# Como torno os backups imutáveis contra ransomware no meu próprio servidor?

> Backups imutáveis no seu servidor com repositórios append-only do restic e do Borg, Proxmox Backup Server, Veeam e snapshots do ZFS. Cripto, sem KYC.

- URL: https://basalthold.com/pt/immutable-backups/
- Última atualização: 2026-11-02
- Editor: Basalthold (https://basalthold.com)

Seis formas de dar à máquina que você protege acesso de escrita sem direito de exclusão, o que cada uma ainda deixa passar e as duas coisas que apagam qualquer backup em um servidor alugado.

**Resposta rápida — Como torno os backups imutáveis contra ransomware no meu próprio servidor?**

Para tornar os backups imutáveis contra ransomware no seu próprio servidor, dê ao cliente de backup acesso de escrita, mas nenhum direito de exclusão: um repositório append-only do restic ou do Borg, um repositório hardened do Veeam ou snapshots do ZFS em outra conta. **Basalthold** aluga o servidor a partir de US$ 110,99 por 30 dias (preço de 2 November 2026), cripto, sem KYC.

## Quais métodos bloqueiam os backups em um servidor que você controla?

| Método | O que a máquina com backup não pode fazer | Quem ainda pode excluir | Verificado em |
| --- | --- | --- | --- |
| restic com rest-server `--append-only` | Excluir ou modificar backups existentes | Um admin conectando sem a flag; root no servidor | README do rest-server |
| Borg com `borg serve --append-only` | Sobrescrever ou excluir dados confirmados | Um prune ou compact posterior em modo normal; root | Docs do Borg 1.4.5 |
| Proxmox Backup Server, papel DatastoreBackup | Excluir seus backups | Usuários com DatastorePowerUser ou DatastoreAdmin; root | Docs do PBS 4.2 |
| Repositório hardened do Veeam | Mover, modificar ou excluir arquivos por 7 a 9999 dias | root no servidor do repositório | Guia do Veeam B&R 13 |
| S3 Object Lock, modo compliance | Excluir ou alterar uma versão bloqueada antes da sua data | Nenhum usuário, incluindo o root, segundo a MinIO | Docs do MinIO e do Kopia |
| Snapshots do ZFS por outra conta | Altere um snapshot, que é somente leitura | Uma conta com direito de destruição, após a liberação de quaisquer retenções | Páginas de manual do OpenZFS |

Documentação lida em 2 de novembro de 2026.

## O que imutável significa para um backup?

Ransomware que assume o controle de um servidor geralmente também assume as credenciais de backup armazenadas nele. Se essas credenciais puderem excluir backups antigos, o atacante os exclui antes de criptografar qualquer coisa.

Um backup imutável fecha essa porta. A máquina que está sendo copiada pode adicionar novos dados, mas nada do que ela contém pode remover ou reescrever versões antigas. Alguns métodos impõem isso por direitos de acesso, outros por um bloqueio com data de expiração.

**Se a máquina que você protege pode excluir seus próprios backups, quem assumir essa máquina também pode.**

## Como o restic e o Borg funcionam em modo append-only?

O rest-server do restic tem uma flag `--append-only`. O README dele diz que o modo permite novos backups, mas impede a exclusão e a modificação dos existentes. Faça o prune a partir de uma máquina de administração, por meio de uma segunda instância sem a flag, ou no próprio servidor.

O Borg impõe o modo com um comando forçado em `authorized_keys`, ou com `append_only = 1` na configuração do repositório. A documentação dele lista os limites claramente:

- `borg delete` e `borg prune` ainda são executados; eles apenas marcam os dados como excluídos.
- A próxima gravação em modo normal remove esses dados de vez, então o prune automático torna o modo inútil.
- Execute `borg check` antes de fazer prune de um repositório append-only.
- `rm` ainda funciona nos arquivos, então os clientes devem acessar o repositório apenas por `borg serve`.

