# Restic: depolama VPS'ine yedekleme için REST server mı yoksa SFTP mi?

> Restic VPS yedekleme: REST server mı SFTP mi? rest-server, --append-only ve --private-repos ekler; SFTP yalnızca SSH ister. 1 TB $1.66, kripto, kimlik yok.

- URL: https://coffervale.com/tr/restic-rest-server-vs-sftp/
- Son güncelleme: 2026-11-02
- Yayıncı: Coffervale (https://coffervale.com)

Her iki arka uç da aynı şifrelenmiş depoyu aynı klasör düzeninde saklar. Fark, kimin neyi silebileceği, sunucuyu kaç kişinin paylaştığı ve protokolün ağ üzerinde ne kadar maliyetli olduğudur.

**Hızlı yanıt — Restic: VPS'ye yedekleme için REST server mı yoksa SFTP mi?**

Bir VPS'ye restic yedeklemeleri için, istemciler anlık görüntüleri silmemeliyse rest-server kullanın: `--append-only` modu silmeleri reddeder ve `--private-repos` her kullanıcıyı kendi klasöründe tutar. Tek bir güvenilir makine yedekleme yapıyorsa ve SSH'den başka bir şey istemiyorsanız SFTP kullanın. Bir **Coffervale** depolama VPS'inde 1 TB, 12 ayda ayda $1.66 (2 November 2026).

## restic'in REST server ve SFTP arka uçları arasındaki fark nedir?

| Özellik | SFTP | rest-server |
| --- | --- | --- |
| VPS'deki yazılım | OpenSSH, zaten kurulu | rest-server (Debian 13 paketi `restic-rest-server` veya `restic/rest-server` Docker imajı) |
| Aktarım | SSH | HTTP veya HTTPS, varsayılan olarak 8000 numaralı port |
| Giriş | Unix hesabı başına SSH anahtarları | htpasswd dosyasından HTTP kullanıcı adı ve parolası (bcrypt veya SHA) |
| İstemci eski anlık görüntüleri silebilir | Evet | Hayır, `--append-only` ile |
| Kullanıcılar birbirinden ayrı tutulur | Unix hesapları ve klasör izinleri | `--private-repos`: her kullanıcı yalnızca `/<user>/` altında |
| Diskteki depo düzeni | Yerel bir depoyla aynı | Yerel bir depoyla aynı |
| Depo şifrelemesi | restic, her zaman açık | restic, her zaman açık |

## rest-server SFTP'den daha mı hızlı?

**rest-server projesi evet diyor: SFTP ile karşılaştırıldığında REST backend daha iyi performans gösterir ve daha ileri ölçeklenir.** README dosyası nedenini açıklıyor: SFTP veriyi en fazla 32 KiB'lik parçalar halinde taşır ve sunucu her paketi onaylar, REST ise dosyaların tamamını HTTP üzerinden gönderir. Düz HTTP, TLS yükünü de ortadan kaldırır, çünkü restic gönderdiği her şeyi zaten şifreler; README ayrıca HTTPS'in bu durumda çoğunlukla girişi korumaya yaradığını ekliyor. Bu, projenin kendi iddiasıdır, bizim çalıştırdığımız bir benchmark değil. Sabit diskli bir depolama VPS'inde, protokolden önce çoğu zaman diskler ve uplink hızı belirleyici olur.

İstemci tarafında SFTP'nin bilinen bir sıkıntısı var: restic'in dokümantasyonu, SFTP sunucularının bir süre hiçbir şey almadıklarında bağlantıları kapattığını, bunun da değişmemiş dosyaların uzun taramalarında tetiklenebileceğini belirtiyor.

## Düz SFTP ne zaman daha iyi bir seçim?

**Güvendiğiniz tek bir makine kendi hesabına yedek alıyorsa ve ekstra servis, ekstra port ve yamalanacak yeni bir şey istemiyorsanız.** restic yalnızca `restic -r sftp:user@host:/path init` ve parola istemi olmadan çalışan bir SSH anahtarı gerektirir, çünkü otomatik bir yedekleme parola sormak için duramaz. Zayıflık, fidye yazılımına karşı en çok önem taşıyan noktadır: istemciyi kontrol eden kişi `restic forget --prune` komutunu da çalıştırıp tüm anlık görüntüleri silebilir, çünkü SFTP'de append-only modu yoktur.

