Sauvegarder un serveur d'entreprise en 2026 : la règle 3-2-1, les sauvegardes immuables et le vrai choix entre Windows Server Backup, un NAS et Veeam (guide PME)

Un serveur d'entreprise ne tombe pas en panne au moment où cela vous arrange. Il tombe un vendredi soir, la veille d'une clôture comptable, ou à 3 h du matin quand un ransomware a fini de parcourir le réseau. Ce jour-là, une seule question compte : de quand date votre dernière sauvegarde utilisable ? Pas « avez-vous une sauvegarde » — presque toutes les PME en ont une — mais utilisable, c'est-à-dire récente, complète, lisible et hors d'atteinte de ce qui vient de détruire l'original. Ce guide 2026 explique comment construire une sauvegarde de serveur qui tient réellement, quels chiffres décider avant de choisir un outil, et ce que valent vraiment Windows Server Backup, un NAS et une solution dédiée comme Veeam.

⚠️ Ce qu'une sauvegarde de serveur n'est pas

Trois dispositifs sont régulièrement confondus avec une sauvegarde. Aucun n'en est une :

• Le RAID — il protège de la panne d'un disque, donc de l'interruption de service. Il ne conserve rien : une suppression, un chiffrement ou une corruption se répliquent instantanément sur toute la grappe. Le RAID assure la disponibilité, jamais la conservation.
• La synchronisation (OneDrive, dossier répliqué, rsync miroir) — elle propage fidèlement les erreurs. Un fichier chiffré par un ransomware est un fichier modifié : il sera synchronisé comme tel, écrasant la version saine.
• Un instantané (snapshot) local — utile pour revenir en arrière après une mise à jour ratée, mais stocké sur le même matériel que les données d'origine. Il disparaît avec lui.

Une sauvegarde, c'est une copie séparée, historisée (plusieurs versions dans le temps) et restaurable. Si l'une de ces trois propriétés manque, vous avez un duplicata, pas une sauvegarde.

🧱 La règle 3-2-1, et sa version 2026 : 3-2-1-1-0

La règle 3-2-1 est le socle universel de la sauvegarde professionnelle, et elle n'a pas vieilli :

• 3 copies des données : l'original plus deux sauvegardes.
• 2 supports de nature différente : le disque du serveur et un NAS, ou un NAS et du cloud. L'objectif est qu'une même cause de panne (lot de disques défectueux, contrôleur, firmware) ne puisse pas frapper les deux.
• 1 copie hors site : chez un prestataire, dans un autre bâtiment, ou dans le cloud. C'est elle qui survit à l'incendie, au dégât des eaux et au vol du serveur.

Les ransomwares modernes ont imposé deux exigences supplémentaires, d'où la formulation 3-2-1-1-0 :

• 1 copie hors ligne ou immuable. Les attaques actuelles commencent systématiquement par la recherche et la destruction des sauvegardes : consoles de sauvegarde, partages réseau, instantanés. Une copie que l'administrateur lui-même ne peut pas supprimer avant l'expiration de son délai de rétention est la seule qui résiste.
• 0 erreur à la vérification. Une sauvegarde non testée est une hypothèse, pas une protection.

🎯 Les deux chiffres à décider AVANT de choisir un outil : RPO et RTO

La plupart des projets de sauvegarde démarrent par « quel logiciel prendre ? ». C'est la mauvaise première question. Il faut d'abord fixer deux valeurs, et ce sont des décisions de direction, pas des choix techniques :

• RPO (Recovery Point Objective) — combien de données acceptez-vous de perdre ? Une sauvegarde nocturne unique signifie que vous acceptez de perdre une journée entière de saisie. Pour un cabinet comptable en période fiscale ou un site e-commerce, c'est inacceptable ; pour un serveur de fichiers d'archives, c'est très bien.
• RTO (Recovery Time Objective) — combien de temps l'activité peut-elle rester à l'arrêt ? Restaurer 4 To depuis un cloud grand public peut prendre plusieurs jours de téléchargement. Si votre RTO est de 4 heures, aucune sauvegarde uniquement distante ne le tiendra : il vous faut une copie locale rapide en plus de la copie hors site.