As duas ferramentas são comparadas em [restic ou Borg para backups offsite](https://basalthold.com/pt/restic-vs-borg/ "Versions, server needs, encryption and append-only mode").

*Append-only do lado do servidor*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Como o Proxmox Backup Server e o Veeam bloqueiam backups?

O Proxmox Backup Server funciona por papéis. Um usuário com DatastoreBackup pode fazer backup e restaurar seus próprios backups, mas o prune exige DatastorePowerUser. A coleta de lixo também espera 24 horas e 5 minutos antes de remover chunks. Combine com um job de sincronização puxado pelo servidor offsite, para que a sua casa não tenha login offsite. A configuração completa está em [um Proxmox Backup Server offsite em um servidor alugado](https://basalthold.com/pt/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption").

O repositório hardened do Veeam funciona por tempo. Os arquivos permanecem imutáveis por 7 a 9999 dias, e as credenciais que instalaram os serviços do Veeam nunca foram armazenadas. Os passos para uma máquina alugada estão em [um repositório hardened do Veeam em um servidor Linux alugado](https://basalthold.com/pt/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console").

## Posso usar o S3 Object Lock no meu próprio servidor?

Só se o seu servidor S3 o implementar, e as duas opções open-source mais conhecidas diferem.

- **MinIO** documenta o object locking em buckets versionados, nos modos GOVERNANCE ou COMPLIANCE. No modo COMPLIANCE, nenhum usuário pode alterar uma versão bloqueada, incluindo o usuário root. Mas o repositório da comunidade MinIO foi arquivado em 25 de abril de 2026, não é mais mantido e é distribuído apenas como código-fonte.
- **Garage** lista o Object Lock e o versionamento de buckets como ausentes na sua página de compatibilidade com S3.

Do lado do cliente, o Kopia oferece suporte a Object Lock: o bucket precisa tê-lo habilitado na criação, e o Kopia recomenda o modo compliance. O outro conselho dele funciona em qualquer lugar: uma chave de acesso sem permissões de exclusão. Outros servidores S3 são comparados em [as melhores alternativas ao MinIO para S3 self-hosted](https://basalthold.com/pt/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared").

## Como os snapshots do ZFS protegem um backup do próprio cliente?

Deixe o cliente gravar via SFTP ou rsync como uma conta comum, e deixe o root tirar os snapshots. O OpenZFS descreve um snapshot como uma cópia somente leitura de um sistema de arquivos. A conta do cliente não recebe direito de `destroy` por meio de `zfs allow`, então ela não pode removê-los.

Uma retenção (hold) adiciona um segundo bloqueio. Enquanto um snapshot tem uma retenção, o `zfs destroy` nele falha com EBUSY até que alguém libere a retenção.

**Snapshots tirados pelo root, em um dataset no qual o cliente grava, transformam qualquer destino rsync ou SFTP em um destino versionado e append-only.**

*Snapshot noturno com retenção, executado pelo root*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## O que ainda exclui backups imutáveis em um servidor alugado?

Duas coisas, e ambas ficam fora do software de backup.

- **Root no servidor de backup.** Todo método acima cede ao root no final. Mantenha o root em uma chave que nunca fica nas máquinas que você faz backup, e limite o SSH ao seu endereço de administração.
- **A própria locação.** Cada servidor é pago antecipadamente com o seu saldo em cripto, por 30 dias, 3 meses, 6 meses ou 12 meses, conforme a opção escolhida no checkout. A renovação automática cobra o mesmo período novamente pelo preço com que você começou, a menos que você defina outro período para a próxima renovação no painel; quando o saldo não é suficiente, o servidor para ao fim do prazo, os discos ficam retidos por 7 dias e depois são apagados. Reinicializações, reinstalações e cancelamentos são solicitados no painel e tratados pela equipe; uma reinstalação apaga todos os discos, inclusive os de dados. Um bloqueio mais longo do que o prazo pago não protege nada.

