Restic of Borg: welke is beter voor offsite-back-ups naar je eigen server?

Wat heeft de server nodig voor restic, en voor Borg?

restic heeft niets van zichzelf nodig op de server. De documentatie vraagt om een SSH-server die je publieke sleutel kent, want een wachtwoordprompt zou automatische back-ups stoppen. Voor een append-only doel gebruik je in plaats daarvan restic's rest-server; die luistert standaard op poort 8000.

Borg's quickstart zegt dat remote repositories het snelst en eenvoudigst zijn als Borg op de remote host is geïnstalleerd. De client praat dan via SSH met borg serve. Zonder Borg op de server kun je het remote filesystem mounten, maar de docs waarschuwen dat niet elk filesystem stabiel genoeg is voor back-ups.

restic maakt van elk SSH-account een back-updoel; Borg vraagt om één serverpakket en geeft een strakker geforceerd commando.

# restic over SFTP: only SSH and a key on the server
restic -r sftp:[email protected]:/tank/restic init

# Borg over SSH: Borg 1.4.5 installed on both sides
borg init --encryption=repokey-blake2 ssh://[email protected]/tank/borg

# On the server, ~backup/.ssh/authorized_keys pins the key to one repository:
command="borg serve --append-only --restrict-to-path /tank/borg",restrict ssh-ed25519 AAAA... client@laptop

Hoe versleutelen restic en Borg, en wie houdt de sleutel?

Beide versleutelen op de client, dus de server bewaart alleen ciphertext. Ze verschillen in hoeveel keuze ze je geven.

• restic versleutelt alles in de repository met AES-256 in counter mode en authenticeert het met Poly1305-AES. Je wachtwoord ontsluit de sleutel via scrypt. Zelfs de lokale cache is versleuteld.
• Borg stelt de modus in bij borg init. repokey bewaart de versleutelde sleutel in de repository; keyfile bewaart die op de client. Borg's docs zeggen dat je de sleutel met borg key export moet exporteren en buiten het geback-upte systeem moet opslaan.
• Kopia heeft geen onversleutelde modus. Het versleutelt inhoud en bestandsnamen met AES-256 of ChaCha20.

Het bredere beeld staat op client-side encryption voor back-ups.

Welke houdt oude back-ups veilig als de client is gehackt?

Beide, als je het instelt. rest-server's --append-only-modus staat nieuwe back-ups toe maar voorkomt verwijderen en wijzigen van bestaande. Borg's append-only modus weigert vastgelegde data te overschrijven of te verwijderen.

Borg documenteert de valkuil. Prune en delete draaien nog steeds in append-only modus; ze markeren data alleen als verwijderd. De volgende schrijfactie in normale modus, zoals een prune vanaf je beheermachine, verwijdert die data definitief. Draai dus borg check vóór elke prune, en houd een hard-link-kopie achter de hand als je een aanval vermoedt. Recepten voor beide tools staan op back-ups immutable maken op je eigen server.

Is Borg 2 klaar, en wat gebeurt er met Borg 1-repositories?

Nog niet voor productie. Borg 2.0 is in beta: 2.0.0b25 kwam uit op 27 september 2026, en de 1.4-serie blijft de release die als Latest gemarkeerd staat. Borg 2 gebruikt een nieuw repository-formaat. borg transfer --from-borg1 kopieert archieven van een Borg 1.x-repository naar een nieuwe Borg 2-repository. Borg 2 moet dan op zowel client als server draaien.

Start vandaag nieuwe offsite repositories op Borg 1.4.5, en plan de overstap naar Borg 2 als een overdracht, niet als een in-place upgrade.

Waar past Kopia?

Kopia is de derde optie, en degene met een officiële grafische interface. Versie 0.23.1, uitgebracht op 16 juni 2026, verhelpt een zeldzame race condition die tot dataverlies kon leiden, en de maintainers raden aan te upgraden. Het schrijft naar SFTP, S3-compatibele opslag en diverse clouds, of naar een Kopia Repository Server die je zelf draait. De ransomware-gids leunt op S3 Object Lock in compliance mode, of op access keys zonder verwijderrechten. Kies Kopia wanneer de mensen die back-ups draaien een venster willen, geen shell.

Hoe grote server hebben restic of Borg nodig?

Dimension eer de pool voor één volledige kopie van je data, plus de gewijzigde blokken van elke versie die je bewaart. Deduplicatie en compressie verkleinen beide; hoeveel hangt van je data af. Voeg dan pariteit toe: tien schijven van 10 TB in RAIDZ2 laten 80 TB over voor de repository.

Op 2 November 2026 rekenden no-KYC hosts die crypto accepteren een mediaan van $6.70 per TB per maand vanaf 36 TB. Vanaf 72 TB zakte de mediaan naar $4.86. Hold 40 kost $5.02/TB en Hold 100 $3.77/TB, raw. Elke term staat op de hold-prijslijst. Voor complete virtuele machines past een offsite Proxmox Backup Server beter.