La comparaison tourne généralement autour de la vitesse et du taux de compression. Ce sont les critères les moins déterminants. Ce qui décide réellement, c'est la nature de l'outil et l'endroit où il peut écrire.
rsync : un outil de synchronisation
rsync copie efficacement en ne transférant que les différences. C'est un excellent outil — pour ce qu'il est.
Utilisé nu, il produit une copie conforme de la source. Avec l'option de suppression, ce qui disparaît côté source disparaît côté copie. Vous effacez un répertoire par erreur, la synchronisation suivante propage l'effacement. Sans versions antérieures, il n'y a rien à récupérer.
On peut en faire un outil de sauvegarde en ajoutant une couche de versions : des répertoires datés où les fichiers inchangés sont partagés par liens matériels, de sorte que chaque version coûte seulement les modifications. C'est robuste, lisible, et sans dépendance exotique — chaque version est un répertoire ordinaire que n'importe qui peut parcourir.
Le prix : c'est vous qui portez la logique. Rétention, cohérence, vérification d'intégrité, chiffrement : tout est à votre charge. Et rsync ne déduplique pas à l'intérieur des fichiers : un fichier d'un gigaoctet dont un octet change est recopié en entier dans la nouvelle version.
Borg : la déduplication qui change l'échelle
Borg résout précisément ce dernier point. Il découpe les données en blocs de taille variable, déterminée par le contenu lui-même. Insérer un octet au début d'un gros fichier ne décale donc pas l'ensemble des blocs suivants : seuls les blocs réellement modifiés sont nouveaux.
Sur des données répétitives — et une sauvegarde quotidienne du même système l'est massivement — le gain est spectaculaire. Sauvegarder tous les jours des images de machines virtuelles devient viable, là où une copie complète serait absurde.
S'y ajoutent la compression, le chiffrement, une vérification d'intégrité intégrée, et une gestion de rétention avec des règles de conservation par jour, semaine, mois.
Sa contrainte principale est structurelle : Borg est le plus efficace quand son propre programme tourne à l'autre bout. Cela suppose un serveur distant sur lequel vous pouvez l'installer. Vers un stockage objet ou un espace mutualisé où vous ne contrôlez rien, il perd son avantage.
restic : la souplesse de destination
restic offre les mêmes propriétés fondamentales — déduplication, chiffrement systématique, instantanés, rétention — avec une différence décisive : il écrit dans un stockage objet générique ou un simple répertoire, sans rien à installer côté cible.
Cette souplesse ouvre la possibilité la plus intéressante en matière de sécurité, développée ci-dessous.
Sur les fonctions de base, Borg et restic sont comparables. Les benchmarks les départagent sur des écarts qui, en homelab, ne changeront rien à votre vie. Le critère utile est la destination, pas la performance.
Le critère qui devrait décider : qui peut effacer ?
Voici le point que les comparatifs classent en dernier, alors qu'il devrait venir en premier.
Un rançongiciel moderne ne se contente pas de chiffrer : il cherche vos sauvegardes. Il inspecte les montages, récupère les identifiants stockés sur la machine, et efface ce qu'il peut atteindre. Si votre serveur de sauvegarde est joignable depuis la machine compromise avec des droits d'écriture complets, il tombe aussi.
La parade tient en une phrase : la machine sauvegardée ne doit pas avoir le droit d'effacer ses propres sauvegardes.
Deux mises en œuvre concrètes :
- Un stockage en écriture unique : une donnée déposée ne peut être ni modifiée ni supprimée avant l'expiration de sa rétention, même par un compte administrateur. C'est l'atout de restic avec un stockage objet compatible.
- Un dépôt en ajout seul : le client peut écrire de nouvelles données mais pas supprimer l'historique existant. C'est l'équivalent côté Borg, avec la purge effectuée depuis le serveur et non depuis le client.
Comment choisir
rsync avec versions convient si vous sauvegardez vers un disque local ou un NAS, que vous voulez pouvoir lire vos sauvegardes sans aucun outil, et que la simplicité prime. C'est aussi le meilleur choix pour un disque externe qu'on branche, qu'on synchronise et qu'on range.
Borg s'impose si vous disposez d'un serveur distant que vous contrôlez, avec de gros volumes répétitifs et une longue rétention. La déduplication y fait toute la différence.
restic s'impose si votre destination est un stockage objet, ou si vous voulez l'écriture unique sans monter de serveur dédié.
Et dans tous les cas, la même question finale : où est la clé de chiffrement ? Si la réponse est « sur la machine sauvegardée », vos archives sont illisibles le jour où cette machine disparaît. Elle doit exister ailleurs, hors ligne, à un endroit que vous avez écrit quelque part.
Commentaires