au matin, l’application mobile affiche toujours un message d’erreur au moment de la récupération des données, et le navigateur n’ouvre plus assure.ameli.fr, l’adresse de l’espace personnel. La partie vitrine d’ameli.fr, avec les pages d’information générale, reste consultable. Au même moment, la CAF ferme caf.fr. Les assurés comme les allocataires ne peuvent donc plus suivre en ligne ni leurs remboursements ni leurs droits, toujours selon Frandroid.
La version officielle livrée par les deux organismes tient en un mot : maintenance. L’Assurance Maladie parle d’une « maintenance programmée » de son compte en ligne, sur le site comme sur l’application. La Caisse d’allocations familiales évoque dans la nuit une « opération de maintenance » qui rend caf.fr indisponible, en affirmant que la sécurité de ses services et des données reste sa priorité, d’après le Journal du Geek. Ni l’un ni l’autre ne cite PHP, ne parle de faille et ne donne d’heure de retour, relève Frandroid. Or le contexte interpelle. L’équipe du langage PHP, qui fait tourner côté serveur une large partie des sites web, publie en urgence des correctifs pour deux failles critiques : avec de telles failles d’exécution, un attaquant serait en mesure de faire exécuter ses propres commandes sur un serveur sans jamais avoir besoin d’un mot de passe, résume le Journal du Geek. À la demande de l’ANSSI, l’agence chargée de la sécurité informatique de l’État, plusieurs sites de préfectures basculent en maintenance, et impots.gouv.fr, Météo-France, la CNIL ou encore Santé publique France suspendent leurs sites, toujours selon le Journal du Geek. Officiellement, la CAF et l’Assurance Maladie évoquent une simple maintenance, sans lien avec la faille PHP.
Deux précisions s’imposent pour rester exact. D’abord, à la date de rédaction de cet article, aucun des organismes concernés n’a fait état d’une intrusion, selon le Journal du Geek. Une maintenance préventive qui coupe un service le temps d’appliquer un correctif permet justement d’anticiper l’intrusion : mieux vaudrait un compte Ameli inaccessible pendant vingt-quatre heures que des données dans la nature, fait observer le même journal. Ensuite, un antécédent cité par la presse invite à la vigilance sans autoriser aucune conclusion : le 9 octobre, un pirate aurait revendiqué 1,2 million de dossiers dérobés via VACAF, selon le Journal du Geek. Une revendication n’est pas une preuve, et rien dans les sources consultées le 22 octobre ne relie cet épisode à la panne du jour. Le 22 octobre, le site de la CNIL affiche lui-même une page de maintenance, ce qui illustre l’ampleur du mouvement de précaution, sans prouver ni une attaque ni une fuite. Retenez donc l’état du dossier à ce stade : une double panne présentée comme une maintenance, aucune intrusion constatée par une source officielle, et aucune responsabilité établie.
B. Compte Ameli indisponible : peut-on vous laisser sans accès et pendant combien de temps ?
La question que tapent les internautes — « compte Ameli bloqué combien de temps », « compte Ameli bloqué temporairement combien de temps » — n’a pas de réponse chiffrée dans les textes consultés pour cet article. Aucune des dispositions lues pendant ce run ne fixe une durée maximale d’indisponibilité d’un téléservice public, et les décisions consultées ne tranchent pas cette question. Écrire un délai butoir relèverait de l’invention. Le droit applicable encadre en revanche les moyens que l’administration doit mettre à disposition et les voies de contournement ouvertes à l’usager quand l’écran reste noir.
