La règle 3-2-1, et pourquoi elle tient toujours
Trois copies, deux supports, une hors site. Une règle de 2005 qui reste la référence, parce que les sinistres qu'elle couvre n'ont pas changé.
Trois chiffres, une règle
La règle 3-2-1 date des années 2000 et n'a rien perdu de sa pertinence : elle décrit simplement la combinaison minimale qui survit à un incident matériel, une erreur humaine et un sinistre localisé.
copies
Au moins trois copies de vos données : la production, plus deux sauvegardes distinctes.
supports
Sur deux types de supports différents — disque local et stockage objet distant, par exemple. Deux disques du même lot tombent souvent ensemble.
hors site
Dont au moins une copie hors site : autre bâtiment, autre région. C'est elle qui survit à l'incendie, au vol et au ransomware.
Pourquoi le hors-site n'est pas négociable
Multiplier les copies ne sert à rien si elles vivent toutes au même endroit. Trois des sinistres les plus fréquents et les plus coûteux frappent le lieu, pas le fichier — et une copie hors site est la seule chose qui y survit.
Incendie
Un incendie de salle serveurs emporte toutes les copies qui s'y trouvent, quel que soit leur nombre. Trois disques dans la même armoire, c'est une seule copie face au feu.
Vol
Un cambriolage de matériel prend le serveur et le disque de sauvegarde posé à côté. Deux supports physiques dans la même pièce disparaissent ensemble en une seule intrusion.
Ransomware
Un ransomware chiffre tout ce qui est accessible depuis la machine compromise — y compris le NAS monté en permanence sur un lecteur réseau. Ce n'est pas une seconde copie, c'est un dossier de plus à chiffrer.
Le point commun aux trois scénarios : la distance compte plus que le nombre de copies. Une copie hors site, idéalement hors ligne ou dans un lieu réellement distinct, est la seule qui reste debout quand la production, le serveur et le disque de sauvegarde local sont perdus en même temps.
La variante durcie : 3-2-1-1-0
Le ransomware moderne ne se contente pas de chiffrer la production : il cherche activement les sauvegardes accessibles pour les détruire avant de déclencher le chiffrement. La règle classique ne dit rien sur ce cas précis — la variante 3-2-1-1-0 comble ce trou avec deux exigences supplémentaires.
copie immuable ou hors ligne
Un stockage qui interdit techniquement la suppression pendant une durée fixée, ou un support débranché. C'est la réponse directe au ransomware, qui détruit les sauvegardes avant de chiffrer la production.
erreur de vérification
Chaque sauvegarde est contrôlée, et une erreur d'intégrité la disqualifie. Une sauvegarde qui échoue silencieusement depuis trois mois est pire que pas de sauvegarde : elle donne un faux sentiment de sécurité.
Appliquée concrètement
La règle reste la même, mais sa traduction change selon ce qu'on protège.
Un site vitrine
Production chez l'hébergeur, une copie automatisée vers un stockage objet distant, une copie mensuelle téléchargée en local. Trois copies, deux supports, une hors site.
Un serveur
Sauvegarde locale pour la restauration rapide, réplication vers une seconde région, et une copie immuable à rétention verrouillée pour le scénario ransomware.
Une boîte mail
Le webmail n'est pas une sauvegarde : une suppression se synchronise partout. Il faut un export régulier vers un stockage indépendant du fournisseur.
Les erreurs qui annulent la règle sans qu'on s'en rende compte
Appliquer la lettre de la règle 3-2-1 ne suffit pas : chacun de ces cas coche les trois chiffres sur le papier tout en laissant les données exposées au même sinistre unique.
- ✗ La deuxième copie est sur le même disque physique, dans un autre dossier.
- ✗ Le NAS de sauvegarde reste monté en permanence sur la machine sauvegardée.
- ✗ Les deux disques de sauvegarde viennent du même lot et vieillissent ensemble.
- ✗ La copie « hors site » est dans le même bâtiment, un étage plus haut.
- ✗ Personne n'a vérifié depuis des mois que les tâches de sauvegarde s'exécutent encore.
Questions fréquentes
Pourquoi une copie hors site est-elle indispensable ? +
Parce que les trois sinistres les plus coûteux frappent le lieu, pas le fichier. Un incendie de salle serveurs emporte toutes les copies qui s'y trouvent, quel que soit leur nombre. Un vol de matériel prend le serveur et le disque de sauvegarde posé à côté. Et un ransomware chiffre tout ce qui est accessible depuis la machine compromise, y compris le NAS monté en permanence sur un lecteur réseau. Une copie hors site, idéalement hors ligne, est la seule qui survit à ces trois scénarios.
Que signifie la variante 3-2-1-1-0 ? +
Elle ajoute deux exigences à la règle classique. Le premier « 1 » supplémentaire impose qu'une copie soit immuable ou hors ligne : soit un stockage qui interdit techniquement la modification et la suppression pendant une durée fixée, soit un support débranché. C'est la réponse directe au ransomware, qui cherche à détruire les sauvegardes avant de chiffrer la production. Le « 0 » impose zéro erreur lors des vérifications : une sauvegarde qui remonte une erreur d'intégrité compte pour inexistante.
Un NAS chez moi suffit-il comme copie hors site ? +
Il compte comme un second support, et comme un hors-site si les locaux sont réellement distincts de ceux du serveur. Mais attention au point qui annule tout le bénéfice : s'il est monté en permanence sur la machine sauvegardée, un ransomware l'atteint comme n'importe quel dossier. Pour qu'un NAS joue réellement son rôle, il faut inverser le sens de la connexion : c'est le NAS qui vient chercher les données en pull, à l'heure de la sauvegarde, sans que la machine sauvegardée ait le moindre accès en écriture sur les copies stockées. Une configuration append-only, où la source peut ajouter des fichiers mais ne peut ni les écraser ni les supprimer, offre la même garantie.
Mettre la règle 3-2-1 en place chez vous
On audite l'existant, on referme les trous (support unique, NAS monté en permanence, absence de copie immuable) et on documente la restauration.
Devis mise en place de sauvegarde