# Comment utiliser un VPS de stockage pour des sauvegardes hors site ?

> Sauvegardes hors site avec un VPS en SSH et Borg ou restic, en ajout seul, 1 To à partir de $1.66/mois. | Coffervale

- URL: https://coffervale.com/fr/backup-vps/
- Dernière mise à jour: 2026-11-02
- Éditeur: Coffervale (https://coffervale.com)

Faites pointer vos serveurs et vos ordinateurs portables vers un VPS de stockage en SSH, chiffrez avant que quoi que ce soit ne quitte ces machines, rendez la copie en ajout seul, puis prouvez qu'elle se restaure. Voici toute la mise en place, et ce qu'un seul VPS ne pourra jamais faire pour vous.

**Réponse rapide — Comment utiliser un VPS pour des sauvegardes hors site ?**

Pour utiliser un VPS pour des sauvegardes hors site, louez un VPS de stockage dans une autre ville, donnez à chaque machine sa propre clé SSH et son propre dépôt, et lancez Borg ou restic pour que les données soient chiffrées avant de vous quitter. Chez **Coffervale**, 1 To coûte $1.66 par mois sur 12 mois (2 November 2026). Gardez-le comme l'une des trois copies.

## Un VPS de sauvegarde en cinq lignes

| Attribut | Valeur |
| --- | --- |
| Où il se trouve | Dans une autre ville, sous un autre compte que les données qu'il protège |
| Comment les données y arrivent | SSH : Borg (`borg serve`), restic (SFTP ou rest-server), ou rsync |
| Qui détient la clé | Vous : chiffrez côté client, le VPS ne stocke que du texte chiffré |
| Ce qui arrête un client compromis | Accès en ajout seul : nouvelles sauvegardes autorisées, suppressions refusées |
| Comment vous savez que ça marche | Des vérifications planifiées plus une vraie restauration sur une autre machine |

## Qu'apporte un VPS de sauvegarde que le RAID ou un snapshot n'apporte pas ?

**Un VPS de sauvegarde détient une copie séparée et versionnée de vos données dans un autre bâtiment, accessible avec ses propres identifiants.** C'est la propriété qui manque aux solutions de substitution habituelles. La redondance des disques maintient un serveur en marche malgré une panne de disque ; elle ne répare ni une suppression, ni un ransomware, ni un compte perdu, ce n'est donc pas une sauvegarde. Un snapshot se trouve sur les mêmes disques que le serveur qu'il capture, il peut donc annuler une erreur mais ce n'est pas une copie hors site.

Dans les recherches, « VPS de sauvegarde » désigne deux choses : sauvegarder un VPS ailleurs, et utiliser un VPS comme destination des sauvegardes. C'est un seul travail vu par l'un ou l'autre bout : un serveur de production pousse des archives Borg ou restic vers un VPS de stockage exactement comme le fait un ordinateur portable.

### Quelle copie survit à quoi ?

| Événement | RAID dans le même serveur | Snapshot sur le même hôte | VPS de sauvegarde en ajout seul dans une autre ville |
| --- | --- | --- | --- |
| Un disque meurt | Survit | Survit si le tableau le fait | Survit |
| Vous supprimez un dossier par erreur | La suppression est copiée aussitôt | Revenir au snapshot | Restaurer à partir d'une archive plus ancienne |
| Un ransomware chiffre le serveur | Les fichiers chiffrés sont copiés aussitôt | Perdu si l'attaquant détient aussi l'identifiant du panel | Les archives plus anciennes restent : la clé client ne peut pas les supprimer |
| Incendie ou inondation au datacenter | Perdu | Perdu | Survit |
| Le compte d'hébergement est fermé | Perdu | Perdu | Survit s'il tourne sous un autre compte |

## Pourquoi un seul VPS de stockage n'est-il pas une sauvegarde 3-2-1 ?

**Parce que 3-2-1 compte les copies, les supports et les lieux, et qu'un seul VPS, c'est une copie dans un seul lieu.** La règle, telle que l'énonce le document *Data Backup Options* de l'US-CERT, impose trois copies de chaque fichier important, sur deux types de supports différents, avec une copie stockée hors site. Un VPS de stockage, c'est une copie à un seul endroit. La règle 3-2-1 demande trois copies, sur deux types de supports, dont une hors site : un VPS de stockage convient comme cette copie hors site, à côté de deux que vous gardez vous-même.

Une disposition qui la respecte pour un home lab ou une petite équipe :

- **Copie 1 :** les données actives sur votre laptop, votre serveur ou votre NAS.
- **Copie 2 :** une sauvegarde locale sur un disque USB ou un second NAS, rapide à restaurer.
- **Copie 3 :** le VPS de stockage : chiffré, append-only, dans une ville où vous ne vivez pas et ne travaillez pas.

