Comment appliquer la règle 3-2-1 à une sauvegarde Windows en 6 étapes

Un disque dur ne prévient pas avant de lâcher. Un rançongiciel non plus. Et le jour où l’un des deux frappe, la vraie question n’est plus « est-ce qu’on a une sauvegarde ? » mais « est-ce qu’on sait la restaurer, et depuis quoi ? ». C’est souvent à ce moment-là qu’une PME découvre que sa seule copie dormait sur le disque qui vient de rendre l’âme, ou sur le partage réseau que le rançongiciel a chiffré en même temps que le reste.

Ce tutoriel montre comment monter une sauvegarde complète d’une machine Windows, la placer là où elle survit à la panne, et surtout comment tester les deux restaurations qui comptent : celle d’un fichier effacé par erreur un mardi matin, et celle de la machine entière, à partir de rien, sur un disque neuf. Les captures viennent de l’agent de sauvegarde Veeam pour Microsoft Windows en version 6, dans son édition gratuite, sur un poste Windows 10 22H2. Aucune infrastructure de virtualisation n’est nécessaire : un PC fixe ou un portable suffit.

Étape 1 : traduire la règle 3-2-1 en trois emplacements concrets

Avant d’ouvrir le moindre logiciel, il faut poser la cible. La règle 3-2-1 tient en une phrase : trois versions des données, sur deux destinations différentes, dont une hors site. Elle n’a rien d’un dogme, c’est simplement la façon la plus courte de dire qu’un seul incident ne doit jamais pouvoir emporter toutes les copies à la fois.

Traduite dans une PME, elle donne à peu près ceci : les données en production sur le poste ou le serveur, une sauvegarde sur un stockage réseau ou un serveur de fichiers interne, et une copie qui quitte les locaux. Un incendie, un vol, un dégât des eaux ou un chiffrement massif n’attaquent jamais les trois de la même manière. À l’inverse, une sauvegarde locale sur un disque externe branché en permanence coche zéro case : elle est sur le même site, sur la même machine, et un rançongiciel la voit comme n’importe quel autre volume. Si vous voulez la version organisationnelle du sujet, avec les rôles, les fréquences et les tests, elle est détaillée dans notre plan de sauvegarde 3-2-1 en 8 étapes.

Côté outil, l’agent utilisé ici se télécharge gratuitement, s’installe sur une machine unique et fonctionne de façon autonome : pas de serveur central à monter, pas de licence à saisir. On récupère l’archive, on la décompresse, on double-clique sur l’installeur, on accepte les conditions, et on laisse faire. L’installation dure moins longtemps que la lecture de cette étape.

Étape 2 : fabriquer le média de restauration avant la première sauvegarde

C’est l’étape que tout le monde repousse, et c’est précisément celle qui décide de l’issue le jour de l’incident. Le média de restauration est l’environnement de démarrage qu’on utilisera quand la machine ne démarrera plus du tout : disque grillé, système détruit, matériel remplacé. Sans lui, les fichiers de sauvegarde sont là mais rien ne permet d’aller les chercher.

L’assistant se lance tout seul à la fin de l’installation si l’on laisse la case cochée avant de cliquer sur Finish. Le déroulé tient en six points :

1. Garder le format ISO proposé par défaut. Il se transfère ensuite sur une clé USB amorçable, ou se charge depuis un lecteur capable de monter des images ISO.
2. Laisser cochée l’inclusion des paramètres réseau et des pilotes matériels de la machine. C’est ce qui permettra au média de voir la carte réseau et le contrôleur de disque le jour J.
3. Laisser décochée l’option qui embarque les mots de passe de déchiffrement. Pratique en apparence, dangereuse en réalité : celui qui vole le média peut alors déchiffrer les sauvegardes.
4. Choisir l’emplacement du fichier. S’il part directement sur un partage réseau, l’assistant demande les identifiants de connexion à ce partage.
5. Adapter le nom du fichier. Par défaut il reprend le nom de la machine ; sur un parc de portables identiques, le modèle ou le numéro d’inventaire est plus parlant.
6. Cliquer sur Create, puis sur Finish. Le fichier ISO apparaît à l’emplacement indiqué.

Étape 3 : choisir ce que la sauvegarde embarque

Direction l’icône de l’agent dans la zone de notification, puis le panneau de contrôle. En édition gratuite, aucune licence n’est demandée. Le menu en haut de la fenêtre propose Add new job : on donne un nom explicite à la tâche, du type « Sauvegarde complète poste 1 », et l’assistant demande immédiatement ce qu’il doit sauvegarder. Trois modes sont proposés.

