Azure Backup : l’immuabilité enfin détachée de la durée de rétention

Jusqu’ici, sur Azure Backup, l’immuabilité d’un point de restauration durait exactement aussi longtemps que la politique de rétention qui le protégeait. Tu voulais garder tes sauvegardes immuables 90 jours pour respecter une clause d’assurance cyber, mais ta politique de rétention en gardait 365 pour des raisons de conformité ? Impossible de dissocier les deux. Depuis début septembre 2026, Microsoft a changé la donne : la durée d’immuabilité d’un coffre Recovery Services peut désormais être fixée indépendamment de la rétention.

C’est un détail qui a l’air anodin sur le papier, mais qui change concrètement la façon de dimensionner une stratégie de résilience, surtout si tu factures le stockage de sauvegarde à ton client ou à un autre service interne.

Le problème que ça résout

Avant ce changement, deux options existaient pour un coffre Recovery Services : pas d’immuabilité du tout, ou une immuabilité calquée sur la rétention de chaque politique de sauvegarde. Concrètement, si ta politique gardait les sauvegardes 7 ans pour des raisons légales, la totalité de ces 7 ans devenait immuable — WORM inclus si tu verrouillais le paramètre. Bien pratique pour la conformité, beaucoup moins pour la flexibilité opérationnelle : impossible de dire « je veux que ce soit inaltérable pendant 90 jours contre le ransomware, puis je gère la suite normalement ».

Résultat : certaines équipes évitaient carrément le verrouillage d’immuabilité, ou finissaient par sur-dimensionner leurs politiques de rétention juste pour caler la fenêtre d’immuabilité qu’elles voulaient réellement.

Ce qui change : deux modes au choix

Le coffre propose maintenant deux façons d’activer l’immuabilité, dans Properties > Immutable vault > Settings :

• Basée sur la politique de rétention (comportement historique, toujours disponible) : la durée d’immuabilité suit exactement la rétention configurée pour chaque élément protégé.
• Durée fixe (nouveau) : tu indiques un nombre de jours — 30, 90, peu importe — et cette fenêtre s’applique uniformément à tous les points de restauration du coffre, indépendamment de la politique de rétention en vigueur.

Une contrainte reste en place dans les deux cas : tu ne peux pas réduire la rétention de ta politique en dessous de la durée d’immuabilité configurée. Logique — sinon tu pourrais supprimer un point de restauration encore censé être inaltérable. Une fois la durée fixe dépassée, le point de restauration continue d’exister tant que la politique le retient, mais il n’est simplement plus protégé contre la suppression ou la modification.

Le verrouillage (lock) reste optionnel et irréversible une fois activé — il transforme l’immuabilité en vraie protection WORM, au prix de ne plus jamais pouvoir la désactiver sur ce coffre. Il ne peut pas être posé à la création du coffre : il faut d’abord activer l’immuabilité, puis verrouiller séparément. Pour la désactiver (avant verrouillage), il faut passer par Resource Guard, ce qui empêche un compte compromis de couper la protection tout seul.

Un point à connaître avant de te lancer

La documentation officielle de Microsoft ne couvre pour l’instant que la configuration via le portail Azure — ni cmdlet PowerShell ni commande Azure CLI documentée pour activer la durée fixe à ce jour. Si ton IaC gère déjà tes coffres Recovery Services par Bicep ou Terraform, prévois donc une étape manuelle (ou une vérification après déploiement) tant que l’automatisation complète n’est pas exposée.

Autre limite à garder en tête : cette fonctionnalité s’applique aux coffres Recovery Services — VM Azure, SQL, SAP HANA, etc. Les coffres Backup vault, qui protègent le blob storage et Azure Data Lake Storage, n’ont pas cette option de durée fixe pour le moment.

Où ça se situe dans ta stratégie de résilience

Si tu appliques déjà la règle 3-2-1-1-0 sur ton parc Azure, cette durée fixe te permet enfin de faire coller précisément la copie « immuable » de la règle à une fenêtre de temps choisie, sans devoir gonfler artificiellement ta rétention globale. C’est aussi une vraie alternative native à des solutions tierces comme Veeam Data Cloud Vault, qui appliquait déjà une immuabilité par défaut sans configuration — sauf que là, tu restes dans l’écosystème Azure Backup natif, sans facturation forfaitaire séparée ni connecteur supplémentaire à maintenir.

Pour autant, je ne remplacerais pas un vault tiers isolé du tenant Azure si ton exigence de résilience inclut un scénario où le tenant lui-même est compromis (identité Entra ID détournée, abonnement entier chiffré). Un coffre Recovery Services reste une ressource Azure comme une autre : verrouillée, oui, mais dans le même environnement. Pour ce cas précis, un stockage réellement hors tenant garde son intérêt.

FAQ

La durée fixe remplace-t-elle le verrouillage d’immuabilité classique ?

Non, ce sont deux réglages distincts. La durée fixe change combien de temps l’immuabilité s’applique ; le verrouillage décide si tu peux encore la désactiver un jour. Tu peux combiner les deux.

Puis-je appliquer une durée différente par type de charge protégée dans le même coffre ?

Non, la durée s’applique uniformément à tout le coffre. Si tu as besoin de fenêtres différentes selon les charges, il faut séparer les charges sur des coffres distincts.

Que se passe-t-il pour les points de restauration déjà créés avant d’activer cette option ?

La documentation Microsoft ne précise pas de rétroactivité automatique sur les points existants — pars du principe que le réglage s’applique aux nouveaux points de restauration créés après l’activation, et vérifie sur ton environnement avant de t’y fier pour un audit de conformité.

Ce qu’il faut retenir

Ce n’est pas un bouleversement, mais c’est exactement le genre de réglage fin qui manquait pour aligner Azure Backup sur des exigences d’assurance cyber ou de conformité qui, elles, ne demandent jamais une immuabilité calquée sur la rétention légale complète. Si tu as un audit de résilience ou un renouvellement d’assurance cyber dans les prochains mois, c’est le bon moment pour revoir la configuration de tes coffres Recovery Services et voir où une durée fixe te ferait gagner en flexibilité sans rien perdre en protection.