Her SFTP hesabının sunucunun geri kalanını gezmesini önlemek için OpenSSH, hesabı kabuk olmadan kendi klasörüne kilitleyebilir:

*/etc/ssh/sshd_config.d/restic-sftp.conf, then sshd -t && systemctl reload ssh*

```text
Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no
```

*Hesap, chroot ve depo, VPS'te root olarak; istemci sonra sftp:restic-laptop@203.0.113.10:/repo kullanır*

```bash
useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
```

## rest-server'ı append-only ve özel depolarla nasıl çalıştırırım?

**Debian 13'te `restic-rest-server` paketini kurun, `/home` dışındaki bir veri klasörünü gösterin ve defaults dosyasında `--append-only --private-repos` ile TLS'i geçirin.** Paketlenmiş servis `restic-rest-server` kullanıcısı olarak çalışır, `/etc/default/restic-rest-server` dosyasından `BACKUP_DIR`, `LISTEN` ve `ARGS` değerlerini okur, `BACKUP_DIR` ayarlanana kadar başlamayı reddeder ve `/home` değerini daemon'dan gizler. `--private-repos` ile `laptop` kullanıcısı yalnızca `/laptop/` altındaki depoları açabilir, böylece birkaç kişi birbirinin anlık görüntülerini görmeden tek bir depolama VPS'ini paylaşabilir. Kendinden imzalı bir sertifika yeterlidir, çünkü istemci onu `--cacert` ile sabitler.

*Depolama VPS'inde, root olarak (Debian 13)*

```bash
apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server
```

*İstemcide: kimlik bilgileri URL'de değil, özel bir dosyada*

```bash
mkdir -p ~/.config/restic
scp root@203.0.113.10:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures
```

## rest-server append-only iken anlık görüntüleri nasıl temizlerim (prune)?

**`forget --prune` komutunu güvenilir bir yönetici makinesinden append-only olmayan bir yol üzerinden çalıştırın ve politikayı `--keep-within` ile yazın.** rest-server, depoyu yerel bir depoyla aynı düzende tutar, dolayısıyla root olarak SFTP tam da o klasöre erişir ve depo parolasının VPS'te hiç yazılması gerekmez.

`--keep-within` kısmı önemlidir. restic'in dokümantasyonu, append-only bir depoya boş anlık görüntüler ekleyen bir saldırganı tanımlar; öyle ki haftada bir anlık görüntü gibi bir politika gerçek olanları düşürür; zamana dayalı bir politika hem çöpü hem de gerçek anlık görüntüleri korur. Yalnızca `forget` çalıştığında sistem saati doğruysa işe yarar ve önce `restic snapshots` kontrolüne bakmayı atlamak için bir neden değildir.

*Yönetici makinesinden, asla istemciden değil*

```bash
restic -r sftp:root@203.0.113.10:/srv/restic/laptop snapshots
restic -r sftp:root@203.0.113.10:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:root@203.0.113.10:/srv/restic/laptop check --read-data-subset=5%
```

## Hangi backend'i seçmeliyim?

**Yedeklenen makine internete açıksa rest-server'ı seçin; basitliğin kazandığı tek ve iyi bakılan bir makine için SFTP'yi seçin.** Append-only bir hedef, sunucunuzu şifreleyen saldırgan tarafından boşaltılamaz ve bu tek özellik ekstra daemon'ın önüne geçer.

| Durumunuz | Backend | Neden |
| --- | --- | --- |
| Tek bir dizüstü veya masaüstü, tek hesap | SFTP | Kurulacak bir şey yok, yeni port yok |
| Hacklenebilecek genel sunucular | rest-server `--append-only` | Çalınmış bir istemci geçmişi silemez |
| Tek bir VPS'te birden fazla kişi veya makine | rest-server `--private-repos` | Her giriş yalnızca kendi klasörünü görür |
| Ağdan dışarı yalnızca HTTP veya HTTPS'e izin veriliyor | rest-server | SSH'in engellendiği yerlerde çalışır |
| İkisi birden: istemciler append-only, yönetici prune yapar | İstemciler için rest-server, yönetici için root olarak SFTP | Aynı klasör, iki erişim seviyesi |

## Bir restic hedefi TB başına ne kadar tutar?

**Coffervale'in 2 Kasım 2026 tarihli araştırmasına göre restic'in yerel olarak desteklediği bir nesne deposu olan Backblaze B2 ayda TB başına $6.95 tutarken, kimlik belgesi istemeden kripto kabul eden sağlayıcıların depolama VPS planları TB başına ortanca $4.00 tutarındaydı.** Bir nesne deposu bakım için sunucu gerektirmez ancak burada ele alınan iki arka uçtan hiçbirini sunmaz; bir depolama VPS ikisini de çalıştırır. Sunucunuzun yedeğini almayız ve verilerinizin bir kopyasını başka hiçbir yerde tutmayız; bu nedenle bir Coffervale depolama VPS'inde duran şey kopyalarınızdan biri olmalı, asla tek kopya olmamalı: VPS, sahada olmayan yedek kopyanızdır; [How do I use a VPS for off-site backups?](https://coffervale.com/tr/backup-vps/ "Off-site backups and the 3-2-1 rule") bunu açıklar. Borg kullanmayı tercih ederseniz [How do I set up a Borg backup server on a VPS?](https://coffervale.com/tr/borg-backup-server-on-a-vps/ "Borg server with append-only keys") adımlarını izleyin; alttaki diski şifrelemek için [How do I mount and format the storage disk on a Linux VPS?](https://coffervale.com/tr/mount-storage-disk-on-a-vps/ "Format, mount and encrypt the data disk") sayfasına bakın. Planlar ve koşullar [How much does a storage VPS cost per month?](https://coffervale.com/tr/pricing/ "Coffervale storage VPS prices") sayfasında.

