La durata di conservazione si sceglie in base allo spazio su disco e poi non si rivede più. La domanda giusta è un'altra: quanto a lungo può restare sbagliata una cosa prima che qualcuno se ne accorga? Ogni copia più vecchia di quel tempo è ciò che ti salva, e una finestra di sette giorni non ne copre quasi nulla.

Cosa si lascia sfuggire una conservazione breve

  • Una violazione iniziata tre settimane fa: ogni copia che possiedi la contiene.
  • Una tabella svuotata in silenzio da una migrazione mal riuscita e che nessuno ha aperto fino a fine mese.
  • Contenuti cancellati ad aprile e richiesti da una verifica a novembre.
  • Una corruzione lenta, scritta dentro ogni backup da quando è cominciata.

Un calendario che copre tutto questo

restic forget \
  --keep-hourly 24 \
  --keep-daily 14 \
  --keep-weekly 8 \
  --keep-monthly 12 \
  --keep-yearly 3 \
  --prune

Costa molto meno di quanto sembri. I backup deduplicati di un sito che cambia poco conservano una sola copia delle parti immutate, perciò un anno di istantanee mensili pesa spesso solo qualche punto percentuale più di una sola.

La regola pratica

  • Ogni ora per un giorno — per l'errore che hai fatto stamattina.
  • Ogni giorno per due settimane — per quello che qualcuno segnala il lunedì.
  • Ogni settimana per due mesi — per quello che salta fuori a fine mese.
  • Ogni mese per un anno — per la violazione, la verifica e la corruzione lenta.

La conservazione è anche una questione legale

I backup contengono dati personali. Se un cliente chiede di essere cancellato, resta in ogni backup finché quello non scade: un periodo di conservazione definito è dunque parte della risposta, e uno illimitato significa che non potrai mai dire onestamente che quei dati sono spariti.

Pota con regolarità, e controlla che giri davvero

Una regola di scadenza che non gira mai riempie il disco, e un disco dei backup pieno significa nessun backup nuovo — cosa che si scopre proprio il giorno in cui conta. Vedi Leggere il registro di un backup fallito.