Restic: REST server o SFTP per i backup su un storage VPS?

rest-server è più veloce di SFTP?

Il progetto rest-server dice di sì: rispetto a SFTP, il backend REST offre prestazioni migliori e scala di più. Il suo README ne spiega il motivo: SFTP trasferisce i dati in blocchi di al massimo 32 KiB e il server conferma ogni pacchetto, mentre REST invia file interi su HTTP. Il semplice HTTP elimina anche l'overhead di TLS, dato che restic cifra già tutto ciò che invia; il README aggiunge che HTTPS serve poi soprattutto a proteggere il login. È un'affermazione del progetto stesso, non un benchmark che abbiamo eseguito noi. Su un VPS di storage con dischi rigidi, spesso sono i dischi e la tua banda in upload a dettare il passo prima del protocollo.

Lato client, SFTP ha un fastidio noto: la documentazione di restic segnala che i server SFTP chiudono le connessioni quando non ricevono nulla per un po', cosa che le scansioni lunghe di file invariati possono innescare.

Quando è meglio il semplice SFTP?

Quando una macchina di cui ti fidi esegue il backup sul proprio account e non vuoi servizi aggiuntivi, porte aggiuntive né nulla di nuovo da aggiornare. restic ha bisogno solo di restic -r sftp:user@host:/path init e di una chiave SSH senza richiesta di passphrase, dato che un backup automatico non può fermarsi a chiederla. La debolezza è quella che conta di più contro il ransomware: chi controlla il client può anche eseguire restic forget --prune ed eliminare ogni snapshot, perché SFTP non ha una modalità append-only.

Per impedire a ogni account SFTP di curiosare nel resto del server, OpenSSH può confinarlo nella propria cartella senza shell:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

Come eseguo rest-server con repository append-only e privati?

Su Debian 13, installa restic-rest-server, puntalo a una cartella dati fuori da /home e passa --append-only --private-repos più TLS nel suo file dei default. Il servizio del pacchetto gira come utente restic-rest-server, legge BACKUP_DIR, LISTEN e ARGS da /etc/default/restic-rest-server, rifiuta di avviarsi finché BACKUP_DIR non è impostato e nasconde /home al demone. Con --private-repos, l'utente laptop può aprire solo repository sotto /laptop/, così più persone possono condividere un unico VPS di storage senza vedere gli snapshot altrui. Un certificato autofirmato basta, perché il client lo fissa con --cacert.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

Come faccio il prune degli snapshot quando rest-server è append-only?

Esegui forget --prune da una macchina admin fidata su un percorso che non è append-only, e scrivi la policy con --keep-within. rest-server mantiene il repository nella stessa struttura di un repository locale, quindi SFTP come root raggiunge la stessa identica cartella e la password del repository non va mai digitata sul VPS.

La parte --keep-within conta. La documentazione di restic descrive un attaccante che aggiunge snapshot vuoti a un repository append-only così che una policy come uno snapshot a settimana elimini quelli veri; una policy basata sul tempo conserva sia i rifiuti sia gli snapshot autentici. Aiuta solo se l'orologio di sistema è corretto quando gira forget, e non è un motivo per saltare un'occhiata a restic snapshots prima.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Quale backend scelgo?

Scegli rest-server ogni volta che la macchina di cui fai il backup è esposta a internet; scegli SFTP per un'unica macchina ben curata dove vince la semplicità. Un target append-only non può essere svuotato dall'attaccante che cifra il tuo server, e questa sola proprietà vale più del demone in più.

Quanto costa un target restic per TB?

Secondo l'indagine di Coffervale del 2 novembre 2026, Backblaze B2, un object store supportato nativamente da restic, costava $6.95 per TB al mese, mentre i piani VPS per storage di host che accettano criptovalute senza documento d'identità avevano una mediana di $4.00 per TB. Un object store non richiede nessun server da mantenere ma non offre nessuno dei due backend discussi qui; un VPS per storage li esegue entrambi. Non facciamo backup del tuo server e non teniamo copia dei tuoi dati da nessun'altra parte, quindi ciò che sta su uno storage VPS di Coffervale dovrebbe essere una delle tue copie, mai l'unica: il VPS è la tua copia off-site, come spiega Come uso un VPS per i backup off-site?. Se preferisci usare Borg, segui Come configuro un server di backup Borg su un VPS?; per cifrare il disco sottostante, vedi Come monto e formatto il disco di storage su un VPS Linux?. Piani e condizioni sono su Quanto costa un VPS per storage al mese?.