Sauvegarder et sécuriser son NAS : le guide pratique

Un NAS rassemble photos, documents et sauvegardes d’ordinateurs au même endroit. C’est pratique, mais c’est aussi un point sensible : s’il tombe en panne ou s’il est attaqué, tout ce qu’il contient est en jeu. Ce guide explique, en français simple, comment sauvegarder un NAS et réduire les risques. Aucune méthode n’est infaillible : l’objectif est de ne jamais dépendre d’une seule copie.

Rappel utile si vous n’avez pas encore choisi : les NAS de notre comparatif des meilleurs NAS sont tous vendus sans disque. Le budget des disques s’ajoute, et celui d’une copie de sauvegarde aussi. Pour le choix des modèles, voyez le guide pour choisir un NAS et le guide des disques durs pour NAS.

Le RAID n’est pas une sauvegarde

C’est l’erreur la plus fréquente. Un RAID 1 copie vos données sur deux disques en temps réel. Si l’un des disques tombe en panne, le NAS continue de fonctionner avec l’autre. C’est de la disponibilité, pas de la sauvegarde.

Le RAID ne vous protège pas de :

• un fichier supprimé ou écrasé par erreur, puisque la suppression est copiée sur les deux disques ;
• un virus ou un rançongiciel qui chiffre les fichiers ;
• un vol, un incendie ou un dégât des eaux ;
• une panne du NAS lui-même (alimentation, carte mère) ou une erreur de configuration.

Les fiches de nos avis le rappellent modèle par modèle, par exemple pour le Synology DS223j ou le TerraMaster F2-425. Un modèle à une seule baie, comme le Synology DS124, n’a de toute façon aucune redondance : la copie externe y est encore plus importante.

La règle 3-2-1 : trois copies, deux supports, un autre lieu

La règle 3-2-1 est un repère simple :

• 3 copies de vos données : l’original et deux sauvegardes ;
• 2 supports différents : par exemple le NAS et un disque externe, ou le NAS et un service en ligne ;
• 1 copie dans un autre lieu : chez un proche, au bureau, ou dans le cloud.

Cybermalveillance.gouv.fr n’emploie pas ce nom dans sa fiche sur les sauvegardes, mais recommande la même logique : plusieurs supports, une copie conservée dans un lieu différent de l’original, une sauvegarde régulière, et un contrôle de temps en temps pour vérifier qu’on peut bien restaurer. Pensez aussi à chiffrer les copies si les données sont sensibles.

Un exemple réaliste pour une famille :

1. Les photos et documents vivent sur le NAS (copie 1) ;
2. Une sauvegarde automatique part chaque nuit vers un disque USB branché au NAS (copie 2) ;
3. Une sauvegarde chiffrée part chaque semaine vers un cloud ou un second NAS situé ailleurs (copie 3).

Les instantanés (snapshots) : un filet de sécurité sur le NAS

Un instantané est une photographie de vos dossiers à un instant donné. Il prend peu de place, car il ne retient que ce qui change. Chez Synology, la fonction s’appelle Snapshot Replication et s’appuie sur le système de fichiers Btrfs. D’après le site du constructeur, les instantanés se planifient à la minute près et peuvent être restaurés rapidement. Synology les présente comme une défense contre la suppression accidentelle et les rançongiciels, et propose aussi des instantanés « immuables » à durée de protection imposée.

Côté Asustor, la fiche de l’AS3302T v2 mentionne les snapshots Btrfs et iSCSI via Snapshot Center. Vérifiez toujours, sur le site du constructeur, que votre modèle et votre système de fichiers (Btrfs ou ext4) prennent bien cette fonction en charge : tous les volumes n’en bénéficient pas.

Limite à retenir : les instantanés restent sur le NAS. Ils ne remplacent donc pas la copie externe, ils s’y ajoutent.

La sauvegarde externe : disque USB, second NAS ou cloud

Trois solutions courantes, qui se combinent bien :

• Un disque dur USB branché au NAS. C’est la solution la moins chère. Débranchez-le ou éteignez-le après la copie si vous le pouvez : l’ANSSI, dans son guide sur les rançongiciels, recommande des sauvegardes déconnectées du système d’information, car les cybercriminels s’en prennent de plus en plus aux sauvegardes. Cybermalveillance.gouv.fr donne le même conseil de mise hors ligne.
• Un second NAS, chez un proche ou dans un autre bâtiment. Synology propose Hyper Backup Vault pour transformer un NAS en destination de sauvegarde pour d’autres NAS.
• Un service en ligne (cloud). Hyper Backup de Synology gère notamment Google Drive, S3 et C2 Storage, avec chiffrement AES-256 et plusieurs versions conservées, d’après le constructeur.

Chez Synology, l’outil se nomme Hyper Backup, comme le décrivent nos avis du DS124 et du DS223j (copie vers un disque USB, un autre NAS ou un stockage distant). Les autres constructeurs ont leurs propres outils : MyArchive et Cloud Backup Center chez Asustor d’après les sources citées dans notre avis, des outils de sauvegarde intégrés à TOS chez TerraMaster, et des fonctions de sauvegarde dans UGOS Pro chez UGREEN. Leur contenu varie d’un modèle à l’autre : contrôlez la fiche officielle avant d’acheter.

