Sauvegarde & restauration

Avant de commencer

Pourquoi c'est LA compétence qui sauve une entreprise

Une entreprise peut survivre à un vol de matériel, pas à la perte de ses données (devis, factures, fichiers clients). Disque qui meurt, virus qui chiffre tout (ransomware), employé qui supprime un dossier par erreur : ça arrive tout le temps. La sauvegarde est le filet de sécurité. Et la moitié du métier, c'est de s'assurer qu'on peut vraiment restaurer — pas juste « avoir une copie quelque part ».

Ce que tu sauras faire à la fin

0. C'est quoi une sauvegarde ?

Une sauvegarde (backup), c'est une copie de tes données conservée à part, pour pouvoir les récupérer si l'original est perdu ou abîmé. Mot-clé : à part. Une copie sur le même disque que l'original ne protège de rien (si le disque meurt, les deux partent).

Quoi sauvegarder en priorité ?

On ne sauvegarde pas tout au même niveau. Il faut distinguer trois familles, de la plus précieuse à la plus jetable.

1. RTO & RPO : combien de temps, combien de données ?

Avant de choisir une stratégie, on chiffre deux objectifs. Ce sont les deux questions que pose toujours un chef de projet ou un client.

Exemple : si je sauvegarde chaque nuit à 20 h et que le disque meurt le lendemain à 16 h, j'ai perdu tout le travail de la journée (de 20 h à 16 h). Mon RPO réel est donc d'environ 24 h. Si ce n'est pas acceptable, je sauvegarde plus souvent (toutes les heures → RPO 1 h).

RPO = l'écart entre la dernière sauvegarde et l'incident (ce qu'on perd). RTO = le temps qu'il faut pour redémarrer après l'incident.

RTO / RPO dans la vraie vie — chiffres-repères par secteur

Ces valeurs ne sont pas des règles absolues : elles reflètent ce que la plupart des organisations de chaque type ciblent. Plus les exigences sont strictes, plus l'infrastructure (et son coût) augmentent.

2. Les types de sauvegarde

Tout sauvegarder, à fond, tous les jours, ce serait long et lourd. D'où trois stratégies.

Incrémentale = juste les changements du jour (léger, mais il faut TOUTE la chaîne pour restaurer). Différentielle = tout depuis la dernière complète (plus lourd, mais restauration en 2 temps : complète + la dernière différentielle).

Quand choisir quelle stratégie ? (cas concrets)

Volume concret — ce que ça représente

Pour qu'un chiffre soit utile, il faut le visualiser. Exemple : dossier « Documents » d'un poste de travail moyen = 10 Go.

À l'échelle d'un serveur de 1 To, les proportions restent les mêmes — seuls les temps changent (compter environ 42 minutes pour 1 To en USB 3.0, 110 minutes en réseau 1 Gbit/s). C'est pourquoi les complètes se font souvent le week-end ou la nuit.

Cas déroulé — une semaine type au labo GSB

Scénario : sauvegarde complète chaque lundi (10 Go). Modification quotidienne estimée à ~1 % des données (~100 Mo/jour). Panne le vendredi soir à 18 h.

Pour restaurer à l'état du jeudi :

3. La règle 3-2-1

La règle d'or des pros, simple à retenir et qui sauve dans la quasi-totalité des cas.

3 copies, sur 2 supports différents, dont 1 ailleurs. La copie « hors site » protège de l'incendie, du vol, du ransomware.

La variante moderne : 3-2-1-1-0

La règle classique 3-2-1 date des années 2000. Face aux ransomwares modernes, les professionnels de la sauvegarde (notamment Veeam et le NIST) ont ajouté deux critères supplémentaires.

RGPD — les obligations légales de durée d'archivage

Sauvegarder ne suffit pas : il faut savoir combien de temps garder quoi. Trop court = sanction ; trop long sans justification = violation du RGPD (minimisation des données).

4. Sur quoi sauvegarder ? Les supports comparés

Le « 2 » de la règle 3-2-1, ce sont les supports. Chacun a sa place selon le besoin (vitesse, coût, hors-site).

Comparaison vitesse de restauration — ce qui change selon le support

Pour remettre 1 To de données, voici les temps de restauration réalistes (en pratique, on compte 50 à 70 % du débit théorique) :

5. Le ransomware : pourquoi déconnecter sauve

Un ransomware (rançongiciel) est un virus qui chiffre tous tes fichiers (les rend illisibles) puis réclame une rançon pour la clé. C'est aujourd'hui la première cause de catastrophe data en entreprise.

Le piège : le ransomware ne s'attaque pas qu'à ton disque. Il cherche tout ce qui est branché ou accessible — disque externe connecté, NAS partagé, lecteur réseau. Si ta sauvegarde est branchée au moment de l'attaque, elle est chiffrée aussi.

Une sauvegarde n'est sûre face au ransomware que si elle est hors d'atteinte au moment de l'attaque : déconnectée (« air gap ») ou hors-site immuable.

