Créer une sauvegarde hors ligne sécurisée (air-gapped) en moins d’une heure : tutoriel express

Une sauvegarde hors ligne, dite air-gapped, consiste à conserver une copie de vos données sur un support physiquement déconnecté de tout réseau et de toute machine en dehors de la fenêtre de sauvegarde. L’objectif est de garder une copie inaccessible à un ransomware, à un compte cloud compromis ou à une suppression accidentelle. Pour une PME, il est réaliste de mettre en place une première sauvegarde air-gapped en moins d’une heure sur un périmètre réduit, à condition d’adopter une méthode simple, reproductible et de viser d’abord la continuité d’activité plutôt que l’exhaustivité.

Ce que vous allez obtenir en 60 minutes (et ce que ce n’est pas)

Ce guide vise une solution pragmatique : un support dédié et chiffré, une procédure de copie fiable, une déconnexion systématique après la copie et un minimum de vérifications pour éviter la fausse impression de sécurité. L’idée n’est pas de concevoir une stratégie complète de sauvegarde avec rotation multi-sites, supervision, objectifs RPO/RTO formalisés, immutabilité ou tests automatisés, mais de poser un socle solide qui réduit immédiatement le risque opérationnel, puis d’itérer.

Il est essentiel de garder en tête qu’« air-gapped » ne signifie pas « infaillible ». Une sauvegarde hors ligne peut être inutilisable si elle est incomplète, corrompue, mal chiffrée, ou si la procédure de restauration n’est pas maîtrisée. La valeur d’une sauvegarde se mesure au moment où l’on restaure, pas au moment où l’on copie.

Choisir le bon média : disque, SSD ou clé USB ?

Le support compte autant que la procédure, car une sauvegarde hors ligne est souvent manipulée, transportée et stockée. Un HDD externe offre un excellent rapport capacité/prix, particulièrement au-delà de 1–2 To, mais il reste plus sensible aux chocs et aux manipulations. Un SSD externe est plus rapide et généralement plus robuste aux impacts, ce qui le rend très confortable pour des sauvegardes régulières, au prix d’un coût plus élevé par téraoctet. La clé USB est utile pour un petit périmètre critique ou des éléments de reprise, mais sa fiabilité est très variable et elle s’égare plus facilement ; elle doit rester un complément plutôt qu’un support principal.

Pour démarrer en entreprise, un SSD externe si le budget le permet ou un HDD externe si le volume est important est un choix pertinent. Dans tous les cas, il faut éviter l’erreur la plus fréquente : considérer « hors ligne » un disque qui reste branché en permanence. Si le poste ou le serveur est compromis, le support connecté l’est souvent aussi.

Chiffrer le support : VeraCrypt (Windows/macOS/Linux) ou LUKS (Linux)

Une sauvegarde hors ligne n’est pas automatiquement sûre : si le support est volé, oublié dans un sac ou perdu, les données doivent rester illisibles. Le chiffrement du support est donc indispensable, et il doit être mis en place avant la première copie. Il faut également proscrire toute réutilisation de mot de passe : la phrase de passe du support doit être unique, longue et gérée comme un secret critique.

Sur un environnement hétérogène, VeraCrypt est une option pratique car elle fonctionne sur Windows, macOS et Linux et permet de ne monter le volume chiffré que pendant la copie. Sur Linux, LUKS/dm-crypt reste la référence : robuste, standard et adapté à un montage/démontage strictement limité à la fenêtre de sauvegarde. Dans les deux cas, la procédure doit être documentée pour éviter qu’une seule personne ne détienne la capacité de restaurer, tout en conservant des accès restreints.

Tutoriel express : mettre en place la sauvegarde air-gapped en moins d’une heure

Étape 1 — Préparer le périmètre (5–10 min)

Commencez par définir ce qui est réellement critique pour redémarrer : documents partagés, comptabilité, exports ERP/CRM, contrats, modèles, scripts, éléments de configuration, ou encore tout ce qui permet de reconstruire un système ou de relancer la facturation. Fixez ensuite un « point de vérité » clair, comme un serveur de fichiers, un NAS ou un poste dédié qui agrège les données. Si le volume est important, privilégiez un périmètre « reprise d’activité » plutôt que la tentation de tout sauvegarder d’un coup, ce qui augmente le risque d’échec ou d’abandon.

Étape 2 — Initialiser le support chiffré (15–25 min)

Chiffrez le support avec VeraCrypt ou LUKS, puis donnez-lui un nom explicite afin d’éviter toute confusion opérationnelle. Créez une arborescence simple et stable, pensée pour la restauration, et pas seulement pour le rangement. Assurez-vous que la phrase de passe est stockée selon une procédure d’entreprise : idéalement dans un coffre de mots de passe avec accès restreint, et/ou sous pli scellé conservé dans un lieu sécurisé, sans jamais l’écrire sur le support ni sur une étiquette.

