Sauvegardes hors site chiffrées avec

Les instantanés quotidiens de votre hôte sont une assurance contre les erreurs, pas contre la perte de tout l'hôte. Les vraies sauvegardes vivent ailleurs et sont cryptées. Restic fait les deux, et c'est un binaire.

1. Installer des

apt update && apt install -y restic

Restic écrit un seul dépôt chiffré. Il peut vivre sur S3, Backblaze B2, un autre serveur sur SFTP, ou même un second Buran VPS.

2. Créer le dépôt

export RESTIC_REPOSITORY="sftp:backup@other-host:/srv/backups/myserver"
export RESTIC_PASSWORD="a-long-unique-passphrase"
restic init

Gardez la phrase de passe dans un gestionnaire de mot de passe. Si vous la perdez, les données sont perdues — c'est le point de chiffrement. Pour les tâches automatiques, le stocker dans un fichier d'environnement lisible uniquement par root:

cat > /etc/restic.env <<'EOF'
RESTIC_REPOSITORY=sftp:backup@other-host:/srv/backups/myserver
RESTIC_PASSWORD=change-me
EOF
chmod 600 /etc/restic.env

3. Première sauvegarde

set -a; . /etc/restic.env; set +a
restic backup /etc /root /home /var/www --exclude-caches
restic snapshots

Les bases de données ont besoin d'un dump, pas d'une copie de fichier : un répertoire de données PostgreSQL est incohérent. Domptez d'abord, puis sauvegardez le dossier dump. Voir notre Guide PostgreSQL pour la commande de décharge.

4. Exécutez la nuit avec une minuterie systemd

cat > /etc/systemd/system/restic-backup.service <<'EOF'
[Unit]
Description=restic backup
[Service]
Type=oneshot
EnvironmentFile=/etc/restic.env
ExecStart=/usr/bin/restic backup /etc /root /home /var/www --exclude-caches
ExecStartPost=/usr/bin/restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune
EOF
cat > /etc/systemd/system/restic-backup.timer <<'EOF'
[Unit]
Description=Nightly restic backup
[Timer]
OnCalendar=*-*-* 03:30:00
Persistent=true
[Install]
WantedBy=timers.target
EOF
systemctl daemon-reload
systemctl enable --now restic-backup.timer

5. Testez la restauration — aujourd'hui, pas en cas d'urgence

set -a; . /etc/restic.env; set +a
restic snapshots
restic restore latest --target /tmp/restore-test
ls -la /tmp/restore-test/etc

Une sauvegarde que vous n'avez jamais restaurée est un espoir, pas une sauvegarde. Répétez le test tous les quelques mois — et vérifiez que le dépôt se développe réellement.

Réponses rapides

Où doit vivre le dépôt de sauvegarde ?

N'importe où sauf la machine que vous sauvegardez : stockage objet comme Backblaze B2, un autre serveur sur SFTP, ou un second VPS. Les sauvegardes sur le même hôte ne survivent pas à un hôte perdu.

Combien d'espace ai-je besoin ?

duplications et compresses, de sorte qu'un serveur typique croît rarement plus de quelques Go par mois de changements. 50 à 100 Go de stockage à distance est beaucoup pour un petit serveur.

Ai-je encore besoin d'instantanés d'hôte?

Oui. Les snapshots Buran restaurent une machine entière en un seul clic et sont parfaits pour l'instant. Les sauvegardes de sécurité hors site couvrent la perte matérielle et les erreurs de l'opérateur qui survivent à la fenêtre des instantanés.

Besoin d'une seconde machine pour tenir les sauvegardes? Une boîte NAT de 3 € fonctionne bien.