# serveur_backup_site

**Le marqueur du dépôt de sauvegarde du site.** Il dit que *ce* dépôt est celui où les
écosystèmes du site déposent leur état, et déclare le flux qui le permet. Il n'installe
rien.

## Le quatrième service prêté

| ce que le site prête | pendant la jeunesse du tenant |
|---|---|
| les paquets | `serveur_cache_site` |
| le génome | `serveur_forge_site` |
| les noms | `serveur_resolveur_site` |
| **l'état** | **ce rôle** |

## Ce qu'il a corrigé

Mesuré le 2026-09-01, en préparant un rasage de Chezlepro : **toutes ses sauvegardes
vivaient sur `backup-01`, une VM de sa propre flotte.** Raser l'écosystème aurait détruit
les données et leur seul filet dans le même geste.

La doctrine affirmait pourtant que `client_backup_cible` *« pointe déjà hors de
l'écosystème »*. C'était vrai pour patient 0, qui sauvegarde chez `eregion` — faux pour
Chezlepro. *Un document qui décrit une propriété que le réel n'a pas est exactement ce que
ce dépôt traque.*

## Pourquoi une zone à lui seul

`site-sauvegarde` (VLAN 35) n'existe que pour lui. Il détient l'état de **chaque** tenant :
clés d'autorité, annuaires, bases, courriel. C'est la machine dont la compromission coûte
le plus cher du site — davantage que la forge, dont le contenu est du code, et davantage
que l'AC, qui forge des noms sans détenir de données.

Le mettre avec le génome aurait partagé un domaine de diffusion entre ce que les tenants
**viennent chercher** et ce qu'ils **déposent**. Deux natures opposées : l'une est faite
pour être lue par tous, l'autre pour n'être lue par personne.

## Ce qui rend la mutualisation acceptable

Le site reçoit des **octets chiffrés par restic avant de partir**. Il héberge l'état de
ses locataires sans pouvoir le lire — c'est ce qui distingue ce service de la voûte, qui
ne se mutualise à aucun âge.

## Ce que ce rôle ne fait pas

Il n'installe rien. Il vérifie deux choses : que la racine des dépôts **existe**, et qu'il
reste de la **place** devant les locataires. *Un dépôt qui se remplit n'échoue pas à
l'ouverture — il échoue au milieu d'un instantané, chez le locataire, et la panne se lit
comme une erreur réseau.*