Un centre de données a brûlé en France. Une partie des données n'est jamais revenue.

Peu après minuit, le 10 mars 2021, une alarme incendie s'est déclenchée sur un campus de centres de données à Strasbourg, en France. En quelques heures, l'un des quatre bâtiments du site — SBG2, un hall de béton de cinq étages rempli de serveurs — brûlait sans aucun contrôle. Les pompiers de toute la région l'ont combattu toute la nuit. À l'aube, SBG2 n'était plus qu'une ruine.

Ce n'était pas un hébergeur de pacotille. C'était OVHcloud, l'un des plus grands fournisseurs de cloud d'Europe, avec des millions de clients. Octave Klaba, le fondateur de l'entreprise, a passé la nuit à publier des messages sur Twitter, parce qu'aucun communiqué de presse ne pouvait aller assez vite pour ce qui était en train de se passer. Il a prévenu les clients sans détour : activez vos plans de reprise d'activité. Au matin, des millions de sites web étaient éteints — services publics, serveurs de jeux, petites entreprises, projets personnels. Et pour un nombre significatif de clients, quelque chose de pire : leurs données avaient tout simplement disparu. Pas temporairement inaccessibles. Disparues.

Le cloud, il se trouve, n'est pas un nuage. C'est un bâtiment. Et les bâtiments brûlent.

Le cloud est un bâtiment

Nous parlons du « cloud » comme s'il s'agissait de météo — diffuse, partout, à l'abri des catastrophes locales. La métaphore fait discrètement le jeu de l'industrie, parce qu'elle suggère que ce qu'on ne peut pas vraiment toucher ne peut pas vraiment casser. Mais chaque fichier que vous « mettez dans le cloud » repose sur un disque qui tourne ou sur une puce mémoire, dans une pièce précise, dans un bâtiment précis, dans une rue précise. Ce bâtiment a un toit, une alimentation électrique, une salle de batteries et — comme Strasbourg l'a démontré — une charge calorifique.

Les centres de données sont protégés contre l'incendie avec un soin extraordinaire : systèmes d'extinction au gaz, compartimentage, alimentations redondantes, batteries capables de porter la charge si le réseau tombe. Le campus d'OVH ne faisait pas exception ; c'était une installation moderne et bien tenue. Et pourtant, le feu a pris. Pourtant, il s'est propagé. Pourtant, un bâtiment entier a été perdu. Les enquêteurs ont passé des mois sur la cause, en se concentrant sur les systèmes électriques du bâtiment — les mêmes systèmes qui maintiennent les serveurs en vie sont, dans une mauvaise heure, ceux qui peuvent les tuer. Cette ironie n'est pas propre à OVH. Tout centre de données concentre une énergie électrique énorme en un seul lieu, parce que c'est ce qu'exige l'informatique à grande échelle. La concentration est le modèle économique. La concentration est aussi le risque.

Ce qui a brûlé, et ce qui n'est pas revenu

Voici ce que les gens comprennent mal : les clients qui ont perdu leurs données définitivement ne les ont pas perdues parce qu'OVH aurait été négligent. Beaucoup les ont perdues parce que leurs sauvegardes se trouvaient dans le même bâtiment.

Une sauvegarde qui vit dans la même installation que l'original n'est pas une sauvegarde. C'est une deuxième copie qui attend le même incendie. Quand SBG2 a brûlé, les clients dont la redondance se résumait à « un autre rack dans SBG2 » ont découvert que redondance et duplication ne sont pas la même chose. La vraie duplication, c'est la séparation — un autre bâtiment, un autre réseau électrique, un autre mode de défaillance. Un nombre significatif de clients d'OVH n'avaient jamais fait cette séparation, parce que le fournisseur rendait facile le fait de ne pas y penser. Tout était dans un seul tableau de bord, une seule facture, un seul endroit. La commodité avait silencieusement remplacé la résilience.

La vérité inconfortable de cet incident, c'est que pour la plupart des gens, la technologie a fonctionné exactement comme elle avait été conçue. SBG3 et SBG4, sur le même campus, ont été arrêtés préventivement puis restaurés par la suite. Les clients qui disposaient de copies hors site ont reconstruit. Ceux qui ont tout perdu l'ont perdu à cause d'une hypothèse, pas d'un dysfonctionnement : l'hypothèse qu'une installation professionnelle est, à elle seule, une garantie.

Elle ne l'est jamais. Une garantie est un processus, pas un lieu.

La règle du 3-2-1, et le « 1 » que personne ne fait

L'industrie du stockage a un mantra pour exactement ce scénario. On l'appelle 3-2-1 : conservez trois copies de vos données, sur deux types de supports différents, avec une copie hors site. Tout le monde dans le métier sait le réciter. Presque aucun particulier ne le suit vraiment.

