Comment utiliser un VPS de stockage pour des sauvegardes hors site ?

Qu'apporte un VPS de sauvegarde que le RAID ou un snapshot n'apporte pas ?

Un VPS de sauvegarde détient une copie séparée et versionnée de vos données dans un autre bâtiment, accessible avec ses propres identifiants. C'est la propriété qui manque aux solutions de substitution habituelles. La redondance des disques maintient un serveur en marche malgré une panne de disque ; elle ne répare ni une suppression, ni un ransomware, ni un compte perdu, ce n'est donc pas une sauvegarde. Un snapshot se trouve sur les mêmes disques que le serveur qu'il capture, il peut donc annuler une erreur mais ce n'est pas une copie hors site.

Dans les recherches, « VPS de sauvegarde » désigne deux choses : sauvegarder un VPS ailleurs, et utiliser un VPS comme destination des sauvegardes. C'est un seul travail vu par l'un ou l'autre bout : un serveur de production pousse des archives Borg ou restic vers un VPS de stockage exactement comme le fait un ordinateur portable.

Pourquoi un seul VPS de stockage n'est-il pas une sauvegarde 3-2-1 ?

Parce que 3-2-1 compte les copies, les supports et les lieux, et qu'un seul VPS, c'est une copie dans un seul lieu. La règle, telle que l'énonce le document Data Backup Options de l'US-CERT, impose trois copies de chaque fichier important, sur deux types de supports différents, avec une copie stockée hors site. Un VPS de stockage, c'est une copie à un seul endroit. La règle 3-2-1 demande trois copies, sur deux types de supports, dont une hors site : un VPS de stockage convient comme cette copie hors site, à côté de deux que vous gardez vous-même.

Une disposition qui la respecte pour un home lab ou une petite équipe :

• Copie 1 : les données actives sur votre laptop, votre serveur ou votre NAS.
• Copie 2 : une sauvegarde locale sur un disque USB ou un second NAS, rapide à restaurer.
• Copie 3 : le VPS de stockage : chiffré, append-only, dans une ville où vous ne vivez pas et ne travaillez pas.

Une sauvegarde gardée à un seul endroit est un point de défaillance unique au nom rassurant.

Comment envoyer des sauvegardes d'un serveur vers un VPS de stockage via SSH ?

Donnez à chaque machine sa propre clé SSH, son propre compte ou chemin sur le VPS et son propre dépôt, puis laissez l'outil de sauvegarde faire le reste via SSH. Borg exige que Borg soit installé sur le VPS et y exécute borg serve ; restic peut écrire via SFTP simple sans rien installer de plus sur le serveur, ou communiquer en HTTP avec rest-server. Des clés séparées signifient qu'un laptop volé n'expose qu'un dépôt, pas tous.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Pourquoi chiffrer sur le client plutôt que sur le VPS ?

Parce qu'ainsi le VPS ne stocke jamais que du texte chiffré, et que personne atteignant son disque ne peut lire vos fichiers. Quiconque exploite un hyperviseur peut techniquement lire un disque virtuel non chiffré, chez n'importe quel hébergeur de VPS. Nous n'ouvrons pas vos fichiers, et des données chiffrées avant de quitter votre machine écartent la question. KVM donne à votre serveur son propre noyau, vous pouvez donc mettre LUKS sur le disque de données ou faire tourner ZFS avec chiffrement natif, et les clés ne quittent jamais votre possession. Pour les sauvegardes, chiffrez sur votre propre machine avant l'envoi (Borg, restic et Kopia le font tous), ainsi le serveur ne contient jamais que du texte chiffré.

Borg demande un mode de chiffrement à borg init ; sa documentation recommande repokey avec une phrase de passe robuste et indique de conserver une copie de la clé en dehors du dépôt et de la machine sauvegardée. restic chiffre toutes les données qu'il stocke avec AES-256 et les authentifie avec Poly1305-AES, sans mode non chiffré. Gardez la phrase de passe et la clé exportée dans un gestionnaire de mots de passe et sur papier. Le chiffrement fait sur le serveur protège le serveur ; le chiffrement fait sur votre machine vous protège.

