Une seconde copie, vérifiée octet par octet

Tout le monde a des sauvegardes. La question inconfortable est ce qu'elles vaudraient le jour où vous en aurez besoin — car entre « nous faisons des copies » et « nous pouvons vous rendre votre entreprise », il y a toute une discipline. Nous avons déjà écrit sur les restaurations testées ; ce billet traite de l'autre moitié de cette discipline : où vivent les copies, et qui les vérifie.

Deux copies sur la même étagère font une copie

La plupart des histoires de sauvegarde échouent sur la géographie. La copie vit sur le même disque, sous le même compte, avec les mêmes identifiants que ce qu'elle protège — si bien que ce qui détruit l'original (un disque qui meurt, un compte compromis, une commande tapée dans la mauvaise fenêtre) détruit la copie du même geste. Une redondance qui partage un domaine de panne, c'est de l'arithmétique, pas de la protection :

Une copie à côté de l'original n'est pas une seconde copie.

Le rythme nocturne

Chaque nuit, chaque instance emballe ses bases de données, ses fichiers et sa configuration et les expédie, chiffrés, vers son propre stockage externe — avec une rétention qui conserve sept copies quotidiennes, quatre hebdomadaires et douze mensuelles. Puis une seconde machine indépendante — matériel séparé, autre lieu, identifiants propres — entretient un miroir versionné de l'arbre entier : pas seulement la dernière copie, mais la version d'hier de chaque fichier, et celle du mois dernier. Une chose manque, délibérément : les secrets. Les identifiants ne sont jamais sauvegardés ; lors d'une restauration, ils sont régénérés — une copie ne peut donc jamais divulguer une clé.

Vérifié, octet par octet

Une sauvegarde que personne ne lit est une rumeur. Le 15 de chaque mois, nous restaurons pour de vrai et comparons le miroir octet par octet avec les copies primaires ; le 20, nous répétons la reprise après sinistre complète — une instance de production reconstruite de zéro, de bout en bout. Et le silence est traité comme une panne : chaque tâche de sauvegarde porte son dispositif d'homme mort, si bien que la copie qui, discrètement, n'a pas tourné déclenche une alarme au lieu d'une surprise. C'est une machinerie ennuyeuse, entretenue chaque mois — exactement ce que vous voulez sous votre entreprise le jour où tout va mal.