La durée de conservation se choisit selon l'espace disque, puis on n'y revient jamais. La bonne question est autre : combien de temps quelque chose peut-il être faux avant que quelqu'un s'en aperçoive ? Toute copie plus ancienne que cela est celle qui vous sauve, et une fenêtre de sept jours n'en couvre presque rien.

Ce qu'une conservation courte laisse passer

  • Une compromission commencée il y a trois semaines — chaque copie que vous détenez la contient.
  • Une table vidée en silence par une migration ratée et que personne n'a ouverte avant la fin du mois.
  • Du contenu supprimé en avril et réclamé par un audit en novembre.
  • Une corruption lente inscrite dans chaque sauvegarde depuis qu'elle a commencé.

Un calendrier qui couvre tout cela

restic forget \
  --keep-hourly 24 \
  --keep-daily 14 \
  --keep-weekly 8 \
  --keep-monthly 12 \
  --keep-yearly 3 \
  --prune

Cela coûte bien moins qu'il n'y paraît. Des sauvegardes dédupliquées d'un site qui change peu ne stockent qu'une copie des parties inchangées : une année d'instantanés mensuels ne pèse souvent que quelques pour cent de plus qu'un seul.

La règle empirique

  • Toutes les heures pendant un jour — pour l'erreur de ce matin.
  • Chaque jour pendant deux semaines — pour celle qu'on vous signale lundi.
  • Chaque semaine pendant deux mois — pour celle qu'on découvre en fin de mois.
  • Chaque mois pendant un an — pour la compromission, l'audit et la corruption lente.

La conservation est aussi une question juridique

Les sauvegardes contiennent des données personnelles. Si un client demande à être effacé, il reste dans chaque sauvegarde jusqu'à son expiration : une durée de conservation définie fait donc partie de la réponse, et une durée illimitée signifie que vous ne pourrez jamais dire honnêtement que les données ont disparu.

Élaguez selon un calendrier, et vérifiez que cela tourne

Une règle d'oubli qui ne s'exécute jamais remplit le disque, et un disque de sauvegarde plein signifie plus aucune sauvegarde — ce qu'on découvre le jour où cela compte. Voir Lire un journal de sauvegarde en échec.