# Como uso um storage VPS para backups fora do site?

> VPS para backups fora do site: backup via SSH com Borg ou restic, 3-2-1, append-only, 1 TB a partir de $1.66/mês, sem documento de identidade.

- URL: https://coffervale.com/pt/backup-vps/
- Última atualização: 2026-11-02
- Editor: Coffervale (https://coffervale.com)

Aponte seus servidores e notebooks para um storage VPS via SSH, criptografe antes que qualquer coisa saia deles, deixe a cópia append-only e depois comprove que ela restaura. Aqui está a configuração completa, e o que um único VPS nunca pode fazer por você.

**Resposta rápida — Como uso um VPS para backups fora do site?**

Para usar um VPS para backups fora do site, alugue um storage VPS em outra cidade, dê a cada máquina sua própria chave SSH e repositório, e rode Borg ou restic para que os dados sejam criptografados antes de saírem de você. Na **Coffervale**, 1 TB custa $1.66 por mês em 12 meses (2 November 2026). Mantenha-a como uma de três cópias.

## Um VPS de backup em cinco linhas

| Atributo | Valor |
| --- | --- |
| Onde ele fica | Em outra cidade, sob outra conta diferente da dos dados que protege |
| Como os dados chegam lá | SSH: Borg (`borg serve`), restic (SFTP ou rest-server) ou rsync |
| Quem guarda a chave | Você: criptografe no cliente, para que o VPS armazene apenas texto cifrado |
| O que impede um cliente comprometido | Acesso append-only: novos backups permitidos, exclusões recusadas |
| Como você sabe que funciona | Verificações agendadas mais um restore real para outra máquina |

## O que um VPS de backup oferece que um RAID ou um snapshot não oferece?

**Um VPS de backup guarda uma cópia separada e versionada dos seus dados em outro prédio, acessada com suas próprias credenciais.** Essa é a característica que os substitutos usuais não têm. A redundância de disco mantém um servidor funcionando quando uma unidade falha; ela não desfaz uma exclusão, um ransomware ou uma conta perdida, então não é backup. Um snapshot fica nos mesmos discos do servidor que ele captura, então ele pode reverter um erro, mas não é uma cópia fora do local.

Nas pesquisas, "VPS de backup" significa duas coisas: fazer backup de um VPS em outro lugar, e usar um VPS como o lugar onde os backups chegam. É o mesmo trabalho visto por qualquer um dos lados: um servidor de produção envia arquivos Borg ou restic para um storage VPS exatamente como um notebook faz.

### Qual cópia sobrevive ao quê?

| Evento | RAID no mesmo servidor | Snapshot no mesmo host | VPS de backup append-only em outra cidade |
| --- | --- | --- | --- |
| Um disco morre | Sobrevive | Sobrevive se o array sobreviver | Sobrevive |
| Você exclui uma pasta por engano | A exclusão é copiada na hora | Reverta para o snapshot | Restaure a partir de um arquivo mais antigo |
| Ransomware criptografa o servidor | Os arquivos criptografados são copiados na hora | Perdido se o atacante também tiver o login do painel | Os arquivos mais antigos permanecem: a chave do cliente não consegue excluí-los |
| Incêndio ou inundação no datacenter | Perdido | Perdido | Sobrevive |
| A conta de hospedagem é encerrada | Perdido | Perdido | Sobrevive se rodar em outra conta |

## Por que um único VPS de armazenamento não é um backup 3-2-1?

**Porque 3-2-1 conta cópias, mídias e locais, e um único VPS é uma cópia em um único local.** A regra, como o documento *Data Backup Options* do US-CERT a define, é três cópias de cada arquivo importante, em dois tipos de mídia diferentes, com uma cópia armazenada fora do local. Um storage VPS é uma cópia em um lugar. A regra 3-2-1 pede três cópias, em dois tipos de mídia, com uma delas fora do local: um storage VPS serve como essa cópia fora do local, ao lado de duas que você mantém por conta própria.

Uma configuração que a atende para um home lab ou uma equipe pequena:

- **Cópia 1:** os dados ativos no seu laptop, servidor ou NAS.
- **Cópia 2:** um backup local em um disco USB ou em um segundo NAS, rápido de restaurar.
- **Cópia 3:** o VPS de armazenamento: criptografado, append-only, em uma cidade onde você não mora nem trabalha.