Écrivez ces deux chiffres noir sur blanc, faites-les valider, et faites-en le cahier des charges. Tout le reste — outil, matériel, budget — en découle mécaniquement. C'est aussi le point de départ d'un plan de reprise et de continuité d'activité (PRA/PCA) digne de ce nom.

🛠️ Option 1 — Sauvegarde Windows Server (wbadmin) : gratuite, et ses limites

Sauvegarde Windows Server est incluse dans la licence Windows Server. Elle s'installe comme fonctionnalité depuis le Gestionnaire de serveur, ou en une ligne PowerShell :

Install-WindowsFeature -Name Windows-Server-Backup -IncludeManagementTools

Elle réalise des sauvegardes de niveau bloc avec VSS, gère la sauvegarde de l'état du système et sait produire une image complète restaurable en bare metal. Pour un serveur unique avec un RPO de 24 heures, c'est honnête et cela ne coûte rien de plus que le disque externe. Ses limites sont nettes :

• Pas de rétention longue ni de politique de rétention fine : la cible se remplit, les anciennes versions disparaissent.
• Pas de déduplication ni de compression sérieuse — le volume de stockage explose vite.
• Pas d'envoi hors site natif : il faut scripter la recopie, donc maintenir ce script.
• Pas d'immuabilité. Un ransomware disposant des droits administrateur efface les sauvegardes et les clichés instantanés en une commande.
• Restauration granulaire pénible : retrouver un seul e-mail ou une seule table SQL suppose de restaurer bien plus large.

Verdict : convient à une PME mono-serveur au budget contraint, à condition d'y ajouter impérativement une copie hors site et une rotation de disques. Rappelons que l'outil suppose une licence Windows Server en règle — le choix entre les éditions Standard et Datacenter et le calcul des licences d'accès client (CAL) se posent en amont.

💾 Option 2 — Le NAS : un excellent support, une mauvaise sauvegarde à lui seul

Un NAS d'entreprise apporte de la capacité à faible coût, du RAID, des instantanés et souvent une application de sauvegarde intégrée. C'est le « 2 » idéal de la règle 3-2-1. Mais il devient dangereux dès qu'il est mal intégré. Trois règles non négociables :

• Jamais de partage SMB monté en permanence avec un compte du domaine. Utilisez un compte local au NAS, dédié à la sauvegarde, et si possible un protocole propre à la solution de sauvegarde plutôt qu'un partage de fichiers.
• Activez les instantanés immuables (verrouillage WORM / rétention verrouillée) si le modèle le permet. C'est ce qui transforme le NAS en cible réellement résistante.
• Répliquez le NAS ailleurs — vers un second NAS distant ou vers un stockage objet. Un NAS posé à côté du serveur qu'il sauvegarde ne satisfait pas au « 1 » hors site : le même incendie emporte les deux.

Surveillez aussi la santé des disques du NAS comme celle du serveur : les alertes SMART anticipent la majorité des pannes, à condition que quelqu'un les lise. Le principe est le même que pour vérifier la santé d'un disque dur ou d'un SSD sur un poste de travail.

🧰 Option 3 — Une solution de sauvegarde dédiée (Veeam, Acronis et équivalents)

Dès que vous avez plus d'un serveur, de la virtualisation, ou un RPO inférieur à la journée, une solution dédiée cesse d'être un luxe. Ce que vous achetez réellement, ce n'est pas « une copie de fichiers » mais quatre capacités que les outils gratuits n'ont pas :

• La sauvegarde incrémentale permanente avec déduplication : des points de restauration toutes les heures sans faire exploser le stockage.
• La restauration granulaire applicative : récupérer un seul e-mail Exchange, une table SQL ou un objet Active Directory sans restaurer le serveur entier. C'est ce qui fait s'effondrer le RTO.
• Les dépôts immuables (stockage objet verrouillé, dépôt Linux durci) : la rétention ne peut pas être raccourcie, même par un compte compromis.
• La vérification automatique de restauration : la sauvegarde est démarrée dans un bac à sable isolé et testée toute seule, chaque nuit. C'est le « 0 » de 3-2-1-1-0 rendu automatique.

