Haute disponibilité : ce que « 99,9 % » signifie réellement pour votre entreprise

« Notre système est disponible à 99,9 % » est une phrase rassurante, et rarement comprise. Traduite en temps réel, elle autorise 8 heures et 45 minutes d’arrêt par an. Pour une messagerie interne, c’est acceptable. Pour la caisse d’un supermarché de Bonamoussadi un samedi après-midi, c’est une journée de chiffre d’affaires perdue.

La haute disponibilité n’est pas un produit qu’on achète : c’est un arbitrage entre ce que coûte l’arrêt et ce que coûte la redondance. Et avant de parler serveurs, commencez par une question plus simple : que se passe-t-il chez vous quand le courant tombe ?

Ce que « 99,9 % » autorise vraiment comme arrêt

L’arrêt permis par chaque niveau :

Deux remarques comptent plus que le tableau.

Un SLA n’est pas une garantie de service : c’est une clause de pénalité. Un hébergeur qui manque son engagement accorde un avoir sur une fraction de la facture mensuelle, à réclamer soi-même : chez AWS, par exemple, 10 % à 100 % selon l’ampleur de l’arrêt, en crédit sur les factures suivantes et non en espèces. Cela ne compense jamais la journée d’activité perdue.

Les disponibilités se multiplient. Posons des hypothèses, pour l’exemple : application à 99,9 %, connexion Internet à 99 %, alimentation électrique à 98 %. La disponibilité réellement vécue par vos utilisateurs tombe à environ 96,9 %, soit plus de onze jours d’arrêt par an. La chaîne vaut son maillon le plus faible ; remplacez ces hypothèses par vos propres mesures.

Haute disponibilité, sauvegarde, reprise : trois réponses à trois problèmes

La haute disponibilité évite l’interruption, grâce à la redondance : deux liens, deux alimentations, deux serveurs.

La sauvegarde permet de récupérer une donnée perdue ou corrompue. Elle n’empêche aucun arrêt. Voir notre guide sur la sauvegarde et la reprise après sinistre.

La reprise après sinistre permet de redémarrer ailleurs après un incendie, une inondation ou un vol.

Aucune ne remplace les autres. Un cluster redondant qui réplique fidèlement une base corrompue vous donne une base corrompue, en double.

Où sont vos points de défaillance unique ?

Un point de défaillance unique est un élément dont la panne arrête tout. Parcourez la chaîne et demandez-vous, à chaque étage : si ceci tombe maintenant, que se passe-t-il ?

• Électricité — un seul compteur, pas d’onduleur, pas d’autonomie.
• Connectivité — un seul opérateur, un seul routeur, un seul câble.
• Matériel — un seul serveur, un seul disque sans RAID, un seul point d’accès.
• Données — une seule copie, ou plusieurs copies au même endroit.
• Humain — une seule personne qui connaît les mots de passe et la procédure.
• Fournisseur — un seul prestataire, injoignable le week-end.

Le point humain est celui qu’on oublie le plus souvent, et souvent celui qui coûte le plus cher.

L’électricité d’abord : coupures de courant, onduleurs et solaire

Avant d’acheter quoi que ce soit, mesurez. Pendant un mois, notez chaque coupure du réseau électrique, exploité par la SOCADEL, la société publique qui remplace ENEO depuis un décret du 4 mai 2026 : l’heure, la durée, et ce qui s’est arrêté. Ce journal vous dira si votre problème se compte en minutes ou en heures, et la réponse n’est pas la même.

Pour dimensionner un onduleur, additionnez la puissance en watts de ce qu’il doit protéger : serveur, box Internet, switch, caisse, imprimante de tickets. Choisissez un modèle dont la puissance en watts, pas seulement en VA, dépasse ce total avec de la marge. Puis testez l’autonomie réelle en coupant le courant, une fois par trimestre.

Un ordre de priorité raisonnable : onduleur avec extinction propre, protection contre les surtensions, autonomie prolongée (batteries, solaire ou groupe), et seulement ensuite la redondance informatique.

Deux connexions Internet valent mieux qu’un gros abonnement

Un second lien chez un autre opérateur — Camtel, MTN ou Orange, selon votre quartier — même de débit modeste, apporte plus de disponibilité réelle qu’un doublement de débit chez le même fournisseur. Deux liens chez le même opérateur partagent souvent la même infrastructure, et donc la même panne.

Un routeur capable de basculer automatiquement d’un lien à l’autre évite d’attendre qu’un employé s’en rende compte. Testez la bascule une fois par mois : débranchez le lien principal et vérifiez que la caisse continue de travailler.

Le mode dégradé : que fait l’équipe pendant la panne ?

Pour un commerce, pouvoir encaisser hors ligne et synchroniser au retour du réseau vaut mieux qu’une architecture parfaite mais indisponible. Le point de vente Odoo, par exemple, prévoit un mode hors ligne — voir notre guide Odoo ERP au Cameroun.

Pour le reste, écrivez la procédure : qui décide de passer en mode dégradé, comment on note les ventes (un carnet numéroté, par exemple), qui ressaisit au retour du réseau, et qui vérifie. La question n’est pas seulement « comment éviter la panne ? » mais « que fait l’équipe pendant la panne ? ».

Une progression par paliers

Il n’est ni nécessaire ni raisonnable de viser 99,99 % dès le départ.

Palier 1 — supprimer le catastrophique. Onduleur, protection surtension, RAID sur le serveur, sauvegarde automatique hors site, procédure écrite.

Palier 2 — supprimer l’attente. Second lien Internet, pièces de rechange sur site, mode dégradé pour la caisse, supervision avec alerte, contrat de support avec des délais de prise en charge définis. Voir Nematek One Support.

Palier 3 — supprimer l’interruption. Serveurs redondants, bascule automatique, réplication vers un second site, tests de bascule réguliers. Voir nos services cloud, DevOps et DevSecOps.

Commencez par les paliers 1 et 2 : ils coûtent moins cher et suppriment les arrêts les plus longs. Le palier 3 se justifie quand une heure d’arrêt coûte plus que son coût annuel.

Pour approfondir la conception, la documentation Azure Well-Architected sur la fiabilité est très concrète, et la classification des tiers de l’Uptime Institute montre pourquoi la redondance se paie par paliers. Le guide NIST SP 800-34 couvre la planification.

Mesurer : sans journal, la disponibilité est une opinion

• Une supervision qui teste le service depuis l’extérieur, pas seulement depuis le réseau local.
• Une alerte qui atteint une personne réellement joignable, avec un relais si elle ne répond pas.
• Un journal des incidents : date, durée, cause, correction, coupures de courant comprises. Trois mois de journal révèlent la cause dominante mieux que n’importe quelle intuition.

Évaluer votre disponibilité réelle

Le point de départ utile tient en deux documents : l’inventaire de vos points de défaillance unique et une estimation chiffrée du coût d’une heure d’arrêt. Ils suffisent à hiérarchiser les investissements.

Nous réalisons ce diagnostic dans le cadre de nos services cloud et infrastructure, caméras et réseaux et support informatique. Demandez une évaluation gratuite.