Дані зникли: що робити крок за кроком

Порядок дій, коли зникають файли або база даних: як не погіршити ситуацію першою ж дією, де шукати залишки та що можна відновити, а що ні.

Оновлено 23 серпня 2026 р.

Перша дія після втрати даних важить більше за все, що буде далі. Нижче — процедура, яка не коштуватиме вам шансів на відновлення.

Негайно: припиніть запис на диск

Видалений файл живе на диску, доки його місце не займе щось нове. Кожен запис — встановлення пакета, робота сайту, зростання логу — зменшує ваші шанси.

Зупиніть усе, що пише: вебсервер, базу даних, воркери черг.
Не встановлюйте програми для відновлення на той самий диск.
Не перевстановлюйте систему: перевстановлення знищує диск повністю й безповоротно.

Якщо дані важливі, а резервних копій немає, зупиніть машину й зверніться до підтримки, перш ніж щось експериментувати.

З'ясуйте, що саме сталося

Ознака	Що це	Куди йти
Файли видалено командою	Звичайне видалення	Розділ нижче
«No space left on device»	Місце закінчилося, застосунок не зміг записати	місце закінчилося
База даних не відкривається, файли на місці	Пошкодження бази даних	резервні копії бази даних
Система не завантажується	Завантажувач або файлова система	рятувальний диск
Чужі файли, незнайомі процеси	Можливе зламування	ознаки зламування

Якщо у вас є резервні копії

Це найшвидший шлях і майже завжди єдиний успішний. Відновлюйте за власною схемою — rsync або restic — і перевіряйте не те, що розпакування вдалося, а вміст: розмір, кількість рядків, чи відкривається база даних.

restic -r /path/to/repo snapshots
restic -r /path/to/repo restore latest --target /restore

Спершу відновлюйте в окремий каталог, а не поверх робочого: резервна копія теж може бути неповною, а перезапис нею залишків — це спосіб втратити обидва варіанти.

Якщо резервних копій немає

Ми не зберігаємо автоматичних резервних копій вашої машини й не маємо знімків. Диск віртуальної машини — це ваш диск: усе, що на ньому сталося, сталося. Саме тому резервні копії налаштовують у перший день — що саме копіювати.

Що ще ви можете спробувати самостійно:

Файл досі відкритий процесом. Якщо програма тримає видалений файл, він доступний через /proc:
```
lsof +L1
cp /proc/<pid>/fd/<n> /root/recovered-file
```
Це працює лише поки процес живий — не перезапускайте його.
Дані в журналі бази даних. PostgreSQL і MySQL мають журнал попереднього запису, з якого фахівець може відтворити стан до збою. Не запускайте базу даних навмання в режимі відновлення — так ви втратите й журнал.
Завантажтеся з рятувального диска і зробіть образ диска на іншу машину, перш ніж пробувати інструменти на кшталт extundelete чи photorec. Працювати треба з образом, а не з живим диском.

Чого робити не можна

Перевстановлювати систему «щоб почати з чистого аркуша», перш ніж вирішити, чи потрібні вам дані.
Запускати програми відновлення, які пишуть результат на той самий диск.
Виправляти файлову систему через fsck з автоматичною відповіддю «yes» на живому диску без образу.
Чекати тиждень, а потім просити про відновлення: чим довше працює машина, тим менше залишається.

Як не повторити це

Та сама розмова завжди закінчується однаково: або резервні копії у вас є, або їх немає. Налаштуйте їх сьогодні й перевіряйте раз на квартал через навчальне відновлення — резервна копія, яку жодного разу не відновлювали, не вважається резервною копією.