Sauvegarder un VPS : une stratégie simple
La règle 3-2-1, restic ou borg pour chiffrer et dédupliquer, et le test de restauration qui prouve que la sauvegarde sert à quelque chose.
Une sauvegarde qui n’a jamais été restaurée reste une hypothèse. Une copie n’existe que si vous la faites : un VPS ne suffit pas à lui seul à protéger vos données. Une stratégie simple tient en trois idées : une règle de copies, un outil qui chiffre, et un test de restauration régulier.
- Règle 3-2-1 : trois copies, deux supports, une copie hors du VPS.
- restic ou borg chiffrent et dédupliquent : le mot de passe du dépôt doit être conservé hors du serveur.
- Une sauvegarde non restaurée n’est pas prouvée : testez la restauration une fois par mois.
La règle 3-2-1
Trois copies de vos données, sur au moins deux supports différents, dont une hors du VPS. Cette règle évite qu’une seule panne, une erreur de manipulation ou une attaque efface tout.
- Copie 1 : les données en production, sur le VPS.
- Copie 2 : une sauvegarde sur un autre support, par exemple un stockage distant accessible en SFTP ou un disque de votre poste.
- Copie 3 : une seconde sauvegarde hors du VPS, idéalement chez un autre fournisseur ou dans un autre lieu.
Choisir l’outil : restic ou borg
restic et borg créent des sauvegardes chiffrées, dédupliquées et incrémentales : seuls les blocs modifiés sont envoyés. Ils savent écrire vers SFTP, S3 ou un disque local. Les deux sont libres et s’installent facilement sur Debian ou Ubuntu.
- sudo apt install -y restic
- export RESTIC_REPOSITORY=sftp:[email protected]:/srv/restic : adresse du dépôt, à adapter à votre espace de stockage.
- restic init crée le dépôt une seule fois. Le mot de passe de chiffrement doit être noté hors du VPS.
Planifier, purger et tester
Une sauvegarde planifiée tourne sans vous. Il faut aussi limiter le nombre de versions conservées, pour ne pas remplir le stockage, et vérifier le dépôt de temps en temps. La base doit être exportée avant la copie des fichiers, pour qu’elle soit cohérente.
- mysqldump wp_exemple > /root/base.sql, puis restic backup /root/base.sql /var/www : un script planifié par cron ou par un minuteur systemd, chaque nuit.
- restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune : garde 7 quotidiennes, 4 hebdomadaires et 6 mensuelles.
- restic restore latest --target /root/test-restauration, puis comparez les fichiers. Un test par mois suffit à repérer les oublis.
Questions fréquentes
Un snapshot du fournisseur suffit-il ?
Un snapshot est pratique avant une mise à jour risquée, mais il reste lié au même compte et à la même plateforme. Il ne remplace pas une copie externe.
Quelle fréquence choisir ?
Une sauvegarde quotidienne suffit pour la plupart des sites. Si une base change beaucoup, rapprochez la fréquence : la perte acceptable se mesure en heures de données.
Que se passe-t-il si je perds le mot de passe restic ?
Le dépôt devient illisible, sans aucun recours. Conservez ce mot de passe dans un gestionnaire de mots de passe ou sur papier, hors du VPS.