Une sauvegarde gardée à un seul endroit est un point de défaillance unique au nom rassurant.

## Comment envoyer des sauvegardes d'un serveur vers un VPS de stockage via SSH ?

**Donnez à chaque machine sa propre clé SSH, son propre compte ou chemin sur le VPS et son propre dépôt, puis laissez l'outil de sauvegarde faire le reste via SSH.** Borg exige que Borg soit installé sur le VPS et y exécute `borg serve` ; restic peut écrire via SFTP simple sans rien installer de plus sur le serveur, ou communiquer en HTTP avec rest-server. Des clés séparées signifient qu'un laptop volé n'expose qu'un dépôt, pas tous.

*Une clé, un compte, un dépôt par machine (restic via SFTP)*

```bash
# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www
```

### Quel outil doit pousser les sauvegardes ?

| Outil | Transport vers le VPS | Chiffre avant l'envoi | Ne stocke que les blocs modifiés | Option append-only |
| --- | --- | --- | --- | --- |
| Borg 1.4 | SSH, `borg serve` sur le VPS | Oui (`repokey`, `keyfile`) | Oui | Oui, par clé SSH : `borg serve --append-only` |
| restic 0.19 | SFTP, ou HTTP(S) vers rest-server | Oui, toujours activé | Oui | Seulement avec rest-server `--append-only` |
| rsync | SSH | Non : les fichiers arrivent tels quels | Non ; `--link-dest` crée des hard links vers les fichiers inchangés | Non |

Versions : Borg 1.4.5 et restic 0.19.1 étaient les dernières versions stables au 2 novembre 2026. Borg 2 est toujours en bêta et ne peut pas lire les dépôts Borg 1.x.

## Pourquoi chiffrer sur le client plutôt que sur le VPS ?

**Parce qu'ainsi le VPS ne stocke jamais que du texte chiffré, et que personne atteignant son disque ne peut lire vos fichiers.** Quiconque exploite un hyperviseur peut techniquement lire un disque virtuel non chiffré, chez n'importe quel hébergeur de VPS. Nous n'ouvrons pas vos fichiers, et des données chiffrées avant de quitter votre machine écartent la question. KVM donne à votre serveur son propre noyau, vous pouvez donc mettre LUKS sur le disque de données ou faire tourner ZFS avec chiffrement natif, et les clés ne quittent jamais votre possession. Pour les sauvegardes, chiffrez sur votre propre machine avant l'envoi (Borg, restic et Kopia le font tous), ainsi le serveur ne contient jamais que du texte chiffré.

Borg demande un mode de chiffrement à `borg init` ; sa documentation recommande `repokey` avec une phrase de passe robuste et indique de conserver une copie de la clé en dehors du dépôt et de la machine sauvegardée. restic chiffre toutes les données qu'il stocke avec AES-256 et les authentifie avec Poly1305-AES, sans mode non chiffré. Gardez la phrase de passe et la clé exportée dans un gestionnaire de mots de passe et sur papier. Le chiffrement fait sur le serveur protège le serveur ; le chiffrement fait sur votre machine vous protège.

## Contre quoi le mode append-only protège-t-il ?

**L'append-only empêche un client compromis d'effacer les sauvegardes qu'il a créées.** Un attaquant qui contrôle un serveur contrôle aussi ses identifiants de sauvegarde, et en mode normal ceux-ci peuvent exécuter `borg delete` ou `restic forget --prune` avant que la note de rançon n'apparaisse.

- **Borg :** ajoutez `--append-only` à la commande `borg serve` forcée dans `authorized_keys`. La documentation de Borg précise que prune et delete s'exécutent encore dans ce mode mais ne font que marquer les données comme supprimées : aucun espace n'est libéré et aucune compaction n'a lieu.
- **restic :** démarrez rest-server avec `--append-only`, qui accepte les nouvelles sauvegardes et refuse de supprimer ou de modifier les existantes. Le SFTP simple n'a pas un tel mode.

Le prix à payer, c'est l'entretien : le pruning exige une seconde clé sans restriction, utilisée depuis une machine que l'attaquant ne peut pas atteindre. Sur les dépôts restic append-only, la documentation de restic vous indique d'écrire des politiques `forget` avec `--keep-within`. La recette complète pour Borg se trouve dans [Comment configurer un serveur de sauvegarde Borg sur un VPS ?](https://coffervale.com/fr/borg-backup-server-on-a-vps/ "Borg server setup on a storage VPS, step by step"), et le choix de restic dans [Restic : serveur REST ou SFTP pour les sauvegardes vers un VPS ?](https://coffervale.com/fr/restic-rest-server-vs-sftp/ "restic rest-server against SFTP on a storage VPS").

