Les copies hors site

Un incendie, un vol ou un dégât des eaux emportent le Mac et les disques posés à côté. La copie hors site est celle qui survit. L’écran Hors site (groupe Copies) envoie vos archives .obf vers :

• un stockage S3 ou compatible : Amazon S3, Backblaze B2, Cloudflare R2, MinIO, ou un autre service compatible S3 ;
• un dossier distant : un NAS, un disque réseau ou un disque externe monté sur le Mac ;
• un dossier synchronisé : le dossier local de Google Drive, Dropbox, OneDrive ou iCloud Drive, que le service envoie ensuite chez lui.

Envoyer hors site demande une licence. Ajouter une destination, la tester, lister ses archives, vérifier une copie, la télécharger et la restaurer sont gratuits : après la perte d’un Mac ou la fin d’une licence, vos copies reviennent toujours. Le nombre de destinations vers lesquelles vous envoyez peut être limité par votre offre (voir Licence et réglages).

Ajouter une destination S3

1. Cliquez sur Ajouter une destination › Stockage S3 ou compatible….
2. Renseignez :
   • Nom : le vôtre (« Backblaze atelier ») ;
   • Fournisseur : Amazon S3, Backblaze B2, Cloudflare R2, MinIO ou Autre service compatible S3. Vault propose la région et l’adressage qui lui conviennent ;
   • Adresse du service (endpoint) : pour tout fournisseur autre qu’Amazon S3 (un exemple est affiché dans le champ). C’est un nom d’hôte, suivi de son port si le service n’écoute pas sur le port HTTPS habituel (par exemple minio.exemple.fr:9000), sans https:// ni chemin ;
   • Bucket et Région ;
   • Identifiant de clé d’accès et Clé d’accès secrète, créés chez votre fournisseur ;
   • Classe de stockage (Amazon S3 seulement) : Par défaut du bucket, Standard – accès peu fréquent ou Glacier – récupération instantanée. Seul le contenu de l’archive prend cette classe ; le manifeste et la signature restent en classe standard. Les classes d’archivage Glacier Flexible Retrieval et Deep Archive ne sont pas proposées : un objet archivé ne peut être ni relu ni vérifié ni restauré sans être d’abord dégelé chez le fournisseur ;
   • Adressage par chemin (MinIO et compatibles) si votre service l’exige ;
   • Préfixe (dossier) : le dossier du bucket où ranger les archives de cette bibliothèque (vide : la racine) ;
   • Destination active.
3. Cliquez sur Tester la connexion : « Connexion réussie » dit si la destination contient déjà des archives.
4. Cliquez sur Enregistrer.

Les clés d’accès sont gardées dans le trousseau du Mac, jamais dans la base ni dans les archives. En modification, laissez la clé secrète vide pour garder celle qui est enregistrée.

Ajouter un dossier distant

1. Cliquez sur Ajouter une destination › Dossier distant….
2. Donnez un Nom, puis choisissez le Dossier (bouton Choisir…).
3. Tester la connexion, puis Enregistrer.

Vault refuse d’envoyer si le dossier n’est pas monté : branchez le disque ou connectez le volume réseau d’abord.

Ajouter un dossier synchronisé (Google Drive, Dropbox, OneDrive, iCloud Drive)

Si Google Drive pour ordinateur, Dropbox, OneDrive ou iCloud Drive est installé sur le Mac, son dossier local peut servir de destination, sans compte à connecter dans Vault.

1. Cliquez sur Ajouter une destination › Dossier synchronisé….
2. Donnez un Nom, puis choisissez, avec Choisir…, un dossier à l’intérieur du dossier du service : en général ~/Library/CloudStorage/GoogleDrive-…, ~/Library/CloudStorage/Dropbox, ~/Library/CloudStorage/OneDrive-…, ou iCloud Drive dans le Finder.
3. Vault reconnaît le service et le nomme (« Dossier de Google Drive détecté »). Un autre service qui publie un dossier dans le Finder (Proton Drive, Box…) est reconnu comme « service de synchronisation ».
4. Tester la connexion, puis Enregistrer.