Um backup mantido em um único local é um ponto único de falha com um nome tranquilizador.

## Como envio backups de um servidor para um VPS de armazenamento via SSH?

**Dê a cada máquina sua própria chave SSH, sua própria conta ou caminho no VPS e seu próprio repositório, e deixe o resto com a ferramenta de backup via SSH.** O Borg precisa do Borg instalado no VPS e executa `borg serve` nele; o restic pode gravar via SFTP puro sem nada extra no servidor, ou falar HTTP com o rest-server. Chaves separadas significam que um laptop roubado expõe um repositório, não todos.

*Uma chave, uma conta, um repositório por máquina (restic via SFTP)*

```bash
# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www
```

### Qual ferramenta deve enviar os backups?

| Ferramenta | Transporte para o VPS | Criptografa antes do upload | Armazena apenas os blocos alterados | Opção append-only |
| --- | --- | --- | --- | --- |
| Borg 1.4 | SSH, `borg serve` no VPS | Sim (`repokey`, `keyfile`) | Sim | Sim, por chave SSH: `borg serve --append-only` |
| restic 0.19 | SFTP, ou HTTP(S) para o rest-server | Sim, sempre ativo | Sim | Somente com rest-server `--append-only` |
| rsync | SSH | Não: os arquivos chegam como estão | Não; `--link-dest` hard links para arquivos inalterados | Não |

Versões: Borg 1.4.5 e restic 0.19.1 eram as versões estáveis mais recentes em 2 de novembro de 2026. O Borg 2 ainda está em beta e não consegue ler repositórios Borg 1.x.

## Por que criptografar no cliente em vez de no VPS?

**Porque assim o VPS só armazena texto cifrado, e ninguém que acesse o disco dele consegue ler seus arquivos.** Quem administra um hypervisor pode, tecnicamente, ler um disco virtual sem criptografia, em qualquer provedor de VPS. Não abrimos seus arquivos, e os dados que você criptografa antes de saírem da sua máquina eliminam a questão. O KVM dá ao seu servidor o próprio kernel, então você pode colocar LUKS no disco de dados ou rodar ZFS com criptografia nativa, e as chaves nunca saem de você. Para backups, criptografe na sua própria máquina antes do upload (Borg, restic e Kopia fazem isso), assim o servidor só guarda texto cifrado.

O Borg pede um modo de criptografia em `borg init`; sua documentação recomenda `repokey` com uma passphrase forte e diz para manter uma cópia da chave fora do repositório e da máquina que está sendo copiada. O restic criptografa todos os dados que armazena com AES-256 e os autentica com Poly1305-AES, sem modo não criptografado. Mantenha a passphrase e a chave exportada em um gerenciador de senhas e no papel. Criptografia feita no servidor protege o servidor; criptografia feita na sua máquina protege você.

## Contra o que o modo append-only protege?

**O append-only impede que um cliente comprometido apague os backups que criou.** Um atacante que controla um servidor também controla as credenciais de backup dele e, no modo normal, elas podem executar `borg delete` ou `restic forget --prune` antes de a nota de resgate aparecer.

- **Borg:** adicione `--append-only` ao comando `borg serve` forçado em `authorized_keys`. A documentação do Borg observa que prune e delete ainda rodam nesse modo, mas apenas marcam os dados como excluídos: nenhum espaço é liberado e nenhuma compactação acontece.
- **restic:** inicie o rest-server com `--append-only`, que aceita novos backups e se recusa a excluir ou modificar os existentes. O SFTP puro não tem esse modo.

O preço é a manutenção: o prune precisa de uma segunda chave sem restrições, usada de uma máquina que o atacante não consegue acessar. Em repositórios restic append-only, a documentação do restic orienta a criar políticas `forget` com `--keep-within`. A receita completa do Borg está em [Como configuro um servidor de backup Borg em um VPS?](https://coffervale.com/pt/borg-backup-server-on-a-vps/ "Borg server setup on a storage VPS, step by step"), e a escolha do restic em [Restic: REST server ou SFTP para backups em um VPS?](https://coffervale.com/pt/restic-rest-server-vs-sftp/ "restic rest-server against SFTP on a storage VPS").

