Копии, мониторинг и российские требования к данным

Правило 3-2-1: три копии данных на двух разных носителях, одна вне основной площадки. Мониторинг сообщает о поломке раньше, чем её заметят посетители.

А если всё сломается

Всё, что вы построили в этой части, однажды сломается: умрёт диск, закончится оплата домена, кто-то нечаянно удалит папку, хостинг будет недоступен день. Это не пессимизм, а статистика. Поэтому последний урок части про три вопроса, которые задают заранее, пока всё работает.

1. Что вернётся, если данные пропадут? Это копии.
2. Узнаю ли я об аварии раньше посетителей? Это мониторинг.
3. Где лежат чужие данные и вправе ли они там лежать? Это закон о персональных данных.

Резервные копии

Копия это не файл рядом с оригиналом. Она нужна на случай, когда исчез оригинал, и только то, что пережило аварию, было копией.

Правило 3-2-1. Три копии данных (оригинал и две резервные), на двух разных носителях или в двух разных местах, и одна из копий вне основной площадки. Тогда вы переживёте и поломку диска, и пожар или взлом в одном месте, и свою ошибку. Копия на том же диске, что и оригинал, не считается: вместе с диском погибнут обе.

Две цифры, которые нужно назвать. RPO: сколько данных вы согласны потерять. Если копия раз в сутки, вы теряете до суток, и для сайта-визитки это нормально, а для магазина нет. RTO: сколько сайт может лежать, пока вы его поднимаете. От этих двух чисел зависит, как часто копировать и насколько всё должно быть подготовлено.

Что копировать. Файлы статического сайта лежат в репозитории, и репозиторий, особенно с копией у другого хозяина, сам копия кода. Но он не хранит то, что меняется без вас: базу заявок, содержимое CMS, загруженные посетителями файлы, настройки приёмника. Базу копируют выгрузкой (у PostgreSQL для этого есть команда pg_dump) или снимком диска, файлы обычным копированием.

Версии, а не зеркало. Синхронизация папки с облаком не копия: ошибка и вирус-шифровальщик копируются тоже. Нужны прошлые версии: например, семь ежедневных, четыре еженедельных и шесть ежемесячных. Тогда можно вернуться к тому дню, когда всё было целым. Копии лучше шифровать и хранить так, чтобы злоумышленник, добравшийся до сервера, не мог их удалить.

И главное: проверяйте восстановление. Копия, которую ни разу не разворачивали, ничем не гарантирована: бывает, что она пустая, битая или без нужных настроек. Хотя бы раз и потом регулярно (например, раз в квартал) разверните копию на пустом месте и убедитесь, что сайт и данные на месте. Запишите дату в паспорте.

Попробуйте на схеме: выберите беду, план копий и частоту, и посмотрите, что вернётся. Нижняя часть схемы про то, как быстро вы узнаете об аварии.

Что случилось Умер диск сервераСервер взломан, всё зашифрованоФайл удалили по ошибкеДата-центр недоступен План копий Копий нетКопия на том же сервереДве копии в одном дата-центреКопии в двух местах, одна в другом регионе

Копия раз в часраз в суткираз в неделю Восстановление проверяли

Данные не вернутся. Копия лежала на том же диске и умерла вместе с ним. Это не копия, а второй экземпляр на том же риске.

Когда вы узнаете об аварии

Проверка каждые 1 минуту5 минут30 минутвообще нет (узнаете от посетителя)

Только главная страница Главная и страница действия

Допустим, у вас остановилась обработка действия «Главное действие», а главная страница открывается. Проверка видит, что главная жива, и молчит: вы не узнаете, пока кто-нибудь не пожалуется. Проверять надо то, ради чего приходят.

Проверьте себя: почему копия на том же сервере не защищает от взлома?

Тот, кто получил доступ к серверу, добирается и до копии на нём: может удалить или зашифровать обе. Копия должна лежать там, куда доступ с сервера закрыт или ограничен.

Мониторинг: узнать первым

Мониторинг это программа, которая постоянно проверяет, что с сайтом всё в порядке, и пишет вам, если нет. Без него об аварии узнают от посетителя или по тому, что перестали приходить заявки.

Что проверять.

