Backup offsite com rclone para S3 ou Backblaze B2 no Linux

Baixe e execute o instalador oficial:

curl https://rclone.org/install.sh | sudo bash

O script detecta a arquitetura (amd64, arm64), baixa o binário do GitHub, instala em /usr/bin/rclone e gera a página de manual. Saída final imprime a versão instalada — confirme que está acima de 1.65.

Verifique a instalação:

rclone version

Output esperado começa com rclone v1.6x.x seguido pelas linhas de OS, arch e Go version. Se aparecer “command not found”, o /usr/bin não está no PATH do shell atual — abra nova sessão ou execute hash -r.

Crie a Application Key no painel B2 com acesso ao bucket que vai receber os backups. Salve o keyID e a applicationKey — o B2 só mostra a applicationKey uma vez. Crie também o bucket de destino (privado, sem encriptação server-side — vamos criptografar do lado cliente).

Inicie o configurador interativo do rclone:

rclone config

Selecione n (new remote), nomeie como b2-raw, escolha o tipo 5 (Backblaze B2). Cole o keyID em “account” e a applicationKey em “key”. Confirme com y quando perguntar se quer aceitar os defaults restantes.

Teste a conexão listando os buckets:

rclone lsd b2-raw:

Output deve mostrar os buckets da conta, um por linha, com data de criação. Erro 401 unauthorized significa keyID/applicationKey incorretos ou Application Key revogada no painel.

Rode rclone config, escolha n, nomeie como s3-raw, tipo 4 (Amazon S3). Em “provider” selecione AWS. Em “env_auth” deixe false pra colar credenciais manualmente. Cole access_key_id e secret_access_key. Em “region” escolha o region do bucket (ex: us-east-1, sa-east-1). Em “storage_class” deixe vazio pra Standard ou escolha STANDARD_IA pra acesso infrequente (mais barato pra backup raramente lido).

Em rclone config, crie outro remote com n, nomeie como b2-crypt (ou s3-crypt), tipo 13 (crypt). Em “remote” digite b2-raw:nome-do-bucket/backups (substitua pelo seu bucket e caminho). Em “filename_encryption” escolha 1 (standard — esconde nomes). Em “directory_name_encryption” escolha true.

Quando perguntar pela senha, escolha g (generate random) — gera senha de 1024 bits forte. Copie e guarde a senha gerada num gerenciador de senhas antes de continuar. Sem essa senha, o backup é irrecuperável mesmo com acesso ao bucket.

Para a “password2” (salt), também use g pra gerar aleatório. Guarde junto com a senha principal. Confirme com y no resumo, depois q pra sair do configurador.

Execute o backup inicial de /var/www e /etc:

rclone copy /var/www b2-crypt:var-www \
  --progress \
  --transfers 4 \
  --checkers 8 \
  --bwlimit 50M

O flag --progress mostra ETA e throughput em tempo real. --transfers 4 define quantos arquivos sobem em paralelo. --bwlimit 50M limita a 50 MB/s pra não saturar a rede do servidor (ajuste pra sua banda).

Crie um script wrapper em /usr/local/bin/backup-offsite.sh:

sudo tee /usr/local/bin/backup-offsite.sh > /dev/null <<'EOF'
#!/bin/bash
set -euo pipefail

LOG=/var/log/rclone-backup.log
exec >> "$LOG" 2>&1

echo "=== Backup iniciado em $(date -Iseconds) ==="

rclone copy /var/www b2-crypt:var-www \
  --transfers 4 \
  --checkers 8 \
  --bwlimit 50M \
  --log-level INFO

rclone copy /etc b2-crypt:etc \
  --transfers 2 \
  --log-level INFO

echo "=== Backup concluído em $(date -Iseconds) ==="
EOF

sudo chmod +x /usr/local/bin/backup-offsite.sh

O set -euo pipefail faz o script abortar em qualquer erro. O exec >> redireciona stdout e stderr pro log de uma vez.

Adicione entrada no crontab do root pra rodar todo dia às 3h da manhã:

sudo crontab -e

Adicione a linha:

0 3 * * * /usr/local/bin/backup-offsite.sh

Salve e saia. O cron lê o crontab automaticamente — não precisa reiniciar serviço.

Rode a verificação:

rclone check /var/www b2-crypt:var-www --one-way

O flag --one-way só verifica que todo arquivo local existe no remoto — útil porque o crypt pode adicionar metadados que confundem checks bidirecionais. Output 0 differences found significa que todo arquivo bate.

Restaure um diretório de teste:

mkdir -p /tmp/restore-test
rclone copy b2-crypt:var-www/site-exemplo /tmp/restore-test --progress

Após o download, compare alguns arquivos com diff ou md5sum contra a origem em /var/www/site-exemplo. Se baterem, a chain está íntegra. Apague /tmp/restore-test depois.