Backup n8n đúng cách: encryption key, database và credential

Bạn chạy n8n trên VPS được vài tháng, có chục workflow tự động hoá xử lý email, gửi báo giá, đồng bộ dữ liệu giữa CRM và Google Sheets. Rồi một hôm, ổ cứng hỏng, hoặc bạn lỡ tay xoá nhầm container Docker. Bạn nghĩ "có snapshot máy ảo" là yên tâm. Nhưng khi restore lại n8n từ bản snapshot đó, mọi credential, API key, token, mật khẩu, đều báo lỗi "decryption failed". Đó là lúc bạn nhận ra: backup cả VPS thôi chưa đủ, bạn phải backup encryption key của n8n riêng biệt. Bài này hướng dẫn backup n8n đúng kiến trúc: encryption key, cơ sở dữ liệu PostgreSQL, và credential, kèm script tự động và cách kiểm tra restore để không còn bất ngờ.

Vì sao mất encryption key là mất sạch credential?

n8n mã hoá tất cả credential (API key, token kết nối) trước khi lưu vào database. Khoá giải mã là encryption key do bạn khai báo qua biến môi trường N8N_ENCRYPTION_KEY (hoặc ENCRYPTION_KEY với bản cũ). Nếu bạn restore database từ backup nhưng thiếu key gốc, n8n khởi động với key mới → không thể giải mã dữ liệu cũ. Kết quả: mọi workflow có kết nối tới dịch vụ bên ngoài (Slack, Gmail, Telegram, database…) đều đỏ. Bạn phải tạo lại toàn bộ credential thủ công, tốn hàng giờ.

Quy tắc sống còn: backup encryption key đi kèm với backup database. Hai thứ này phải được lưu ở ít nhất hai nơi khác nhau. Đừng để key nằm riêng biệt trong file docker-compose.yml trên cùng VPS đó.

Bước 1, Xác định kiến trúc n8n đang chạy

Trước khi viết script backup, bạn cần biết mình đang chạy n8n kiểu gì. Đa phần tự host n8n trên VPS dùng Docker Compose với stack: một service n8n + một service PostgreSQL. File cấu hình docker-compose.yml thường chứa encryption key dạng:

services:
  n8n:
    image: n8nio/n8n:latest
    environment:
      - N8N_ENCRYPTION_KEY=your-32-char-key-here
      - DB_TYPE=postgresdb
      - DB_POSTGRESDB_HOST=postgres
      ...
  postgres:
    image: postgres:15
    environment:
      - POSTGRES_USER=n8n
      - POSTGRES_PASSWORD=strongpass
      - POSTGRES_DB=n8n

Bạn cần sao lưu 3 thành phần: (1) file docker-compose.yml (có chứa key), (2) database PostgreSQL (dump SQL), (3) thư mục .n8n nếu bạn có config tuỳ chỉnh (tùy chọn).

Bước 2, Script backup đầy đủ n8n

Script dưới đây chạy trên VPS Linux (Ubuntu 24.04 hoặc Debian 12). Nó backup dung lượng database PostgreSQL, copy encryption key, nén và đẩy ra thư mục riêng. Tạo file /usr/local/bin/backup-n8n.sh:

#!/bin/bash
# Backup n8n: database + encryption key
set -e

BACKUP_DIR="/var/backups/n8n"
DATE=$(date +%Y%m%d_%H%M%S)
mkdir -p "$BACKUP_DIR/$DATE"

# 1. Backup encryption key (từ docker-compose.yml)
cp /opt/n8n/docker-compose.yml "$BACKUP_DIR/$DATE/docker-compose.yml"

# 2. Backup PostgreSQL database
docker exec $(docker ps -qf "name=n8n-postgres") pg_dump -U n8n n8n > "$BACKUP_DIR/$DATE/n8n_dump.sql"

# 3. Nén và mã hoá (tuỳ chọn, dùng gpg nếu cần)
tar czf "$BACKUP_DIR/n8n_backup_$DATE.tar.gz" -C "$BACKUP_DIR" "$DATE"
rm -rf "$BACKUP_DIR/$DATE"

# 4. Xoá backup cũ hơn 30 ngày
find "$BACKUP_DIR" -name "*.tar.gz" -mtime +30 -delete

echo "Backup hoàn tất: $BACKUP_DIR/n8n_backup_$DATE.tar.gz"

Giải thích lệnh: pg_dump chạy bên trong container PostgreSQL, xuất ra file SQL. File docker-compose.yml chứa cả encryption key, nên được copy riêng (không nằm trong database). Bạn có thể thay docker exec bằng docker compose exec nếu dùng Compose v2.

Verify ngay: chạy thử script và kiểm tra file .tar.gz vừa tạo có dung lượng > 0:

bash /usr/local/bin/backup-n8n.sh
ls -lh /var/backups/n8n/

Output mong đợi: file n8n_backup_20260315_120000.tar.gz có size vài MB đến vài chục MB (tuỳ số workflow).