Um servidor de armazenamento não é backup de si mesmo: não guardamos nenhuma cópia dos seus dados em outro lugar, então uma segunda cópia em outro local continua sendo responsabilidade sua. Versões bloqueadas também não podem ser removidas por prune antes do prazo, então o pool cresce a cada versão mantida. **A pesquisa da Basalthold com 2 November 2026 descobriu que servidores de armazenamento de 72 TB ou mais custam uma mediana de $4.86 por TB por mês em provedores que aceitam cripto sem KYC.** Hold 100 custa $3.77/TB, bruto. Prazos de até 12 meses estão em [a lista de preços de retenção](https://basalthold.com/pt/pricing/ "Every hold, term and city, with prices").

## O que mais as pessoas perguntam sobre backups imutáveis?

### Um repositório append-only é o mesmo que um imutável?

Parecido, mas não igual. O append-only impede o cliente de excluir ou reescrever dados. Um bloqueio por tempo, como no repositório hardened do Veeam ou no S3 Object Lock em modo compliance, também impede os admins até que a data passe.

### RAID ou um espelho ZFS tornam os backups imutáveis?

Não. A redundância copia toda alteração, incluindo exclusões, para todos os discos. A imutabilidade precisa de versões que a máquina copiada não pode remover: snapshots, repositórios append-only ou bloqueios por tempo.

### Ransomware no meu PC pode alcançar um snapshot do ZFS no servidor?

Não pela conta de backup, desde que essa conta não tenha direito de destruição no dataset. O snapshot é somente leitura. Apenas o root no servidor, ou uma conta à qual você delegou a destruição, pode removê-lo.

### Por quanto tempo os backups devem ficar bloqueados?

Mais tempo do que uma invasão poderia passar despercebida, e menos do que o seu prazo pago. O Veeam permite de 7 a 9999 dias. Um bloqueio de 30 dias em uma locação de 30 dias não deixa margem, então alugue por mais tempo.

### O Basalthold mantém uma cópia se meu servidor for apagado?

Um servidor de armazenamento não é backup de si mesmo: não guardamos nenhuma cópia dos seus dados em outro lugar, então uma segunda cópia em outro local continua sendo responsabilidade sua. Mantenha uma segunda cópia independente em outro lugar.

**Um servidor cujos backups antigos seus clientes não podem excluir** Hold 100: Intel Xeon Silver 4210R (10 núcleos / 20 threads), 128 GB DDR4 ECC, 10 × discos rígidos de 10 TB (100 TB brutos) mais 2 × SSD de 480 GB para o sistema, em espelho, porta de 1 Gbit/s com 120 TB de tráfego a cada 30 dias, 1 IPv4 e um IPv6 /64, por $377.05/30 dias, ou $3,167.22 por 12 meses. Cripto, sem KYC. [Alugue Hold 100 por 12 meses](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=pt) · [Alugue Hold 24 em Chisinau](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=pt)

## Fontes

1. [README do rest-server (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [Notas adicionais: modo append-only (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [Gerenciamento de usuários: papéis](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [Tarefas de manutenção: coleta de lixo](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Repositório hardened e como a imutabilidade funciona (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [Object locking e retenção](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [repositório minio/minio (arquivado em 25 de abril de 2026)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [Status de compatibilidade com S3](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [Proteção contra ransomware](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) e zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: A Basalthold aluga servidores dedicados de armazenamento em Amsterdã, Bucareste e Chisinau, pagos em cripto e sem KYC: sem documento, sem selfie, sem comprovantes. Cada servidor é uma máquina física inteira com 24 TB a 160 TB de discos rígidos para um único cliente, entregue com discos de dados em branco e acesso root, para backups, arquivos, sincronização de arquivos e armazenamento de objetos auto-hospedado. Em 2 de novembro de 2026, os preços iam de $110.99 por 30 dias para 24 TB a $561.39 para 160 TB ($3.50 por TB bruto). É operado pela DomaineGoat LLC, uma empresa registrada no Panamá, não mantém logs e nunca pede suas chaves de criptografia.