Restic : REST server ou SFTP pour les sauvegardes vers un VPS de stockage ?

rest-server est-il plus rapide que SFTP ?

Le projet rest-server affirme que oui : comparé à SFTP, le backend REST est plus performant et monte mieux en charge. Son README en donne la raison : SFTP transfère les données par blocs de 32 KiB au maximum et le serveur acquitte chaque paquet, tandis que REST envoie des fichiers entiers en HTTP. Le HTTP simple supprime aussi la surcharge TLS, puisque restic chiffre déjà tout ce qu'il envoie ; le README ajoute que HTTPS sert alors surtout à protéger la connexion. C'est l'affirmation du projet, pas un benchmark que nous avons réalisé. Sur un VPS de stockage avec des disques durs, ce sont souvent les disques et votre débit montant qui fixent le rythme avant le protocole.

Côté client, SFTP a un inconvénient connu : la documentation de restic signale que les serveurs SFTP ferment les connexions lorsqu'ils ne reçoivent rien pendant un moment, ce que de longs scans de fichiers inchangés peuvent déclencher.

Quand SFTP simple est-il le meilleur choix ?

Quand une machine à laquelle vous faites confiance sauvegarde vers son propre compte et que vous ne voulez ni service supplémentaire, ni port supplémentaire, ni nouvelle chose à patcher. restic n'a besoin que de restic -r sftp:user@host:/path init et d'une clé SSH sans invite de phrase secrète, car une sauvegarde automatique ne peut pas s'arrêter pour la demander. La faiblesse est celle qui compte le plus face aux rançongiciels : qui contrôle le client peut aussi lancer restic forget --prune et supprimer tous les snapshots, car SFTP n'a pas de mode append-only.

Pour empêcher chaque compte SFTP de parcourir le reste du serveur, OpenSSH peut l'enfermer dans son propre dossier sans shell :

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

Comment lancer rest-server avec append-only et des dépôts privés ?

Sur Debian 13, installez restic-rest-server, pointez-le vers un dossier de données hors de /home, et passez --append-only --private-repos plus TLS dans son fichier defaults. Le service fourni par le paquet tourne sous l'utilisateur restic-rest-server, lit BACKUP_DIR, LISTEN et ARGS dans /etc/default/restic-rest-server, refuse de démarrer tant que BACKUP_DIR n'est pas défini, et masque /home au démon. Avec --private-repos, l'utilisateur laptop ne peut ouvrir que des dépôts sous /laptop/, si bien que plusieurs personnes peuvent partager un même VPS de stockage sans voir les snapshots des autres. Un certificat auto-signé suffit, car le client l'épingle avec --cacert.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

Comment purger les snapshots quand rest-server est en append-only ?

Lancez forget --prune depuis une machine d'admin de confiance via un chemin qui n'est pas en append-only, et écrivez la politique avec --keep-within. rest-server conserve le dépôt dans la même organisation qu'un dépôt local, donc SFTP en root atteint exactement le même dossier, et le mot de passe du dépôt n'a jamais à être saisi sur le VPS.

La partie --keep-within compte. La documentation de restic décrit un attaquant qui ajoute des snapshots vides à un dépôt append-only pour qu'une politique comme un snapshot par semaine élimine les vrais ; une politique temporelle conserve à la fois les déchets et les snapshots légitimes. Elle n'aide que si l'horloge système est juste au moment où forget s'exécute, et ce n'est pas une raison pour sauter un coup d'œil à restic snapshots au préalable.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Quel backend choisir ?

Choisissez rest-server dès que la machine sauvegardée est exposée à internet ; choisissez SFTP pour une machine unique et bien tenue, où la simplicité l'emporte. Une cible append-only ne peut pas être vidée par l'attaquant qui chiffre votre serveur, et cette seule propriété pèse plus que le démon supplémentaire.

Combien coûte une cible restic par To ?

Selon l'enquête de Coffervale du 2 novembre 2026, Backblaze B2, un object store que restic prend en charge nativement, coûtait $6.95 par To et par mois, tandis que les offres de VPS de stockage chez des hébergeurs qui acceptent la crypto sans pièce d'identité affichaient une médiane de $4.00 par To. Un object store ne demande aucun serveur à maintenir mais n'offre aucun des deux backends abordés ici ; un VPS de stockage fait tourner les deux. Nous ne faisons aucune sauvegarde de votre serveur et ne conservons aucune copie de vos données ailleurs, ce qui se trouve sur un VPS de stockage Coffervale doit donc être l'une de vos copies, jamais la seule : le VPS est votre copie hors site, comme l'explique Comment utiliser un VPS pour des sauvegardes hors site ?. Si vous préférez utiliser Borg, suivez Comment installer un serveur de sauvegarde Borg sur un VPS ? ; pour chiffrer le disque en dessous, voir Comment monter et formater le disque de stockage sur un VPS Linux ?. Les offres et conditions sont sur Combien coûte un VPS de stockage par mois ?.