Restic : sauvegardes incrémentielles chiffrées sur Debian et Ubuntu

20 juillet 2026 — par admin_libra

La sauvegarde est l’une des responsabilités les plus critiques d’un administrateur système, et pourtant elle reste souvent négligée ou improvisée. Restic est un outil moderne de sauvegarde, écrit en Go, qui répond à toutes les exigences d’une stratégie de backup sérieuse : chiffrement de bout en bout, déduplication des blocs, sauvegardes incrémentielles et prise en charge de nombreux backends de stockage. La version 0.19.1, publiée en juillet 2026, est disponible directement dans les dépôts officiels de Debian et Ubuntu.

Contrairement à des solutions comme rsync ou tar, Restic adopte une approche orientée snapshots : chaque sauvegarde produit un instantané cohérent de vos données, identifié par un hash unique. Ces snapshots sont stockés sous forme de blocs dédupliqués et chiffrés localement avant tout transfert vers le dépôt (repository). Le résultat : même si le backend de stockage est compromis, vos données restent illisibles sans le mot de passe du dépôt.

Ce guide couvre l’intégralité du cycle de vie d’une sauvegarde avec Restic : installation, initialisation d’un dépôt, première sauvegarde, exploration des snapshots, restauration granulaire, politique de rétention automatisée et programmation via les timers systemd.

Installation de Restic sur Debian et Ubuntu

Restic est disponible dans les dépôts officiels des distributions Debian (à partir de Debian 11 Bullseye) et Ubuntu (à partir d’Ubuntu 20.04 LTS). L’installation se fait en deux commandes :

sudo apt update
sudo apt install -y restic

Pour obtenir la dernière version stable (0.19.1 à l’heure de cet article), vous pouvez utiliser la commande intégrée de mise à jour automatique :

# Mettre à jour restic vers la dernière version officielle
sudo restic self-update

# Vérifier la version installée
restic version

Initialiser un dépôt de sauvegarde

Avant toute sauvegarde, il faut initialiser un repository (dépôt). Restic supporte de nombreux backends : répertoire local, SFTP, S3, Backblaze B2, Azure Blob, et bien d’autres. Dans cet article, nous couvrons les deux cas les plus courants : dépôt local et dépôt distant via SFTP.

Dépôt local

# Définir les variables d'environnement (à placer dans /etc/restic/env)
export RESTIC_REPOSITORY="/mnt/backup/restic-repo"
export RESTIC_PASSWORD="votre-mot-de-passe-fort"

# Initialiser le dépôt
restic init

Dépôt distant via SFTP

# Dépôt sur un serveur distant (nécessite une clé SSH configurée)
export RESTIC_REPOSITORY="sftp:[email protected]:/data/restic/mon-serveur"
export RESTIC_PASSWORD="votre-mot-de-passe-fort"

restic init

Pour sécuriser le mot de passe sans l’exposer dans l’environnement, créez un fichier dédié avec des permissions restrictives :

sudo mkdir -p /etc/restic
sudo bash -c 'cat > /etc/restic/env < /dev/null
sudo chmod 600 /etc/restic/password /etc/restic/env
sudo chmod 700 /etc/restic/

Effectuer une sauvegarde

La commande restic backup crée un nouveau snapshot. Lors de la première exécution, tous les fichiers sont transférés. Les sauvegardes suivantes sont incrémentielles : seuls les blocs modifiés ou nouveaux sont transmis, ce qui réduit considérablement la durée et la bande passante consommée.

# Charger les variables d'environnement
source /etc/restic/env

# Sauvegarde du répertoire /etc et /home
restic backup /etc /home --verbose

# Sauvegarde avec exclusions (caches, fichiers temporaires)
restic backup /home 
  --exclude="*.tmp" 
  --exclude="**/.cache" 
  --exclude="**/node_modules" 
  --exclude-if-present=".nobackup" 
  --verbose

# Dry-run : simuler sans écrire dans le dépôt
restic backup /home --dry-run --verbose

Pour les bases de données, combinez une sauvegarde logique avec un pipe vers Restic :

# Sauvegarde d'une base MySQL via stdin
mysqldump --single-transaction ma_base | 
  restic backup --stdin --stdin-filename ma_base.sql

Lister et explorer les snapshots

# Lister tous les snapshots
restic snapshots

# Lister les snapshots triés par date
restic snapshots --compact

# Explorer le contenu d'un snapshot
restic ls latest /home/user

# Comparer deux snapshots
restic diff a1b2c3d4 e5f6g7h8

# Afficher les statistiques du dépôt
restic stats

Restaurer des données

Restic propose deux approches de restauration : la commande restore pour une récupération directe sur disque, et mount pour naviguer dans les snapshots comme dans un système de fichiers.