Un dossier choisi depuis le menu Dossier distant… est reconnu de la même façon : ce qui compte, c’est le dossier, pas le menu.

Ce que Vault sait, et ce qu’il ne sait pas. Vault écrit la copie dans le dossier, sur ce Mac ; c’est ensuite le service qui l’envoie, plus tard, ou jamais si son quota est plein ou son compte déconnecté. Vault lit l’état que le service publie pour chaque fichier et l’affiche à côté de chaque archive de la destination :

• Écrit, en attente de synchronisation : la copie est sur ce Mac, le service ne l’a pas encore envoyée ;
• Synchronisé : le service dit que tous les fichiers de la copie sont envoyés ;
• Synchronisation non vérifiable : le service ne publie rien sur ces fichiers ; Vault ne devine pas ;
• Conflit de synchronisation : le service signale un conflit, ou a dupliqué un fichier ou le dossier de la copie (manifest (1).json, … (conflicted copy …)) ; gardez l’original, supprimez les doublons, puis vérifiez la copie ;
• Échec de la synchronisation : le service n’a pas pu envoyer la copie (son message est dans l’aide du badge) ;
• En ligne uniquement : les fichiers ne sont plus sur ce Mac, seulement chez le service.

Tant qu’une copie n’est pas Synchronisé, elle ne compte pas comme copie hors site : la ligne de l’archive porte son état au lieu de Hors site, le tableau de bord dit « copies en attente de synchronisation, aucune copie hors site confirmée », et le certificat de l’archive ne la cite pas.

Vérifier, Télécharger… et Restaurer… demandent d’abord au service de ramener la copie sur ce Mac si elle n’y est plus ; la barre de progression dit « Téléchargement de la copie depuis … ». Si le service ne la ramène pas (hors connexion, client arrêté), Vault le dit : rien n’a été lu, et la copie n’est jamais comptée comme altérée. Arrêter interrompt l’attente.

La vérification relit la copie de ce Mac, pas celle des serveurs du service. Pour une preuve que la copie est bien chez le service, comptez sur l’état Synchronisé, et gardez si possible le dossier disponible hors connexion.

Envoyer une archive

1. Choisissez la destination dans la liste.
2. Archives de la bibliothèque liste les archives de votre bibliothèque, la plus récente en premier. Pour une archive rangée ailleurs, cliquez sur Choisir des archives… et choisissez un paquet .obf ou le dossier qui en contient plusieurs ; Archives de la bibliothèque revient à la liste par défaut.
3. Cliquez sur Envoyer sur la ligne de l’archive. Une archive déjà présente à cette destination porte le badge Hors site et le bouton Renvoyer.

Depuis l’écran Archives, le bouton Envoyer hors site… d’une archive (aussi dans son menu contextuel) ouvre Hors site avec cette archive en tête de liste, marquée À envoyer : un clic sur Envoyer suffit.

Avant d’envoyer quoi que ce soit, Vault vérifie l’archive locale (signature et empreinte du contenu) : une archive locale abîmée n’est jamais envoyée, et la copie déjà à la destination reste intacte. C’est ce qui protège la copie hors site le jour où le disque du Mac se dégrade.

Une barre suit l’envoi : « Vérification de l’archive locale… », puis « … sur … », puis « Vérification de la copie envoyée… ». Arrêter l’arrête ; un envoi arrêté vers un stockage S3 reprend là où il s’est arrêté quand vous le relancez. Si le service a entre-temps oublié l’envoi arrêté (règle de cycle de vie du bucket), il recommence aussitôt depuis le début. Pendant un envoi, les autres boutons Envoyer restent désactivés, même si vous passez par un autre écran : la progression et Arrêter vous attendent au retour.

Après l’envoi, la copie est vérifiée avant d’être déclarée réussie. Vers un dossier, la nouvelle copie est écrite à côté, relue et comparée à l’archive locale avant de remplacer l’ancienne. Vers S3, Vault relit le manifeste et la signature et contrôle la taille du contenu et, sur Amazon S3, sa somme de contrôle SHA-256, sans retélécharger le contenu ; un envoi en plusieurs parties dont les octets ne correspondent pas au manifeste n’est jamais finalisé. Une copie qui diffère fait échouer l’envoi : une copie fausse est pire que pas de copie.

