Backup de Windows Server com Volume Shadow Copy — criptografado, sem instalar nada

Fazer backup de um Windows Server ao vivo é, em grande parte, uma briga com arquivos abertos: um banco de dados em execução, um Exchange ou armazenamento de e-mail, um arquivo travado pelo IIS. Copie-os enquanto estão sendo escritos e o backup pode ficar inconsistente — uma restauração que não monta. A resposta padrão do Windows é o Volume Shadow Copy Service (VSS), e é exatamente isso que os backups do Termalin usam no Windows. Você fica com um arquivo de backup criptografado, fora do servidor, sem nada instalado nele além do Connector.

O que entra no backup e como o VSS mantém tudo consistente

Você lista as pastas que quer — digamos, C:\inetpub e um diretório de dados. Antes de lê-las, o backup pede ao Windows uma Volume Shadow Copy (Win32_ShadowCopy.Create) e lê os seus arquivos a partir desse snapshot de um ponto no tempo. Bancos de dados e caixas de correio abertos são capturados em um estado consistente, em vez de no meio de uma escrita. O snapshot é sempre removido quando a execução termina, inclusive quando uma execução falha.

Um requisito para você saber: o VSS exige que o usuário de login do Connector seja um administrador. Se não for, os arquivos são lidos diretamente, e o arquivo de backup inclui um aviso de que arquivos abertos podem estar inconsistentes — então, para um servidor com dados ao vivo, dê ao Connector uma conta de administrador.

Algumas regras de caminho:

• Um caminho completo por linha, até 50 caminhos por job.
• Sem a unidade inteira (você não pode apontar só para C:\) e sem caminhos de rede.
• No arquivo de backup, os caminhos mantêm a letra da unidade, por exemplo C/inetpub/….

Configuração: um Connector, depois um job

Nada é instalado no servidor além do Connector. Instale-o pela aba Obter comando de instalação → Windows do painel web e rode no PowerShell a única linha que ele mostra (ele mesmo pede direitos de administrador):

irm https://termal.in/i/<token>.ps1 | iex

Funciona no Windows PowerShell 5.1, e o link de instalação é de uso único e vale por uma hora. O Connector adiciona o OpenSSH Server integrado se ele estiver faltando, mas a porta 22 continua fechada — o sshd escuta só na própria máquina — e tudo trafega pelo túnel de saída do próprio Connector. Há versões x64 e ARM64.

Depois crie o job em Conta → Backups → + Adicionar backup: escolha o servidor, os caminhos, uma frequência, quantas cópias manter e um limite de velocidade de leitura. O backup empacota as pastas com o tar.exe integrado em prioridade abaixo do normal, então ele precisa de Windows 10 1803 / Windows Server 2019 ou mais recente.

Frequências e retenção

• Quando: manual, de hora em hora (na próxima hora cheia), diária (num horário, :00 UTC) ou semanal (domingo nesse horário, UTC).
• Manter os últimos N: os N arquivos de backup bem-sucedidos mais recentes, 1–365, padrão 7. O mais antigo é removido assim que um mais novo tem sucesso.
• Limite de velocidade de leitura: padrão de 20 MB/s, para que uma execução não sufoque o disco e a rede de que o servidor precisa; 0 remove o limite.
• Uma única execução tem limite de seis horas.

Para onde vão os arquivos de backup

Escolha um destino por job:

• Armazenamento do Termalin — um espaço compartilhado com as gravações de sessão (25 GB no Pro, 100 GB no Team).
• O seu próprio bucket compatível com S3 — AWS, Backblaze B2, Cloudflare R2, Hetzner, MinIO.
• Meu servidor (via Connector) — por SFTP para outro dos seus servidores que tenha um Connector.

Só o armazenamento do Termalin conta no espaço do seu plano; um bucket S3 ou o seu próprio servidor não contam.

Criptografia — só você consegue abrir

Cada arquivo de backup ganha uma chave de dados nova, envolvida para a chave X25519 do job (AES-256-GCM). A metade privada fica no seu cofre, protegida pela sua senha mestra, então o armazenamento do Termalin, o seu bucket e o seu próprio servidor só guardam dados criptografados.

Para ser preciso sobre onde a criptografia acontece: ela roda no backend do Termalin, antes de qualquer coisa ser gravada no armazenamento — isso não é criptografia de ponta a ponta do lado do cliente, e não chamamos isso assim. O que é verdade é que nada é armazenado em texto puro e só a sua chave abre um arquivo de backup.

Restauração

Não há restauração automática para o servidor. Para recuperar arquivos, use Descriptografar e salvar — no navegador ou no app de desktop — para gerar um .tar.gz sem criptografia, depois copie-o para o servidor por SFTP e descompacte. Como a chave é sua, a restauração é sua para executar de ponta a ponta.

Alertas quando um backup não acontece

Uma execução agendada que falha é enviada do mesmo jeito que os seus outros alertas — e-mail, push, Telegram ou webhook. Um job que simplesmente fica em silêncio também é detectado: sem uma execução bem-sucedida por cerca do dobro do intervalo (3 horas para o de hora em hora, dois dias para o diário, duas semanas para o semanal), um alerta é enviado. Um Executar agora manual mostra qualquer erro na hora.

Planos e o que acontece se você sair

• Free: sem backups. Teste: até 5 GB.
• Pro: 20 jobs, maior arquivo de backup 4 GB, espaço de 25 GB.
• Team: 100 jobs, maior arquivo de backup 20 GB, espaço de 100 GB.
• Precisa de mais espaço: +100 GB por US$ 2,99/mês ou +1 TB por US$ 19,99/mês, a partir do seu saldo.

Se um plano terminar, os arquivos de backup no armazenamento do Termalin continuam disponíveis para download por 30 dias (14 no teste), com e-mails antes de remover qualquer coisa. Backups mantidos no seu próprio bucket S3 ou no seu próprio servidor nunca são tocados.

Deixe um agente de IA fazer um snapshot antes de uma mudança arriscada

Pelo endpoint MCP hospedado do Termalin, um assistente pode chamar backup_create para fazer um backup antes de uma migração ou de uma mudança em massa, e backup_list para confirmar que o da noite passada rodou. O backup_create é marcado como uma ferramenta que pode remover dados, porque manter as N cópias mais recentes apaga a mais antiga — então ele é tratado com o mesmo cuidado que qualquer coisa destrutiva.

---

O Termalin faz backup de servidores Linux, Windows e macOS do mesmo jeito — veja a página de backups de servidores. Para o resto da história do Windows, há Windows Server por SSH e monitoramento de Windows Server.