Machine entière (Entire computer), le mode recommandé. Il produit une image complète de l’ordinateur, qui autorisera ensuite une restauration à tous les niveaux : un fichier isolé comme la machine complète. Les fichiers temporaires, supprimés et le fichier d’échange sont exclus automatiquement pour limiter le volume. Une case optionnelle permet d’inclure les disques branchés en USB.

Volumes sélectionnés (Volume level backup). On ne sauvegarde que certaines partitions ou certaines lettres de lecteur, par exemple un volume de données séparé du système. Utile quand le système est réinstallable en vingt minutes mais que les données, elles, ne le sont pas.

Fichiers et dossiers (File level backup). On coche précisément ce qu’on veut protéger. C’est le mode le plus fin, et l’interface le signale elle-même comme le plus lent. À réserver aux cas où le périmètre est vraiment restreint.

Étape 4 : envoyer la sauvegarde ailleurs que sur la machine

C’est ici que se joue le « 2 » et le « 1 » de la règle. L’assistant propose trois familles de destinations : un stockage local (disque externe, clé USB), un partage réseau sur un stockage en réseau ou un serveur de fichiers, ou un dépôt géré par un serveur de sauvegarde si l’entreprise en exploite déjà un.

Le partage réseau est le compromis le plus courant : rapide, et surtout les données ne restent pas sur le poste. On saisit le chemin du partage puis le dossier de destination. Attention au piège classique qui arrive juste après : l’assistant réclame un nom d’utilisateur et un mot de passe même si votre session dispose déjà des droits. C’est le service de sauvegarde qui se connecte au partage, pas votre compte ouvert à l’écran. L’idéal est d’ailleurs un compte dédié, avec des droits limités à ce seul dossier de sauvegarde.

Vient ensuite la rétention : combien de points de restauration on conserve en arrière. Puis le bouton Advanced, qui mérite qu’on s’y arrête trente secondes plutôt que de cliquer sur suivant :

• Sauvegardes complètes périodiques en complément des incrémentales, pour ne pas dépendre d’une chaîne infinie de fichiers.
• Défragmentation et compactage automatiques du fichier de sauvegarde, qui évitent qu’il gonfle inutilement dans le temps.
• Vérification automatique de l’intégrité des données sauvegardées. Ces deux dernières options sont à activer : une sauvegarde jamais vérifiée est une hypothèse, pas une garantie.
• Chiffrement du fichier de sauvegarde, vivement conseillé dès que la sauvegarde quitte les locaux. Avec un avertissement à prendre au sérieux : mot de passe perdu, données définitivement perdues. Il n’existe aucun recours. Ce mot de passe se range dans le gestionnaire de mots de passe de l’entreprise, pas dans un fichier texte sur le bureau. Le même raisonnement s’applique aux disques des postes, un sujet traité dans notre guide sur le chiffrement des postes de travail.

Étape 5 : programmer la tâche puis lancer la première sauvegarde

Dernier écran de l’assistant : la planification. Au-delà de l’horaire classique, l’agent sait déclencher la sauvegarde sur des événements du quotidien, ce qui change beaucoup de choses sur des postes qui ne sont pas allumés à heure fixe. On peut lancer la tâche au verrouillage de la session, à la déconnexion de l’utilisateur, ou au branchement d’un disque externe donné. On peut aussi demander l’extinction de la machine une fois la sauvegarde terminée.

La combinaison la plus intéressante pour une petite structure : sauvegarde déclenchée au branchement du disque externe, puis éjection automatique du disque à la fin de la tâche. Personne n’a besoin de penser à lancer quoi que ce soit, et le support n’est monté que pendant la durée de la sauvegarde. C’est une réduction directe de la fenêtre pendant laquelle un rançongiciel présent sur la machine pourrait l’atteindre, dans la logique décrite dans notre article sur la sécurisation des postes Windows face aux rançongiciels.

On applique, on coche l’exécution immédiate avant de cliquer sur Finish, et la première sauvegarde démarre. En cliquant sur le diagramme de la tâche, on ouvre le détail en direct : préparation, instantané de volume, calcul des empreintes, puis le traitement partition par partition. À la fin, le rapport liste ce qui a réellement été traité : partition système EFI, partition C:, partition de récupération, avec la taille du point de restauration et les durées de chaque opération.

Prenez l’habitude de lire ce rapport. C’est le seul endroit où l’on voit qu’une partition manque à l’appel, qu’une durée a triplé d’une semaine à l’autre, ou qu’une opération s’est terminée avec un avertissement. La vitesse observée dépend fortement du matériel : sur des disques NVMe, une image complète se boucle en quelques minutes, ce qui ne sera pas le cas sur un disque mécanique ou à travers un réseau saturé.