Les archives sont rangées à la destination sous préfixe/projet/archive (par exemple atelier/Mariage Dupont/Mariage Dupont-v2/), avec leurs fichiers : contenu, manifest.json, signature.ed25519 et, quand l’archive en a une, l’annexe d’inventaire (inventory.json et inventory.ed25519), et rien d’autre de ce que le dossier du paquet contiendrait. L’annexe part vers toutes les destinations (dossier, dossier synchronisé, S3), est relue avec le manifeste dans la vérification qui suit l’envoi, et revient avec l’archive au téléchargement. Une archive chiffrée reste chiffrée à la destination.

Envoyer une révision incrémentale

Une révision incrémentale ne contient que les fichiers changés depuis la révision qui la précède : elle ne se restaure qu’avec toute sa chaîne, de la dernière révision complète jusqu’à elle. Envoyer une révision incrémentale envoie donc d’abord les révisions de sa chaîne qui manquent à la destination, de la plus ancienne à la plus récente, puis la révision elle-même. Chacune est vérifiée avant l’envoi, comme toute archive, et sa copie est vérifiée après. La barre de progression couvre l’ensemble, et sa ligne nomme la révision en cours et sa place dans l’envoi : « Paquet 2 sur 3 : Mariage Dupont-v2 · … ».

• Une révision déjà à la destination, au même manifeste, n’est pas renvoyée.
• Une révision qui n’est plus sur ce Mac mais qui est encore à la destination n’empêche pas l’envoi.
• Si une révision de la chaîne n’est ni dans le même dossier sur ce Mac ni à la destination, rien n’est envoyé : envoyée seule, la révision ne pourrait pas être restaurée depuis là.
• La règle « une autre archive du même nom n’est jamais écrasée » vaut pour chaque révision de la chaîne : si l’une d’elles prendrait la place d’une autre archive, rien n’est envoyé.

Vérifier une copie hors site

Dans Archives à cette destination, cliquez sur Vérifier : Vault vérifie la signature du manifeste distant avec vos clés d’archive, puis télécharge le contenu de la copie, en recalcule l’empreinte et la compare au manifeste. Le résultat : « La copie hors site de … est vérifiée », ou endommagée ou incomplète (absente, manifeste absent, signature absente, signature non reconnue, contenu absent, empreinte différente). Une copie dont le manifeste et le contenu auraient été remplacés ensemble n’est jamais déclarée vérifiée : la signature ne correspond plus.

Une copie que le service refuse de lire (droits, panne, objet archivé) est « non vérifiable », jamais « endommagée ».

La vérification télécharge tout le contenu de l’archive : elle prend du temps pour une grosse archive. Arrêter l’interrompt ; une vérification arrêtée ne prouve rien. Après un envoi, la ligne « Vérification de la copie envoyée… » remplace la barre pendant que Vault contrôle la copie.

Actualiser relit la liste des archives présentes à la destination ; seul le préfixe de la destination est lu, jamais tout le bucket.

Restaurer depuis le hors site

1. Cliquez sur Restaurer… sur la ligne de l’archive.
2. Choisissez où restaurer, puis Restaurer ici.

Vault télécharge le paquet dans un dossier temporaire, puis le restaure exactement comme l’écran Archives (voir Archives) : signature et empreinte vérifiées avant d’extraire quoi que ce soit, déchiffrement au besoin, fichiers restaurés dans un nouveau sous-dossier du nom de l’archive (-2, -3… si le nom est pris), sans écraser un fichier existant, puis chaque fichier relu et comparé au manifeste ; le bandeau dit si des fichiers diffèrent. Le dossier Archives de la bibliothèque et l’intérieur d’une archive sont refusés comme destination, avant tout téléchargement. Le dossier temporaire est effacé ensuite. Un dossier de projet est signalé avant tout téléchargement, comme dans Archives (Restaurer quand même).

