Trzy zabezpieczenia, trzy rodzaje zdarzeń
Mówimy „jest kopia zapasowa” o bardzo różnych mechanizmach. Każdy z nich ratuje przed innym rodzajem zdarzenia, każdy uruchamia kto inny i każdy ma swoją granicę.
| Zabezpieczenie | Kto działa | Co ratuje | Granica |
|---|
| Kosz i folder odzyskiwania | Użytkownik, w swojej skrzynce | Niedawną pomyłkę | Krótki czas, a nic, jeśli usunięta lub przejęta została sama skrzynka |
| Kopia zapasowa usługi | Operator, na wniosek | Przywrócenie wiadomości, folderu lub skrzynki do wcześniejszego stanu | Okres przechowywania i odstęp między dwiema kopiami |
| Rezerwa platformy | Operator, bez wniosku | Awarię: poczta nadal dociera lub zaczyna znowu docierać | Nie przywraca usuniętej wiadomości |
Kopia, którą producent lub dostawca hostingu utrzymuje na potrzeby własnej dostępności, na kilku dyskach lub kilku serwerach, należy do trzeciego zabezpieczenia. Chroni przed awarią sprzętu. Nie chroni przed usunięciem: usunięta wiadomość natychmiast znika ze wszystkich replik. To najczęstsze pomylenie redundancji z kopią zapasową.
Czy kopia zapasowa przywraca usuniętą wiadomość?
Tak, w trzech granicach.
- Okres przechowywania. Przy retencji 30 dni wiadomości usuniętej sześć tygodni temu nie ma już w żadnej kopii. Jeśli usunięcie wyjdzie na jaw dopiero przy zamknięciu roku, kopia zapasowa przychodzi za późno.
- Punkt odtworzenia. Kopia zapasowa to zdjęcie. Wiadomość, która dotarła o 10:05 i została usunięta o 10:40, przed kolejną kopią, nigdy nie trafiła na zdjęcie. Im częściej wykonuje się kopie, tym węższe jest to okno, ale nigdy nie znika całkowicie.
- Przeznaczenie. Kopia zapasowa służy do cofnięcia się w czasie. Nie zastępuje wieloletniej archiwizacji, która przechowuje wiadomości po to, by można je było przedstawić, i ma własne zasady dotyczące okresu przechowywania i dostępu.
Celowe usunięcie wymaga szczególnej uwagi. Niezadowolony pracownik, który opróżnia swoją skrzynkę, albo atakujący, który przejął konto administracyjne, może usunąć wiadomości i próbować usunąć także kopie zapasowe. Stąd wartość kopii, której nikt nie może zmienić w okresie jej przechowywania, łącznie z administratorem poczty. Przewodnik ANSSI dotyczący kopii zapasowych zaleca odseparowanie serwerów kopii zapasowych w ramach systemu administracji i zachęca do zbadania mechanizmu niezmienności rozwiązania typu WORM, zamiast poprzestawać na deklaracji.
Niezależna od serwera: co to oznacza
Niezależna kopia zapasowa znajduje się poza systemem pocztowym, który chroni. W praktyce:
- jest przechowywana w innym systemie, a najlepiej w innej lokalizacji, aby incydent w serwerowni jej nie zniszczył;
- dane logowania, którymi administruje się pocztą, nie wystarczą, by ją usunąć;
- jest zaszyfrowana, aby kopia nie stała się drugimi drzwiami do wiadomości;
- jest testowana. ANSSI ujmuje to prosto: kopie zapasowe muszą być regularnie testowane (tłumaczenie). Kopia, z której nigdy niczego nie przywrócono, pozostaje hipotezą.
Ten sam przewodnik zaleca regułę „3-2-1”, która zaczyna się od trzech odrębnych kopii danych, i definiuje kopię zapasową offline jako kopię na nośniku odłączonym od wszelkich systemów informatycznych. Pojęcia te dotyczą poczty tak samo jak plików; ich zastosowanie do dokumentów opisano w przewodniku wersjonowanie, replikacja i kopia zapasowa.
Przykład. W kancelarii zatrudniającej 25 osób (przypadek hipotetyczny) pracownik usuwa przez pomyłkę folder klienta, opróżnia kosz i orientuje się dopiero w następny poniedziałek. Folder odzyskiwania nie zawiera już niczego przydatnego. Kopia zapasowa z poprzedniego piątku zawiera folder. Operator przywraca go do skrzynki; brakuje jedynie wiadomości, które dotarły i zostały usunięte między dwiema kopiami.
Gdy serwer przestaje działać
Poczta elektroniczna dobrze znosi krótkie awarie. Serwer nadawcy, który nie może połączyć się z Państwa serwerem albo otrzymuje błąd tymczasowy, zatrzymuje wiadomość w kolejce i ponawia próbę. Dopóki awaria trwa krócej niż czas, po którym nadawca rezygnuje, liczony zwykle w dniach, nic nie ginie: poczta dociera po przywróceniu usługi. Przewodnik migracja poczty bez przerwy w działaniu szczegółowo opisuje ten mechanizm. Bramka filtrująca umieszczona przed systemem pocztowym pełni tę samą rolę: przechowuje przyjętą wiadomość, dopóki serwer nie odpowie.
Użytkownicy widzą co innego: brak webmaila, telefony, które przestały się synchronizować, niemożność wysyłania. To właśnie ten czas mierzy pierwszy wskaźnik.
RTO (maksymalny dopuszczalny czas przerwy): docelowy czas przywrócenia działania usługi. RPO (maksymalna dopuszczalna utrata danych): ilość danych, wyrażona w czasie, której utratę się akceptuje, jeśli pamięć masową trzeba odbudować z ostatniej kopii zapasowej.