Étape 6 : tester les deux restaurations avant d’en avoir besoin

Une sauvegarde qu’on n’a jamais restaurée est une intention, pas une protection. Et il y a deux scénarios très différents à valider, avec deux chemins techniques distincts.

Cas 1 : récupérer un fichier effacé ou écrasé

C’est le scénario du quotidien, et le plus simple. Depuis la sauvegarde, on choisit Restore file, puis la version voulue quand plusieurs points de restauration existent, et on clique sur Open. Un explorateur s’ouvre sur le contenu de la sauvegarde : toute l’arborescence de la machine telle qu’elle était à l’instant de la sauvegarde, y compris les profils utilisateurs et le bureau.

On navigue jusqu’au fichier, on demande la restauration, et l’outil pose la seule question qui compte : écraser le fichier existant (Overwrite) ou conserver les deux versions (Keep). En cas de doute, conserver les deux évite de transformer une récupération en seconde perte de données. Le fichier réapparaît à son emplacement d’origine, et un panneau de détails permet de vérifier ce qui a été fait.

Cas 2 : remonter la machine entière à partir de rien

Le disque est mort, la machine a été remplacée, le système ne démarre plus. C’est le moment où le média fabriqué à l’étape 2 justifie son existence. On démarre la machine dessus : clé USB amorçable sur un poste physique, image ISO montée sur une machine virtuelle. Le menu d’accueil propose la restauration complète, l’environnement de récupération Windows et une boîte à outils de diagnostic.

La suite se déroule en cinq temps :

1. Indiquer où sont les fichiers de sauvegarde. Sur un disque local, c’est le moment de brancher le disque externe. Sur un partage réseau, on coche le stockage réseau puis le dossier partagé, et on saisit les identifiants. Les autres possibilités sont un dépôt de serveur de sauvegarde ou un stockage objet.
2. Vérifier le réseau si nécessaire. Un lien de configuration réseau, sur ce même écran, permet de régler l’adressage quand la machine ne récupère pas d’adresse automatiquement.
3. Choisir la sauvegarde puis le point de restauration. L’outil parcourt l’emplacement et liste ce qu’il trouve, avec le nom de la machine, le système d’exploitation et les disques inclus. Quand plusieurs versions existent, elles apparaissent avec leur date.
4. Choisir le mode de restauration. Tout le disque tel quel, uniquement les volumes système si l’on ne veut pas toucher aux volumes de données, ou un mode manuel qui laisse la main sur le mappage des partitions.
5. Contrôler les partitions puis lancer la restauration. Une fois terminée, on éteint complètement la machine, on retire le média, et on redémarre sur le système restauré.

Erreurs fréquentes et réglages qui font la différence

Voici ce qui revient le plus souvent quand une restauration se passe mal, et les réglages qui l’évitent.

• Le média de secours laissé sur la machine sauvegardée. Si le disque est endommagé, l’ISO part avec. Il doit vivre ailleurs, et de préférence sur un support amorçable déjà prêt.
• Un seul média pour tout le parc. Comme il embarque les pilotes de la machine qui l’a généré, il peut très bien ne pas voir la carte réseau ou le contrôleur de disque d’un autre modèle. Un média par machine reste la règle sûre.
• Les clés de déchiffrement embarquées dans le média. Cette option transforme un support de secours en passe-partout : quiconque le récupère peut lire les sauvegardes chiffrées.
• Le mot de passe de chiffrement stocké nulle part. Aucun support, aucun éditeur ne pourra le retrouver. Sans lui, la sauvegarde est un bloc illisible.
• Le disque externe laissé branché en permanence. Déclenchement au branchement plus éjection automatique après la tâche : le support n’est exposé que le temps nécessaire.
• Les identifiants du partage réseau oubliés. Le service de sauvegarde se connecte avec son propre compte : sans identifiants explicites, la tâche échoue alors même que l’administrateur accède au dossier sans problème.

L’astuce qui rend service : la migration vers un disque plus petit. Le mode de restauration manuel ouvre un écran de mappage des disques où chaque partition peut être supprimée ou redimensionnée avant que la restauration ne démarre. C’est ce qui permet de remonter l’image d’un disque mécanique de grande capacité sur un SSD plus petit, à condition bien sûr que les données tiennent dans la nouvelle taille. Un clic droit sur la partition concernée donne accès aux options de suppression et de redimensionnement.

Un dernier point d’organisation : la restauration complète se teste au calme, sur une machine virtuelle vierge ou un poste de rebut, pas le jour où la production est à l’arrêt. Un test par an et à chaque changement de matériel suffit à lever les mauvaises surprises, et à mesurer combien de temps la remise en route prend réellement.