# Come rendo immutabili i backup contro il ransomware sul mio server?

> Rendi immutabili i backup sul tuo server: restic e Borg in modalità append-only, Proxmox Backup Server, Veeam, S3 Object Lock e snapshot ZFS. Cripto, senza KYC.

- URL: https://basalthold.com/it/immutable-backups/
- Ultimo aggiornamento: 2026-11-02
- Editore: Basalthold (https://basalthold.com)

Sei modi per dare alla macchina che proteggi accesso in scrittura senza diritto di cancellazione, cosa lascia comunque passare ciascuno, e le due cose che cancellano qualsiasi backup su un server noleggiato.

**Risposta rapida — Come rendo immutabili i backup contro il ransomware sul mio server?**

Per rendere immutabili i backup contro il ransomware sul tuo server, dai al client di backup accesso in scrittura ma nessun diritto di cancellazione: un repository restic o Borg append-only, un repository hardened di Veeam, oppure snapshot ZFS sotto un altro account. **Basalthold** noleggia il server da 110,99 USD per 30 giorni (prezzo di 2 November 2026), cripto, senza KYC.

## Quali metodi bloccano i backup su un server che controlli?

| Metodo | Cosa non può fare la macchina di cui è stato fatto il backup | Chi può ancora cancellare | Verificato in |
| --- | --- | --- | --- |
| restic con rest-server `--append-only` | Cancellare o modificare i backup esistenti | Un admin che si connette senza il flag; root sul server | rest-server README |
| Borg con `borg serve --append-only` | Sovrascrivere o cancellare dati già confermati | Un prune o compact successivo in modalità normale; root | Documentazione di Borg 1.4.5 |
| Proxmox Backup Server, ruolo DatastoreBackup | Fare il prune dei suoi backup | Gli utenti con DatastorePowerUser o DatastoreAdmin; root | Documentazione di PBS 4.2 |
| Repository hardened di Veeam | Spostare, modificare o cancellare file per 7-9999 giorni | root sul server del repository | Guida di Veeam B&R 13 |
| S3 Object Lock, modalità compliance | Cancellare o cambiare una versione bloccata prima della sua data | Nessun utente, root incluso, secondo MinIO | Documentazione di MinIO e Kopia |
| Snapshot ZFS tramite un altro account | Modificare un'istantanea, che è di sola lettura | Un account con diritti di distruzione, dopo il rilascio di eventuali blocchi | Pagine man di OpenZFS |

Documentazione consultata il 2 novembre 2026.

## Cosa significa immutabile per un backup?

Un ransomware che prende il controllo di un server di solito prende anche le credenziali di backup salvate lì. Se quelle credenziali possono eliminare i vecchi backup, l'attaccante li elimina prima di cifrare qualsiasi cosa.

Un backup immutabile chiude quella porta. La macchina di cui si fa il backup può aggiungere nuovi dati, ma niente di ciò che contiene può rimuovere o riscrivere le vecchie versioni. Alcuni metodi lo impongono tramite diritti di accesso, altri tramite un blocco con una data di scadenza.

**Se la macchina che proteggi può eliminare i propri backup, allora può farlo anche chiunque ne prenda il controllo.**

## Come funzionano restic e Borg in modalità append-only?

Il rest-server di restic ha un flag `--append-only`. Il suo README dice che la modalità consente nuovi backup ma impedisce l'eliminazione e la modifica di quelli esistenti. Esegui il prune da una macchina di amministrazione tramite una seconda istanza senza il flag, oppure sul server stesso.

Borg impone la modalità con un comando forzato in `authorized_keys`, oppure con `append_only = 1` nella configurazione del repository. La sua documentazione elenca chiaramente i limiti:

- `borg delete` e `borg prune` funzionano comunque; si limitano a marcare i dati come eliminati.
- La scrittura successiva in modalità normale rimuove quei dati per sempre, quindi il pruning automatico rende la modalità inutile.
- Esegui `borg check` prima di fare il prune di un repository append-only.
- `rm` funziona ancora sui file, quindi i client devono raggiungere il repository solo tramite `borg serve`.

