Infrastructure : où vivent vos données, et combien de temps pour partir

L’infrastructure est l’endroit où vivent vos données : un serveur dans une pièce, un espace loué chez quelqu’un d’autre, un boîtier de stockage et ses copies. C’est la seule famille de ce pilier qui ne produit rien que l’on puisse montrer à un visiteur.

C’est aussi celle où une erreur se paie le plus longtemps. Un mauvais ordinateur se remplace en une journée ; un mauvais choix d’hébergement se traîne pendant des années, parce que les données ont été écrites dans un format qui appartient à celui qui les héberge.

La comparaison que l’on nous demande de faire est presque toujours la mauvaise : local ou cloud, tel prix contre tel prix. La question qui décide vraiment est ailleurs, et cet article n’a qu’un objectif — la mettre à la place de l’autre.

Elle tient en une phrase : combien de jours faut-il pour partir, et de qui faut-il l’accord ? Les trois pages sous celle-ci — l’hébergement, le serveur, le stockage et ses copies — se classent correctement dès que cette question passe devant le prix.

Le débat local contre hébergé est une comparaison de factures, et il ne se tranche pas parce qu’il oppose deux choses qui ne se paient pas au même moment : un achat contre un loyer.

Remplacez-le par une seule question et il se tranche tout de suite : si vous décidiez demain de changer de fournisseur, combien de jours faudrait-il, qui devrait donner son accord, et dans quel format récupéreriez-vous ce qui est à vous ?

Cette question a l’avantage de se répondre aujourd’hui, gratuitement, et de produire un nombre. Trois jours, trois semaines, ou « personne ne sait » — et « personne ne sait » est une réponse en soi, la plus fréquente et la plus coûteuse.

Elle range aussi les trois pages sous celle-ci sans discussion. Un serveur qui vous appartient a un délai de sortie court et un coût d’entretien élevé ; un service loué a l’inverse ; un stockage local avec des copies ailleurs est le compromis que nous recommandons le plus souvent parce qu’il garde les deux sorties ouvertes.

Une chose ne se rattrape pas : un format de données propriétaire. Le jour où vos dix ans de facturation n’existent que dans la base d’un éditeur qui refuse l’exportation, le délai de sortie n’est plus long, il est infini, et aucune somme ne le raccourcit.

Une seule règle survit à toutes les modes de cette famille, et elle est antérieure à l’informatique : ce qui n’existe qu’à un endroit n’existe pas de façon fiable. Le reste est une question de mise en œuvre.

Ailleurs veut dire un autre bâtiment, pas une autre armoire. Un vol, un incendie et une inondation emportent la pièce entière, et la copie posée à côté du serveur a exactement la même adresse que l’original. Nous voyons cette configuration partout et elle est présentée comme une sauvegarde.

Le cas particulier local mérite d’être dit franchement : quand la connexion sortante est étroite, envoyer une copie complète chaque nuit n’est pas réaliste. La réponse n’est pas d’abandonner, c’est de séparer — ce qui change tous les jours part par la ligne, ce qui est volumineux et stable part sur un disque que quelqu’un emporte.

Ce disque emporté est une infrastructure, même s’il ne ressemble pas à un produit. Il a besoin d’une routine écrite, d’un chiffrement, d’un endroit où il dort, et d’une personne nommée. Sans ces quatre choses, il devient au bout de trois mois un disque dont personne ne sait ce qu’il contient.

La vérification, comme partout dans ce pilier, est un essai : demandez à restaurer un fichier d’il y a six semaines, aujourd’hui, sans prévenir. Ce que vous apprendrez en dix minutes vaut plus que tout ce que cette section peut écrire.

Dans beaucoup de documentations, l’alimentation est un sujet de bâtiment. Ici c’est un sujet d’infrastructure, parce que la coupure est le seul événement qui atteint en même temps le serveur, le boîtier de stockage, le commutateur et la connexion.

Ce qu’une coupure casse n’est pas le matériel, c’est l’écriture en cours. Une base de données interrompue au milieu d’une écriture peut se relever incohérente, et une incohérence est une panne qui se découvre des jours plus tard, quand les copies fautives ont déjà remplacé les bonnes.

L’onduleur ne sert donc pas à travailler pendant la coupure. Il sert à donner à la machine le temps de s’arrêter proprement, ce qui prend deux minutes et non deux heures. Un onduleur correctement configuré éteint le serveur tout seul ; un onduleur non configuré est une rallonge chère.

Trois vérifications qui ne coûtent rien et que presque personne n’a faites : la machine est-elle réellement branchée sur la sortie protégée, l’onduleur a-t-il un câble de données vers elle, et la batterie a-t-elle été testée depuis son installation ? Une batterie a une durée de vie de quelques années et elle meurt sans rien signaler.

Et la même logique s’applique à ce qui n’est pas le serveur : un commutateur non protégé coupe le réseau pendant que le serveur, lui, tourne parfaitement. Protéger la machine et laisser la couche réseau au tableau produit exactement la même journée d’arrêt.

Ce que nous refuserons : conduire une migration dont la sortie n’a pas été essayée, et livrer une sauvegarde dont la restauration n’a pas été faite devant vous. Ces deux refus suppriment de notre catalogue les deux prestations les plus faciles à vendre de cette famille.

Nous refuserons également de créer vos comptes d’hébergement, de domaine ou de licence à notre nom, même quand c’est plus rapide et même quand vous nous le demandez. C’est la commodité qui produit, quatre ans plus tard, la porte fermée décrite à la section 6.

Nous refuserons de chiffrer une disponibilité en pourcentage. Nous pouvons vous dire combien de temps nous mettons à vous remettre en marche, parce que c’est une chose que nous pouvons faire devant vous ; un pourcentage est une clause et nous n’en vendons pas.

Ce que nous faisons : le délai de reprise mesuré une fois sur vos données réelles ; la deuxième copie dans un autre bâtiment, avec un état ancien conservé ; les six comptes à votre nom avec un moyen de récupération qui vous appartient ; l’arrêt propre en cas de coupure vérifié plutôt que promis ; et une exportation ouverte devant vous avant toute signature.

Et ce que vous pouvez faire cette semaine sans nous : prenez un fichier au hasard, effacé ou modifié il y a six semaines, et demandez à le récupérer aujourd’hui. Le temps que cela prend est votre vraie infrastructure. Tout le reste de cette page ne fait que commenter ce nombre.