Копии, которые сервер не может прочитать
Агент шифрует данные на вашей машине и только потом отправляет их. Мы храним шифротекст и обёрнутые ключи — расшифровать их без вашего ключа не может ни поддержка, ни администратор инфраструктуры.
Пространства
- Инфраструктура
- Аналитика
- Архив 2025
Агенты
- db-01
- db-02
- ci-runner-3
- nas-office
| pg/main.dump | 42.6 GiB | 10:04 |
| pg/wal-archive | 7.1 GiB | 10:02 |
| etc/snapshot | 318 MiB | 09:58 |
Как проходит копия
Портал показывает состояние, но данные через браузер не идут. Их передаёт агент — по API, частями, с докачкой после разрыва.
-
Агент готовит и шифрует
Снимок режется на части по 8 MiB. Каждая часть шифруется отдельным ключом, ключи заворачиваются в мастер-ключ пространства. Мастер-ключ хранится у вас — на сервер он не уезжает.
-
Части уходят в регион
Агент открывает сессию передачи и льёт части в
/v1/chunks. Соединение живёт долго, тела запросов крупные — это штатный режим, а не аномалия. Разрыв не страшен: сессия помнит принятые части, передача продолжается с места обрыва. -
Регион подтверждает и реплицирует
После завершения сессии объект становится неизменяемой версией. Каждая часть к этому моменту разложена в трёх копиях на разные дисковые узлы региона; если какая-то копия не успела создаться, она досоздаётся в фоне.
-
Агент слушает задания
Между копиями агент держит открытым
/api/v3/syncи ждёт события: новое расписание, отзыв токена, запрос на восстановление. Соединение может висеть до часа — так задумано, это дешевле опроса по таймеру.
Ключи не уезжают с машины
Мастер-ключ пространства создаётся при первом запуске агента и никогда не передаётся на сервер. Мы получаем только шифротекст частей и ключи частей, завёрнутые в мастер-ключ — без него это набор байт.
Отсюда следует неприятное, но честное: потерянный мастер-ключ мы восстановить не можем. Не «по регламенту не имеем права», а физически не располагаем нужным материалом. Экспортируйте ключ при заведении пространства и храните отдельно от копий.
Метаданные — имена объектов, размеры, время — хранятся в открытом виде: по ним строится каталог и работает поиск по версиям. Если имена файлов для вас чувствительны, включите в агенте режим непрозрачных ключей объектов.
Что видит сервер
- содержимое частей
- шифротекст
- ключи частей
- обёрнутые
- мастер-ключ
- нет
- имена объектов
- открыто
- размеры и время
- открыто
- шифр
- AES-256-GCM
- обёртка ключей
- X25519 + HKDF
Параметры фиксируются в заголовке объекта и не меняются задним числом: старые версии читаются теми же параметрами, с которыми были записаны.
Регионы
Клиент пишет в свой регион напрямую, по отдельному пути. Данные остаются там, куда записаны: копий между регионами мы не держим — юрисдикция должна быть предсказуемой.
| Код | Путь | Расположение | Роль |
|---|---|---|---|
| ru | /ru | Москва | первичный приём |
| fin | /fin | Хельсинки | первичный приём |
| swe | /swe | Стокгольм | первичный приём |
| fra | /fra | Франкфурт | первичный приём |
Подробности — в разделе Регионы и хранение: политика выбора региона, сколько копий держится внутри него, что происходит при переводе региона в режим только для чтения.
Докачка больше не перечитывает уже принятые части при обрыве в последней трети передачи. На копиях от 200 GiB это экономит десятки минут.
Незавершённая сессия передачи живёт 24 часа вместо 12. После истечения докачка невозможна — нужна новая сессия.
Франкфурт открыт для приёма. Существующие пространства регион по умолчанию не меняют.
Доступ по приглашению
Самостоятельной регистрации нет. Пространство заводит администратор организации, он же выпускает токены агентам и назначает регион по умолчанию. Если вам нужен доступ к существующему пространству — попросите администратора, он сделает это в кабинете за минуту.