Sauvegardes automatiques : suffisent-elles à protéger un site ?

Une sauvegarde automatique est une condition nécessaire a la protection d'un site, mais elle n'est pas suffisante a elle seule si trois vérifications ne l'accompagnent pas, des vérifications que la plupart des solutions de sauvegarde par defaut ne font pas. Elle doit d'abord être stockée en dehors du serveur d'origine : une sauvegarde conservée sur le même serveur que le site disparaît avec lui en cas d'incident grave - panne matérielle chez l'hébergeur, piratage complet du serveur, erreur humaine de l'hébergeur lui-même. La règle usuelle en infogérance sérieuse est la règle dite "3-2-1" : au moins trois copies des données, sur deux supports de stockage différents, dont une copie externalisée géographiquement. Elle doit ensuite être testée régulièrement : une sauvegarde qui ne se restaure pas correctement au moment critique ne sert a rien, et ce type de défaillance ne se découvre malheureusement souvent qu'au pire moment, lors d'un incident réel ou la pression du temps rend tout diagnostic plus difficile. Un test de restauration périodique, même sur un environnement de pre-production distinct du site en ligne, permet de vérifier que la procédure fonctionne réellement de bout en bout, et pas seulement que le fichier de sauvegarde existe bien sur un serveur distant. Elle doit enfin être conservée sur plusieurs versions dans le temps, et pas seulement ecrasée a chaque nouvelle sauvegarde : en cas de compromission progressive - un code malveillant injecte discretement dans le site, par exemple, qui ne se manifeste que plusieurs semaines plus tard - il faut pouvoir revenir a une version antérieure au problème, pas seulement a la dernière sauvegarde disponible qui peut déjà contenir l'infection sans que cela soit visible immédiatement. Une quatrieme vérification, moins connue mais tout aussi importante : la sauvegarde doit couvrir a la fois les fichiers du site et la base de données qui contient son contenu réel. Beaucoup de solutions automatiques se limitent a l'un des deux, ce qui rend la restauration partielle et inutilisable en pratique au moment ou elle devient nécessaire - un site restaure avec ses fichiers mais sans sa base de données a jour, ou l'inverse, ne fonctionne tout simplement pas. L'infogérance couvre précisément cette vérification complète, que la plupart des solutions de sauvegarde automatique proposées par defaut chez les hebergeurs généralistes ne font pas de manière systématique et documentée. C'est l'un des points corriges en priorité lors de la reprise en infogérance d'un site e-commerce dont les sauvegardes existaient mais n'avaient jamais ete testées ni externalisées, une situation bien plus fréquente qu'on ne l'imagine. Pour comprendre l'ensemble des risques lies a l'absence de maintenance, voir notre réponse sur ce qui se passe quand un site n'est pas maintenu. Une cinquieme bonne pratique, moins évidente mais tout aussi déterminante : documenter précisément la procédure de restauration elle-même, étape par étape, plutot que de se fier uniquement a la mémoire de la personne qui gère habituellement les sauvegardes. En cas d'indisponibilite de cette personne au moment critique - conges, départ de l'entreprise, incident personnel - une procédure ecrite et accessible permet a n'importe quel prestataire compétent de reprendre la restauration sans perdre un temps précieux a comprendre l'architecture technique du site. La fréquence idéale de sauvegarde dépend également du rythme de mise a jour du contenu : un site institutionnel modifie rarement peut se satisfaire d'une sauvegarde hebdomadaire, tandis qu'un site e-commerce ou un blog alimente quotidiennement justifie une sauvegarde au moins journalière, pour limiter la perte de données en cas d'incident au strict minimum de contenu non sauvegarde. Un dernier point technique mérite d'être vérifie : la sauvegarde doit rester indépendante des identifiants d'accès du site lui-même. Si un pirate parvient a obtenir un accès administrateur complet au site, il peut potentiellement aussi supprimer ou corrompre les sauvegardes si celles-ci sont accessibles depuis les mêmes identifiants - un scénario qui annule totalement la protection que la sauvegarde etait censée offrir. Une architecture de sauvegarde bien concue isole donc les accès de sauvegarde des accès d'administration courante du site. La localisation géographique de la sauvegarde constitue un critère technique souvent ignoré par les entreprises qui se contentent de vérifier qu'une sauvegarde existe. Une sauvegarde stockée sur le même serveur physique que le site lui-même n'offre aucune protection en cas de défaillance matérielle du serveur, d'incendie du centre de données, ou de compromission globale de l'hébergement par une attaque. Une sauvegarde réellement sécurisante doit être stockée sur une infrastructure physiquement distincte, idéalement chez un prestataire différent de l'hébergeur principal du site. La fréquence de sauvegarde doit être calibrée sur le rythme réel de production de contenu du site, et non fixée arbitrairement. Un site institutionnel mis à jour une fois par mois se satisfait d'une sauvegarde hebdomadaire, tandis qu'un site e-commerce recevant des commandes en continu justifie une sauvegarde quotidienne, voire plusieurs fois par jour pour la base de données contenant les transactions. Une fréquence de sauvegarde inadaptée au rythme réel d'activité du site expose à une perte de données supérieure à ce que l'entreprise anticipe en cas d'incident. La durée de rétention des sauvegardes mérite également d'être vérifiée explicitement auprès du prestataire d'hébergement ou d'infogérance. Certains services ne conservent que les sauvegardes des sept derniers jours, ce qui ne protège pas contre une compromission découverte tardivement (un logiciel malveillant introduit discrètement et découvert seulement plusieurs semaines plus tard, une fois que toutes les sauvegardes disponibles contiennent déjà la compromission). Une politique de rétention sérieuse conserve plusieurs points de restauration étalés sur trente à quatre-vingt-dix jours, permettant de revenir à un état antérieur à la compromission même si celle-ci n'est identifiée que plusieurs semaines après son introduction initiale.