Le ransomware en chiffres — réalité terrain

6. Rotation & versionning : garder plusieurs âges

Écraser sa sauvegarde chaque jour est un piège : si un fichier est corrompu (ou chiffré) lundi et qu'on s'en aperçoit jeudi, la seule sauvegarde qu'on a est… celle de jeudi, déjà pourrie. Il faut garder plusieurs âges de sauvegarde : c'est le versionning.

La méthode classique s'appelle grand-père – père – fils (GFS) : on garde des sauvegardes journalières, hebdomadaires et mensuelles, et on en retire de moins en moins en remontant le temps.

GFS : beaucoup de sauvegardes récentes (fines), de moins en moins en remontant. On peut restaurer hier… ou il y a six mois.

Calcul concret — combien de stockage pour un plan GFS ?

Exemple : serveur GSB avec 200 Go de données actives, modification quotidienne de 2 % en moyenne (≈ 4 Go/jour). Sauvegarde complète chaque vendredi soir.

7. Snapshot ≠ sauvegarde

Tu connais les snapshots de VM (revenir à un état antérieur). Très utile, mais attention au piège : un snapshot n'est pas une vraie sauvegarde.

8. Sauvegarder des fichiers (Windows)

Deux façons : l'outil graphique, et le script (plus puissant et automatisable).

Méthode 1 — Avec un script (robocopy)

Windows a un outil de copie robuste, fait pour la sauvegarde : robocopy.

robocopy C:\Donnees E:\Sauvegarde /MIR

-------------------------------------------------
   ROBOCOPY     ::     Copie de fichiers robuste
-------------------------------------------------
               Total   Copiés  Ignorés
   Répert. :       1        0        1
   Fichiers:      42       42        0
   Fin : ... Octets copiés ...

robocopy — les options qui servent vraiment

Script pro complet — recette robocopy à réutiliser

robocopy C:\Donnees E:\Sauvegarde /MIR /R:3 /W:10 /MT:8 /LOG+:E:\sav.log /NP
if %ERRORLEVEL% LEQ 3 (
    echo Sauvegarde OK >> E:\sav.log
) else (
    echo ERREUR sauvegarde : code %ERRORLEVEL% >> E:\sav.log
)

Codes de sortie robocopy — comprendre le résultat

Méthode 2 — Historique des fichiers (graphique)

Windows propose un outil automatique : Paramètres → Système → Stockage → Options de sauvegarde (ou « Historique des fichiers »). On choisit un disque externe et les dossiers à protéger ; Windows sauvegarde tout seul, régulièrement, et garde plusieurs versions (versionning intégré).

9. Restaurer (et le PROUVER)

Le moment de vérité. Une sauvegarde ne sert à rien si tu ne sais pas restaurer. On va simuler une catastrophe et récupérer.

Étape 1 — Simuler la perte

Supprime un fichier (ou tout le dossier) Donnees. Voilà, « catastrophe » : les données originales ont disparu.

Étape 2 — Restaurer depuis la sauvegarde

robocopy E:\Sauvegarde C:\Donnees /E

   Fichiers:      42       42        0
   Fin : ... Octets copiés ...

Étape 3 — Vérifier

Ouvre C:\Donnees : tes fichiers sont revenus. La restauration est réussie et prouvée.

Étape 4 — Restauration PARTIELLE (un seul fichier)

Le cas le plus fréquent : tu n'as pas tout perdu, juste un fichier écrasé ou supprimé. Inutile de tout restaurer — on ne ramène que lui.

robocopy E:\Sauvegarde C:\Donnees rapport.txt

10. Vérifier l'intégrité d'une sauvegarde

Une sauvegarde peut être corrompue sans qu'on le voie : secteur de disque défectueux, copie interrompue, archive incomplète. On ne s'en aperçoit qu'au moment de restaurer… trop tard. D'où la vérification d'intégrité.

Méthode A — L'empreinte (checksum)

Une empreinte (hash) est une « signature » calculée à partir du contenu d'un fichier. Même contenu → même empreinte. Si l'empreinte de la sauvegarde diffère de celle de l'original, le fichier a été abîmé.

Sous Windows :

certutil -hashfile E:\Sauvegarde.zip SHA256

Hachage SHA256 de E:\Sauvegarde.zip :
9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08
CertUtil : -hashfile s'est terminée correctement.

Sous Linux :

sha256sum sauvegarde.tar.gz

9f86d081884c7d659a2feaa0c5...  sauvegarde.tar.gz

SHA-256 vs MD5 — lequel choisir et pourquoi

Workflow complet — stocker et comparer l'empreinte

La bonne pratique est de calculer et stocker l'empreinte au moment de la sauvegarde, pour la comparer bien plus tard.