## Comment savoir si ma sauvegarde hors site pourra être restaurée ?

**Restaurez-la, selon un calendrier, sur une machine qui n'est pas l'originale.** Une tâche qui se termine avec le statut 0 prouve que l'envoi a fonctionné, pas que vos fichiers reviennent. Étalez les vérifications pour que les plus lentes tournent rarement :

### Une routine de test de restauration

| Fréquence | Quoi lancer | Ce que cela prouve |
| --- | --- | --- |
| Après chaque exécution | Lisez le statut de sortie et le journal de `borg create` ou `restic backup` | La tâche est allée jusqu'au bout |
| Chaque semaine | `borg check` ou `restic check` | La structure et les index du dépôt sont sains |
| Chaque mois | `restic check --read-data-subset=10%`, ou `borg check --verify-data` (lit chaque chunk, lent sur HDD) | Les données stockées se déchiffrent et correspondent à leurs checksums |
| Chaque trimestre | Extrayez un vrai dossier sur une machine de secours et ouvrez les fichiers | Vous pouvez récupérer les données avec la clé et la phrase secrète que vous avez conservées |

## Combien de temps prend une restauration complète, et tient-elle dans le quota de trafic ?

**À pleine capacité de ligne, un port 1 Gbit/s transfère 1 TB en environ 2 heures 15 minutes ; en pratique, votre propre connexion et les disques durs imposent un rythme plus lent.** Ce chiffre est de l'arithmétique (8 000 gigabits à un gigabit par seconde), pas une vitesse mesurée : chronométrez donc la restauration d'un vrai dossier avant de compter dessus.

Le quota de trafic mensuel de chaque formule dépasse le double de son disque, 4 TB par mois sur la formule Clay 1 TB par exemple, donc envoyer un disque plein et tout restaurer dans le même mois reste dans le quota. Chaque serveur dispose d'une adresse IPv4 et d'un IPv6 /64 sur un port 1 Gbit/s, avec un quota de trafic mensuel de 2 TB plus 2 TB par TB stocké : 3 TB pour Silt, 4 TB pour Clay, 6 TB pour Shale, 10 TB pour Granite, 18 TB pour Bedrock. Au-delà du quota, le port tourne à 100 Mbit/s jusqu'au début de la période suivante ; rien de plus n'est facturé.

## Combien coûte par TB une cible de sauvegarde hors site ?

**Selon l'enquête de Coffervale du 2 novembre 2026, les formules VPS de stockage chez les hébergeurs qui acceptent la crypto et ne demandent aucun document d'identité coûtent une médiane de $4.00 par TB et par mois, tandis que les formules VPS généralistes des mêmes hébergeurs coûtent $223.44 par TB, environ 56 fois plus.** Les sauvegardes ont leur place sur des disques dimensionnés pour la capacité. Le stockage de sauvegarde hébergé ne vous donne aucun serveur à vous, comme le montre le tableau ; le compromis est pesé dans [Un VPS de stockage est-il une alternative moins chère à rsync.net ou BorgBase ?](https://coffervale.com/fr/rsync-net-alternative/ "Storage VPS against rsync.net and BorgBase"). Chaque formule et chaque durée sont sur [Combien coûte par mois un VPS de stockage ?](https://coffervale.com/fr/pricing/ "Coffervale storage VPS prices and terms"), et la formule 1 TB en détail sur [Où trouver un VPS avec 1 TB de stockage ?](https://coffervale.com/fr/1tb-vps/ "1 TB storage VPS: specs and price").

| Option | De quoi s'agit-il | Prix par TB et par mois | Root et vos propres logiciels |
| --- | --- | --- | --- |
| Coffervale Clay (1 TB) | VPS de stockage, HDD | $1.66 sur 12 mois | Oui |
| Hetzner Storage Box BX11 | Stockage réseau via SFTP et Samba | $3.58 | Non |
| Backblaze B2 | Stockage objet | $6.95 | Non |
| BorgBase Medium | Dépôts Borg et restic hébergés | $9.17 | Non |
| rsync.net | Stockage de sauvegarde via SSH | $15.00 | Non |

*Prix vérifiés le 2 novembre 2026.*

Prix tels que publiés sur la page de chaque fournisseur le 2 novembre 2026 ; prix en euros convertis à 1 EUR = 1,1172 USD (BCE, 30 octobre 2026). Les prix Hetzner sont hors TVA.

## Questions sur les VPS de sauvegarde

### Puis-je sauvegarder un VPS vers un autre VPS ?

Oui. Installez Borg ou restic sur le serveur de production, pointez-le vers un VPS de stockage dans une autre ville via SSH, et lancez-le depuis cron ou un timer systemd. Utilisez un autre compte, idéalement chez un autre hébergeur, pour qu'un problème de compte ne puisse pas emporter les deux copies.

