Stockage, conservation et nettoyage

Ajout seul

Au quotidien, votre serveur peut ajouter des sauvegardes, et les relire, mais il ne peut ni les supprimer ni les écraser : le stockage refuse. Si quelqu’un devient root sur votre serveur, ou si un script s’emballe, les sauvegardes déjà stockées restent là.

Chaque serveur a son propre dépôt et son propre identifiant de stockage : un serveur ne voit ni ne touche les sauvegardes d’un autre.

Conservation : jusqu’où remonter

Chaque formule garde cet historique par défaut (modifiable par serveur, voir plus bas) :

La sauvegarde la plus récente est toujours conservée. Les sauvegardes lancées en plus avec neverwiped backup now restent jusqu’au nettoyage suivant, qui garde la dernière de chaque jour. Le stockage de la formule est partagé entre ses serveurs ; quand il est plein, les nouvelles sauvegardes échouent mais celles déjà stockées restent intactes. C’est aussi le cas après un passage à une formule plus petite que l’espace utilisé : l’espace baisse quand le nettoyage hebdomadaire retire les sauvegardes qui sortent de la conservation, ou tout de suite si vous supprimez les sauvegardes d’un serveur ; repasser à une formule supérieure s’applique immédiatement. Un e-mail vous prévient à 90 %.

Changer la conservation d’un serveur

Dans votre espace client, sur la page du serveur, la rubrique Conservation vous laisse choisir, pour ce serveur seulement, combien de sauvegardes quotidiennes et hebdomadaires sont gardées, dans les limites de votre formule : au plus ce que garde la formule, et toujours au moins les 7 dernières sauvegardes quotidiennes (les 2 dernières hebdomadaires en Essentiel). La sauvegarde la plus récente est toujours gardée. Vous pouvez aussi suspendre le nettoyage : rien n’est supprimé et aucun identifiant capable de supprimer n’est délivré pour ce serveur. L’espace utilisé ne fait alors que grandir ; quand le stockage de votre formule est plein, les nouvelles sauvegardes échouent.

Un changement s’applique selon ce qu’il supprimerait :

• Il garde au moins autant (plus de sauvegardes quotidiennes ou hebdomadaires, ou nettoyage suspendu) : il s’applique tout de suite.
• Il supprimerait davantage (moins de sauvegardes gardées, ou reprise du nettoyage) : il attend 7 jours. Vous recevez un e-mail aussitôt, et vous pouvez l’annuler depuis la page du serveur jusque-là. Avant cette date, rien de plus n’est supprimé ; ensuite, le nettoyage hebdomadaire suivant retire ce que le nouveau réglage ne garde plus.

Quelqu’un qui serait entré dans votre compte ne peut donc pas raccourcir l’historique et faire supprimer des sauvegardes avant que vous en soyez prévenu. Votre serveur, lui, ne peut pas changer la conservation : l’agent la reçoit de la plateforme avec chaque identifiant de maintenance. Si vous passez à une formule qui garde moins, la conservation de vos serveurs est ramenée à celle de la nouvelle formule quand elle commence.

La fenêtre de nettoyage

Supprimer d’anciennes sauvegardes demande la clé du dépôt, que seul votre serveur possède. Le nettoyage tourne donc sur votre serveur, une fois par semaine, juste après une sauvegarde (aussi après une sauvegarde refusée parce que votre stockage est plein : c’est ainsi que l’espace redescend) :

1. L’agent demande un identifiant de maintenance à la plateforme, qui ne le délivre que si le nettoyage est dû (environ tous les 7 jours).
2. Cet identifiant peut supprimer, uniquement dans le dépôt de ce serveur, et il est valable une heure.
3. L’agent lance restic forget --prune avec la conservation de ce serveur (celle de votre formule, sauf si vous l’avez changée), puis l’identifiant expire. Le dépôt redevient en ajout seul.

Cette heure est le seul compromis, et nous l’affichons : quelqu’un qui serait root sur votre serveur pendant cette fenêtre pourrait supprimer les sauvegardes de ce serveur. En dehors, personne ne le peut depuis votre serveur.

Si l’identifiant de maintenance ne peut pas être délivré (stockage occupé, plateforme injoignable), rien n’est supprimé et il est retenté à la sauvegarde suivante. La plateforme délivre au plus un identifiant de maintenance par serveur et par semaine : si le nettoyage échoue une fois l’identifiant délivré, il attend la semaine suivante, et redemander ne donne rien. Même quelqu’un qui détient les clés de votre serveur ne peut donc pas garder la fenêtre ouverte. Si la plateforme envoyait une conservation vide, l’agent refuserait de nettoyer.

Quand les sauvegardes sont supprimées pour de bon

Les sauvegardes stockées ne sont supprimées que dans ces cas, toujours annoncés par e-mail avant :

• Essai terminé sans formule : 7 jours après la fin de l’essai.
• Résiliation : 30 jours après la fin de la dernière période payée.
• Abonnement impayé : au jour 45 après l’échec du paiement (les nouvelles sauvegardes s’arrêtent au jour 10).
• Vous supprimez un serveur dans l’espace client : ses sauvegardes, immédiatement.
• Vous supprimez votre compte (espace client › Mon compte) : toutes, 7 jours après la demande. D’ici là rien n’est supprimé, les sauvegardes continuent, aucun prélèvement n’a lieu, et vous pouvez annuler sur la même page. L’e-mail envoyé à la demande donne la date ; si vous n’êtes pas à l’origine de la demande, annulez-la et changez votre mot de passe. Ensuite, vous recevez un numéro de suppression. Ce que nous gardons, et combien de temps (factures 10 ans, sauvegardes chiffrées de notre propre base au plus 12 mois), est sur cette page et dans la politique de conservation.

Jusque-là, la restauration fonctionne, même quand les nouvelles sauvegardes sont en pause.