« Bien sûr qu'on fait des sauvegardes, c'est inclus. » Cette petite phrase apparaît dans 90 % des plaquettes commerciales d'hébergeurs. Et pourtant, le jour où vous demandez à restaurer une base de données de la veille à 14h, vous découvrez parfois que la sauvegarde n'existe pas, qu'elle est partielle, ou qu'il faudra trois jours pour vous la fournir. Voici les 5 questions à poser à votre hébergeur pour savoir, vraiment, ce que vous achetez.
1. Quelle est la fréquence réelle des sauvegardes ?
Une sauvegarde quotidienne, c'est très bien… si votre activité accepte de perdre jusqu'à 24 heures de données. Mais pour un site e-commerce qui prend 500 commandes par jour, c'est inenvisageable. Demandez précisément :
- À quelle heure la sauvegarde est-elle effectuée ? (Si c'est à 3h du matin, vous perdrez tout ce qui a été fait entre 3h et le moment du crash.)
- Existe-t-il des sauvegardes incrémentales plus fréquentes, par exemple toutes les heures pour la base de données ?
- Les fichiers et la base sont-ils sauvegardés au même moment (cohérence transactionnelle) ?
Si l'hébergeur ne sait pas répondre précisément à ces questions, c'est déjà un signal d'alarme.
2. Combien de temps sont conservées les sauvegardes ?
La rétention est le sujet le plus sous-estimé. Beaucoup d'hébergeurs ne conservent que 7 jours de sauvegardes glissantes. Or, certains incidents — corruption silencieuse, piratage discret, suppression accidentelle non détectée — peuvent ne se révéler que 2, 3 ou 4 semaines plus tard.
La bonne pratique : disposer d'un schéma de rétention combinant plusieurs horizons, par exemple :
- les 7 derniers jours, jour par jour,
- les 4 dernières semaines, une par semaine,
- les 12 derniers mois, une par mois.
Vous avez ainsi la capacité de remonter à n'importe quel moment dans le passé proche ou plus lointain.
3. Où sont stockées physiquement vos sauvegardes ?
Une sauvegarde stockée sur la même machine que la donnée d'origine ne sert à rien le jour où le disque lâche. Une sauvegarde stockée dans la même salle ne sert à rien le jour où il y a un incendie (les exemples récents ne manquent pas).
Exigez :
- un stockage hors site, idéalement dans un datacenter géographiquement distant,
- un chiffrement des sauvegardes au repos et en transit,
- une politique d'accès claire : qui peut lire vos sauvegardes côté prestataire ?
La règle d'or, c'est le fameux 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site.
4. Combien de temps pour restaurer en cas d'incident ?
C'est la question qui sépare les hébergeurs sérieux des autres. Le contrat parle peut-être de sauvegardes, mais que dit-il sur la restauration ?
- Quel est le délai garanti pour qu'une restauration soit lancée après votre demande ?
- Sur quel environnement la sauvegarde est-elle restaurée (production directe, ou environnement intermédiaire pour validation) ?
- Qui peut déclencher une restauration, et comment ? (Par téléphone ? Par ticket ? Avec quelle preuve d'identité ?)
- Y a-t-il un coût par restauration au-delà d'un certain nombre par an ?
Sur un site critique, un délai de restauration de 24 heures peut représenter des dizaines de milliers d'euros de chiffre d'affaires perdu. Mieux vaut le savoir avant qu'après.
5. Les sauvegardes sont-elles testées ?
C'est, de loin, la question la plus importante. Une sauvegarde qui n'a jamais été restaurée est un acte de foi, pas une garantie. Demandez à votre hébergeur :
- À quelle fréquence des restaurations de test sont-elles effectuées ?
- Existe-t-il un rapport que vous pouvez consulter ?
- Êtes-vous libre, de votre côté, de déclencher une restauration de test annuelle pour vérifier la chaîne ?
Beaucoup d'entreprises ont découvert, trop tard, que leurs sauvegardes étaient corrompues, incomplètes, ou impossibles à restaurer sur la version actuelle de leur stack. Un test trimestriel ou semestriel, c'est la seule façon de dormir tranquille.
Bonus : et de votre côté ?
Même avec un hébergeur exemplaire, gardez à l'esprit que vous restez co-responsable de vos données. Quelques bonnes pratiques côté client :
- faites de votre côté, ou via un outil tiers, une copie indépendante de vos données critiques (export régulier de la base, snapshot des médias),
- documentez précisément ce qui est sauvegardé et ce qui ne l'est pas (souvent, on oublie les fichiers de configuration, les certificats, les variables d'environnement),
- testez vous-mêmes une restauration au moins une fois par an, sans prévenir, comme un exercice d'incendie.
En résumé
« On fait des sauvegardes » est une promesse trop vague pour s'en contenter. Posez ces 5 questions noir sur blanc à votre hébergeur, exigez des réponses écrites, et faites tester la chaîne au moins une fois par an. C'est à ce prix que les sauvegardes cessent d'être une ligne sur un devis pour devenir une vraie garantie de continuité business.
