Sauvegardes et reprise
La sauvegarde quotidienne de votre instance, ce qu'elle contient et ce qu'elle exclut, et la procédure de restauration à un instant donné.
Chaque instance Ctadel est sauvegardée une fois par jour vers un espace de stockage objet qui lui est propre, hébergé en France. La restauration est une opération manuelle de l'équipe Ctadel, à un instant choisi parmi les sauvegardes disponibles. Cette page décrit les deux procédures.
La sauvegarde quotidienne
Une tâche planifiée sur le serveur de l'instance lance la sauvegarde tous les jours à 03:00. Elle procède en quatre phases :
- Export de la base de l'instance (constats, utilisateurs, réglages, identifiants chiffrés, journal d'audit), compressé, puis vérifié.
- Copie à chaud du graphe de sécurité (l'inventaire et ses relations), compressée, puis vérifiée.
- Nettoyage : suppression des copies locales de plus de 7 jours, puis des copies distantes de plus de 30 jours.
- Verdict : si une phase a échoué, la sauvegarde est signalée en erreur à l'équipe Ctadel.
Chaque archive est envoyée dès qu'elle est prête et vérifiée : un échec de la copie du graphe n'empêche pas l'export de la base déjà produit d'être mis à l'abri. Le nettoyage distant est sauté la nuit où une phase a échoué, pour ne pas supprimer la dernière bonne sauvegarde une nuit sans nouvelle sauvegarde.
| Élément | Valeur |
|---|---|
| Heure | 03:00, heure du serveur |
| Destination | Stockage objet Scaleway, région Paris, un espace par client |
| Contenu | Un export de la base et une copie du graphe par jour |
| Rétention locale | 7 jours, sur le serveur de l'instance |
| Rétention distante | 30 jours, dans l'espace de stockage |
| Identifiants d'accès au stockage | Détenus par Ctadel, réservés à l'administration du serveur |
Ce qui n'est pas dans la sauvegarde
La clé de chiffrement des identifiants cloud n'est pas dans les archives. Elle vit dans la configuration de l'instance et dans le jeu de secrets que Ctadel conserve pour chaque client. Une restauration sur une instance créée avec une autre clé laisse chaque compte cloud en « identifiants invalides » ; la procédure de création d'une instance prévoit la réutilisation des secrets d'origine pour ce cas.
Les ordres de scan et les mises à jour en transit dans l'instance ne sont pas sauvegardés : ils sont régénérés au parcours suivant.
La restauration
La restauration se fait sur le serveur de l'instance, à la main, par l'équipe Ctadel, qui choisit la sauvegarde parmi celles disponibles : un instant précis ou la plus récente. La base et le graphe sont restaurés au même instant, après une confirmation explicite, car les données courantes sont remplacées.
- Téléchargement des deux archives et vérification de chacune avant de toucher à quoi que ce soit : une archive vide ou corrompue arrête la procédure sans rien modifier.
- Restauration de la base en une transaction unique qui s'arrête à la première erreur : un export qui ne s'applique pas entièrement est annulé et la base reste telle qu'elle était.
- Restauration du graphe : arrêt des composants qui y écrivent, extraction de l'archive à côté des données courantes, puis remplacement ; les données courantes ne sont retirées qu'une fois l'archive entièrement extraite. Si la procédure échoue alors que les composants sont arrêtés, ils sont redémarrés sur les données courantes.
- Redémarrage des composants et vérification que l'application répond, pendant une minute au plus ; sinon la procédure est signalée en erreur.
La restauration du graphe entraîne une courte indisponibilité de l'application. Le graphe, de toute façon, est regénéré depuis l'inventaire au parcours suivant.
Limites
- La copie du graphe est faite à chaud, sans garantie de cohérence transactionnelle ; c'est accepté parce que le graphe est reconstruit à chaque parcours. La sauvegarde de référence est l'export de la base.
- Une seule sauvegarde par jour : une restauration perd au plus les changements de la journée (constats, réglages, utilisateurs, journal d'audit).
- La restauration est globale : la base et le graphe au même instant, toute l'instance. Il n'existe pas de restauration partielle (un compte, un utilisateur, une période).
- La restauration n'est pas accessible depuis l'interface ; elle demande une intervention de l'équipe Ctadel sur le serveur.
- Les archives ne sont pas chiffrées avant l'envoi ; leur protection repose sur le contrôle d'accès du stockage objet, dont la clé est détenue par Ctadel et commune aux instances (voir Sécurité du service). Les identifiants cloud qu'elles contiennent restent chiffrés avec la clé de l'instance, absente des archives.
- L'alerte d'échec part vers l'équipe Ctadel, pas vers vos canaux ; l'application ne montre pas l'état des sauvegardes.
- La sauvegarde n'est pas suivie par la carte « État du système » : une tâche planifiée qui ne s'exécute pas du tout, sans erreur, n'est détectée que par Ctadel.