### Faut-il utiliser Borg ou restic pour un VPS de sauvegarde ?

Les deux chiffrent côté client et ne stockent que les chunks modifiés. Borg nécessite Borg sur le VPS et offre un accès en append-only par clé SSH ; restic écrit via SFTP simple, ou vers rest-server quand vous voulez de l'append-only. Choisissez celui dont vous êtes à l'aise de taper les commandes de restauration sous pression.

### Coffervale sauvegarde-t-il mon VPS de sauvegarde ?

Non. Nous ne faisons aucune sauvegarde de votre serveur et ne conservons aucune copie de vos données ailleurs, ce qui se trouve sur un VPS de stockage Coffervale doit donc être l'une de vos copies, jamais la seule. C'est exactement pour cela que le VPS doit héberger votre troisième copie, pas votre seule copie.

### De quel espace les sauvegardes ont-elles besoin ?

Partez de la taille des données que vous protégez, puis ajoutez de la place pour l'historique. Les outils de déduplication ne stockent qu'une fois les blocs inchangés, si bien que les archives quotidiennes de fichiers majoritairement statiques grossissent lentement ; au bout d'un mois, `borg info` ou `restic stats` révèlent le chiffre réel. Pour grandir, commandez une formule plus grande et copiez vos données avec rsync ou zfs send ; le redimensionnement d'un serveur en cours d'exécution n'est pas proposé au lancement.

### Puis-je payer un VPS de sauvegarde sans présenter de pièce d'identité ?

Oui. Sans KYC : aucun document d'identité, aucun selfie, aucune carte et aucun numéro de téléphone ne sont demandés à l'inscription. Vous rechargez un solde avec BTC, USDT, USDC, ETH, SOL, LTC, XMR, à partir de 1 $US, et commandez depuis celui-ci.

## Sources

1. [Data Backup Options (P. Ruggiero, M. A. Heckathorn, 2012) : la règle 3-2-1](https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf) — US-CERT / CISA (read 2026-11-02)
2. [Documentation Borg 1.4.5 : notes complémentaires, mode append-only](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup project (read 2026-11-02)
3. [Documentation Borg 1.4.5 : borg init, modes de chiffrement et sauvegarde de la clé](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup project (read 2026-11-02)
4. [Borg 2.0 (informations préliminaires)](https://www.borgbackup.org/releases/borg-2.0.html) — BorgBackup project (read 2026-11-02)
5. [Documentation restic : préparer un nouveau dépôt (SFTP, serveur REST)](https://restic.readthedocs.io/en/stable/030_preparing_a_new_repo.html) — restic project (read 2026-11-02)
6. [Documentation restic : supprimer des snapshots de sauvegarde (append-only et --keep-within)](https://restic.readthedocs.io/en/stable/060_forget.html) — restic project (read 2026-11-02)
7. [Documentation restic : vérifier l'intégrité et la cohérence](https://restic.readthedocs.io/en/stable/045_working_with_repos.html) — restic project (read 2026-11-02)
8. [Documentation restic : références, chiffrement du dépôt](https://restic.readthedocs.io/en/stable/100_references.html) — restic project (read 2026-11-02)
9. [README de Rest Server : mode append-only](https://github.com/restic/rest-server) — restic project (read 2026-11-02)
10. [Page de manuel rsync(1) : --link-dest, chiffrement du transport](https://download.samba.org/pub/rsync/rsync.1) — rsync project (Samba) (read 2026-11-02)
11. [Plans Storage Box (BX11 à BX41)](https://www.hetzner.com/storage/storage-box/) — Hetzner Online (read 2026-11-02)
12. [Tarifs B2 Cloud Storage](https://www.backblaze.com/cloud-storage/pricing) — Backblaze (read 2026-11-02)
13. [Plans et tarifs](https://www.borgbase.com/) — BorgBase (read 2026-11-02)
14. [Tarifs du stockage cloud](https://www.rsync.net/pricing.html) — rsync.net (read 2026-11-02)

---

Coffervale: Coffervale vend des VPS de stockage en Europe : des serveurs KVM avec 500 GB à 8 TB de stockage HDD pour les sauvegardes hors site, Nextcloud, Seafile, Syncthing et les archives, payables en crypto sans pièce d'identité à l'inscription. Les serveurs tournent à Amsterdam, Bucarest et Chișinău, et l'opérateur est DomaineGoat LLC, une société enregistrée au Panama. Sur l'engagement de 12 mois, chaque formule est facturée au moins 25 % par mois sous un VPS de stockage comparable nommé, choisi parmi 10 hébergeurs crypto sans KYC dont les prix ont été relevés le 2 novembre 2026.