# Étape 1 — Au moment de la sauvegarde : calculer ET stocker
sha256sum sauvegarde.tar.gz > sauvegarde.tar.gz.sha256

# Le fichier .sha256 contient :
# 9f86d081884c7d659a2feaa0c55ad015a3bf4f1b...  sauvegarde.tar.gz

# Étape 2 — Des semaines plus tard, pour vérifier :
sha256sum --check sauvegarde.tar.gz.sha256

# Si l'archive est intacte :
sauvegarde.tar.gz: OK

# Si l'archive a été modifiée (ne serait-ce qu'un seul bit) :
sauvegarde.tar.gz: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

Méthode B — Tester l'archive directement

Pour une archive tar.gz, on peut demander à la lire sans l'extraire : si elle se lit jusqu'au bout, elle est saine.

tar -tzf sauvegarde.tar.gz

11. Sauvegarder une machine entière (VM)

On peut sauvegarder une VM complète (système + données) en l'exportant dans un fichier unique.

1. VM éteinte, dans VirtualBox : Fichier → Exporter un appareil virtuel.
2. Choisis la VM, un emplacement, et le format OVA.
3. Tu obtiens un fichier .ova : c'est ta VM entière, sauvegardée, transportable.

12. Sauvegarder côté Linux

Sous Linux, deux outils règnent : tar (archiver) et rsync (synchroniser).

Archiver un dossier — tar

tar -czvf sauvegarde.tar.gz /home/marc/donnees

donnees/
donnees/rapport.txt
donnees/photo.jpg

Sauvegarde datée (versionning)

tar -czvf sauvegarde-$(date +%F).tar.gz /home/marc/donnees

donnees/
donnees/rapport.txt
# fichier produit : sauvegarde-2026-06-29.tar.gz

Extraire (restaurer) — tar

tar -xzvf sauvegarde.tar.gz

Copier intelligemment — rsync

rsync -av /home/marc/donnees/ /media/sauvegarde/

sending incremental file list
rapport.txt
photo.jpg
sent 1,204 bytes  received 38 bytes

Sauvegarde vers un serveur distant — rsync par SSH

rsync peut envoyer une sauvegarde vers un serveur distant via SSH — la connexion est chiffrée, aucun outil supplémentaire n'est nécessaire. C'est la méthode standard pour la copie hors-site automatisée vers un serveur ou un NAS distant.

rsync -av --delete /home/marc/donnees/ marc@serveur-gsb.lan:/backups/donnees/

sending incremental file list
rapport.txt
photo.jpg
sent 45,231 bytes  received 89 bytes  12,093.33 bytes/sec
total size is 44,800  speedup is 0.99

Limiter la bande passante — option utile en production

rsync -av --bwlimit=5000 /home/marc/donnees/ /media/sauvegarde/

13. Automatiser : la sauvegarde qui se fait seule

Une sauvegarde qu'on oublie de lancer ne sert à rien. On la planifie pour qu'elle parte automatiquement.

Côté Windows — le Planificateur de tâches

Tape Planificateur de tâches dans Démarrer → Créer une tâche de base → donne un nom, un déclencheur (ex. tous les jours à 20 h), et l'action : lancer ton script de sauvegarde (le .ps1 de la séance scripting !).

Côté Linux — cron

crontab -e

0 20 * * * tar -czf /media/sav/sauvegarde.tar.gz /home/marc/donnees

Référence rapide — syntaxe cron complète

Les 5 champs d'une ligne cron : minute heure jour-du-mois mois jour-de-semaine. Le * signifie « tous les valeurs possibles ».

14. Mini-projet : le plan de sauvegarde GSB

On joue le rôle d'un technicien chargé de protéger les données d'un service du laboratoire GSB. Mission complète.

La mission

1. Crée un dossier gsb-donnees avec 4-5 fichiers (les « données de l'entreprise »).
2. Écris (ou réutilise) un script de sauvegarde qui copie ce dossier dans gsb-sauvegarde, dans un sous-dossier (ou une archive) daté du jour.
3. Lance-le. Vérifie l'intégrité (empreinte ou test d'archive) et que la sauvegarde existe.
4. Simule une catastrophe : supprime gsb-donnees.
5. Restaure depuis ta sauvegarde et prouve que tout est revenu.
6. Décris où tu placerais une copie hors site pour respecter le 3-2-1, et quel RPO ton plan garantit.

Pour finir

Ton antisèche

Vérifie tes acquis

1. Pourquoi une copie sur le même disque n'est-elle pas une vraie sauvegarde ?
2. Que mesurent le RTO et le RPO ?
3. Différence entre sauvegarde complète, incrémentale et différentielle ?
4. Énonce la règle 3-2-1 et explique le rôle de la copie « hors site ».
5. Pourquoi une sauvegarde branchée en permanence ne protège pas du ransomware ?
6. À quoi sert le versionning / la rotation grand-père-père-fils ?
7. Pourquoi un snapshot de VM n'est-il pas une sauvegarde suffisante ?
8. Comment vérifie-t-on qu'une sauvegarde n'est pas corrompue ?
9. Quelle est la règle absolue à propos des restaurations ?
10. Comment fait-on pour qu'une sauvegarde se lance toute seule chaque nuit ?

Glossaire