Étape 3 — Copier les données (15–20 min)

L’objectif est une copie fiable avec une trace exploitable, pas une solution parfaite. Sur Windows, une copie robuste comme robocopy avec journalisation aide à détecter les erreurs et à reprendre proprement. Sur macOS/Linux, rsync avec un fichier de log est un standard. Dans tous les cas, commencez par les données qui conditionnent la reprise.

Ajoutez sur le support un répertoire dédié à la restauration contenant une courte procédure : quoi restaurer en priorité, où sont les sources, comment monter/déchiffrer, qui contacter, et tout élément utile à froid. Il est pertinent d’y inclure des exports nécessaires à la reprise, mais sans jamais stocker de secrets en clair ; si des accès d’urgence sont indispensables, renvoyez vers un mécanisme sécurisé (coffre, procédure d’accès, contacts) plutôt que de copier des identifiants.

Étape 4 — Vérifier rapidement (2–5 min)

Une sauvegarde qui n’est pas vérifiée est une hypothèse. Prenez le temps de contrôler le journal de copie, d’ouvrir quelques fichiers significatifs et de vérifier la cohérence globale des répertoires et des tailles. Ces gestes simples détectent une grande partie des échecs courants : droits insuffisants, fichiers ignorés, chemins erronés ou volume saturé.

Étape 5 — Déconnecter proprement (2–5 min)

Fermez les applications susceptibles d’utiliser le support, démontez ou éjectez le volume chiffré, puis débranchez physiquement le support. C’est la discipline de déconnexion, systématique et non négociable, qui crée l’air-gap. Un support « juste laissé branché » finit souvent chiffré en même temps que le reste lors d’une attaque.

Stockage physique : rigueur minimale (mais indispensable)

Une sauvegarde hors ligne protège des attaques logiques, mais elle doit aussi survivre au monde réel : vol, feu, dégât des eaux, perte. Le support doit être stocké dans un endroit fermé et idéalement résistant au feu, avec un étiquetage utile mais non sensible : identifiant du support, date de dernière sauvegarde, service responsable, jamais la phrase de passe. Si c’est possible, conservez au moins une copie dans un lieu différent, car « même bâtiment » signifie souvent « même sinistre ». Lors des transports, une protection antichoc réduit le risque de panne liée à une mauvaise manipulation.

Pour limiter le risque du « disque unique défaillant », une rotation simple avec deux supports alternés améliore nettement la résilience sans complexifier outre mesure. Cette rotation permet aussi de revenir en arrière si une erreur ou une corruption est propagée avant d’être détectée.

Checklist de sécurité (à imprimer)

Avant de ranger le support, vérifiez qu’il est bien dédié et chiffré, que la phrase de passe est gérée selon la procédure prévue et que le périmètre critique est clair. Assurez-vous que la copie s’est terminée sans erreurs bloquantes, que le journal a été consulté et que quelques fichiers significatifs ont été ouverts. Confirmez ensuite que le volume a été démonté ou éjecté correctement, que le support est physiquement débranché et stocké dans un lieu sécurisé, idéalement avec une option hors site. Enfin, notez la date et l’identité de l’opérateur dans un registre simple, afin de pouvoir prouver la fraîcheur de la sauvegarde et détecter un oubli.

Bonnes pratiques pour maintenir la sauvegarde hors ligne dans le temps

La réussite se joue surtout dans la durée. Une fenêtre fixe, hebdomadaire ou bihebdomadaire, réduit drastiquement le risque d’oubli. Une fois par trimestre, réalisez une restauration sur un répertoire de test pour valider le montage/déchiffrement, l’intégrité des fichiers et la capacité réelle de reprise. Limitez les personnes autorisées à manipuler le support, tout en évitant le piège inverse d’une dépendance à une seule personne grâce à une documentation courte, à jour et opérationnelle.

Enfin, l’air-gap doit être vu comme un filet de sécurité puissant, pas comme une stratégie complète. À mesure que vous stabilisez ce socle, vous pourrez intégrer progressivement des principes plus larges, comme la redondance, la rotation hors site, l’immutabilité selon les besoins et une supervision, afin de réduire encore le risque de perte de données et d’indisponibilité.

Pour aller plus loin sur le site

Si vous utilisez un NAS comme point central avant la copie hors ligne, vous pouvez revoir les bases et les usages dans cet article : Comment marche un serveur NAS : fonctionnalités et usages.

Conclusion : une sauvegarde air-gapped efficace repose sur quatre réflexes simples et non négociables : définir un périmètre de reprise réaliste, chiffrer le support, produire une copie traçable et vérifiée, puis déconnecter et stocker physiquement avec rigueur. En une heure, vous n’obtenez pas une architecture parfaite, mais vous créez une capacité de survie face au pire scénario ; ensuite, ce socle se renforce par la rotation, les tests réguliers de restauration et une documentation claire.