Le point de départ est le statut même du compte Ameli : un téléservice de l’administration. Aux termes de l’article L112-9 du code des relations entre le public et l’administration, « L’administration met en place un ou plusieurs téléservices, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique et aux libertés et des règles de sécurité et d’interopérabilité prévues aux chapitres IV et V de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. » Le même article ajoute que l’administration rend accessibles les modalités d’utilisation du téléservice et que ces modalités s’imposent au public. Autrement dit, quand le téléservice est l’unique guichet ouvert pour une démarche, sa fermeture de fait reporte la charge sur les autres canaux, sans effacer vos droits. L’indisponibilité ne suspend pas la prise en charge des frais de santé : la sécurité sociale « assure la prise en charge des frais de santé, du soutien à l’autonomie, le service des prestations d’assurance sociale, notamment des allocations vieillesse, le service des prestations d’accidents du travail et de maladies professionnelles ainsi que le service des prestations familiales dans le cadre du présent code, sous réserve des stipulations des conventions internationales et des dispositions des règlements européens », selon l’article L111-1 du code de la sécurité sociale. Vos remboursements et vos allocations ne s’éteignent donc pas parce que le site est fermé.
Le deuxième appui se trouve dans l’obligation faite aux administrations de s’échanger directement les informations. L’article L114-8 du code des relations entre le public et l’administration prévoit que « Les administrations échangent entre elles toutes les informations ou les données strictement nécessaires pour traiter une demande présentée par le public ou une déclaration transmise par celui-ci en application d’une disposition législative ou d’un acte réglementaire. » Le même article précise que le public est informé du droit d’accès et de rectification dont dispose chaque personne intéressée. Concrètement, si votre caisse ne parvient pas à instruire votre dossier parce qu’une pièce détenue par une autre administration lui manque, c’est à elle d’aller la chercher, et non à vous de multiplier les démarches. Pendant une panne, ce principe du « dites-le-nous une fois » joue en votre faveur : signalez par écrit que la pièce ou la déclaration a été empêchée par l’indisponibilité du téléservice, conservez la preuve de votre tentative, et demandez que l’administration se procure directement ce qu’elle peut obtenir elle-même.
En pratique, multipliez les canaux et datez chaque tentative. La partie vitrine d’ameli.fr reste consultable et rappelle les modes de contact : téléphone, accueil physique, courrier. À Paris et en Île-de-France, où les files d’attente des accueils saturent vite les jours de panne nationale, privilégiez un courrier ou une lettre recommandée avec accusé de réception qui décrit la démarche empêchée, la date et l’heure des tentatives, le message d’erreur affiché et, si possible, une capture d’écran horodatée. Ce courrier fera foi si la caisse vous oppose ensuite un dépôt tardif : l’ouverture du droit aux prestations de l’assurance maladie est subordonnée à la production de documents « dont le contenu, le support ainsi que les conditions et délais de transmission à la caisse du bénéficiaire sont fixés par décret en Conseil d’Etat », selon l’article L161-33 du code de la sécurité sociale. Prouver que le retard vient de la panne, et non de votre négligence, suppose donc des traces écrites. Notez aussi que l’indisponibilité touche l’espace personnel hébergé sur assure.ameli.fr, qui donne accès à Mon espace santé : l’article L1111-13-1 du code de la santé publique rappelle que « L’espace numérique de santé est ouvert automatiquement, sauf opposition de la personne ou de son représentant légal. » Vos données de santé y restent stockées chez un hébergeur agréé, et la panne d’accès ne les efface pas. Si un soin urgent est en jeu, ne restez pas bloqué derrière l’écran : avancez par le professionnel de santé, le pharmacien ou le service des urgences, puis régularisez le dossier une fois le service rétabli.
II. Panne Ameli et CAF : vos données sont-elles en danger et comment protéger vos remboursements ?
A. Vos données de santé sont-elles en danger : notification de violation, information et plainte
La question qui affole les moteurs de recherche — « vos données sont-elles en danger ? », titre le Journal du Geek — appelle une réponse en deux temps : ce que le droit exige si une violation est avérée, et ce que vous devez faire dès maintenant alors qu’aucune intrusion n’est constatée. Le régime européen des violations de données personnelles pèse sur le responsable du traitement, c’est-à-dire ici l’organisme qui gère le téléservice, et non sur l’usager. Le régime européen de protection des données fait peser l’obligation de notification sur le responsable du traitement, c’est-à-dire ici l’organisme qui gère le téléservice, et non sur l’usager : si une violation de données personnelles était avérée, il appartiendrait à l’organisme d’en aviser l’autorité de contrôle, sous le contrôle de la CNIL, et d’en documenter les faits, les effets et les mesures prises pour y remédier. Surtout, le simple fait de couper préventivement un service pour appliquer un correctif ne constitue pas en lui-même une violation à notifier : la notification suppose qu’une violation soit survenue, et les organismes affirment pour l’instant qu’il s’agit d’une maintenance. Si une intrusion était ultérieurement confirmée, les obligations de notification et de documentation pèseraient sur l’organisme, sous le contrôle de la CNIL.
