Borg, restic ou rsync : quel outil pour quelle sauvegarde

Trois outils qu'on oppose à tort. Déduplication, chiffrement, destinations distantes, protection contre le rançongiciel : ce que chacun fait réellement, et le critère qui tranche.

La comparaison tourne généralement autour de la vitesse et du taux de compression. Ce sont les critères les moins déterminants. Ce qui décide réellement, c'est la nature de l'outil et l'endroit où il peut écrire.

rsync : un outil de synchronisation

rsync copie efficacement en ne transférant que les différences. C'est un excellent outil — pour ce qu'il est.

Utilisé nu, il produit une copie conforme de la source. Avec l'option de suppression, ce qui disparaît côté source disparaît côté copie. Vous effacez un répertoire par erreur, la synchronisation suivante propage l'effacement. Sans versions antérieures, il n'y a rien à récupérer.

On peut en faire un outil de sauvegarde en ajoutant une couche de versions : des répertoires datés où les fichiers inchangés sont partagés par liens matériels, de sorte que chaque version coûte seulement les modifications. C'est robuste, lisible, et sans dépendance exotique — chaque version est un répertoire ordinaire que n'importe qui peut parcourir.

Le prix : c'est vous qui portez la logique. Rétention, cohérence, vérification d'intégrité, chiffrement : tout est à votre charge. Et rsync ne déduplique pas à l'intérieur des fichiers : un fichier d'un gigaoctet dont un octet change est recopié en entier dans la nouvelle version.

Borg : la déduplication qui change l'échelle

Borg résout précisément ce dernier point. Il découpe les données en blocs de taille variable, déterminée par le contenu lui-même. Insérer un octet au début d'un gros fichier ne décale donc pas l'ensemble des blocs suivants : seuls les blocs réellement modifiés sont nouveaux.

Sur des données répétitives — et une sauvegarde quotidienne du même système l'est massivement — le gain est spectaculaire. Sauvegarder tous les jours des images de machines virtuelles devient viable, là où une copie complète serait absurde.

S'y ajoutent la compression, le chiffrement, une vérification d'intégrité intégrée, et une gestion de rétention avec des règles de conservation par jour, semaine, mois.

Sa contrainte principale est structurelle : Borg est le plus efficace quand son propre programme tourne à l'autre bout. Cela suppose un serveur distant sur lequel vous pouvez l'installer. Vers un stockage objet ou un espace mutualisé où vous ne contrôlez rien, il perd son avantage.

restic : la souplesse de destination

restic offre les mêmes propriétés fondamentales — déduplication, chiffrement systématique, instantanés, rétention — avec une différence décisive : il écrit dans un stockage objet générique ou un simple répertoire, sans rien à installer côté cible.

Cette souplesse ouvre la possibilité la plus intéressante en matière de sécurité, développée ci-dessous.

Sur les fonctions de base, Borg et restic sont comparables. Les benchmarks les départagent sur des écarts qui, en homelab, ne changeront rien à votre vie. Le critère utile est la destination, pas la performance.

Le critère qui devrait décider : qui peut effacer ?

Voici le point que les comparatifs classent en dernier, alors qu'il devrait venir en premier.

Un rançongiciel moderne ne se contente pas de chiffrer : il cherche vos sauvegardes. Il inspecte les montages, récupère les identifiants stockés sur la machine, et efface ce qu'il peut atteindre. Si votre serveur de sauvegarde est joignable depuis la machine compromise avec des droits d'écriture complets, il tombe aussi.

La parade tient en une phrase : la machine sauvegardée ne doit pas avoir le droit d'effacer ses propres sauvegardes.

Deux mises en œuvre concrètes :

  • Un stockage en écriture unique : une donnée déposée ne peut être ni modifiée ni supprimée avant l'expiration de sa rétention, même par un compte administrateur. C'est l'atout de restic avec un stockage objet compatible.
  • Un dépôt en ajout seul : le client peut écrire de nouvelles données mais pas supprimer l'historique existant. C'est l'équivalent côté Borg, avec la purge effectuée depuis le serveur et non depuis le client.
À vérifier : si les identifiants présents sur votre serveur permettent d'effacer le dépôt distant, votre sauvegarde est à la portée de tout ce qui compromet ce serveur.

