Stratégies : sauvegarde, réplication, actif-actif
Comparer les stratégies de reprise (sauvegarde, réplication, actif-actif) selon les objectifs RTO/RPO du service.
À retenir
- RTO et RPO sont définis par le métier et guident le choix d'architecture, pas l'inverse.
- Sauvegarde (perte de données) et réplication (perte de site) répondent à des risques différents et complémentaires.
- Une sauvegarde immuable et déconnectée reste indispensable même en actif-actif.
- L'actif-actif élimine le temps de bascule mais introduit des contraintes de cohérence et de latence.
Choisir une stratégie selon RTO et RPO
Le RTO (Recovery Time Objective) fixe la durée maximale d'indisponibilité tolérée, le RPO (Recovery Point Objective) la perte de données maximale acceptable. Ces deux curseurs, définis par le métier et non par l'IT, déterminent l'architecture de reprise à construire — et son coût.
Panorama des stratégies
| Stratégie | RTO typique | RPO typique | Coût relatif |
|---|---|---|---|
| Sauvegarde froide (backup/restore) | Heures à jours | Heures à 24h | Faible |
| Site de secours "pilot light" | 1 à 4h | Minutes à 1h | Moyen |
| Réplication asynchrone (warm standby) | 15 à 60 min | Secondes à minutes | Moyen-élevé |
| Actif-actif multi-site | Quasi nul (bascule transparente) | Quasi nul | Élevé |
Point clé
il n'existe pas de stratégie universelle ; un même opérateur combine souvent plusieurs niveaux selon la criticité de chaque service (facturation, supervision réseau, portail client).
Sauvegarde et réplication : deux logiques différentes
La sauvegarde protège contre la perte de données (corruption, suppression, ransomware) via des copies périodiques, généralement hors ligne ou immuables. La réplication protège contre l'indisponibilité d'un site en maintenant une copie active des données sur un second site. Confondre les deux est une erreur fréquente : une réplication synchrone reproduit aussi instantanément une corruption ou un chiffrement malveillant sur le site secondaire.
Attention
une réplication seule ne remplace jamais une sauvegarde immuable et déconnectée (air-gapped) — c'est la seule protection efficace contre un ransomware qui chiffre les deux sites simultanément.
Actif-actif : la promesse et ses pièges
L'architecture actif-actif répartit la charge en continu sur au moins deux sites, chacun capable d'absorber la totalité du trafic en cas de perte de l'autre. Elle élimine le temps de bascule mais exige une cohérence des données distribuée (résolution de conflits, latence inter-site) souvent sous-estimée en conception.
Sur le terrain
sur un déploiement actif-actif entre deux data centers distants de 40 km, une latence réseau de 2 ms suffit à dégrader les performances d'une base transactionnelle si la réplication est synchrone ; beaucoup d'opérateurs optent finalement pour un actif-actif applicatif (répartition de charge) combiné à une réplication de données asynchrone.
Scénario d'exercice tabletop
Un client B2B critique subit une panne totale du site primaire à 09h00. RTO contractuel : 30 minutes. Équipe réunie en 10 minutes : quelle stratégie était en place ? Le pilot light était-il testé au cours des 90 derniers jours ? Qui décide de déclencher la bascule et sur quel critère mesurable (perte de ping > 5 min, alerte SLA) ?
Astuce
documentez pour chaque service un tableau RTO/RPO cible vs RTO/RPO réel mesuré lors du dernier test — l'écart entre les deux est souvent plus instructif que la cible elle-même.
Point clé
le choix de stratégie doit être révisé à chaque évolution significative du service, pas figé au moment de sa conception initiale.