Infrastructure
Une infrastructure exploitée par l'équipe
Les plateformes du groupe partagent une même infrastructure, exploitée directement par NHC Technologies sur des serveurs dédiés OVHcloud, au Canada. Voici ce qu'elle comprend, et où sont les données.
Les emplacements
Où sont les données
Toutes les données sont hébergées au Canada : en production au Québec, et sur un second serveur qui conserve la réplique de la base et les sauvegardes.
Beauharnois (Québec)
Le serveur principal, dans les centres de données OVHcloud. C'est là que les plateformes fonctionnent au quotidien.
Second serveur au Canada
La réplique de la base de données, mise à jour en continu, prête à prendre le relais si le serveur principal devient indisponible.
Au Canada
Les sauvegardes complètes sont copiées sur ce second serveur, distinct de la production. Aucune copie n'est conservée hors du Canada.
Le réseau de diffusion Cloudflare, placé devant la plupart des sites, traite des données techniques de connexion pour les protéger contre les attaques ; il ne stocke pas les données des plateformes. Chaque plateforme le précise dans sa politique de confidentialité.
La continuité
Ce qui se passe quand quelque chose tombe
Base répliquée
La base de données principale est répliquée en continu vers un second serveur : en cas de panne, les données y sont déjà, à jour.
Reprise sur le second serveur
Si le serveur principal devient indisponible, l'équipe fait reprendre les plateformes sur le second serveur, à partir de la réplique et des sauvegardes.
DNS sur trois serveurs
Les zones DNS sont servies par trois serveurs de noms, pour que les domaines restent résolus si l'un d'eux tombe.
Sauvegardes régulières
Bases de données toutes les heures, fichiers et configurations plusieurs fois par jour, avec une rétention définie.
Surveillance continue
Les sites et services sont surveillés en continu par NHC Uptime, qui alerte l'équipe en cas d'incident.
Incidents documentés
Chaque incident est analysé et corrigé à la source ; les leçons servent à toutes les plateformes.
Les sauvegardes
Ce qui est copié, et à quelle fréquence
Les sauvegardes sont automatiques. Elles sont conservées sur le serveur de production, puis la sauvegarde complète est copiée sur un second serveur distinct, au Canada.
La réplique de la base de données, mise à jour en continu, s'ajoute à ces copies : elle limite la perte de données en cas de panne du serveur principal.
| Bases de données | Toutes les heures |
|---|---|
| Configurations des serveurs | Toutes les 3 heures |
| Fichiers des sites et des plateformes | Toutes les 6 heures |
| Courriel | Toutes les 6 heures |
| Sauvegarde complète | Toutes les 6 heures, puis copiée sur le second serveur |
| Fichiers volumineux | Chaque nuit |
Les composants
Comment l'infrastructure est construite
Des logiciels éprouvés, la plupart libres, configurés et exploités par l'équipe.
Serveurs dédiés
Serveurs physiques loués chez OVHcloud, sous AlmaLinux, avec disques en miroir.
Base de données
MariaDB, avec réplication continue vers un second serveur.
Cache et files d'attente
Redis, surveillé en continu.
DNS
PowerDNS, servi par plusieurs serveurs de noms dans plusieurs centres de données.
Applications
Serveurs web Apache et PHP, déployés à partir de versions testées en préproduction.
Protection
Pare-feu, pare-feu applicatif web (règles OWASP), blocage automatique des abus.
Chiffrement
HTTPS sur tous les sites, certificats renouvelés automatiquement, HSTS.
Surveillance
NHC Uptime surveille les sites, les services et les certificats du groupe.
Les prestataires
Avec qui nous travaillons
Quelques services externes complètent l'infrastructure. Chaque plateforme indique dans sa politique de confidentialité ceux qu'elle utilise.
| OVHcloud | Serveurs dédiés au Canada : production à Beauharnois (Québec), second serveur pour la réplique et les sauvegardes. |
|---|---|
| Cloudflare | Réseau de diffusion et protection contre les attaques par déni de service, devant la plupart des sites ; ne stocke pas les données des plateformes. |
| Autorité d'horodatage | Horodatage RFC 3161 indépendant des preuves produites par Signifio. |
| Paiement en ligne | Traitement des cartes par un prestataire spécialisé, selon la plateforme ; nous ne conservons pas les numéros de carte. |
La sécurité
Les pratiques communes
Chiffrement
TLS sur tous les sites ; chiffrement applicatif des données sensibles selon la plateforme.
Filtrage
Pare-feu, pare-feu applicatif web et blocage automatique des tentatives d'intrusion répétées.
Accès limités
Accès administrateur aux serveurs par clé, comptes individuels, droits limités au nécessaire.
Journaux
Journaux d'audit, et journaux en ajout seulement pour les plateformes de preuve.
Les serveurs sont hébergés dans des centres de données d'OVHcloud ; NHC Technologies n'exploite pas ses propres centres de données et ne détient pas de certification SOC 2 en son nom.