Copia de seguridad de Windows en Amazon S3

Amazon S3 es el destino por defecto de las copias de seguridad serias: barato por gigabyte, duradero, redundante entre regiones y no se va a ninguna parte. La pega es que S3 es una superficie para desarrolladores, no una herramienta de copias: subidas en bruto, sin horario, sin capa de cifrado y sin política de retención. BackupKit cubre ese hueco. Conectas tu bucket una vez, configuras un trabajo de copia, y se ejecuta solo con cifrado AES-256 aplicado antes de que nada llegue a AWS.

Por qué S3 para las copias

• Barato a gran escala. S3 Standard cuesta unos 0,023 $ por GB al mes. S3 Standard-IA, unos 0,0125 $. Glacier Deep Archive, unos 0,00099 $ por GB al mes para almacenamiento en frío.
• Duradero. Once nueves de durabilidad repartidos en varias zonas de disponibilidad: prácticamente ningún riesgo de degradación de bits.
• El bucket es tuyo. Sin ningún proveedor propietario de copias entre tú y tus datos. Si dejas de usar BackupKit, tu bucket sigue ahí.
• Reglas de ciclo de vida. Pasa automáticamente los objetos antiguos a niveles más baratos (Standard-IA → Glacier) sin tocar tu trabajo de copia.
• Control con IAM. Crea un usuario de IAM dedicado con acceso de solo escritura a un único prefijo del bucket. BackupKit solo ve las claves de eso.

Lo que vas a necesitar

1. Una cuenta de AWS.
2. Un bucket de S3. Elige una región cercana; activa el versionado si quieres historial en el propio bucket además de la retención de BackupKit.
3. Un usuario de IAM con una clave de acceso y su secreto, con permisos s3:PutObject, s3:GetObject, s3:ListBucket y s3:DeleteObject sobre el bucket (el último solo si quieres que BackupKit aplique su política de retención borrando los archivos antiguos).

Cómo montarlo en BackupKit

1. Añade la cuenta de S3. En BackupKit, abre el asistente de cuentas para Amazon S3. Escribe tu clave de acceso, la clave secreta, la región y el nombre del bucket. BackupKit verifica las credenciales y lista el contenido del bucket.
2. Crea un trabajo de copia. Origen = la carpeta local que quieres copiar. Destino = la cuenta de S3 que acabas de añadir (y, si quieres, un prefijo de ruta como backups/sobremesa/).
3. Configuración. Elige cifrado AES-256 con una contraseña fuerte, fija un horario, fija la retención (por días o versiones) y activa las notificaciones.
4. Guardar y activar. La primera ejecución lo sube todo. Las siguientes respetan tu horario.

Cifrado: tu contraseña, no la clave de Amazon

AWS cifra los objetos en reposo de forma predeterminada (SSE-S3 o SSE-KMS). Eso protege de que alguien salga de un centro de datos con un disco. No protege de una cuenta de AWS comprometida, de un rol de IAM con demasiados permisos ni de una orden judicial: en los tres casos, AWS tiene las claves.

BackupKit cifra antes subir. El archivo aterriza en S3 como texto cifrado. Quien acabe teniendo acceso —una consola de AWS hackeada, un bucket mal configurado como público, un administrador curioso— solo ve bytes cifrados. Tu contraseña no se le envía nunca a Amazon y no sale nunca de tu equipo.

El coste en la práctica

Para 100 GB de copias comprimidas y cifradas en S3 Standard con una retención de 30 días, hablamos de unos 2,30 $ al mes de almacenamiento más unos céntimos por las peticiones PUT. El coste es el mismo tanto si los datos están en un archivo como en treinta: AWS factura por bytes almacenados en total, no por número de ficheros.

Si lo quieres más barato, configura una regla de ciclo de vida de S3 para pasar los objetos de más de 30 días a S3 Standard-IA o a Glacier Instant Retrieval. La retención de BackupKit sigue funcionando, porque la regla de ciclo de vida mueve los objetos entre niveles, no fuera del bucket.

Los proveedores compatibles con S3 también valen

La API de S3 es un estándar de facto. El conector de S3 de BackupKit funciona también con:

• Backblaze B2 por el endpoint compatible con S3: más barato que S3 si no estás ya en AWS.
• Cloudflare R2: sin coste de salida de datos, útil si restauras a menudo.
• Wasabi, DigitalOcean Spaces, Hetzner Object Storage: precios planos y predecibles.
• MinIO: si tienes tu propio almacenamiento de objetos en tus instalaciones.

Para los proveedores de nube nativos (que no usan la API de S3), BackupKit también admite Google Cloud Storage y Azure Blob directamente.

Restaurar desde S3

Abre el historial del trabajo de copia, elige una ejecución y dale a Restaurar. BackupKit descarga el archivo, lo descifra con tu contraseña y lo escribe de vuelta en la ruta de origen (o donde prefieras). En los archivos que hayan pasado a Glacier por ciclo de vida, puede que tengas que esperar de minutos a horas a la recuperación: BackupKit muestra el estado de la restauración.

Preguntas habituales

Relacionado

• 24 storage destinations : la nube, NAS, FTP/SFTP y autoalojado, además de S3, Azure y compatibles con S3.
• Función de cifrado AES-256
• Función de copias programadas
• Copias en la nube automáticas y cifradas (visión general)
• Copia de seguridad de Windows en un NAS : la alternativa en tus instalaciones.