Le modèle de licence varie : par machine, par instance ou par socket selon les éditeurs, avec des éditions communautaires gratuites limitées à un petit nombre de machines — largement suffisantes pour une TPE. Vérifiez toujours le périmètre licencié avant de déployer, car le dépassement se paie au renouvellement.

📊 Comparatif : quelle solution pour quelle PME ?

En pratique, la bonne architecture PME n'oppose pas ces trois colonnes : elle les combine. Sauvegarde locale rapide sur NAS pour tenir le RTO, réplication hors site ou vers un stockage cloud d'entreprise pour tenir le sinistre, et immuabilité sur au moins un des deux pour tenir le ransomware.

☁️ N'oubliez pas Microsoft 365 : le cloud n'est pas une sauvegarde

Beaucoup de PME ont migré leurs e-mails et leurs documents vers Microsoft 365 et considèrent le sujet clos. C'est un contresens sur le modèle de responsabilité partagée : Microsoft garantit que le service fonctionne et que l'infrastructure est redondée. La conservation de vos données reste à votre charge. Une boîte aux lettres supprimée avec son utilisateur, un site SharePoint écrasé par une synchronisation, un compte compromis qui vide une bibliothèque : tout cela ne se récupère que dans une fenêtre de rétention de quelques semaines à quelques mois. C'est très en deçà des obligations légales de conservation de la plupart des entreprises. Le sujet mérite son propre dispositif — voir notre guide dédié pour sauvegarder les données Microsoft 365.

🧪 Le point qui fait toute la différence : tester la restauration

La très grande majorité des sinistres mal vécus ne viennent pas d'une absence de sauvegarde, mais d'une sauvegarde qui ne restaure pas : un volume oublié dans le périmètre, une base de données sauvegardée à chaud sans VSS donc incohérente, un support illisible, ou un temps de restauration trois fois supérieur à ce que l'entreprise peut supporter. Un rapport au vert prouve que des octets ont été écrits — rien de plus.

Le test trimestriel minimal tient en cinq points :

• Restaurer un serveur complet dans un environnement isolé du réseau de production.
• Chronométrer l'opération de bout en bout et comparer au RTO annoncé.
• Ouvrir réellement les données restaurées : démarrer l'application métier, requêter la base, ouvrir des fichiers au hasard.
• Vérifier que la restauration reste possible sans l'infrastructure d'origine — sans l'Active Directory, sans le serveur de licences, sans l'accès à la console principale.
• Consigner le résultat par écrit, avec la date : c'est cette trace qu'un assureur ou un auditeur vous demandera.

✅ Checklist de mise en place

• RPO et RTO écrits et validés par la direction.
• Inventaire complet des données à sauvegarder, y compris les postes clés et les données SaaS.
• Trois copies, deux supports, une hors site.
• Au moins une copie immuable ou hors ligne, inaccessible depuis un compte administrateur du domaine.
• Compte de service dédié à la sauvegarde, mot de passe distinct, authentification multifacteur sur la console.
• Chiffrement des sauvegardes au repos et en transit, avec la clé stockée ailleurs que sur le serveur.
• Alertes d'échec envoyées à une personne nommée — pas à une boîte générique que personne ne lit.
• Test de restauration trimestriel, chronométré et consigné.
• Un antivirus à jour et une politique anti-ransomware sur le serveur comme sur les postes : voir notre guide pour protéger son entreprise contre les ransomwares.