Sauvegardes

Service	Heure	Contenu	Local	Rétention	Chiffré	Hors site
OpenProject	03:30	Base PostgreSQL, pièces jointes, docker-compose.yml, .env, proxy/	/srv/backups/openproject/	14 jours	via rclone crypt	Google Drive (gdrive-crypt:openproject)
Vaultwarden	03:45	Base SQLite, pièces jointes, Sends, clés RSA, config.json, compose	/srv/backups/vaultwarden/	30 jours	GPG (AES256)	Google Drive (gdrive-crypt:vaultwarden)
Authentik	04:00	Base PostgreSQL, .env (clé secrète), compose, dossiers data, certs, custom-templates	/srv/backups/authentik/ sur fsae-auth	14 jours	—	Pas encore (rclone à configurer)

Les scripts sont dans /usr/local/bin/ et lancés par la crontab de root (sudo crontab -l). Les logs sont dans /var/log/backup_*.log.

Vérifier que les sauvegardes tournent

tail -20 /var/log/backup_openproject.log
tail -20 /var/log/backup_vaultwarden.log
ls -lh /srv/backups/openproject/ /srv/backups/vaultwarden/

Chaque log doit se terminer par Sauvegarde terminée. avec la date de la nuit.

Secrets nécessaires à la restauration

À conserver HORS du serveur et HORS de Vaultwarden

Sans ces éléments, les sauvegardes sont inutilisables. Ils sont rangés hors ligne (coffre papier / chez un lead) — jamais dans cette documentation.

Secret	Emplacement sur le serveur	Sert à
Phrase de passe GPG Vaultwarden	/root/.vw_backup_pass	Déchiffrer les archives Vaultwarden
Mots de passe rclone crypt (password + salt)	dans /root/.config/rclone/rclone.conf	Lire les sauvegardes sur Google Drive
Fichier rclone.conf	/root/.config/rclone/rclone.conf	Reconfigurer rclone sur une autre machine

Tester les restaurations

Une sauvegarde jamais restaurée n'est pas une sauvegarde. Une fois par trimestre, restaurer chaque service sur une machine de test et vérifier :

• OpenProject : connexion, une tâche, une pièce jointe ;
• Vaultwarden : connexion, ouverture d'un coffre, une pièce jointe.
• Authentik : connexion d'un compte AD, une application du pilote (GitLab).

Détails : OpenProject · Vaultwarden · Authentik · Copie hors site