Confronto tra i due strumenti su [restic o Borg per i backup offsite](https://basalthold.com/it/restic-vs-borg/ "Versions, server needs, encryption and append-only mode").

*Append-only lato server*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Come bloccano i backup Proxmox Backup Server e Veeam?

Proxmox Backup Server funziona per ruoli. Un utente con DatastoreBackup può fare il backup e il ripristino dei propri backup, ma il pruning richiede DatastorePowerUser. La garbage collection inoltre attende 24 ore e 5 minuti prima di rimuovere i chunk. Abbinala a un job di sync tirato dal server offsite, così casa non conserva alcun login offsite. La configurazione completa è su [un Proxmox Backup Server offsite su un server in affitto](https://basalthold.com/it/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption").

Il repository hardened di Veeam funziona per tempo. I file restano immutabili da 7 a 9999 giorni, e le credenziali con cui sono stati installati i servizi di Veeam non sono mai state salvate. I passaggi per una macchina in affitto sono su [un repository hardened di Veeam su un server Linux in affitto](https://basalthold.com/it/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console").

## Posso usare S3 Object Lock sul mio server?

Solo se il tuo server S3 lo implementa, e le due opzioni open-source più note differiscono.

- **MinIO** documenta l'object locking su bucket con versioning, in modalità GOVERNANCE o COMPLIANCE. In modalità COMPLIANCE nessun utente può modificare una versione bloccata, root incluso. Ma il repository della community di MinIO è stato archiviato il 25 aprile 2026, non è più mantenuto e viene distribuito solo come codice sorgente.
- **Garage** elenca Object Lock e il versioning dei bucket come mancanti nella sua pagina di compatibilità S3.

Lato client, Kopia supporta Object Lock: il bucket deve averlo abilitato alla creazione, e Kopia consiglia la modalità compliance. L'altro suo consiglio vale ovunque: una chiave di accesso senza permessi di eliminazione. Altri server S3 sono confrontati su [le migliori alternative a MinIO per S3 self-hosted](https://basalthold.com/it/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared").

## Come proteggono le istantanee ZFS un backup dal proprio client?

Lascia che il client scriva via SFTP o rsync come account ordinario, e lascia che sia root a creare le istantanee. OpenZFS descrive un'istantanea come una copia di sola lettura di un file system. L'account del client non ottiene alcun diritto `destroy` tramite `zfs allow`, quindi non può rimuoverle.

Un hold aggiunge un secondo blocco. Finché un'istantanea ha un hold, `zfs destroy` su di essa fallisce con EBUSY finché qualcuno non rilascia l'hold.

**Istantanee create da root, su un dataset su cui scrive il client, trasformano qualsiasi destinazione rsync o SFTP in una versione versionata e append-only.**

*Istantanea notturna con un hold, eseguita da root*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## Cosa riesce ancora a eliminare i backup immutabili su un server in affitto?

Due cose, ed entrambe stanno fuori dal software di backup.

- **Root sul server di backup.** Ogni metodo descritto sopra alla fine cede a root. Tieni root su una chiave che non risiede mai sulle macchine di cui fai il backup, e limita SSH al tuo indirizzo di amministrazione.
- **L'affitto stesso.** Ogni server viene pagato in anticipo dal tuo saldo in criptovalute, per 30 giorni, 3 mesi, 6 mesi o 12 mesi come scelto al checkout. Il rinnovo automatico addebita di nuovo la stessa durata al prezzo con cui hai iniziato, a meno che tu non imposti un'altra durata per il rinnovo successivo nella dashboard; quando il saldo non basta, il server si ferma alla fine del suo periodo, i suoi dischi vengono conservati per 7 giorni e poi cancellati. Riavvii, reinstallazioni e cancellazioni si richiedono nella dashboard e vengono gestiti dal team; una reinstallazione cancella ogni disco, dischi dati inclusi. Un blocco più lungo del periodo pagato non protegge nulla.