Le second étage protège directement les assurés. Le même régime prévoit qu’en cas de risque élevé pour les droits et libertés des personnes, la violation doit être portée à la connaissance des personnes concernées en des termes clairs, avec la description de sa nature et des mesures prises, sauf si des protections comme le chiffrement rendaient les données incompréhensibles ou si des mesures ultérieures neutralisaient ce risque, auquel cas une communication publique équivalente peut suffire. Concrètement, tant que vous ne recevez ni message officiel de l’Assurance Maladie ou de la CAF décrivant une violation, ni information publique équivalente, considérez qu’aucune fuite vous concernant n’est établie. Méfiez-vous symétriquement de tout message qui vous annonce une fuite et vous demande vos identifiants : les périodes de panne sont le terrain de chasse favori des escrocs, qui profitent de l’inquiétude pour envoyer de faux SMS et de faux sites. « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », selon l’article 313-1 du code pénal. Un SMS qui se présente comme la CAF ou Ameli et réclame votre numéro de carte Vitale ou vos codes correspond exactement à ce schéma : ne cliquez pas, ne rappelez pas le numéro indiqué, et vérifiez par vos propres canaux.
Vos données de santé bénéficient en outre d’une protection renforcée par le secret médical. L’article L1110-4 du code de la santé publique dispose : « Toute personne prise en charge par un professionnel de santé, un établissement ou service, un professionnel ou organisme concourant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le présent code, le service de santé des armées, un professionnel du secteur médico-social ou social ou un établissement ou service social et médico-social mentionné au I de l’article L. 312-1 du code de l’action sociale et des familles a droit au respect de sa vie privée et du secret des informations la concernant. » Ce secret s’impose à tous les professionnels intervenant dans le système de santé. Sa violation par divulgation est punie par l’article 226-22 du code pénal : « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Et l’intrusion elle-même tombe sous le coup de l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » La Cour de cassation applique ce texte avec une sévérité constante : « En effet, se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie », juge la chambre criminelle dans son arrêt du 2 septembre 2025, pourvoi n° 24-83.605, publié au Bulletin. Et les manipulations de données dissimulées sont nécessairement frauduleuses : « En revanche, des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification », selon la chambre criminelle dans son arrêt du 8 juin 2021, pourvoi n° 20-85.853. Ces décisions visent des attaquants et des fraudeurs, pas les organismes victimes d’une panne : elles montrent seulement que le droit pénal prend les atteintes aux systèmes de données au sérieux, et que la plainte reste l’arme de l’usager si un préjudice apparaît.
Adoptez dès aujourd’hui quatre réflexes simples. D’abord, surveillez votre compte dès son rétablissement : relevés de remboursements, attestations de droits, messages. Toute opération inconnue doit être signalée par écrit à votre caisse. Ensuite, si un usage frauduleux de votre carte Vitale ou de votre e-carte est avéré, demandez son opposition : l’article L161-31 du code de la sécurité sociale prévoit qu’« En cas de vol, perte, dysfonctionnement ou compromission, ce moyen fait l’objet d’une opposition dont les professionnels, les établissements de santé et toute personne ou organisme intervenant dans la prise en charge des soins délivrés au titulaire sont informés. » Troisièmement, exercez vos droits sur vos données : demande d’accès et de rectification auprès de l’organisme, puis réclamation auprès de la CNIL si la réponse fait défaut, en joignant vos preuves datées. Quatrièmement, si vous subissez une tentative d’escroquerie adossée à la panne, conservez le message, son numéro d’expéditeur et l’adresse du faux site, puis déposez plainte au commissariat, en brigade de gendarmerie ou par la pré-plainte en ligne du service public. Les lecteurs confrontés à une fuite de données avérée trouveront la méthode complète — plainte, signalements et demande d’indemnisation — dans notre dossier sur les données personnelles piratées et les recours ouverts aux victimes, qui détaille pas à pas la marche à suivre quand la violation est confirmée.