Mises à jour, comptes et double authentification

Les attaques réussies viennent souvent de failles connues ou de mots de passe faibles. Quelques réflexes simples, conformes aux conseils de cybermalveillance.gouv.fr et des constructeurs :

• Mettez à jour le système (DSM, UGOS Pro, ADM, TOS) et les paquets d’applications. Les mises à jour de sécurité ne servent que si elles sont installées.
• Changez les comptes par défaut : désactivez ou renommez le compte administrateur d’origine, et créez un compte distinct pour l’usage quotidien.
• Un mot de passe long et unique pour chaque compte, idéalement avec un gestionnaire de mots de passe.
• Activez la double authentification, quand le système la propose. Synology la décrit pour le compte Synology, et peut l’imposer aux utilisateurs du NAS. Asustor l’indique dans les fonctions d’ADM.
• Désactivez ce qui ne sert pas : SSH, FTP, Telnet, accès invité. Un guide de WunderTech rappelle que SSH n’utilise pas la double authentification : si vous n’en avez pas besoin, coupez-le.
• Activez le blocage automatique des adresses après plusieurs échecs de connexion, si votre système le propose.

Accès à distance : évitez d’ouvrir des ports

Pour accéder à vos fichiers hors de chez vous, deux approches sont plus prudentes que de rediriger des ports de la box vers le NAS :

• Le relais du constructeur : QuickConnect chez Synology, EZ Connect chez Asustor, un compte UGREEN pour les NASync. Votre NAS n’est pas exposé directement, mais vous dépendez du service du constructeur, et celui-ci doit être protégé par un mot de passe fort et la double authentification.
• Un VPN : vous vous connectez d’abord au réseau de la maison, puis au NAS. Le test du UGREEN DH2300 par Mighty Gadget rapporte que le testeur a préféré Tailscale au relais du constructeur, et que cela fonctionnait bien. Tailscale est une solution tierce : à vous de juger si elle convient.

Dans les deux cas, limitez les services accessibles à ceux dont vous avez besoin.

Rançongiciels : des exemples réels, pas une fatalité

Les NAS exposés sur Internet ont déjà été visés :

• Deadbolt (2022) : cette campagne a touché des NAS QNAP, puis des Asustor. Selon TechRadar et The Hacker News, Asustor a publié un correctif ADM, et l’on a soupçonné la fonction d’accès à distance EZ Connect, sans que la faille exacte soit précisée. Les listes de modèles touchés varient selon les sources. Les constructeurs conseillaient de désactiver l’accès à distance non protégé, de changer les ports par défaut, de couper SSH et de faire des sauvegardes.
• eCh0raix (2019 à 2021) : ce rançongiciel a visé des NAS QNAP et Synology. D’après BleepingComputer et Security Affairs, les attaquants devinaient des mots de passe d’administration faibles, et une faille de QNAP (CVE-2021-28799) a aussi été exploitée.

La leçon est la même : mises à jour, mots de passe solides, pas d’exposition directe, et une sauvegarde que le rançongiciel ne peut pas atteindre. L’ANSSI conseille aussi de ne pas payer la rançon, de porter plainte et de restaurer depuis des sources saines. Aucune mesure ne garantit une protection totale, mais ces gestes réduisent nettement la surface d’attaque.

Onduleur : protéger le NAS des coupures

Une coupure de courant en pleine écriture peut abîmer un volume. Un onduleur donne au NAS le temps de s’éteindre proprement. La plupart des NAS savent dialoguer avec un onduleur par USB ou par le réseau pour déclencher l’arrêt : vérifiez la compatibilité sur la fiche du constructeur. Choisissez une puissance suffisante pour le NAS, la box et le switch, avec une marge.

Surveiller la santé des disques (SMART)

Les disques s’usent. Les systèmes de NAS affichent l’état SMART de chaque disque et peuvent lancer des tests programmés. Activez les alertes par e-mail ou par notification, sans les ignorer.

Backblaze, qui publie des statistiques sur des centaines de milliers de disques, surveille cinq indicateurs SMART (secteurs réalloués, erreurs non corrigibles, délais de commande, secteurs en attente, secteurs non corrigibles). Dans son étude d’octobre 2016, 23,3 % des disques défaillants n’avaient pourtant donné aucun signal d’alerte sur ces mesures. SMART aide donc, mais ne prédit pas tout : c’est une raison de plus de ne pas compter sur une seule copie. Backblaze conseille de surveiller les données SMART pour repérer les premiers signes.

Entretien physique : poussière et ventilation

Un NAS fonctionne souvent en continu. Quelques habitudes simples :

• placez-le dans un endroit aéré, loin d’un radiateur, sans le coincer dans un meuble fermé ;
• dépoussiérez les grilles de ventilation de temps en temps, NAS éteint et débranché ;
• vérifiez que les ventilateurs ne font pas de bruit anormal : ils donnent parfois un premier signe de problème, comme le signale par exemple PCMENA pour l’AS3302T v2 sous charge ;
• évitez de déplacer le NAS allumé, car les disques durs craignent les chocs.

Les accessoires indispensables

Deux accessoires complètent bien un NAS. Les prix sont ceux relevés au moment de la rédaction et peuvent changer.

En résumé

Pour bien sauvegarder et sécuriser son NAS, retenez cinq gestes : une vraie copie externe (règle 3-2-1), des instantanés si votre modèle les gère, des mises à jour et des comptes bien tenus avec double authentification, un accès à distance sans ports ouverts, et un onduleur avec une surveillance régulière des disques. Aucun dispositif n’est infaillible, mais cette combinaison limite les dégâts en cas de panne ou d’attaque. Et testez de temps en temps une restauration : une sauvegarde qu’on n’a jamais essayé de relire reste une hypothèse.