## Como sei que meu backup fora do site vai restaurar?

**Restaure a partir dele, em uma programação, em uma máquina que não seja a original.** Um job que termina com status 0 prova que o upload funcionou, não que seus arquivos voltam. Distribua as verificações para que as lentas rodem raramente:

### Uma rotina de teste de restauração

| Com que frequência | O que executar | O que isso prova |
| --- | --- | --- |
| Após cada execução | Leia o status de saída e o log de `borg create` ou `restic backup` | O job rodou até o fim |
| Semanalmente | `borg check` ou `restic check` | A estrutura e os índices do repositório estão íntegros |
| Mensalmente | `restic check --read-data-subset=10%`, ou `borg check --verify-data` (lê cada chunk, lento em HDD) | Os dados armazenados descriptografam e correspondem aos checksums |
| A cada trimestre | Extraia uma pasta real em uma máquina reserva e abra os arquivos | Você consegue recuperar os dados com a chave e a passphrase que guardou |

## Quanto tempo leva uma restauração completa, e ela cabe na cota de tráfego?

**Em velocidade máxima de linha, uma porta de 1 Gbit/s move 1 TB em cerca de 2 horas e 15 minutos; na prática, sua própria conexão e os discos rígidos impõem um ritmo mais lento.** Esse número é aritmética (8.000 gigabits a um gigabit por segundo), não uma velocidade medida, então cronometre a restauração de uma pasta real antes de contar com ele.

A cota mensal de tráfego de cada plano é mais que o dobro do seu disco, 4 TB por mês no plano Clay de 1 TB, por exemplo, então enviar um disco cheio e restaurar tudo no mesmo mês permanece dentro da cota. Cada servidor tem um endereço IPv4 e um IPv6 /64 em uma porta de 1 Gbit/s, com uma cota mensal de tráfego de 2 TB mais 2 TB por TB armazenado: 3 TB para o Silt, 4 TB para o Clay, 6 TB para o Shale, 10 TB para o Granite, 18 TB para o Bedrock. Passada a cota, a porta opera a 100 Mbit/s até o início do próximo período; nada extra é cobrado.

## Quanto custa por TB um destino de backup fora do site?

**De acordo com a pesquisa da Coffervale de 2 de novembro de 2026, planos de VPS de armazenamento de hosts que aceitam cripto e não pedem documento de identidade custam uma mediana de $4.00 por TB por mês, enquanto planos de VPS de uso geral dos mesmos hosts custam $223.44 por TB, cerca de 56 vezes mais.** Backups pertencem a discos dimensionados para capacidade. Armazenamento de backup hospedado não lhe dá um servidor próprio, como mostra a tabela; o trade-off é avaliado em [Um VPS de armazenamento é uma alternativa mais barata ao rsync.net ou BorgBase?](https://coffervale.com/pt/rsync-net-alternative/ "Storage VPS against rsync.net and BorgBase"). Todo plano e prazo está em [Quanto custa por mês um VPS de armazenamento?](https://coffervale.com/pt/pricing/ "Coffervale storage VPS prices and terms"), e o plano de 1 TB em detalhes em [Onde posso obter um VPS com 1 TB de armazenamento?](https://coffervale.com/pt/1tb-vps/ "1 TB storage VPS: specs and price").

| Opção | O que é | Preço por TB por mês | Root e seu próprio software |
| --- | --- | --- | --- |
| Coffervale Clay (1 TB) | VPS de armazenamento, HDD | $1.66 em 12 meses | Sim |
| Hetzner Storage Box BX11 | Armazenamento em rede via SFTP e Samba | $3.58 | Não |
| Backblaze B2 | Armazenamento de objetos | $6.95 | Não |
| BorgBase Medium | Repositórios Borg e restic hospedados | $9.17 | Não |
| rsync.net | Armazenamento de backup via SSH | $15.00 | Não |

*Preços verificados em 2 de novembro de 2026.*

Preços conforme publicados na página de cada provedor em 2 de novembro de 2026; preços em euro convertidos a 1 EUR = 1,1172 USD (BCE, 30 de outubro de 2026). Preços da Hetzner excluem VAT.

## Perguntas sobre VPS de backup

### Posso fazer backup de um VPS para outro VPS?

Sim. Instale Borg ou restic no servidor de produção, aponte-o para um VPS de armazenamento em outra cidade via SSH e execute-o a partir do cron ou de um timer do systemd. Use uma conta diferente, de preferência em outro provedor, para que um problema de conta não afete as duas cópias.