Bước 3, Tự động backup theo lịch với cron

Gắn script vào cron để chạy mỗi ngày một lần. Mở crontab cho root:

sudo crontab -e

Thêm dòng:

0 2 * * * /bin/bash /usr/local/bin/backup-n8n.sh

Giải thích: chạy lúc 2:00 sáng mỗi ngày. Nếu bạn lo ngại dung lượng backup ảnh hưởng đến hiệu năng I/O của VPS, đặc biệt nếu VPS dùng ổ NVMe có workload database nặng, thì nên đặt cron vào giờ thấp điểm (thường 2-4 giờ sáng). Kiểm tra cron đã active:

grep "backup-n8n" /var/log/syslog | tail -5

Nếu log không có, kiểm tra service cron daemon:

systemctl status cron

Bước 4, Diễn tập restore (bước quan trọng nhất nhưng ít ai làm)

Backup không có restore = rác. Ít nhất mỗi quý một lần, bạn nên diễn tập restore trên một VPS khác (hoặc trên chính VPS sau khi snapshot). Các bước restore thực tế:

1. Khôi phục file docker-compose.yml: copy lại file vào thư mục làm việc, nhưng đừng chạy docker compose up ngay. Kiểm tra encryption key còn nguyên không.
2. Khôi phục database: tạo container PostgreSQL trống, sau đó chạy psql -U n8n n8n < n8n_dump.sql để nạp dữ liệu cũ.
3. Khởi động n8n: chạy docker compose up -d rồi kiểm tra log: docker logs n8n -f, phải thấy "Server is ready" và không có lỗi "decryption failed".
4. Kiểm tra credential thực tế: đăng nhập vào n8n, vào mục Credentials, mở một credential bất kỳ, phải hiển thị được giá trị (không báo lỗi).
5. Chạy thử một workflow cũ: kích hoạt workflow có kết nối thật (ví dụ gửi email, call API) để kiểm tra credential hoạt động.

Mẹo: Nếu restore vào VPS n8n giá rẻ chạy sẵn, bạn chỉ cần copy file config và database, khởi động lại dịch vụ. Lưu ý IPv4 của VPS mới có thể khác, cập nhật DNS record nếu bạn trỏ domain tới VPS đó.

Xử lý lỗi thường gặp khi backup/restore n8n

Lỗi 1: "decryption failed" sau restore
Nguyên nhân: encryption key không khớp với database. Kiểm tra file docker-compose.yml bạn restore có đúng key gốc không. Nếu bạn dùng file .env riêng, kiểm tra biến N8N_ENCRYPTION_KEY trong file đó. Cách khắc phục: copy lại key gốc và chạy docker compose down && docker compose up -d.

Lỗi 2: pg_dump báo "connection refused"
Script backup chạy trước khi container PostgreSQL sẵn sàng, hoặc container đã down. Kiểm tra bằng docker ps | grep postgres. Thêm lệnh sleep vào script nếu cần: sleep 5 trước lệnh dump.

Lỗi 3: File backup bị corrupt do ổ đầy
Kiểm tra dung lượng trống: df -h /var/backups. Nếu ít hơn 2GB, backup có thể bị lỗi giữa chừng. Dùng thêm script cảnh báo: nếu backup không tạo ra file hoặc file 0 byte → gửi Telegram. Xem bài gửi cảnh báo hệ thống VPS qua Telegram bot để tham khảo cách triển khai.

Backup ra ngoài VPS, chiến lược hai nơi

Lưu backup trên cùng VPS là rủi ro: nếu VPS hỏng ổ, mất cả gốc lẫn backup. Bạn nên đẩy backup ra nơi khác. Các phương án phổ biến:

• Google Drive / S3: dùng rclone (xem bài dùng rclone backup VPS lên Google Drive).
• VPS thứ hai: rsync qua SSH key giữa hai VPS. Ví dụ: một VPS chạy n8n, một VPS Linux khác làm backup target.
• Object storage S3: dùng restic kết hợp S3 để có backup mã hoá, phiên bản (xem bài hướng dẫn backup tự động VPS lên S3 với restic).

Phương án rẻ và đơn giản: rsync mỗi ngày tới VPS Linux thứ hai (có thể là gói VNLite 1 vCPU / 2 GB RAM). Bạn cần mở port SSH trên VPS backup và cấu hình key pair cho phép rsync tự động.

Câu hỏi thường gặp

Bài viết liên quan

• Thuê VPS n8n giá rẻ cài sẵn, hướng dẫn chi tiết
• Cài n8n trên VPS Ubuntu 24.04 bằng Docker Compose từ A-Z
• Hướng dẫn backup tự động VPS lên S3 với restic
• Dùng rclone backup VPS lên Google Drive