Une sauvegarde qui sauve vraiment

Le guide d'installation pose la sauvegarde. Cette leçon la rend solide. Car un coffre de mots de passe a une particularité cruelle : le jour où vous en avez le plus besoin, c'est souvent parce que le serveur est mort, et sans le coffre, vous n'avez plus les mots de passe pour aller chercher la sauvegarde.

Ce qu'il faut sauvegarder

La documentation de Vaultwarden classe le contenu du dossier de données :

• obligatoire : la base « db.sqlite3 » et le dossier « attachments » ;
• recommandé : « config.json » et les fichiers « rsa_key », qui signent les connexions (sans eux, tout le monde est déconnecté après une restauration) ;
• facultatif : « sends » et « icon_cache ».

La base se sauvegarde avec la commande intégrée, qui produit une copie cohérente même pendant que le service tourne, jamais par simple copie de fichier.

La règle 3-2-1

• 3 copies des données : l'originale et deux sauvegardes ;
• sur 2 supports différents : par exemple le disque du serveur et un NAS ;
• dont 1 hors de la maison : un disque chez un proche, ou un stockage en ligne.

La copie hors de la maison protège de ce que les autres ne couvrent pas : incendie, vol, dégât des eaux.

Chiffrer la copie qui sort

Le coffre est chiffré, mais la sauvegarde contient aussi des éléments en clair (adresses e-mail, structure, configuration). Toute copie qui quitte la maison doit être chiffrée avant de partir, avec une clé qui n'est pas stockée à côté. Un outil de sauvegarde qui chiffre (restic, borg, ou une archive protégée) fait l'affaire.

Le piège de la poule et de l'œuf

Si la clé de chiffrement de la sauvegarde et les identifiants du stockage en ligne sont dans le coffre, vous ne pourrez pas les récupérer quand le serveur sera mort. Notez-les sur papier, avec le mot de passe maître, dans le dossier des papiers importants.

flowchart LR
    V["Vaultwarden<br/>dossier de données"] -->|"chaque nuit"| B["Sauvegarde cohérente"]
    B --> N["Copie 2 : NAS de la maison"]
    B -->|"chiffrée"| E["Copie 3 : hors de la maison"]
    P["Papier : mot de passe maître,<br/>clé de la sauvegarde"] -.-> E

Tester la restauration

Une fois par trimestre, restaurez la dernière sauvegarde sur une autre machine et connectez-vous. C'est le seul test qui compte. Notez la date et la durée : le jour du vrai problème, vous saurez que cela marche, et combien de temps cela prend.

Erreurs fréquentes

• Copier la base à chaud par simple copie de fichier.
• Oublier les fichiers rsa_key, et déconnecter tout le monde à la restauration.
• Ranger la clé de la sauvegarde dans le coffre.
• Ne jamais tester la restauration.

À retenir

• Base et pièces jointes obligatoires, rsa_key et config.json recommandés.
• 3 copies, 2 supports, 1 hors de la maison, chiffrée.
• Les secrets de la sauvegarde ne vivent pas dans le coffre.
• Restaurer pour de vrai, une fois par trimestre.

Mini-exercice

Écrivez sur une feuille où se trouvent vos trois copies et comment déchiffrer la troisième. Rangez-la avec vos papiers importants. Puis planifiez dans votre agenda le prochain test de restauration.