Cinq ans après un sinistre de centre de données

Les grandes pannes déplacent rarement la technique. Elles déplacent le vocabulaire, les questions posées en avant-vente et les lignes que les acheteurs relisent avant de signer. C'est ce qui s'est produit après mars 2021 : la profession savait déjà tout ce qu'il fallait savoir sur la redondance, mais elle a cessé de considérer que ce savoir allait de soi.

Ce qui a changé dans la lecture des zones

Le premier déplacement porte sur le mot « zone ». Une offre parlant de deux zones de disponibilité n'indique rien tant qu'on ne sait pas si ces zones partagent un bâtiment, une arrivée électrique, un local de distribution ou un système de détection incendie. La question posée aujourd'hui en avant-vente est devenue précise : quelle distance sépare physiquement les deux salles, partagent-elles une alimentation, un opérateur, un système d'extinction, et existe-t-il un scénario documenté dans lequel les deux tombent ensemble.

Le deuxième déplacement porte sur la responsabilité de la redondance. Beaucoup d'entreprises pensaient acheter de la résilience alors qu'elles achetaient une machine dans une salle. Un serveur loué reste un serveur unique, et la disponibilité d'un service ne se construit pas au niveau de l'hébergeur mais au niveau de l'architecture applicative qui répartit la charge sur plusieurs emplacements indépendants.

La sauvegarde a quitté le périmètre du fournisseur

Le troisième déplacement est le plus profond. Avant 2021, il était courant de sauvegarder chez le même fournisseur que la production, parfois dans la même salle, souvent dans le même bâtiment. La pratique devenue dominante consiste à sortir au moins une copie du périmètre du fournisseur, ce qui répond simultanément à trois risques distincts : le sinistre physique, la défaillance commerciale du prestataire, et la compromission d'un compte d'administration qui donne accès à tout ce qui est visible depuis ce compte.

Cette évolution rejoint la relecture de la règle classique de sauvegarde, que nous avons reprise dans notre analyse de la règle 3-2-1 à l'heure de l'immuabilité. Le point saillant est que la copie hors site du texte d'origine était géographique, alors que le besoin actuel est aussi contractuel et administratif.

Les clauses qui ont changé de nature

Les contrats d'hébergement plafonnent presque toujours la responsabilité du prestataire au montant des redevances versées sur une période de référence, souvent trois à douze mois, et excluent les dommages indirects, catégorie dans laquelle figure la perte d'exploitation. Ce n'est pas une anomalie, c'est la règle du marché. Ce qui a changé, c'est que les acheteurs ont cessé de découvrir ces clauses après le sinistre.

La conclusion pratique est que le risque financier d'un sinistre reste chez le client, et qu'il se traite en assurance perte d'exploitation plutôt qu'en pénalités contractuelles. Les pénalités servent à corriger une dérive récurrente de qualité, pas à réparer un événement catastrophique, ce que nous détaillons en lisant un SLA d'infogérance ligne à ligne.

Ce que la technique a retenu

Trois enseignements techniques se sont largement diffusés. Le compartimentage physique des salles, avec des parois coupe-feu réelles et des systèmes de détection indépendants, est redevenu un critère de visite plutôt qu'une mention de plaquette. Les installations à refroidissement par air libre ont fait l'objet d'une attention nouvelle sur les matériaux et les cheminements verticaux, parce qu'un bâtiment conçu pour laisser circuler l'air laisse aussi circuler autre chose. Enfin, la chaîne électrique et la chaîne de froid ont été relues ensemble : secourir l'une sans l'autre ne fait que retarder l'arrêt, mécanisme que nous décrivons dans notre analyse de la thermique en salle serveur et dans nos repères sur l'autonomie réelle d'un onduleur.

Le réflexe qui reste à acquérir

Un point n'a pas suffisamment progressé : la capacité effective à repartir ailleurs. Beaucoup d'entreprises ont ajouté une copie de sauvegarde hors fournisseur sans jamais vérifier qu'elles savaient reconstruire un environnement complet à partir de cette copie, chez un autre acteur, avec les images machines, les configurations réseau et les secrets nécessaires. C'est le sujet même de la clause de réversibilité, qui reste largement décorative tant qu'elle n'a pas été jouée une fois.

Ceux qui ont mené l'exercice signalent tous le même point de blocage, et il est réseau : rétablir des liaisons vers un site de repli demande des délais opérateur qui se comptent en semaines si rien n'a été préparé. La souplesse d'un raccordement piloté logiciellement change ici la donne, arbitrage que nous détaillons en comparant SD-WAN et MPLS. Et le format de location retenu conditionne la vitesse à laquelle on peut évacuer du matériel, comme nous l'expliquons à propos du choix entre baie entière, demi-baie et unité.