Une révision incrémentale (qui ne contient que les fichiers changés depuis sa révision de base) n’est jamais restaurée seule : Vault cherche sa chaîne à la destination, la télécharge entièrement dans le dossier temporaire, puis la restaure comme l’écran Archives (voir Restaurer une révision incrémentale) : chaque révision de la chaîne est vérifiée avant toute extraction, et le projet est reconstitué tel qu’il était à cette révision, fichiers supprimés exclus.

• Si une révision de la chaîne manque à la destination, la restauration est refusée avant tout téléchargement, sans rien écrire dans le dossier choisi ; le message nomme la révision et la destination. Renvoyez la révision depuis ce Mac : l’envoi complète la chaîne.
• Pour une chaîne d’Obscura Flow (sans inventaire), Vault avertit d’abord que les fichiers supprimés entre deux révisions ne sont pas connus et seront restaurés ; Restaurer quand même fusionne la chaîne.
• Dans les deux cas, le bandeau propose aussi Extraire seulement les fichiers de cette révision…, qui télécharge de nouveau le paquet et extrait ces seuls fichiers dans un nouveau sous-dossier <archive>-fichiers-modifies du même dossier. Ce n’est pas le projet complet.

La signature est acceptée si elle vient de la clé de cette installation ou d’une clé de confiance (celle d’Obscura Flow comprise, si vous l’avez importée). Une archive chiffrée s’ouvre avec la première clé connue qui l’ouvre. Voir Clés et sécurité.

Télécharger… récupère seulement le paquet .obf, sans le restaurer : utile pour le vérifier ou le restaurer plus tard dans Archives. Le paquet est téléchargé sous un nom caché, vérifié (signature et empreinte), et n’apparaît dans le dossier choisi qu’une fois complet et vérifié ; une copie qui ne passe pas la vérification n’est pas gardée. Un paquet de même nom déjà présent n’est jamais remplacé : le téléchargement prend le nom suivant (-2, -3…). Le dossier Archives de la bibliothèque et l’intérieur d’une archive sont refusés.

Pour une révision incrémentale, Télécharger… rapporte aussi les révisions de sa chaîne, chacune dans son propre dossier à côté d’elle : le dossier choisi peut ensuite être restauré depuis Archives. Toutes sont vérifiées avant qu’aucune n’apparaisse ; une révision de la chaîne déjà présente dans ce dossier, au même manifeste, n’est pas téléchargée de nouveau. Le bandeau dit quelles révisions sont à côté. Si la destination n’a pas toute la chaîne, seul le paquet demandé est téléchargé, et le bandeau prévient qu’il ne se restaure pas depuis ce dossier (seuls ses fichiers s’extraient).

Supprimer une copie

Supprimer la copie… (l’icône de corbeille sur la ligne d’une copie, aussi dans son menu contextuel) supprime le paquet à la destination, après confirmation : il n’y a pas de corbeille à la destination. L’archive de ce Mac et les copies des autres destinations ne sont pas touchées. La suppression est notée au journal d’audit (« Copie hors site retirée »).

Vault refuse de supprimer une révision dont dépend une révision incrémentale gardée à cette destination : « La révision 1 ne peut pas être retirée de la destination « NAS » : les révisions 2, 3, à cette destination, en dépendent. » Supprimez d’abord ces révisions, de la plus récente à la plus ancienne, ou envoyez-y une révision complète plus récente (voir Comprendre les verdicts).

Modifier ou supprimer une destination

Modifier… et Supprimer… sont sur la destination (et dans son menu contextuel). Supprimer une destination fait oublier à Vault la destination et ses clés d’accès : les archives déjà copiées restent à la destination. Pour un compte connecté, Vault retire aussi son accès au compte, comme Déconnecter.

Le suivi des transferts

Derniers transferts liste les envois, vérifications, restaurations et téléchargements récents avec leur résultat. Chaque transfert est noté au journal d’audit. Les copies envoyées ou vérifiées par Vault figurent sur le certificat de l’archive (voir Certificats de préservation) ; une copie dont la vérification a échoué n’y figure plus.