Restic ou Borg: qual é melhor para backups fora do site no seu próprio servidor?

O que o servidor precisa para o restic e para o Borg?

O restic não precisa de nada próprio no servidor. A documentação dele pede um servidor SSH que conheça sua chave pública, já que um prompt de senha interromperia os backups automáticos. Para um destino append-only, use o rest-server do restic; ele escuta na porta 8000 por padrão.

O quickstart do Borg diz que repositórios remotos são mais rápidos e fáceis quando o Borg está instalado no host remoto. O cliente então conversa com borg serve via SSH. Sem o Borg no servidor, você pode montar o sistema de arquivos remoto, mas a documentação avisa que nem todo sistema de arquivos é estável o suficiente para backups.

O restic transforma qualquer conta SSH em destino de backup; o Borg pede um pacote no servidor e oferece um forced command mais restrito.

# restic over SFTP: only SSH and a key on the server
restic -r sftp:[email protected]:/tank/restic init

# Borg over SSH: Borg 1.4.5 installed on both sides
borg init --encryption=repokey-blake2 ssh://[email protected]/tank/borg

# On the server, ~backup/.ssh/authorized_keys pins the key to one repository:
command="borg serve --append-only --restrict-to-path /tank/borg",restrict ssh-ed25519 AAAA... client@laptop

Como o restic e o Borg criptografam, e quem fica com a chave?

Os dois criptografam no cliente, então o servidor armazena apenas texto cifrado. Eles diferem em quanta escolha dão a você.

• restic criptografa tudo no repositório com AES-256 em modo contador e autentica com Poly1305-AES. Sua senha desbloqueia a chave via scrypt. Até o cache local é criptografado.
• Borg define o modo em borg init. repokey mantém a chave criptografada no repositório; keyfile a mantém no cliente. A documentação do Borg diz para exportar a chave com borg key export e guardá-la longe do sistema que está sendo copiado.
• Kopia não tem modo sem criptografia. Ele criptografa conteúdos e nomes de arquivo com AES-256 ou ChaCha20.

O panorama mais amplo está em criptografia do lado do cliente para backups.

Qual deles mantém backups antigos seguros se o cliente for invadido?

Os dois, se você configurar. O modo --append-only do rest-server permite novos backups mas impede exclusão e modificação dos existentes. O modo append-only do Borg se recusa a sobrescrever ou excluir dados já gravados.

O Borg documenta a pegadinha. O prune e o delete ainda rodam no modo append-only; eles só marcam os dados como excluídos. A próxima escrita em modo normal, como um prune da sua máquina de administração, remove esses dados de vez. Então rode borg check antes de qualquer prune, e mantenha uma cópia com hard link se suspeitar de um ataque. As receitas para as duas ferramentas estão em tornar backups imutáveis no seu próprio servidor.

O Borg 2 está pronto, e o que acontece com repositórios do Borg 1?

Ainda não para produção. O Borg 2.0 está em beta: o 2.0.0b25 saiu em 27 de setembro de 2026, e a série 1.4 continua sendo a versão marcada como Latest. O Borg 2 usa um novo formato de repositório. borg transfer --from-borg1 copia arquivos de um repositório Borg 1.x para um novo repositório Borg 2. Depois o Borg 2 precisa rodar tanto no cliente quanto no servidor.

Comece hoje novos repositórios offsite no Borg 1.4.5, e planeje a migração para o Borg 2 como uma transferência, não uma atualização no lugar.

Onde o Kopia se encaixa?

O Kopia é a terceira opção, e a que tem interface gráfica oficial. A versão 0.23.1, lançada em 16 de junho de 2026, corrige uma condição de corrida rara que podia causar perda de dados, e os mantenedores recomendam atualizar. Ele grava em SFTP, armazenamento compatível com S3 e várias nuvens, ou em um Kopia Repository Server que você mesmo roda. O guia dele sobre ransomware conta com o S3 Object Lock em compliance mode, ou com chaves de acesso sem permissão de exclusão. Escolha o Kopia quando as pessoas que cuidam dos backups querem uma janela, não um shell.

De que tamanho de servidor o restic ou o Borg precisam?

Dimensione o pool para uma cópia completa dos seus dados, mais os blocos alterados de cada versão que você mantém. A deduplicação e a compressão reduzem os dois; o quanto depende dos seus dados. Depois adicione paridade: dez drives de 10 TB em RAIDZ2 deixam 80 TB para o repositório.

Em 2 November 2026, hosts sem KYC que aceitam cripto cobraram uma mediana de $6.70 por TB por mês a partir de 36 TB. A partir de 72 TB, a mediana caiu para $4.86. Hold 40 custa $5.02/TB e Hold 100 $3.77/TB, raw. Todo prazo está na tabela de preços de retenção. Para máquinas virtuais inteiras, um Proxmox Backup Server offsite é a opção mais próxima.