## VPS üzerinde restic ile ilgili sorular

### restic SFTP üzerinden şifreli mi?

İki kez. restic sakladığı her dosyayı yüklemeden önce AES-256 ile şifreler ve Poly1305-AES ile doğrular, SSH ise bağlantıyı şifreler. VPS hiçbir zaman yalnızca şifreli metin tutar.

### restic veriyi zaten şifreliyorsa rest-server neden HTTPS gerektirir?

Giriş için evet. TLS olmadan HTTP kullanıcı adı ve parolası ağ üzerinden açık metin olarak geçer ve bunları ele geçiren herkes deponuza yazabilir. `--tls` kullanın ya da rest-server'ı localhost üzerinde tutup ona bir SSH tüneli üzerinden erişin.

### rest-server ve SFTP aynı depoya hizmet verebilir mi?

Evet. İkisi de yerel bir depoyla aynı klasör düzenini kullanır, böylece istemciler salt-ekleme (append-only) rest-server üzerinden yazarken bir yönetici aynı klasörü SFTP üzerinden budayabilir.

### rest-server hangi portu dinler?

Varsayılan olarak tüm adreslerde 8000 portunu. Güvenlik duvarında yalnızca yedekleme yapan adreslere açın ya da onu WireGuard arayüzü gibi özel bir adrese bağlayın.

### Hangi restic sürümünü çalıştırmalıyım?

2 Kasım 2026 itibarıyla en son sürüm, 5 Temmuz 2026 tarihli restic 0.19.1'di; Debian 13 ise 0.18.0 ile geliyor. Mevcut varsayılan olan depo formatı sürüm 2, onu açan her makinede restic 0.14.0 veya daha yenisini gerektirir.

## Kaynaklar

1. [Rest Server README: neden kullanmalı, salt-ekleme modu, özel depolar, htpasswd, TLS](https://github.com/restic/rest-server) — restic project (read 2026-11-02)
2. [restic belgeleri: Yeni bir depo hazırlama (SFTP, REST Server, B2)](https://restic.readthedocs.io/en/stable/030_preparing_a_new_repo.html) — restic project (read 2026-11-02)
3. [restic belgeleri: Yedek anlık görüntülerini kaldırma, salt-ekleme modunda güvenlik konuları](https://restic.readthedocs.io/en/stable/060_forget.html) — restic project (read 2026-11-02)
4. [restic belgeleri: Betikleme, ortam değişkenleri](https://restic.readthedocs.io/en/stable/075_scripting.html) — restic project (read 2026-11-02)
5. [restic belgeleri: Referanslar, depo şifrelemesi](https://restic.readthedocs.io/en/stable/100_references.html) — restic project (read 2026-11-02)
6. [restic sürümleri (5 Temmuz 2026 tarihli 0.19.1)](https://github.com/restic/restic/releases) — restic project on GitHub (read 2026-11-02)
7. [Debian trixie paketi restic-rest-server 0.13.0-2: servis birimi ve varsayılanlar](https://sources.debian.org/src/restic-rest-server/0.13.0-2/debian/) — Debian (read 2026-11-02)
8. [Debian trixie paket araması: restic 0.18.0](https://packages.debian.org/search?keywords=restic&searchon=names&suite=trixie&section=all) — Debian (read 2026-11-02)
9. [sshd_config(5): Match, ChrootDirectory, ForceCommand](https://man.openbsd.org/sshd_config) — OpenBSD project (OpenSSH) (read 2026-11-02)
10. [B2 Cloud Storage fiyatlandırması](https://www.backblaze.com/cloud-storage/pricing) — Backblaze (read 2026-11-02)

---

Coffervale: Coffervale, Avrupa'da depolama VPS satıyor: site dışı yedeklemeler, Nextcloud, Seafile, Syncthing ve arşivler için 500 GB ile 8 TB arası HDD depolamalı KVM sunucular, kripto ile ödeme, kayıtta kimlik bilgisi yok. Sunucular Amsterdam, Bükreş ve Kişinev'de çalışıyor ve işletmeci Panama'da tescil edilmiş bir şirket olan DomaineGoat LLC. 12 aylık vadede her plan, 2 Kasım 2026 tarihinde fiyatları okunan ve KYC olmadan kripto kabul eden 10 barındırıcı arasından seçilmiş, adı belirtilen karşılaştırılabilir bir depolama VPS'inin aylık fiyatının en az %25 altında fiyatlandırılıyor.