B. Remboursement bloqué et feuille de soins : comment être payé malgré la panne ?
La panne bloque l’affichage, pas le droit au remboursement. Quand la télétransmission par la carte Vitale fonctionne chez le professionnel, le dossier suit son cours normal et l’indisponibilité de votre compte ne fait que retarder la consultation du relevé. Quand le professionnel ne peut pas télétransmettre, ou quand vous devez déclarer vous-même des soins, basculez sur le papier : demandez une feuille de soins papier, faites-la remplir et signer par le praticien, et adressez-la à votre caisse par courrier en conservant une copie. Cette bascule est prévue par les textes : l’ouverture du droit aux prestations suppose la production de documents dont le support peut être autre qu’électronique, et c’est précisément l’objet de l’article L161-33 du code de la sécurité sociale déjà cité, qui subordonne l’ouverture du droit à la production de documents « dont le contenu, le support ainsi que les conditions et délais de transmission à la caisse du bénéficiaire sont fixés par décret en Conseil d’Etat ». Vérifiez sur votre notification ou sur le site vitrine d’ameli.fr, toujours accessible, le délai de transmission propre à votre prestation : un envoi hors délai vous exposerait à une sanction pouvant aller jusqu’à la déchéance pour la période où le contrôle aurait été rendu impossible. En cas de litige sur ce point, votre courrier daté pendant la panne, accompagné de captures d’écran horodatées du message d’erreur, établira que le retard vient de l’indisponibilité du téléservice et non de votre carence.
Du côté de la CAF, la même logique s’applique aux déclarations trimestrielles de ressources, aux changements de situation et aux demandes d’aide : tout ce qui ne peut pas être télédéclaré doit être signalé par écrit, daté et conservé. Si la CAF suspend ensuite une aide ou réclame un trop-perçu en invoquant une déclaration manquante pendant la panne, contestez par écrit en joignant la preuve de vos tentatives, puis suivez la voie de recours indiquée sur la notification, en respectant le délai qu’elle mentionne, car ce délai conditionne la recevabilité. Pour le suivi médical partagé, rappelez-vous que chaque personne dispose d’un dossier médical partagé « dans les conditions et sous les garanties prévues aux articles L. 1110-4 et L. 1470-5 et dans le respect du secret médical », selon l’article L1111-14 du code de la santé publique, et que cet outil, administré avec la Caisse nationale de l’assurance maladie, survit à une panne d’accès. À Paris et en Île-de-France, où les assurés dépendent fortement des téléservices pour des volumes de soins très élevés, anticipez la reprise : listez dès maintenant les soins avancés, les feuilles non transmises et les déclarations en attente, afin de régulariser chaque dossier dans l’ordre dès le rétablissement, et sollicitez l’accueil physique de votre caisse pour les situations urgentes, muni de vos justificatifs papier.
Conclusion
Le 22 octobre 2026, le dossier tient en trois phrases. Les comptes Ameli et caf.fr sont inaccessibles depuis la soirée du 21 octobre, dans un contexte de maintenance préventive liée à des failles critiques, selon la presse spécialisée. Aucune intrusion ni aucun dommage n’est constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, et les contrats ainsi que les documents de votre caisse priment sur toute analyse générale. Vos droits, eux, ne sont pas en panne : surveillez vos relevés dès la reprise, opposez votre moyen d’identification en cas de compromission avérée, exigez l’information officielle en cas de violation confirmée, basculez sur le papier pour vos remboursements, et conservez la preuve écrite de chaque tentative bloquée. Seul le juge, saisi d’un dossier complet et daté, tranchera les litiges qui subsisteraient une fois les écrans rallumés.