Restauration complète ou partielle

# Restaurer le dernier snapshot dans /tmp/restore
restic restore latest --target /tmp/restore

# Restaurer un snapshot spécifique
restic restore a1b2c3d4 --target /tmp/restore

# Restaurer uniquement certains fichiers (filtrage par chemin)
restic restore latest --target /tmp/restore --include "/home/user/Documents"

# Restaurer en excluant certains types de fichiers
restic restore latest --target /tmp/restore --exclude "*.log"

Navigation FUSE (mount)

La commande mount expose tous les snapshots sous forme d’arborescence FUSE, permettant de retrouver un fichier précis sans restauration complète :

# Installer le support FUSE si nécessaire
sudo apt install -y fuse

# Monter le dépôt
mkdir -p /mnt/restic
restic mount /mnt/restic &

# Explorer les snapshots montés
ls /mnt/restic/snapshots/
# → 2026-07-15T02:00:01+02:00/  2026-07-16T02:00:01+02:00/  latest/

# Copier un fichier spécifique
cp /mnt/restic/snapshots/latest/etc/nginx/nginx.conf /tmp/nginx.conf.restore

# Démonter
fusermount -u /mnt/restic

Politique de rétention avec forget et prune

Sans politique de rétention, le dépôt grossit indéfiniment. La commande restic forget supprime les snapshots obsolètes selon des règles configurables, tandis que restic prune libère physiquement l’espace en supprimant les blocs de données orphelins.

# Politique de rétention classique : 7 quotidiens, 4 hebdomadaires, 12 mensuels
restic forget 
  --keep-daily 7 
  --keep-weekly 4 
  --keep-monthly 12 
  --keep-yearly 2 
  --prune

# Simuler la politique sans supprimer (dry-run)
restic forget 
  --keep-daily 7 
  --keep-weekly 4 
  --keep-monthly 12 
  --dry-run --verbose

# Vérifier l'intégrité du dépôt après le prune
restic check

L’option --prune combinée à forget exécute les deux opérations en une seule commande. Pour les grands dépôts, il est préférable de les séparer et d’utiliser --max-repack-size pour étaler la charge.

Automatisation avec systemd timers

Les timers systemd offrent une alternative robuste aux crons classiques : journalisation native via journalctl, gestion des dépendances réseau, et relance automatique en cas d’échec.

Créer le service systemd

sudo tee /etc/systemd/system/restic-backup.service << 'EOF'
[Unit]
Description=Restic backup service
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
EnvironmentFile=/etc/restic/env
ExecStart=/usr/bin/restic backup /etc /home 
  --exclude="**/.cache" 
  --exclude="*.tmp" 
  --verbose
ExecStart=/usr/bin/restic forget 
  --keep-daily 7 
  --keep-weekly 4 
  --keep-monthly 12 
  --prune
ExecStart=/usr/bin/restic check --read-data-subset=5%%
Nice=19
IOSchedulingClass=idle
EOF

Créer le timer systemd

sudo tee /etc/systemd/system/restic-backup.timer << 'EOF'
[Unit]
Description=Restic backup timer (quotidien à 02h00)

[Timer]
OnCalendar=*-*-* 02:00:00
RandomizedDelaySec=30min
Persistent=true

[Install]
WantedBy=timers.target
EOF

# Activer et démarrer le timer
sudo systemctl daemon-reload
sudo systemctl enable --now restic-backup.timer

# Vérifier l'état du timer
sudo systemctl list-timers restic-backup.timer

# Lancer manuellement pour tester
sudo systemctl start restic-backup.service

# Suivre les logs
sudo journalctl -u restic-backup.service -f

Bonnes pratiques et sécurité

Quelques recommandations essentielles pour une stratégie de backup fiable avec Restic :

Règle 3-2-1 : 3 copies, 2 supports différents, 1 hors site. Configurez un second dépôt Restic vers un backend distant (SFTP, S3, Backblaze).
Tester les restaurations régulièrement : planifiez un test de restauration mensuel dans un répertoire temporaire.
Conserver le mot de passe en sécurité : sans lui, les données chiffrées sont irrécupérables. Stockez-le dans un gestionnaire de mots de passe (Bitwarden, Vault) et non uniquement sur le serveur sauvegardé.
Vérifier l’intégrité : exécutez restic check --read-data-subset=10% hebdomadairement pour détecter toute corruption du dépôt.
Surveiller les sauvegardes : intégrez Restic avec Prometheus via l’exporteur restic-exporter ou vérifiez les logs via journalctl.