docs: runbook backup NAS vers VPS Contabo (restic)

hermes-nyora/backup-nas-vps-contabo-restic.md

@@ -0,0 +1,22 @@
+# Backup NAS -> VPS Contabo (restic chiffré, throttlé, sécurisé)
+
+**Date** : 2026-07-05
+**Instance** : hermes-nyora
+**Tags** : nyora, vps, contabo, backup, restic, securite
+
+## Contexte
+66 Go de données Docker NAS sauvegardées sur le VPS Contabo (même machine que le seedbox qBittorrent d'Ahmed, isolé fonctionnellement). Débit upload maison réel : 16 Mbps = 2 Mo/s (piège initial : confondu avec 2 Mbps, ce qui aurait donné une estimation ×8 trop pessimiste).
+
+## Décisions clés
+- **restic** (chiffré AES-256, dédupliqué) — jamais rsync brut, les volumes Docker contiennent des credentials
+- Quota disque VPS : 100 Go backup / 100 Go qBittorrent (sur 200 Go total, Cloud VPS 20 SSD)
+- Un seul job cron/n8n fixe à 22h00, `timeout` interne 9h30 — le seed initial déborde naturellement sur 1-2 nuits sans reconfiguration, pas besoin de changer de fenêtre une fois le seed terminé
+- User `backupuser` dédié sur le VPS, chroot SFTP-only, isolé de `qbtuser` (aucune interaction avec le kill-switch WireGuard)
+- Clé SSH dédiée au backup, jamais réutilisée
+- Alertes Telegram sur tout échec, vérification légère à chaque run + profonde mensuelle + test de restauration trimestriel
+
+## Piège évité
+Débit réseau mal converti (Mbps vs Mo/s) aurait fait planifier un système avec une fenêtre de sauvegarde ×8 trop étroite (20 nuits estimées au lieu de 1-2 réelles). Toujours faire confirmer l'unité exacte (Mbps ou Mo/s) avant de dimensionner un plan de sauvegarde/transfert.
+
+## Fichiers
+`hermes-nyora/data/workspace/contabo-vps/backup-push.sh`, `backup-verify.sh`, `setup-backup-user-vps.sh`, `BACKUP-NAS-VPS.md`