• Доступность снаружи. Внешний сервис раз в минуту или раз в пять минут открывает главную страницу и ждёт ответа 200. Бесплатные сервисы такого рода есть, есть и открытые программы, которые вы ставите себе (например Uptime Kuma). Проверять надо снаружи: изнутри сервера всё может быть хорошо, пока дата-центр отрезан от мира.
• То, ради чего приходят. Главная может открываться, а форма заявки не работать. Вторая проверка открывает страницу или функцию вашего главного действия (для формы это может быть пробная заявка с отметкой «тест») и ждёт правильного ответа.
• Скучные причины аварий: срок сертификата, срок оплаты домена и хостинга, свободное место на диске. Они ломают сайты чаще, чем хакеры.
• Ошибки и нагрузка в программе: журнал ошибок, число запросов, время ответа. Для больших проектов это Prometheus с графиками, у облаков есть свой мониторинг (Yandex Cloud Monitoring и аналоги). Для небольшого сайта на этом можно остановиться позже.

Три правила хорошего оповещения. Сигнал приходит конкретному человеку и по каналу, который он читает (почта, Telegram, SMS). Заранее решено, как быстро нужно ответить: для визитки «в течение рабочего дня», для магазина минуты. И сигналов мало: если мониторинг пишет каждый час «что-то странное», его перестают читать, и настоящий сигнал тонет в шуме.

Полезный масштаб. «Доступность 99,9 %» звучит как «почти всегда», но это около 43 минут простоя в месяц, а 99 % это уже около семи часов. Обещая или выбирая провайдера, посчитайте, что это значит для вашего проекта.

Проверьте себя: главная страница открывается, но форма не отправляется. Заметит ли это мониторинг, проверяющий только главную?

Нет. Поэтому нужна вторая проверка самого главного действия проекта.

Российские требования к данным

Само правило вы уже знаете из урока о приватности по замыслу: при сборе персональных данных граждан России первая запись и хранение идут в базах на территории России (152-ФЗ, статья 18, часть 5), а передача за границу это отдельный порядок. Обязанности оператора, уведомления и ответственность разобраны в уроке о 152-ФЗ. Здесь вопрос инфраструктуры: где физически окажутся данные вашего проекта и у кого.

Что из этого следует для вашего сайта.

• Форма, которая принимает имя, телефон, почту россиян, не должна писать их в зарубежный сервис в качестве первичной базы. Приёмник заявок, база, таблицы, рассылки, CRM: проверьте, где физически лежат данные.
• Статический сайт на любой платформе сам не хранит данных посетителей: нарушения нет, пока форма не пишет их в зарубежную базу. Поэтому в уроке про serverless функции для форм советовали российский регион.
• То же относится к сервисам, которые вы подключаете (форма, рассылка, аналитика, чат): спросите у поставщика, где хранятся данные и есть ли российская площадка.
• Данные на сайте должны быть описаны в политике обработки, а на форме нужно согласие (урок о политике и согласии).

Как выбирать провайдера для данных. Спросите: российское ли юридическое лицо, где физически стоит дата-центр (город, а не «в России»), как делаются копии и где они лежат, есть ли договор, поддержка и возможность забрать данные. Для небольшого сайта понятные условия важнее громких сертификатов. Для больших систем есть отдельные требования к защите информационных систем персональных данных: это уже вопрос специалиста.

Проверьте себя: форма на статическом сайте отправляет имя и телефон на зарубежный сервис форм. В чём риск?

Первичная запись персональных данных граждан России оказывается в зарубежной базе, что противоречит правилу локализации. Приёмник и база должны быть в России, или данные нужно собирать другим способом.

Практика

Заполните паспорт эксплуатации. В первой части скажите, что копируется, как часто, сколько хранится, где лежит (не меньше двух мест, одно вне сервера) и когда проверите восстановление. Во второй скажите, что отслеживает мониторинг (главную страницу и действие проекта, назвав его словами из брифа), кому приходит сигнал и как быстро надо ответить. В третьей скажите, где хранятся персональные данные из формы и у какого провайдера, и объясните выбор.

Проверка читает текст, а не доказывает, что копии и мониторинг настроены. Настоящую проверку сделаете вы: запишите в паспорт дату первого восстановления и вернитесь к ней.

Что было не так раньше

В 2010 году «резервная копия» чаще всего была архивом, который хостинг делал на том же сервере, и сайт, потерявший диск, терял и копии. Мониторингом называли звонок клиента: «а у вас сайт не открывается». Закон о хранении персональных данных в России появился позже, в 2015 году, и первые годы многие не заметили, что их формы пишут данные куда-то за границу. Сегодня все три вопроса решены инструментами, но они остаются вашей ответственностью: инструмент не знает, что для вас главное.