Contre quoi le mode append-only protège-t-il ?

L'append-only empêche un client compromis d'effacer les sauvegardes qu'il a créées. Un attaquant qui contrôle un serveur contrôle aussi ses identifiants de sauvegarde, et en mode normal ceux-ci peuvent exécuter borg delete ou restic forget --prune avant que la note de rançon n'apparaisse.

• Borg : ajoutez --append-only à la commande borg serve forcée dans authorized_keys. La documentation de Borg précise que prune et delete s'exécutent encore dans ce mode mais ne font que marquer les données comme supprimées : aucun espace n'est libéré et aucune compaction n'a lieu.
• restic : démarrez rest-server avec --append-only, qui accepte les nouvelles sauvegardes et refuse de supprimer ou de modifier les existantes. Le SFTP simple n'a pas un tel mode.

Le prix à payer, c'est l'entretien : le pruning exige une seconde clé sans restriction, utilisée depuis une machine que l'attaquant ne peut pas atteindre. Sur les dépôts restic append-only, la documentation de restic vous indique d'écrire des politiques forget avec --keep-within. La recette complète pour Borg se trouve dans Comment configurer un serveur de sauvegarde Borg sur un VPS ?, et le choix de restic dans Restic : serveur REST ou SFTP pour les sauvegardes vers un VPS ?.

Comment savoir si ma sauvegarde hors site pourra être restaurée ?

Restaurez-la, selon un calendrier, sur une machine qui n'est pas l'originale. Une tâche qui se termine avec le statut 0 prouve que l'envoi a fonctionné, pas que vos fichiers reviennent. Étalez les vérifications pour que les plus lentes tournent rarement :

Combien de temps prend une restauration complète, et tient-elle dans le quota de trafic ?

À pleine capacité de ligne, un port 1 Gbit/s transfère 1 TB en environ 2 heures 15 minutes ; en pratique, votre propre connexion et les disques durs imposent un rythme plus lent. Ce chiffre est de l'arithmétique (8 000 gigabits à un gigabit par seconde), pas une vitesse mesurée : chronométrez donc la restauration d'un vrai dossier avant de compter dessus.

Le quota de trafic mensuel de chaque formule dépasse le double de son disque, 4 TB par mois sur la formule Clay 1 TB par exemple, donc envoyer un disque plein et tout restaurer dans le même mois reste dans le quota. Chaque serveur dispose d'une adresse IPv4 et d'un IPv6 /64 sur un port 1 Gbit/s, avec un quota de trafic mensuel de 2 TB plus 2 TB par TB stocké : 3 TB pour Silt, 4 TB pour Clay, 6 TB pour Shale, 10 TB pour Granite, 18 TB pour Bedrock. Au-delà du quota, le port tourne à 100 Mbit/s jusqu'au début de la période suivante ; rien de plus n'est facturé.

Combien coûte par TB une cible de sauvegarde hors site ?

Selon l'enquête de Coffervale du 2 novembre 2026, les formules VPS de stockage chez les hébergeurs qui acceptent la crypto et ne demandent aucun document d'identité coûtent une médiane de $4.00 par TB et par mois, tandis que les formules VPS généralistes des mêmes hébergeurs coûtent $223.44 par TB, environ 56 fois plus. Les sauvegardes ont leur place sur des disques dimensionnés pour la capacité. Le stockage de sauvegarde hébergé ne vous donne aucun serveur à vous, comme le montre le tableau ; le compromis est pesé dans Un VPS de stockage est-il une alternative moins chère à rsync.net ou BorgBase ?. Chaque formule et chaque durée sont sur Combien coûte par mois un VPS de stockage ?, et la formule 1 TB en détail sur Où trouver un VPS avec 1 TB de stockage ?.