Haute disponibilité : l'architecture qui tient la charge

Un seul serveur = un seul point de panne

Un site hébergé sur un seul serveur dépend d'une seule machine. Si elle tombe, le site tombe avec elle : c'est ce qu'on appelle un point de défaillance unique. Pour un site vitrine, le risque est acceptable ; pour une boutique en ligne ou un média, chaque minute d'arrêt coûte des ventes ou des lecteurs.

L'hébergement haute disponibilité répond à ce problème en supprimant le point unique : plusieurs serveurs travaillent ensemble, et la panne de l'un reste sans impact pour les utilisateurs. C'est une architecture, pas un serveur plus puissant. Un serveur plus gros retarde le problème ; une architecture redondante le résout. La nuance est essentielle au moment de choisir entre un gros VPS et une vraie redondance.

Répartiteur de charge et serveurs web redondants

La porte d'entrée d'une telle architecture est le répartiteur de charge (load balancer), par exemple HAProxy ou NGINX. Il reçoit tout le trafic et le distribue entre plusieurs serveurs web identiques. Il assure trois fonctions essentielles : il répartit la charge, écarte un serveur qui ne répond plus (grâce à des tests de santé réguliers) et termine la connexion chiffrée TLS avant de transmettre la requête.

Derrière lui, deux serveurs web ou plus, identiques et déployés par automatisation, servent le même site. La panne de l'un passe inaperçue, et l'on peut en ajouter un pour absorber un pic. C'est cette redondance qui fait la différence avec un VPS unique : la capacité s'ajoute horizontalement, machine par machine, plutôt que de se heurter aux limites d'un seul serveur.

Base de données répliquée

Une base de données ne se duplique pas comme une page web. La réplication consiste à désigner un serveur primaire (la source) qui enregistre les écritures, et un ou plusieurs réplicas qui reçoivent une copie de ces changements. Le principe est documenté de longue date : le serveur source consigne ses modifications dans son journal, et les réplicas les appliquent pour rester à jour.

Dans une architecture haute disponibilité, le primaire et le réplica sont surveillés, et la bascule de l'un vers l'autre est testée à l'avance. Vos données survivent ainsi à la panne d'un serveur de base de données, qui est le scénario le plus redouté. La réplication apporte aussi un second bénéfice : on peut déporter les lectures sur le réplica et décharger le primaire.

Cache applicatif et CDN

Tout ne doit pas atteindre les serveurs. Le cache applicatif (Redis ou Varnish) absorbe les lectures répétées : sessions, paniers, pages, résultats de requêtes. Moins la base de données est sollicitée, plus l'ensemble tient la charge. En amont, le CDN sert les pages et les images depuis des serveurs proches des visiteurs et filtre les attaques et les robots.

Chez Atlas Hoster, l'architecture de référence place un CDN et un pare-feu applicatif devant tout, puis le répartiteur, les serveurs web, le cache et la base répliquée. Chaque étage a un rôle précis et un point de contrôle. Cette stratification est ce qui permet de tenir un pic sans tout reconstruire.

Sauvegardes et restauration

La redondance n'est pas une sauvegarde. Une réplication peut propager une erreur (une suppression accidentelle, une corruption) vers le réplica. Il faut donc, en plus, des sauvegardes vérifiées et une procédure de restauration documentée. C'est le filet de sécurité ultime : si tout le reste échoue, on restaure.

Une bonne pratique consiste à tester régulièrement la restauration, pas seulement à lancer les sauvegardes. Une sauvegarde qui n'a jamais été restaurée est une promesse non tenue. Pour en savoir plus sur la méthode, consultez notre guide faire une copie de sauvegarde, et pour la protection contre les accès abusifs, notre guide bloquer une adresse IP ou un domaine.

Quand l'hébergement haute disponibilité se justifie

La haute disponibilité coûte plus cher qu'un VPS, parce qu'elle mobilise plusieurs machines et des compétences d'exploitation. Elle se justifie quand une coupure a un coût direct : boutique en ligne, média, application métier, période de promotion ou de lancement. Pour un site vitrine à faible trafic, un hébergement mutualisé ou un VPS bien dimensionné suffit.

Le critère n'est pas la taille, mais l'impact d'un arrêt. Si une heure de panne vous coûte plus que plusieurs mois d'architecture redondante, la décision est déjà prise. À l'inverse, surdimensionner un petit site est du gaspillage. Prenons un exemple : une boutique qui réalise une part importante de son chiffre d'affaires pendant une semaine de promotion ne peut pas se permettre une panne ce jour-là. Le surcoût d'une architecture redondante, réparti sur l'année, devient négligeable face au risque. De son côté, un blog à faible trafic n'a rien à gagner à multiplier les serveurs.

Audit, déploiement et tests de charge

Une architecture haute disponibilité ne s'improvise pas. Elle commence par un audit de l'existant, se poursuit par une conception et un devis, puis par un déploiement et une migration. Enfin, et surtout, elle se valide par des tests de charge avant que les clients n'arrivent : simuler un pic permet de découvrir les points de rupture et de corriger avant le jour J.

Atlas Hoster conçoit, déploie et infogère ces architectures, et les teste en charge avant la mise en production. Pour comprendre la mécanique de ces tests, lisez notre article sur le test de charge, celui sur les médias à fort trafic et celui sur les SLA.

Si votre activité ne peut pas se permettre de s'arrêter, découvrez nos architectures haute disponibilité.

FAQ

Haute disponibilité et sauvegarde, est-ce la même chose ? Non. La redondance protège contre la panne matérielle ; la sauvegarde protège contre la perte de données (suppression, corruption). Il faut les deux.

Combien de serveurs faut-il au minimum ? En général un répartiteur (ou une paire redondante), deux serveurs web et une base primaire avec un réplica, soit plusieurs machines. Le nombre exact dépend de la charge.

Un VPS puissant peut-il remplacer la haute disponibilité ? Il retarde le point de saturation, mais reste un point de défaillance unique. Pour tolérer la panne, il faut de la redondance.