Contexte / Besoin

Avant de transférer l’intégralité de mes données sur mon infrastructure auto-hébergée, je me suis donc fixé comme priorité de mettre en place une véritable stratégie de sauvegarde : fiable, chiffrée et indépendante du matériel qui héberge mes services. Cela n’avait pas de sens de vouloir transférer mes données personnelles sur une infrastructure non sauvegardée.

Mon objectif est de me rapprocher d’une logique 3-2-1 : 3 copies de la donnée, sur 2 supports différents, dont 1 copie hors site.

Pour cela, j’utilise Duplicati, un logiciel open-source de sauvegarde qui chiffre les données côté client avant tout envoi, avec une planification automatique et une gestion fine des versions (rétention, sauvegarde incrémentale). Il envoie actuellement mes données critiques (configurations, bases de données, documents) vers un Object Storage situé en France, afin de rester dans une optique de souveraineté numérique.

Cette solution fonctionne bien, mais je fais évoluer ma stratégie vers un modèle à plusieurs niveaux, pour limiter les points de défaillance uniques (SPOF) :

  1. Sauvegarde locale — sur un support de stockage dédié dans mon NAS, pour une restauration rapide en cas d’incident mineur (suppression accidentelle, corruption)
  2. Sauvegarde chez un tiers de confiance — réplication chiffrée vers le NAS d’un ami, via un tunnel VPN (WireGuard), pour une copie hors site sans exposer directement son NAS sur Internet et sans dépendre uniquement d’un service cloud et j’héberge ses sauvegardes en contre partie.
  3. Sauvegarde cloud — conservation de l’Object Storage comme copie finale, pour couvrir un scénario de perte totale (incendie, vol, sinistre)

Stack utilisée

Logo Duplicati Duplicati - outil de sauvegarde chiffrée et planifiée
Logo Scaleway Object Storage - stockage hors site
Logo Truenas CE Hébergement de l'application
Logo Nginx Proxy Manager Plus Reverse proxy

Sécurité

  • Chiffrement des sauvegardes côté client avant tout envoi (AES-256), garantissant qu’aucun tiers ne peut accéder aux données en clair
  • Sauvegardes incrémentales avec rétention configurée, limitant l’exposition en cas de corruption ou de suppression accidentelle
  • Hébergement du stockage cloud en France (conformité RGPD)
  • (à venir) Transfert vers le NAS distant exclusivement via tunnel VPN chiffré (WireGuard), sans exposition directe de service sur Internet

Évolutions prévues

  • Ajout d’une sauvegarde locale intermédiaire avant l’envoi cloud
  • Réplication chiffrée vers un NAS distant chez un tiers de confiance, via tunnel WireGuard
  • Mise en place de tests réguliers de restauration, pour valider que les sauvegardes sont réellement exploitables en cas d’incident

Résultat

  • Sauvegarde automatisée et chiffrée de bout en bout de mes données critiques
  • Copie hors site fonctionnelle, indépendante de mon matériel local
  • Stratégie en cours de renforcement vers un modèle 3-2-1 complet