fix : changelog plus readme a jour

BackupVaultWarden/backup-vaultwarden.sh

@@ -1,5 +1,6 @@
 #!/usr/bin/env bash
 set -euo pipefail
+umask 077
 
 #######################################
 # Chemins fixes du script
@@ -27,6 +28,7 @@ log() {
 # Chargement du .env
 #######################################
 set -a
+# shellcheck disable=SC1090
 source "$ENV_FILE"
 set +a
 
@@ -40,6 +42,10 @@ set +a
 : "${REMOTE_HOST:?Variable REMOTE_HOST manquante dans .env}"
 : "${REMOTE_DIR:?Variable REMOTE_DIR manquante dans .env}"
 : "${SSH_KEY:?Variable SSH_KEY manquante dans .env}"
+: "${BACKUP_REMOTE_SSH_PORT:=22}"
+: "${SSH_CONNECT_TIMEOUT:=10}"
+: "${BACKUP_KNOWN_HOSTS_STRICT:=yes}"
+: "${BACKUP_KNOWN_HOSTS_FILE:=${HOME}/.ssh/known_hosts}"
 
 #######################################
 # Variables backup
@@ -50,7 +56,53 @@ BACKUP_NAME="${BACKUP_PREFIX}-${DATE}.tar.gz"
 LOCAL_BACKUP_FILE="${LOCAL_BACKUP}/${BACKUP_NAME}"
 RETENTION_DAYS="${BACKUP_RETENTION_DAYS:-10}"
 
-SSH_OPTS=(-i "$SSH_KEY" -o IdentitiesOnly=yes -o BatchMode=yes -o ConnectTimeout=10)
+[[ "$BACKUP_REMOTE_SSH_PORT" =~ ^[0-9]+$ ]] || {
+    echo "ERROR: Variable BACKUP_REMOTE_SSH_PORT invalide dans .env" >&2
+    exit 1
+}
+
+[[ "$SSH_CONNECT_TIMEOUT" =~ ^[0-9]+$ ]] || {
+    echo "ERROR: Variable SSH_CONNECT_TIMEOUT invalide dans .env" >&2
+    exit 1
+}
+
+[[ "$RETENTION_DAYS" =~ ^[0-9]+$ ]] || {
+    echo "ERROR: Variable BACKUP_RETENTION_DAYS invalide dans .env" >&2
+    exit 1
+}
+
+case "${BACKUP_KNOWN_HOSTS_STRICT,,}" in
+    yes|y|oui|o|true|1) BACKUP_KNOWN_HOSTS_STRICT="yes" ;;
+    no|n|non|false|0) BACKUP_KNOWN_HOSTS_STRICT="no" ;;
+    *)
+        echo "ERROR: Variable BACKUP_KNOWN_HOSTS_STRICT invalide dans .env" >&2
+        exit 1
+        ;;
+esac
+
+mkdir -p "$(dirname "$BACKUP_KNOWN_HOSTS_FILE")"
+chmod 700 "$(dirname "$BACKUP_KNOWN_HOSTS_FILE")" || true
+touch "$BACKUP_KNOWN_HOSTS_FILE"
+chmod 600 "$BACKUP_KNOWN_HOSTS_FILE" || true
+
+SSH_OPTS=(
+    -i "$SSH_KEY"
+    -p "$BACKUP_REMOTE_SSH_PORT"
+    -o IdentitiesOnly=yes
+    -o BatchMode=yes
+    -o ConnectTimeout="$SSH_CONNECT_TIMEOUT"
+    -o StrictHostKeyChecking="$BACKUP_KNOWN_HOSTS_STRICT"
+    -o UserKnownHostsFile="$BACKUP_KNOWN_HOSTS_FILE"
+)
+SCP_OPTS=(
+    -i "$SSH_KEY"
+    -P "$BACKUP_REMOTE_SSH_PORT"
+    -o IdentitiesOnly=yes
+    -o BatchMode=yes
+    -o ConnectTimeout="$SSH_CONNECT_TIMEOUT"
+    -o StrictHostKeyChecking="$BACKUP_KNOWN_HOSTS_STRICT"
+    -o UserKnownHostsFile="$BACKUP_KNOWN_HOSTS_FILE"
+)
 
 mkdir -p "$LOCAL_BACKUP"
 
@@ -95,11 +147,22 @@ fail() {
     exit 1
 }
 
+require_cmd() {
+    command -v "$1" >/dev/null 2>&1 || fail "commande requise absente : $1"
+}
+
 #######################################
 # Vérifications préalables
 #######################################
 [[ -d "$DATA_DIR" ]] || fail "Le dossier source n'existe pas : $DATA_DIR"
 [[ -f "$SSH_KEY" ]] || fail "La clé SSH est introuvable : $SSH_KEY"
+[[ -r "$SSH_KEY" ]] || fail "La clé SSH est non lisible : $SSH_KEY"
+[[ ! -L "$SSH_KEY" ]] || fail "La clé SSH ne doit pas être un lien symbolique : $SSH_KEY"
+chmod 600 "$SSH_KEY" || true
+
+for cmd in tar ssh scp jq curl find; do
+    require_cmd "$cmd"
+done
 
 log "Début du backup Vaultwarden"
 log "Source : $DATA_DIR"
@@ -123,7 +186,7 @@ ssh "${SSH_OPTS[@]}" "$REMOTE_USER@$REMOTE_HOST" "mkdir -p '$REMOTE_DIR'" \
 #######################################
 # Envoi du backup
 #######################################
-scp "${SSH_OPTS[@]}" "$LOCAL_BACKUP_FILE" "$REMOTE_USER@$REMOTE_HOST:$REMOTE_DIR/" \
+scp "${SCP_OPTS[@]}" "$LOCAL_BACKUP_FILE" "$REMOTE_USER@$REMOTE_HOST:$REMOTE_DIR/" \
     || fail "Erreur lors de l'envoi du backup vers $REMOTE_HOST"
 
 log "Backup envoyé sur $REMOTE_HOST:$REMOTE_DIR"
@@ -147,4 +210,4 @@ rm -f "$LOCAL_BACKUP_FILE" || fail "Impossible de supprimer le backup local $LOC
 #######################################
 log "Backup $BACKUP_NAME terminé et envoyé sur $REMOTE_HOST:$REMOTE_DIR"
 discord_ping "true" "Backup envoyé avec succès vers $REMOTE_HOST"
-echo "Backup $BACKUP_NAME terminé et envoyé sur $REMOTE_HOST:$REMOTE_DIR"
+echo "Backup $BACKUP_NAME terminé et envoyé sur $REMOTE_HOST:$REMOTE_DIR"