### Devo usar Borg ou restic para um VPS de backup?

Ambos criptografam no cliente e armazenam apenas os chunks alterados. Borg precisa do Borg no VPS e oferece acesso somente-anexação por chave SSH; restic grava via SFTP simples, ou no rest-server quando você quer somente-anexação. Escolha aquele cujos comandos de restauração você se sente confortável em digitar sob estresse.

### A Coffervale faz backup do meu VPS de backup?

Não. Não fazemos backup do seu servidor e não guardamos cópia dos seus dados em nenhum outro lugar, então o que fica em um storage VPS da Coffervale deve ser uma das suas cópias, nunca a única. É exatamente por isso que a VPS deve guardar sua terceira cópia, não a única.

### Quanto espaço os backups precisam?

Comece pelo tamanho dos dados que você protege e depois acrescente espaço para o histórico. Ferramentas de deduplicação armazenam blocos inalterados uma única vez, então arquivos diários de arquivos majoritariamente estáticos crescem devagar; depois de um mês, `borg info` ou `restic stats` mostram o número real. Para crescer, peça um plano maior e copie seus dados com rsync ou zfs send; redimensionar um servidor em execução no local não é oferecido no lançamento.

### Posso pagar por uma VPS de backup sem apresentar documento de identidade?

Sim. Sem KYC: nenhum documento de identidade, nenhuma selfie, nenhum cartão e nenhum número de telefone é pedido no cadastro. Você recarrega um saldo com BTC, USDT, USDC, ETH, SOL, LTC, XMR, a partir de US$ 1, e faz o pedido a partir dele.

## Fontes

1. [Data Backup Options (P. Ruggiero, M. A. Heckathorn, 2012): a regra 3-2-1](https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf) — US-CERT / CISA (read 2026-11-02)
2. [Documentação do Borg 1.4.5: Additional notes, append-only mode](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup project (read 2026-11-02)
3. [Documentação do Borg 1.4.5: borg init, encryption modes and key backup](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup project (read 2026-11-02)
4. [Borg 2.0 (informações preliminares)](https://www.borgbackup.org/releases/borg-2.0.html) — BorgBackup project (read 2026-11-02)
5. [Documentação do restic: Preparing a new repository (SFTP, REST server)](https://restic.readthedocs.io/en/stable/030_preparing_a_new_repo.html) — restic project (read 2026-11-02)
6. [Documentação do restic: Removing backup snapshots (append-only and --keep-within)](https://restic.readthedocs.io/en/stable/060_forget.html) — restic project (read 2026-11-02)
7. [Documentação do restic: Checking integrity and consistency](https://restic.readthedocs.io/en/stable/045_working_with_repos.html) — restic project (read 2026-11-02)
8. [Documentação do restic: References, repository encryption](https://restic.readthedocs.io/en/stable/100_references.html) — restic project (read 2026-11-02)
9. [README do Rest Server: append-only mode](https://github.com/restic/rest-server) — restic project (read 2026-11-02)
10. [Página de manual rsync(1): --link-dest, transport encryption](https://download.samba.org/pub/rsync/rsync.1) — rsync project (Samba) (read 2026-11-02)
11. [Planos Storage Box (BX11 a BX41)](https://www.hetzner.com/storage/storage-box/) — Hetzner Online (read 2026-11-02)
12. [Preços do B2 Cloud Storage](https://www.backblaze.com/cloud-storage/pricing) — Backblaze (read 2026-11-02)
13. [Planos e preços](https://www.borgbase.com/) — BorgBase (read 2026-11-02)
14. [Preços de armazenamento em nuvem](https://www.rsync.net/pricing.html) — rsync.net (read 2026-11-02)

---

Coffervale: A Coffervale vende storage VPS na Europa: servidores KVM com 500 GB a 8 TB de armazenamento em HDD para backups off-site, Nextcloud, Seafile, Syncthing e arquivos, pagos com cripto e sem documento de identidade no cadastro. Os servidores rodam em Amsterdã, Bucareste e Chișinău, e o operador é a DomaineGoat LLC, empresa registrada no Panamá. No prazo de 12 meses, todo plano custa pelo menos 25% a menos por mês que um storage VPS comparável nomeado, escolhido entre 10 provedores cripto sem KYC cujos preços foram lidos em 2 de novembro de 2026.