Sauvegarde à l'épreuve des rançongiciels : pourquoi nous avons choisi Kopia et Backblaze B2
Une sauvegarde qu'un attaquant par rançongiciel peut chiffrer ou supprimer ne vaut rien. Ce fut l'unique exigence qui a dicté tout le choix — et elle nous a menés à une conclusion sans ambiguïté après avoir comparé 11 moteurs de sauvegarde open-source et quatre fournisseurs de stockage.
Quel est réellement le problème — « exfiltrer puis chiffrer »
Dans une attaque par rançongiciel moderne, l'attaquant obtient des privilèges sur l'appareil, puis fait deux choses : il chiffre les fichiers, et supprime ou chiffre aussi les sauvegardes pour que vous ne puissiez pas restaurer. Si votre agent de sauvegarde détient les clés du stockage, l'attaquant qui a pris le contrôle de l'appareil les détient également — et supprime la sauvegarde. La première question n'est donc pas « à quelle vitesse sauvegardez-vous » mais « la sauvegarde peut-elle être supprimée, tout court ».
Ce que nous avons comparé — 11 moteurs open-source
Nous avons passé en revue tout le paysage : restic, BorgBackup, Kopia, Duplicati, Duplicacy, rclone, UrBackup, Bareos, Proxmox Backup Server, ZFS et Clonezilla. Pour chacun, nous avons vérifié : déduplication + chiffrement côté client, prise en charge de Windows (y compris VSS pour les fichiers ouverts), écriture directe vers S3, et surtout — un vrai Object-Lock.
| Moteur | Chiffrement + déduplication | Object-Lock (rançongiciel) | Licence commerciale |
|---|---|---|---|
| Kopia | ✓ | ✓ Compliance natif | Apache-2.0 |
| restic | ✓ | Pas encore publié | BSD |
| BorgBackup | ✓ | append-only seulement | BSD |
| Duplicati | ✓ | Écrase les fichiers | MIT |
| Duplicacy | ✓ | Partiel | Usage commercial interdit |
| Proxmox Backup | ✓ | Object-Lock le corrompt | AGPL |
Pourquoi nous avons choisi Kopia
Kopia est aujourd'hui le seul moteur qui réalise à la fois la déduplication + le chiffrement côté client et prend en charge Object-Lock en mode Compliance contre un stockage S3. restic est excellent et populaire, mais sa prise en charge d'Object-Lock n'a pas encore été publiée. Borg est solide sous Linux mais n'a pas de vraie prise en charge de Windows ni d'Object-Lock contre S3. Duplicacy est disqualifié pour des raisons de licence (il ne peut être intégré dans un produit commercial). Le verdict technique était clair.
En prime : Kopia est un binaire unique (Go), fonctionne sous Windows (avec VSS), Mac et Linux — nous gérons donc un seul moteur sur l'ensemble du parc, avec une sortie JSON facile à orchestrer depuis l'agent.
Et pourquoi Backblaze B2 — et non Cloudflare R2
Nous travaillons déjà sur Cloudflare, R2 était donc le choix évident. Mais nous avons creusé et découvert : les « bucket locks » de R2 ne sont pas l'API S3 Object-Lock, et ils n'ont aucune garantie de conformité éprouvée qu'« une clé compromise ne peut supprimer ». Cela ne satisfait pas notre exigence WORM.
| Stockage | Vrai Object-Lock | Coût de sortie (restauration) | $/To/mois |
|---|---|---|---|
| Backblaze B2 | ✓ Compliance | Gratuit via le CDN de Cloudflare | ~7 $ |
| Wasabi | ✓ | Limité | ~7 $ |
| AWS S3 | ✓ (la référence) | 0,09 $/Go | ~23 $ |
| Cloudflare R2 | Non éprouvé | ~gratuit | ~15 $ |
B2 offre un vrai WORM, le stockage le moins cher, et une sortie gratuite via le CDN de Cloudflare — de sorte que les restaurations sont presque gratuites. R2 reste chez nous pour les données applicatives et une copie secondaire bon marché, mais pas pour le pilier immuable.
Comment nous avons testé — nous ne nous sommes pas fiés au marketing
Chaque affirmation a été vérifiée contre une source primaire : la documentation officielle de chaque moteur, les discussions communautaires sur Object-Lock, et les licences. Deux constats critiques que nous avons mis au jour précisément grâce à cette lecture : (1) restic n'est toujours pas doté d'un verrou, et (2) Proxmox Backup peut corrompre le datastore si vous y activez Object-Lock. Sans cette vérification, nous aurions choisi de travers.
Là où nous sommes honnêtes : la restauration complète vers un serveur virtuel
Les moteurs de fichiers (Kopia/restic) restaurent des données, pas une machine amorçable. « Faire tourner tout l'environnement sur une VM en un clic » est exactement là où Veeam/Datto/Proxmox battent l'open source. Notre décision : construire les fichiers + le cœur immuable sur Kopia + B2 (où nous gagnons sur le prix et la souveraineté), et pour la restauration complète du serveur — intégrer/revendre un moteur commercial plutôt que de partir de zéro. L'honnêteté vaut mieux que les promesses.
Comment nous continuons de l'améliorer — un contrôle qualité continu
Une sauvegarde non testée = un espoir, pas un plan. Ainsi, toutes les ~3 semaines, un test de restauration automatique s'exécute : le système restaure un échantillon depuis la sauvegarde, vérifie une somme de contrôle contre une valeur connue, et remonte le succès/échec au score de l'organisation. Un échec = une alerte immédiate. De plus, nous réévaluons le choix du moteur et du bucket chaque trimestre — restic pourrait publier Object-Lock, et R2 pourrait ajouter un vrai WORM-Compliance, et alors nous reconsidérerons. Le choix n'est pas figé.
Cet article décrit des considérations de conception et des choix technologiques. Les prix et les capacités de licence sont exacts à la mi-2026 et peuvent changer. Il n'y a ici ni clés, ni secrets, ni détails de configuration sensibles.
← Tous les billets