Le problème : la sauvegarde qu'on remet à plus tard
La sauvegarde d'un VPS est la tâche que tout le monde repousse, parce qu'elle ne rapporte rien tant qu'elle ne sauve pas tout. Les instantanés proposés par les hébergeurs sont pratiques mais copient la machine entière chez le même fournisseur, au même endroit : ils protègent d'une erreur humaine, pas de la perte du compte ni d'un incident sur l'infrastructure. Et un instantané ne permet pas de récupérer un seul fichier écrasé ce matin.
La réponse open source de référence s'appelle restic : chiffrement de bout en bout, déduplication, sauvegardes incrémentales, et une compatibilité avec pratiquement tous les stockages objets. Son seul défaut est ergonomique — c'est un outil en ligne de commande. En pratique, l'adopter signifie écrire ses propres scripts, ses entrées cron, sa politique de rétention, sa purge périodique, sa supervision. Beaucoup s'arrêtent au premier script, et personne ne remarque quand il cesse de tourner.
Ce que Backrest apporte par-dessus restic
- Une interface web pour créer les dépôts, lancer les sauvegardes et parcourir les instantanés comme une arborescence de fichiers.
- La planification façon cron par plan, avec des politiques de rétention (garder N quotidiennes, hebdomadaires, mensuelles) définies dans le navigateur.
- La maintenance automatique du dépôt :
pruneplanifié pour récupérer l'espace,checkpour détecter une corruption avant d'en avoir besoin. - La restauration granulaire — un fichier, un dossier — sans restauration complète ni interruption de service.
- Des hooks au démarrage, au succès et à l'échec : notification vers ntfy, Discord, Slack ou n'importe quel webhook, ou exécution d'une commande.
- Plusieurs dépôts et plusieurs plans côte à côte, depuis une seule instance.
- Un seul binaire Go, moins de 100 Mo de RAM, aucune base de données — restic est embarqué dans l'image.
Architecture : un conteneur, et vos données restent les vôtres
Backrest est un binaire Go unique qui embarque restic. Il tourne dans un seul conteneur, sans base de données ni cache externe : sa configuration vit dans un fichier JSON et son état dans un répertoire de données. C'est l'inverse des piles de sauvegarde d'entreprise, et c'est ce qui le rend adapté à un VPS modeste.
Le point important est le sens du chiffrement. restic chiffre chaque instantané localement, sur votre serveur, avant le moindre octet transmis : la destination ne reçoit que des blocs opaques. Le mot de passe du dépôt est la clé, et vous seul le détenez — ce qui signifie que le stockage peut être un fournisseur bon marché et non approuvé sans que cela pose un problème de confidentialité, mais aussi que perdre ce mot de passe rend les sauvegardes définitivement illisibles. C'est le compromis explicite de tout chiffrement côté client.
Dans la recette ServOrbit, les répertoires /home, /root et /etc de l'hôte sont montés en lecture seule sous /host dans le conteneur. Backrest peut donc sauvegarder les données et la configuration du serveur sans jamais pouvoir les modifier.
Déployer Backrest et sécuriser un VPS en 6 étapes
Déployer Backrest depuis le marketplace ServOrbit
Ouvrez votre tableau de bord ServOrbit → Marketplace → Backrest → Installer. L'image est récupérée, les répertoires à protéger sont montés en lecture seule et le service démarre sur le port 9898. Aucun nom de domaine n'est requis : l'interface répond sur l'IP du VPS. Installez-le sur le serveur que vous voulez protéger, puisqu'il sauvegarde le système de fichiers de cette machine.
Créer votre compte administrateur
Ouvrez
http://ip-de-votre-vps:9898. Au premier démarrage, Backrest demande de créer un nom d'utilisateur et un mot de passe — il n'existe aucun identifiant par défaut. Faites-le immédiatement après l'installation, avant d'ouvrir le port au-delà de votre propre adresse.Ajouter un dépôt de sauvegarde
Choisissez « Add Repo », sélectionnez une destination et collez ses identifiants — pour Backblaze B2, un nom de bucket et une clé applicative. Choisissez un mot de passe de dépôt solide et rangez-le dans votre gestionnaire de mots de passe : c'est la clé de chiffrement, et elle n'est récupérable nulle part ailleurs.
Créer un plan et le planifier
« Add Plan », sélectionnez les chemins à protéger (
/host/home,/host/etc), définissez une planification cron et une rétention — par exemple 7 quotidiennes, 4 hebdomadaires, 6 mensuelles. Lancez-le une fois à la main pour vérifier qu'il se termine correctement avant de laisser la planification prendre le relais.Brancher l'alerte d'échec, puis tester une restauration
Ajoutez un hook sur échec pointant vers un webhook — un topic ntfy auto-hébergé fait très bien l'affaire. Puis faites l'exercice que presque personne ne fait : restaurez un fichier depuis un instantané. Une sauvegarde dont la restauration n'a jamais été testée n'est pas une sauvegarde, c'est une hypothèse.
Se connecter la première fois
À la première ouverture de l'URL, Backrest affiche son écran de configuration initiale : vous choisissez un identifiant d'instance (définitif) puis créez vous-même votre nom d'utilisateur et votre mot de passe. Ouvrez cette adresse immédiatement.
Astuce : la règle 3-2-1 commence par sortir du serveur
L'erreur la plus fréquente est d'envoyer les sauvegardes sur un disque du même serveur, ou sur un volume du même fournisseur. Cela protège d'une suppression accidentelle, pas d'une perte de la machine ni d'un incident de compte. Visez au minimum une destination hors de l'hébergeur du VPS : Backblaze B2 ou Wasabi coûtent quelques euros par mois pour plusieurs dizaines de gigaoctets, et grâce à la déduplication de restic, des mois de rétention quotidienne restent bien moins volumineux qu'on ne l'imagine.