Comment choisir

rsync avec versions convient si vous sauvegardez vers un disque local ou un NAS, que vous voulez pouvoir lire vos sauvegardes sans aucun outil, et que la simplicité prime. C'est aussi le meilleur choix pour un disque externe qu'on branche, qu'on synchronise et qu'on range.

Borg s'impose si vous disposez d'un serveur distant que vous contrôlez, avec de gros volumes répétitifs et une longue rétention. La déduplication y fait toute la différence.

restic s'impose si votre destination est un stockage objet, ou si vous voulez l'écriture unique sans monter de serveur dédié.

Et dans tous les cas, la même question finale : où est la clé de chiffrement ? Si la réponse est « sur la machine sauvegardée », vos archives sont illisibles le jour où cette machine disparaît. Elle doit exister ailleurs, hors ligne, à un endroit que vous avez écrit quelque part.

Questions fréquentes

Peut-on faire de vraies sauvegardes avec rsync ?
Oui, mais pas avec une simple synchronisation. Utilisé nu, rsync reproduit l'état de la source : si vous supprimez un fichier et que la copie est faite avec l'option de suppression, il disparaît aussi. Pour obtenir de la sauvegarde, il faut ajouter un mécanisme de versions — typiquement des répertoires datés utilisant des liens matériels pour ne pas dupliquer les fichiers inchangés. C'est efficace et compréhensible, mais c'est vous qui portez la logique de rétention et de cohérence.
Pourquoi Borg est-il si économe en espace ?
Grâce à la déduplication par blocs de taille variable. Le contenu est découpé selon son propre contenu, pas à intervalles fixes : insérer un octet au début d'un gros fichier ne décale pas tous les blocs suivants. Sur des données répétitives — images de machines virtuelles, sauvegardes quotidiennes d'un même système — le gain est spectaculaire, car seules les différences réelles occupent de la place. Ajoutez la compression, et le dépôt reste raisonnable sur de longues rétentions.
Quelle est la vraie différence entre Borg et restic ?
La destination. Borg est le plus efficace quand son propre programme tourne à l'autre bout — ce qui suppose un serveur où vous pouvez l'installer. restic écrit dans du stockage objet générique ou un simple répertoire, sans rien à installer côté cible. Sur les fonctions de base — déduplication, chiffrement, instantanés, rétention — les deux se valent. Le choix se fait sur l'endroit où vous pouvez écrire, pas sur les performances brutes.
Lequel protège le mieux contre un rançongiciel ?
Celui qui vous permet d'écrire dans un stockage en écriture unique, où une donnée déposée ne peut être ni modifiée ni supprimée avant l'expiration de sa rétention — même par un compte administrateur. C'est l'atout de restic avec un stockage objet compatible. Avec Borg, l'équivalent passe par un dépôt en ajout seul, où le client peut écrire mais pas effacer l'historique. Dans les deux cas, le principe est identique : la machine sauvegardée ne doit pas avoir le droit d'effacer ses propres sauvegardes.
Faut-il chiffrer ses sauvegardes en homelab ?
Dès qu'elles quittent votre domicile, oui : chez un hébergeur, sur un disque transporté, chez un proche. Le point critique n'est pas le chiffrement lui-même, que ces outils gèrent très bien, mais la conservation de la clé. Une clé stockée uniquement sur la machine sauvegardée disparaît avec elle, et vos archives deviennent définitivement illisibles. La clé doit exister ailleurs, hors ligne, et cet emplacement doit être documenté.

Cet article vous a plu ?

Commentaires

Morgann Riu

Expert en cybersécurité et administration Linux. J'aide les entreprises à sécuriser et optimiser leurs infrastructures critiques.

Retour au blog

Checklist Sécurité Linux

30 points essentiels pour sécuriser un serveur Linux. Recevez aussi les nouveaux tutoriels par email.

Pas de spam. Désabonnement en 1 clic.