¿Cómo uso un VPS de almacenamiento para copias de seguridad externas?

¿Qué te da un VPS de backup que un RAID o una instantánea no te dan?

Un VPS de backup guarda una copia separada y versionada de tus datos en otro edificio, a la que se accede con sus propias credenciales. Esa es la única propiedad que los sustitutos habituales no tienen. La redundancia de disco mantiene un servidor en funcionamiento cuando falla una unidad; no deshace una eliminación, un ransomware ni una cuenta perdida, así que no es una copia de seguridad. Una instantánea reside en los mismos discos que el servidor que captura, así que puede revertir un error, pero no es una copia fuera del sitio.

En las búsquedas, "VPS de backup" significa dos cosas: hacer copia de seguridad de un VPS en otro lugar y usar un VPS como el sitio donde aterrizan las copias. Es un mismo trabajo visto desde cualquiera de los dos extremos: un servidor de producción envía archivos Borg o restic a un VPS de almacenamiento exactamente igual que lo hace un portátil.

¿Por qué un solo VPS de almacenamiento no es un backup 3-2-1?

Porque 3-2-1 cuenta copias, medios y lugares, y un solo VPS es una copia en un lugar. La regla, tal como la plantea el documento Data Backup Options de US-CERT, es tres copias de cada archivo importante, en dos tipos de medio distintos, con una copia almacenada fuera del sitio. Un VPS de almacenamiento es una copia en un solo lugar. La regla 3-2-1 pide tres copias, en dos tipos de soporte, con una de ellas fuera del sitio: un VPS de almacenamiento encaja como esa copia fuera del sitio, junto a dos que guardes tú mismo.

Una disposición que la cumple para un home lab o un equipo pequeño:

• Copia 1: los datos en vivo en tu portátil, servidor o NAS.
• Copia 2: un backup local en un disco USB o un segundo NAS, rápido de restaurar.
• Copia 3: el VPS de almacenamiento: cifrado, append-only, en una ciudad donde ni vives ni trabajas.

Un backup guardado en un solo lugar es un punto único de fallo con un nombre tranquilizador.

¿Cómo envío backups de un servidor a un VPS de almacenamiento por SSH?

Dale a cada máquina su propia clave SSH, su propia cuenta o ruta en el VPS y su propio repositorio, y deja que la herramienta de backup haga el resto por SSH. Borg necesita Borg instalado en el VPS y ejecuta borg serve allí; restic puede escribir por SFTP simple sin nada extra en el servidor, o hablar HTTP con rest-server. Claves separadas significan que un portátil robado expone un repositorio, no todos.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

¿Por qué cifrar en el cliente en lugar de en el VPS?

Porque entonces el VPS solo almacena texto cifrado, y nadie que llegue a su disco puede leer tus archivos. Quien administra un hipervisor puede técnicamente leer un disco virtual sin cifrar, en cualquier proveedor de VPS. Nosotros no abrimos tus archivos, y los datos que cifras antes de que salgan de tu máquina eliminan esa posibilidad. KVM le da a tu servidor su propio kernel, así que puedes poner LUKS en el disco de datos o ejecutar ZFS con cifrado nativo, y las claves nunca salen de tu lado. Para las copias de seguridad, cifra en tu propia máquina antes de subirlas (Borg, restic y Kopia lo hacen), de modo que el servidor solo guarde texto cifrado.

Borg pide un modo de cifrado en borg init; su documentación recomienda repokey con una passphrase fuerte y dice que guardes una copia de la clave fuera tanto del repositorio como de la máquina que se respalda. restic cifra todos los datos que almacena con AES-256 y los autentica con Poly1305-AES, sin modo sin cifrar. Guarda la passphrase y la clave exportada en un gestor de contraseñas y en papel. El cifrado hecho en el servidor protege al servidor; el cifrado hecho en tu máquina te protege a ti.

¿Contra qué protege el modo append-only?

Append-only impide que un cliente comprometido borre los backups que hizo. Un atacante que controla un servidor también controla sus credenciales de backup, y en modo normal estas pueden ejecutar borg delete o restic forget --prune antes de que aparezca la nota de rescate.

• Borg: añade --append-only al comando borg serve forzado en authorized_keys. La documentación de Borg señala que prune y delete siguen ejecutándose en este modo pero solo marcan los datos como eliminados: no se libera espacio ni se hace compactación.
• restic: inicia rest-server con --append-only, que acepta nuevos backups y se niega a borrar o modificar los existentes. El SFTP simple no tiene ese modo.

El precio es el mantenimiento: la poda necesita una segunda clave sin restricciones, usada desde una máquina a la que el atacante no puede llegar. En repositorios restic append-only, la documentación de restic te indica que escribas políticas forget con --keep-within. La receta completa de Borg está en ¿Cómo configuro un servidor de backup Borg en un VPS?, y la elección de restic en Restic: ¿servidor REST o SFTP para backups a un VPS?.

¿Cómo sé que mi copia de seguridad externa se va a poder restaurar?

Restaúrala desde ahí, de forma programada, en una máquina que no sea la original. Un trabajo que termina con estado 0 demuestra que la subida funcionó, no que tus archivos vuelvan. Reparte las comprobaciones para que las lentas se ejecuten pocas veces:

¿Cuánto tarda una restauración completa y cabe en la cuota de tráfico?

A plena velocidad de línea, un puerto de 1 Gbit/s mueve 1 TB en unas 2 horas y 15 minutos; en la práctica, tu propia conexión y los discos duros marcan un ritmo más lento. Esa cifra es aritmética (8.000 gigabits a un gigabit por segundo), no una velocidad medida, así que cronometra la restauración de una carpeta real antes de contar con ella.

La cuota mensual de tráfico de cada plan es más del doble que su disco, 4 TB al mes en el plan Clay de 1 TB por ejemplo, así que subir un disco completo y restaurarlo entero en el mismo mes cabe dentro de la cuota. Cada servidor tiene una dirección IPv4 y una IPv6 /64 en un puerto de 1 Gbit/s, con una cuota de tráfico mensual de 2 TB más 2 TB por cada TB almacenado: 3 TB para Silt, 4 TB para Clay, 6 TB para Shale, 10 TB para Granite, 18 TB para Bedrock. Superada la cuota, el puerto funciona a 100 Mbit/s hasta que empieza el siguiente periodo; no se cobra nada extra.

¿Cuánto cuesta al mes por TB un destino de copias de seguridad externo?

Según el estudio de Coffervale del 2 de noviembre de 2026, los planes de VPS de almacenamiento de proveedores que aceptan criptomonedas y no piden ningún documento de identidad cuestan una mediana de $4.00 por TB al mes, mientras que los planes de VPS de propósito general de esos mismos proveedores cuestan $223.44 por TB, unas 56 veces más. Las copias de seguridad van en discos dimensionados para capacidad. El almacenamiento de copias de seguridad alojado no te da un servidor propio, como muestra la tabla; el balance se sopesa en ¿Es un VPS de almacenamiento una alternativa más barata a rsync.net o BorgBase?. Todos los planes y condiciones están en ¿Cuánto cuesta al mes un VPS de almacenamiento?, y el plan de 1 TB en detalle en ¿Dónde puedo conseguir un VPS con 1 TB de almacenamiento?.