Les snapshots ne sont pas des sauvegardes

Le volume a disparu. Panne de contrôleur, un rm -rf parti d’un doigt maladroit, une migration qui a mal tourné — la cause importe peu à ce stade. Vous restez calme, parce que vous vous souvenez d’avoir pris un snapshot mardi.

Vous ouvrez la console. Le snapshot a disparu aussi.

Ça n’a jamais été une seconde copie. C’était un marque-page à l’intérieur de la chose que vous venez de perdre.

Ce qu’est vraiment un snapshot

Un snapshot, c’est un point dans le temps sur un volume vivant. La plupart des implémentations sont en copy-on-write : le snapshot ne duplique pas vos données, il consigne les blocs qui ont changé depuis sa prise et pointe vers les blocs d’origine pour tout le reste. C’est pour ça qu’il est instantané, et pour ça qu’il ne coûte presque rien à prendre.

Cette vitesse a un prix, et ce prix, c’est la dépendance. Le snapshot référence les mêmes blocs, sur le même stockage, que le volume dont il est issu. Ce n’est pas une copie — c’est une vue. Perdez le stockage sous-jacent et vous perdez le volume et tous ses snapshots d’un seul geste. La panne contre laquelle vous vous protégiez est précisément la panne qui emporte les deux.

Rien de tout ça ne rend les snapshots mauvais. Ils excellent dans le travail qu’ils font réellement. Prenez-en un avant une montée de version du kernel, un changement de schéma risqué, une migration dont vous n’êtes pas sûr. Revenez en arrière en quelques secondes quand ça tourne mal. C’est un vrai superpouvoir et vous devriez vous en servir en permanence.

C’est juste que ce n’est pas une protection. C’est un undo.

Ce qu’est vraiment une sauvegarde

Une sauvegarde est une copie autonome qui ne référence pas l’original. Une archive séparée, écrite ailleurs, restaurable sur une machine qui n’existait pas au moment où la sauvegarde a été faite. Supprimez le volume source, brûlez l’hôte, perdez la baie entière — l’archive reste une archive, et elle se restaure toujours.

Ça vous donne un test unique, et c’est le seul qui mérite d’être mémorisé :

Si ça ne peut pas survivre à la destruction de la chose que ça protège, ce n’est pas une sauvegarde.

Passez votre stratégie de protection des données à travers cette phrase. La plupart de ce que les gens appellent des sauvegardes n’en ressort pas.

Pourquoi toutes les consoles brouillent la frontière

Regardez comment ces deux choses vous sont présentées. Même barre latérale, en général sous un intitulé du genre « Protection des données ». Deux boutons qui se ressemblent. L’un est instantané et quasi gratuit ; l’autre est lent et facturé au compteur. L’interface laisse entendre qu’il s’agit de deux gammes du même produit — l’enregistrement rapide et l’enregistrement lent, l’express et le standard.

Ce ne sont les deux gammes de rien du tout. Ils vivent dans des domaines de panne différents, et c’est la seule propriété qui compte le jour où vous en avez vraiment besoin.

Personne ne vous ment tout à fait. Ils ont juste construit une mise en page qui insinue à leur place, et vous laissent tirer l’évidente mauvaise conclusion.

La restauration que personne n’a lancée

Voici la vérité la plus rude : aucun des deux n’est une protection tant que vous n’en avez pas restauré un.

Une sauvegarde que vous n’avez jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. Les archives non testées échouent de manières ternes et précises — un volume qui n’a jamais été inclus, une archive tronquée, une base de données qu’il fallait figer et qui a encaissé à la place une écriture déchirée au beau milieu d’une transaction. Vous découvrirez laquelle vous concerne le pire jour de votre trimestre, au moment précis où vous n’avez aucune marge pour improviser.

Alors restaurez-en une. Pas un checksum, pas une coche verte « backup completed » — une vraie restauration, sur une machine jetable, démarrée, avec une session ouverte, des requêtes lancées. Une fois par trimestre. Mettez-la au calendrier comme un exercice incendie, parce que c’est exactement ce que c’est.

Ce que nous faisons à la place

Nous gardons les deux séparés, parce qu’ils sont séparés.

Un snapshot chez Kaligon est un état à un instant donné de votre VM, conservé sur le même stockage que le disque, avec la RAM en option. Instantané, pas cher, fait pour le rollback. Nous l’appelons un snapshot, et nous ne l’appelons pas une protection.

Une sauvegarde est un fichier d’archive séparé, pas un pointeur vers votre disque vivant. Elle a sa propre rétention, elle peut tourner sur un planning, et elle se restaure sur une nouvelle machine après la disparition de l’originale.

Les deux apparaissent dans le panel comme exactement ce qu’ils sont. Aucun n’est déguisé en l’autre, et nous n’allons pas les ranger derrière un bouton unique baptisé « Protéger » pour que le produit ait l’air plus simple que la physique.

Un avertissement que nous préférons que vous teniez de nous : une sauvegarde posée dans la même région que la chose qu’elle protège n’est pas un plan pour la perte de cette région. Si la panne régionale fait réellement partie de votre modèle de menace, sortez une copie. Le trafic sortant est à un tarif forfaitaire unique que vous pouvez lire sur la page tarifs, donc garder votre propre copie ailleurs n’est pas puni à la frontière.

Prenez des snapshots. Ils sauveront votre après-midi.

Faites des sauvegardes. Elles sauveront votre entreprise.

Simplement, ne vous trompez jamais sur lequel des deux vous venez de prendre.