Les deux premiers volets sont faciles. Trois copies, deux types de supports — c'est un disque dur et une synchronisation cloud, ou un NAS et un disque externe. Les gens arrivent jusque-là. C'est le dernier « 1 » — la copie hors site, physiquement séparée, idéalement hors ligne — qui est discrètement sauté. Il est sauté parce que c'est la seule partie de la règle qui exige un effort continu : un deuxième lieu, une routine, quelqu'un qui s'occupe de la copie quand vous n'y pensez pas.

Ce « 1 » sauté est précisément ce que Strasbourg a puni. Les clients qui l'avaient ont reconstruit en quelques jours. Les autres, non. La règle se moque de savoir si la menace est un incendie, une inondation, un rançongiciel ou une pelleteuse à travers une tranchée de fibre optique. Tout ce qui lui importe, c'est de savoir si vos copies partagent le même destin.

« Mais mon fournisseur s'en occupe »

L'objection la plus fréquente que nous entendons ressemble à ceci : un fournisseur sérieux réplique sûrement entre régions, donc je n'ai pas à y penser. Parfois, c'est vrai — si vous l'avez payé, configuré et vérifié. Mais beaucoup de gens sont sur l'offre par défaut, où la réplication signifie « à l'intérieur du campus », et le campus est, comme nous l'avons établi, un bâtiment.

Il y a un problème plus profond à externaliser entièrement la réflexion. Quand le fournisseur s'occupe de tout, vous cessez de poser des questions — quelle version se trouve où, quel âge a la copie hors site, quelqu'un a-t-il testé une restauration cette année. Le tableau de bord du fournisseur est au vert, donc tout doit aller bien. Les tableaux de bord sont au vert jusqu'au moment où ils ne le sont plus. Après l'incendie, certains clients d'OVH ont découvert que leur configuration « géo-redondante » n'avait jamais été ce qu'ils imaginaient. L'écart entre ce que les gens croient que leur installation fait et ce qu'elle fait réellement — c'est là que les données vont mourir.

Voilà pourquoi les vieux de la vieille du stockage sont ennuyeusement attachés à la vérification. Faites confiance au bâtiment du fournisseur ; vérifiez vos propres copies. La version artisanale de la règle : si vous n'avez pas personnellement confirmé qu'une copie existe quelque part où un seul incendie ne peut pas l'atteindre, vous n'avez pas de sauvegarde. Vous avez un espoir.

Il faut quelqu'un dont le métier est de s'en souvenir

Sénèque écrivait qu'il faut s'attendre au malheur et le prévoir — non par pessimisme, mais parce que prévoir est ce qui transforme une catastrophe : d'une fin, elle devient une interruption. L'incendie d'OVH est une étude de cas de cette distinction. Pour les clients qui avaient une vraie copie hors site, le 10 mars a été une semaine terrible, puis c'était fini. Pour ceux qui n'en avaient pas, c'était une fin.

La leçon n'est pas « n'utilisez pas le cloud ». Le cloud est un bon outil pour l'accès et la collaboration. La leçon, c'est que tout ce que vous ne pouvez pas vous permettre de perdre a besoin d'une copie qui ne partage aucun destin avec l'original — autre bâtiment, autre réseau électrique, autre modèle de menace — et d'une routine qui maintient cette copie en vie : la mettre sous tension périodiquement, la vérifier, la remplacer avant que le support ne vieillisse.

Presque personne ne fait cette routine soi-même, parce que tout l'intérêt d'une sauvegarde est de ne plus y penser. C'est le paradoxe, et c'est pourquoi la garde existe comme métier. Pas un tableau de bord, pas un client de synchronisation — une personne, dans un bâtiment que vous n'avez jamais visité, dont le travail entier est cet entretien sans gloire : numéroter, sceller, photographier, inspecter les scellés deux fois par an, consigner — et ne vérifier le support lui-même que lorsque son propriétaire le demande, par écrit. Le « 1 » du 3-2-1, fait par quelqu'un qui ne fait rien d'autre.

Le feu a appris aux clients de Strasbourg ce que les anciens savaient déjà. Le cloud est un bâtiment. Les bâtiments brûlent. Prévoyez en conséquence.

Everkeep assure la garde hors ligne de disques chiffrés que vous possédez et chiffrez vous-même. Chaque emplacement inclut des contrôles d'état deux fois par an — scellés inspectés, photographiés et consignés ; votre disque n'est jamais mis sous tension, sauf si vous le demandez par écrit. Deux copies, deux lieux distincts. 199 $/an par emplacement.