En une phrase : externaliser ses sauvegardes, c'est en garder une copie dans un autre lieu que la production, pour qu'un même sinistre ou une même attaque n'emporte pas à la fois les données et leurs sauvegardes.
1. Ce que veut dire externaliser
Une sauvegarde rangée dans la même salle, sur le même réseau et sous les mêmes comptes que les serveurs qu'elle protège partage leurs risques. L'externaliser, c'est casser ce lien sur trois plans :
- Le lieu : un autre bâtiment, un autre site, un autre datacenter.
- Les accès : un compte qui sauvegarde ne doit pas pouvoir tout effacer. Voir pourquoi séparer production et sauvegarde.
- Le réseau : au moins une copie hors ligne, débranchée, qu'aucun compte ne peut joindre.
Le guide de l'ANSSI sur la sauvegarde (« Sauvegarde des systèmes d'information — Les fondamentaux ») recommande la règle 3-2-1 : 3 copies des données, sur 2 supports différents, « dont 1 hors ligne ». Il ajoute, parmi ses recommandations prioritaires, qu'il est « indispensable de mettre en place une sauvegarde hors ligne (ou au moins hors site en ligne sous certaines conditions) ».
2. Pourquoi externaliser
Le 10 mars 2021, un incendie a détruit le datacenter SBG2 d'OVHcloud à Strasbourg. Les clients dont les sauvegardes étaient dans le même bâtiment, ou sur le même site, ont perdu les deux à la fois. Voir ce que l'incendie d'OVH a appris sur la sauvegarde sur deux sites.
Le risque le plus courant n'est pourtant pas le feu, c'est le rançongiciel : un attaquant qui obtient les comptes d'administration cherche aussi les sauvegardes qu'il peut joindre. Une copie dans un autre lieu, sous d'autres comptes, et une copie hors ligne répondent aux deux risques.
3. Quoi externaliser, et les critères à vérifier
Tout ce qu'il faudrait pour redémarrer : les machines virtuelles et serveurs, les données des NAS, les bases de données, mais aussi ce qu'on oublie, comme les configurations, la documentation de restauration et la clé de chiffrement des sauvegardes, rangée hors du système sauvegardé (voir la clé de chiffrement PBS).
- Distance : assez loin pour qu'un même sinistre n'atteigne pas les deux sites.
- Séparation des droits : le compte de sauvegarde ne doit pas pouvoir supprimer l'historique.
- Chiffrement : côté client si un tiers héberge la copie, avec une clé que vous gardez.
- Vérification : les données stockées sont relues régulièrement pour détecter la corruption. Voir les verify jobs de PBS.
- Restauration testée : une sauvegarde jamais restaurée n'a rien prouvé. Le délai se mesure ; le calculateur de fenêtre de sauvegarde donne un ordre de grandeur selon votre débit.
4. Cas par cas
Proxmox VE
Les VM et conteneurs se sauvegardent de Proxmox VE vers un Proxmox Backup Server, avec déduplication et envoi des seuls blocs nouveaux. Externaliser, c'est déclarer un PBS distant comme stockage, ou faire copier un PBS local vers un second. Voir la sauvegarde Proxmox externalisée.
Un PBS existant
Si vous avez déjà un PBS sur site, la copie hors site se fait par synchronisation vers un second PBS : seuls les blocs absents sont transférés. Voir la réplication entre deux PBS.
Serveurs Windows
Un client Windows libre sauvegarde un serveur Windows directement vers un PBS. Voir sauvegarder Windows vers Proxmox Backup Server, et notre retour d'expérience sur un serveur de 1 To.
Serveurs Linux
proxmox-backup-client, restic ou rsync, selon ce que vous sauvegardez et vers quoi. Voir la sauvegarde de serveurs Linux externalisée.
NAS
Synology, QNAP, TrueNAS et Unraid ont chacun leur outil (Hyper Backup, HBS 3, tâches rsync ou Cloud Sync) et leurs protocoles. Voir la sauvegarde NAS externalisée, puis la page de votre modèle.
Bases de données
Une base se sauvegarde par dump ou par copie à chaud cohérente, avant d'être externalisée. Voir la sauvegarde de bases de données externalisée.
Outils qui écrivent en S3
restic, rclone ou un NAS qui sait écrire en S3 peuvent viser un point d'entrée S3 dont le contenu part ensuite vers PBS : voir la sauvegarde S3 externalisée vers PBS. Pour brancher un PBS sur un bucket, c'est un autre sujet : PBS et stockage objet S3.
5. Hors ligne et immuable
Une copie externalisée en ligne reste joignable. Deux moyens la mettent hors de portée : des droits qui interdisent la suppression (l'immuabilité en ligne), et une copie sur un support débranché. Le guide de l'ANSSI juge la seconde plus robuste, et admet comme compromis des sauvegardes régulières immuables en ligne complétées par des sauvegardes hors ligne moins fréquentes.
Pour aller plus loin : sauvegarde immuable et rançongiciel, l'état de l'art du backup Proxmox air-gapped, et notre offre AirGapped Drive, dont la copie hors ligne tourne sur des disques débranchés.
6. RGPD et NIS2
Une sauvegarde contient des données personnelles : son hébergeur devient sous-traitant au sens du RGPD, avec un contrat, un lieu d'hébergement connu et des mesures de sécurité. NIS2 demande aux entités concernées des mesures de continuité d'activité, dont la gestion des sauvegardes. Voir les obligations RGPD des sauvegardes et la sauvegarde face à NIS2. Chez NimbusBackup, l'hébergement est dans l'Union européenne, en France sur demande.
7. Combien ça coûte
Le prix d'une externalisation dépend surtout de trois choses : le volume réservé (après déduplication et compression, souvent bien inférieur à la somme des sauvegardes), le nombre de copies (un site, deux sites) et la présence d'une copie hors ligne. Nos offres et leurs prix sont sur la page tarifs de la sauvegarde externalisée.
Questions fréquentes
Qu'est-ce qu'une sauvegarde externalisée ?
C'est une copie de vos sauvegardes conservée dans un autre lieu que vos systèmes de production, hors de portée d'un même sinistre (incendie, inondation, vol) et, idéalement, des mêmes comptes d'administration. Elle peut être en ligne, chez un prestataire ou sur un second site, ou hors ligne, sur un support débranché.
Quelle différence entre sauvegarde externalisée et sauvegarde hors ligne ?
Externalisée veut dire ailleurs ; hors ligne veut dire débranchée. Une copie externalisée en ligne protège d'un sinistre sur votre site, mais reste joignable par le réseau. Une copie hors ligne n'est joignable par aucun compte tant qu'elle n'est pas rebranchée. Le guide de l'ANSSI demande les deux, et juge la copie hors ligne indispensable (ou, à défaut, une copie hors site en ligne sous certaines conditions).
Faut-il chiffrer une sauvegarde externalisée ?
C'est recommandé dès que la copie est hébergée par un tiers, et c'est souvent possible côté client, avec une clé qui ne quitte pas votre infrastructure. La condition : conserver cette clé hors du système sauvegardé, car sans elle rien n'est restaurable.
Par où commencer
Dites-nous ce que vous sauvegardez et combien : nous vous orientons vers la bonne méthode, et vers une offre seulement si elle vous convient.