Pourquoi chaque client a sa propre base de données et son propre pool

Demandez à une plateforme SaaS typique comment elle stocke vos données et vous entendrez généralement une variante d’« isolation logique » — vos lignes vivent dans les mêmes tables que celles de tout le monde, séparées par un identifiant de tenant et une bonne dose d’espoir. Chez Clonext, nous avons fait un autre choix : chaque client reçoit une base de données dédiée et un pool applicatif dédié. Voici le raisonnement, et ce que ça nous coûte.

Les schémas partagés optimisent pour le fournisseur

Un schéma partagé unique est merveilleusement pratique — pour ceux qui exploitent la plateforme. Une migration met tout le monde à jour, un pool de connexions sert tout le monde, une sauvegarde couvre tout le monde. L’économie est excellente, jusqu’au jour où elle ne l’est plus : une requête folle d’un tenant dégrade la latence de tous, un bug de migration peut exposer des données à travers la frontière, et « supprimez mes données » devient un exercice d’investigation au lieu d’une opération unique et propre.

La multi-location déplace discrètement des coûts du bilan du fournisseur vers le registre des risques du client.

Ce que l’isolation veut dire ici

Quand nous disons isolé, nous le pensons au niveau de l’infrastructure, pas de la configuration.

• Base de données dédiée — vos tables, vos index, votre stockage. Pas de colonne tenant qui fait le travail de la sécurité.
• Pool applicatif dédié — vos processus, votre mémoire, votre CPU. Le pic d’un voisin n’est pas votre problème.
• Sauvegardes dédiées — chiffrées chaque nuit et restaurées contre votre seule instance.
• Votre propre domaine — DNS, TLS et e-mail configurés pour vous, de bout en bout.

Les compromis que nous acceptons

L’isolation n’est pas gratuite. Nous exploitons plus de bases de données, plus de pools et plus de jobs de sauvegarde que n’importe quelle plateforme multi-tenant, et notre automatisation doit traiter une flotte de pièces uniques comme le cas normal. Nous acceptons ce coût parce qu’il achète quelque chose d’impossible à simuler après coup : un rayon d’explosion qui s’arrête à votre frontière.

Point crucial : l’isolation ne veut pas dire prendre du retard. Comme chaque instance est construite sur le même socle éprouvé, les améliorations amont vous parviennent au rythme de la plateforme — la vélocité d’un système partagé, sans le domaine de défaillance partagé.