Almacenamiento, retención y purga

Solo-añadir

En el día a día, tu servidor puede añadir copias, y leerlas, pero no puede borrarlas ni sobrescribirlas: el almacenamiento se niega. Si alguien consigue root en tu servidor, o un script se descontrola, las copias ya guardadas siguen ahí.

Cada servidor tiene su propio repositorio y su propia credencial de almacenamiento: un servidor no puede ver ni tocar las copias de otro.

Retención: hasta dónde puedes volver

Cada plan guarda este historial por defecto (puedes cambiarlo por servidor, ver más abajo):

La copia más reciente se conserva siempre. Las copias extra lanzadas con neverwiped backup now se quedan hasta la siguiente purga, que conserva la última de cada día. El almacenamiento del plan se comparte entre sus servidores; cuando se llena, las copias nuevas fallan pero las ya guardadas siguen intactas. También pasa al cambiar a un plan más pequeño que el espacio que usas: el espacio baja cuando la purga semanal quita las copias que salen de la retención, o al momento si borras las copias de un servidor; volver a un plan superior se aplica al instante. Te avisamos por correo al 90 %.

Cambiar la retención de un servidor

En tu área de cliente, en la página del servidor, el apartado Conservación te deja elegir, solo para ese servidor, cuántas copias diarias y semanales se guardan, dentro de tu plan: como mucho lo que guarda el plan, y siempre al menos las 7 últimas copias diarias (las 2 últimas semanales en Essentiel). La copia más reciente se guarda siempre. También puedes suspender la purga: no se borra nada y no se emite ninguna credencial capaz de borrar para ese servidor. El espacio usado solo crece; cuando el almacenamiento de tu plan se llena, las copias nuevas fallan.

Un cambio se aplica según lo que borraría:

• Guarda al menos lo mismo (más copias diarias o semanales, o purga suspendida): se aplica en el acto.
• Borraría más (menos copias guardadas, o reanudar la purga): espera 7 días. Recibes un correo enseguida y puedes cancelarlo desde la página del servidor hasta entonces. Antes de esa fecha no se borra nada más; después, la siguiente purga semanal quita lo que el nuevo ajuste ya no guarda.

Así, alguien que haya entrado en tu cuenta no puede acortar el historial y hacer que se purgue antes de que te enteres. Tu servidor no puede cambiar la retención: el agente la recibe de la plataforma con cada credencial de mantenimiento. Si pasas a un plan que guarda menos, la retención de tus servidores se ajusta al nuevo plan cuando empieza.

La ventana de purga

Borrar copias antiguas necesita la clave del repositorio, que solo tiene tu servidor. Por eso la purga se hace en tu servidor, una vez por semana, justo después de una copia (también después de una copia rechazada porque tu almacenamiento está lleno: así vuelve a bajar el espacio):

1. El agente pide a la plataforma una credencial de mantenimiento, que solo se emite si toca purgar (cada 7 días aproximadamente).
2. Esa credencial puede borrar, solo en el repositorio de ese servidor, y es válida una hora.
3. El agente ejecuta restic forget --prune con la retención de ese servidor (la de tu plan, salvo que la hayas cambiado) y la credencial caduca. El repositorio vuelve a ser solo-añadir.

Esa hora es el único compromiso, y lo decimos claro: alguien con root en tu servidor durante esa ventana podría borrar las copias de ese servidor. Fuera de ella, nadie puede hacerlo desde tu servidor.

Si la credencial de mantenimiento no puede emitirse (almacenamiento ocupado, plataforma inaccesible), no se borra nada y se reintenta en la siguiente copia. La plataforma emite como máximo una credencial de mantenimiento por servidor y por semana: si la purga falla una vez emitida la credencial, espera a la semana siguiente, y volver a pedirla no da nada. Así, ni siquiera quien tenga las claves de tu servidor puede mantener la ventana abierta. Si la plataforma enviara una retención vacía, el agente se negaría a purgar.

Cuándo se borran las copias para siempre

Las copias guardadas solo se borran en estos casos, siempre avisados antes por correo:

• Prueba terminada sin plan: 7 días después del final de la prueba.
• Cancelación: 30 días después del final del último periodo pagado.
• Suscripción impagada: el día 45 tras el pago fallido (las copias nuevas se detienen el día 10).
• Borras un servidor en tu panel: sus copias, al momento.
• Borras tu cuenta (panel › Mi cuenta): todas, 7 días después de la solicitud. Hasta entonces no se borra nada, las copias siguen, no se cobra nada y puedes cancelarlo en la misma página. El correo enviado con la solicitud indica la fecha; si no la pediste tú, cancélala y cambia tu contraseña. Después recibes un número de borrado. Lo que guardamos y durante cuánto tiempo (facturas 10 años, copias cifradas de nuestra propia base de datos 12 meses como máximo) está en esa página y en la política de conservación.

Hasta entonces, restaurar sigue funcionando, aunque las copias nuevas estén en pausa.