Un server di storage non è un backup di se stesso: non conserviamo alcuna copia dei tuoi dati altrove, quindi una seconda copia in un altro posto resta compito tuo. Inoltre le versioni bloccate non possono essere rimosse in anticipo con il prune, quindi il pool cresce di ogni versione conservata. **L'indagine di Basalthold su 2 November 2026 ha rilevato che i server di storage da 72 TB o più costano una mediana di $4.86 per TB al mese presso host che accettano criptovalute senza KYC.** Hold 100 costa $3.77/TB, a lordo. Termini fino a 12 mesi sono su [il listino prezzi degli hold](https://basalthold.com/it/pricing/ "Every hold, term and city, with prices").

## Cos'altro si chiede sulle backup immutabili?

### Un repository append-only è la stessa cosa di uno immutabile?

Vicino, ma non uguale. Append-only impedisce al client di eliminare o riscrivere i dati. Un blocco temporale, come nel repository hardened di Veeam o in S3 Object Lock in modalità compliance, blocca anche gli amministratori fino alla data di scadenza.

### RAID o un mirror ZFS rendono immutabili i backup?

No. La ridondanza copia ogni modifica, eliminazioni comprese, su tutti i dischi. L'immutabilità richiede versioni che la macchina di cui si fa il backup non può rimuovere: istantanee, repository append-only o blocchi temporali.

### Un ransomware sul mio PC può raggiungere un'istantanea ZFS sul server?

Non tramite l'account di backup, purché quell'account non abbia diritto di distruzione sul dataset. L'istantanea è di sola lettura. Solo root sul server, o un account a cui hai delegato la distruzione, può rimuoverla.

### Per quanto tempo i backup dovrebbero restare bloccati?

Più a lungo di quanto un'intrusione potrebbe passare inosservata, e meno del tuo periodo pagato. Veeam consente da 7 a 9999 giorni. Un blocco di 30 giorni su un affitto di 30 giorni non lascia margine, quindi affitta per più tempo.

### Basalthold conserva una copia se il mio server viene cancellato?

Un server di storage non è un backup di se stesso: non conserviamo alcuna copia dei tuoi dati altrove, quindi una seconda copia in un altro posto resta compito tuo. Tieni una seconda copia indipendente da qualche altra parte.

**Un server i cui vecchi backup non possono essere eliminati dai tuoi client** Hold 100: Intel Xeon Silver 4210R (10 core / 20 thread), 128 GB DDR4 ECC, 10 × hard disk da 10 TB (100 TB raw) più 2 × SSD da 480 GB per il sistema, in mirroring, porta da 1 Gbit/s con 120 TB di traffico ogni 30 giorni, 1 IPv4 e un IPv6 /64, per $377,05/30 giorni, oppure $3,167.22 per 12 mesi. Cripto, senza KYC. [Affitta Hold 100 per 12 mesi](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=it) · [Affitta Hold 24 a Chisinau](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=it)

## Fonti

1. [README di rest-server (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [Note aggiuntive: modalità append-only (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [Gestione utenti: ruoli](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [Attività di manutenzione: garbage collection](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Hardened Repository e come funziona l'immutabilità (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [Object locking e retention](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [repository minio/minio (archiviato il 25 aprile 2026)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [Stato della compatibilità S3](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [Protezione ransomware](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) e zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold noleggia server dedicati per storage ad Amsterdam, Bucarest e Chisinau, pagabili in criptovalute senza KYC: nessun documento d'identità, nessun selfie, nessun documento. Ogni server è una macchina fisica intera con da 24 TB a 160 TB di dischi per un solo cliente, consegnata con dischi dati vuoti e accesso root, per backup, archivi, sincronizzazione file e object storage self-hosted. Al 2 novembre 2026 i prezzi andavano da $110,99 ogni 30 giorni per 24 TB a $561,39 per 160 TB ($3,50 per TB raw). È gestito da DomaineGoat LLC, una società registrata a Panama, non tiene log e non chiede mai le tue chiavi di crittografia.