RPO nie dotyczy poczty czekającej u nadawców: ta dotrze po przywróceniu usługi. Dotyczy wiadomości już dostarczonych do skrzynek oraz działań użytkowników od ostatniej kopii zapasowej, na wypadek utraty samej pamięci masowej. RPO poniżej 2 godzin oznacza, że do odtworzenia byłyby najwyżej dwie godziny tej historii. To są cele: proszę zapytać, jak są mierzone i testowane.
Zmiana serwera bez zmiany domeny
Długotrwała awaria, koniec umowy lub przejęcie dostawcy mogą wymusić zmianę systemu pocztowego. Państwa domena i adresy się nie zmieniają: to rekord MX wskazuje nową platformę. Metoda, z okresem współistnienia, przebiegami kopiowania i spójnością SPF, DKIM i DMARC, jest opisana w przewodniku migracja poczty bez przerwy w działaniu. Nie powtarzamy jej tutaj.
Najczęściej zadawane pytania
Czy redundancja zastępuje kopię zapasową?
Nie. Redundancja powiela także usunięcia. Chroni przed awarią sprzętu, a nie przed błędem ani celowym usunięciem.
Czy wiadomość otrzymana podczas awarii przepada?
Zazwyczaj nie: nadawca ją przechowuje i ponawia próbę. Przepada tylko wtedy, gdy zostanie trwale odrzucona albo gdy awaria trwa dłużej niż czas, po którym nadawca rezygnuje.
Czy trzydzieści dni kopii zapasowych wystarczy?
Aby cofnąć się po błędzie – często tak. Aby przechowywać wiadomości przez kilka lat – nie: to zadanie archiwizacji. Zob. archiwizacja wiadomości.
Czy atak na skrzynkę trzeba wykryć szybko?
Tak, ponieważ okres retencji upływa. Ochrona na wejściu należy do bramki filtrującej; zob. ochrona poczty, z której Państwo już korzystają.
Gdzie plasuje się Klytic
W Klytic Mail istnieją wszystkie trzy zabezpieczenia i są od siebie odrębne.
- Po stronie użytkownika folder elementów usuniętych pozwala samodzielnie i bezpłatnie odzyskać usunięte wiadomości.
- Po stronie usługi kopia zapasowa poczty jest wykonywana co godzinę. Kopie są szyfrowane, przechowywane przez 30 dni, replikowane w kilku lokalizacjach i niezmienne: zapisanej kopii nie można już zmienić ani usunąć. Są stale monitorowane, a przywracanie jest testowane co miesiąc. Klytic korzysta w tym zakresie z usług WeDoBack, opisanych na stronie Bezpieczeństwo i kopia zapasowa.
- Po stronie platformy opublikowane cele to przywrócenie usługi w czasie poniżej 4 godzin (RTO) i utrata danych nieprzekraczająca 2 godzin (RPO). Klytic MTA, umieszczony przed systemem pocztowym, tymczasowo przechowuje w postaci zaszyfrowanej wiadomość, której serwer docelowy jest niedostępny.
O przywrócenie wiadomości, folderu lub skrzynki prosi się dział wsparcia, wskazując dany element i przybliżoną datę. Jest ono wliczone w cenę w przypadku nieprawidłowego działania usługi, celowego usunięcia przez pracownika lub konta usuniętego zbyt wcześnie przy odejściu pracownika (w limicie 3 wniosków miesięcznie) albo ataku, do którego doszło mimo prawidłowo zabezpieczonych stanowisk. Po przypadkowym usunięciu, błędnej operacji lub jeśli stanowiska były niewystarczająco zabezpieczone, wymaga płatnego zgłoszenia serwisowego. Bezpłatny folder elementów usuniętych pozostaje pierwszym krokiem. Postępowanie opisano w praktycznym przewodniku przywracanie wiadomości lub skrzynki.
Czego oferta nie obejmuje: samodzielnego przywracania przez użytkownika poza folderem elementów usuniętych oraz przechowywania w kopii zapasowej dłużej niż 30 dni. Do przechowywania wiadomości przez kilka lat służy oferowana opcjonalnie archiwizacja zgodna z przepisami.
Ta strona opisuje ogólne ramy. Obowiązujące zobowiązania to te, które określa Państwa umowa.
Źródła
Stan na październik 2026.
- ANSSI, „Sauvegarde des systèmes d’information : les fondamentaux” (Kopia zapasowa systemów informatycznych: podstawy), wersja 1.1: definicja kopii zapasowej offline, reguła „3-2-1”, regularne testowanie kopii zapasowych, odseparowanie serwerów kopii zapasowych, analiza mechanizmu niezmienności, odpowiedniość PDMA i RPO oraz DMIA i RTO. cyber.gouv.fr
- Klytic, Bezpieczeństwo i kopia zapasowa: częstotliwość, retencja, szyfrowanie, replikacja, niezmienność, comiesięczne testy, docelowe RTO i RPO, przywracanie e-maila, folderu lub skrzynki. klytic.com
- Klytic, Najczęściej zadawane pytania: cogodzinna kopia zapasowa z wyjątkiem telefonii, cele odtworzenia, tymczasowe przechowywanie przez Klytic MTA, gdy serwer docelowy jest niedostępny. klytic.com
- Klytic, Migracja poczty bez przerwy w działaniu: kolejka u nadawców w przypadku błędu tymczasowego, rola rekordu MX, okres współistnienia. klytic.com
