Três redes de segurança, três acidentes
Diz-se «está salvaguardado» para mecanismos muito diferentes. Cada um recupera um tipo de acidente, com uma pessoa que atua e um limite.
| Rede | Quem atua | O que recupera | O seu limite |
|---|
| Lixo e pasta de recuperação | O utilizador, na sua caixa | O erro de manipulação recente | Duração curta, e nada se a própria caixa for eliminada ou comprometida |
| Cópia de segurança do serviço | O operador, a pedido | O regresso de uma mensagem, de uma pasta ou de uma caixa a um estado anterior | O período de conservação e o intervalo entre duas cópias de segurança |
| Contingência da plataforma | O operador, sem pedido | A avaria: o correio continua a chegar ou volta a chegar | Não recupera uma mensagem apagada |
A cópia que o editor ou o fornecedor de alojamento guarda para a sua própria disponibilidade, em vários discos ou vários servidores, pertence à terceira rede. Protege contra uma avaria de hardware. Não protege contra uma eliminação: uma mensagem apagada é-o de imediato em todas as réplicas. É a confusão mais frequente entre redundância e cópia de segurança.
Uma cópia de segurança recupera uma mensagem eliminada?
Sim, dentro de três limites.
- O período de conservação. Com uma retenção de 30 dias, uma mensagem apagada há seis semanas já não está em nenhuma cópia de segurança. Se a eliminação só for descoberta no fecho de contas, a cópia de segurança chega tarde demais.
- O ponto de recuperação. Uma cópia de segurança é uma fotografia. Uma mensagem chegada às 10h05 e apagada às 10h40, antes da cópia seguinte, nunca foi fotografada. Quanto mais próximas forem as cópias, mais esta janela se reduz; nunca é nula.
- A finalidade. Uma cópia de segurança serve para voltar atrás. Não substitui um arquivo de vários anos, que conserva as mensagens para as poder apresentar, com as suas próprias regras de duração e de acesso.
A eliminação intencional merece uma atenção especial. Um colaborador descontente que esvazia a sua caixa, ou um atacante que se apoderou de uma conta de administração, pode apagar as mensagens e tentar apagar também as cópias de segurança. Daí o interesse de uma cópia de segurança que ninguém pode modificar durante o seu período de conservação, incluindo um administrador do correio eletrónico. O guia da ANSSI sobre cópias de segurança recomenda isolar os servidores de cópia de segurança no seio do sistema de administração e convida a examinar o mecanismo de imutabilidade de uma solução do tipo WORM, em vez de confiar na palavra.
Independente do servidor: o que isto significa
Uma cópia de segurança independente vive fora do correio eletrónico que protege. Concretamente:
- está armazenada noutro sistema, e de preferência noutro local, para que um incidente na sala não a leve consigo;
- as credenciais que administram o correio eletrónico não bastam para a eliminar;
- está encriptada, para que a cópia não seja uma segunda porta de entrada para as mensagens;
- é testada. A ANSSI formula-o de forma simples: as cópias de segurança devem ser testadas regularmente. Uma cópia de segurança nunca restaurada continua a ser uma hipótese.
O mesmo guia recomenda a regra «3-2-1», que começa por três cópias distintas dos dados, e define a cópia de segurança offline como uma cópia num suporte desligado de qualquer sistema de informação. Estas noções aplicam-se ao correio como aos ficheiros; a sua aplicação aos documentos está em versionamento, replicação e cópia de segurança.
Exemplo. Num escritório de 25 pessoas (caso hipotético), um colaborador elimina por engano a pasta de um cliente, esvazia o lixo e só se apercebe na segunda-feira seguinte. A pasta de recuperação já não contém nada de útil. A cópia de segurança da sexta-feira anterior contém a pasta. O operador restaura-a na caixa; faltam apenas as mensagens chegadas e apagadas entre duas cópias de segurança.
Quando o servidor vai abaixo
O correio eletrónico tolera bem as avarias curtas. Um servidor remetente que não consegue contactar o seu, ou que recebe um erro temporário, mantém a mensagem em fila de espera e tenta novamente. Enquanto a avaria durar menos do que o prazo ao fim do qual o remetente desiste, que se conta habitualmente em dias, nada se perde: o correio chega quando o serviço regressa. O guia migrar um correio eletrónico sem interrupção detalha este mecanismo. Um gateway de filtragem colocado à frente do correio eletrónico desempenha o mesmo papel: guarda a mensagem aceite até que o servidor responda.
O que os utilizadores veem é diferente: deixa de haver webmail, os telemóveis deixam de sincronizar, os envios tornam-se impossíveis. É essa duração que o primeiro indicador mede.
RTO (duração máxima de interrupção admissível): o tempo previsto para repor o serviço em funcionamento. RPO (perda de dados máxima admissível): a quantidade de dados, expressa em tempo, que se aceita perder se o armazenamento tiver de ser reconstruído a partir da última cópia de segurança.
O RPO não diz respeito ao correio que aguarda nos remetentes: esse chega quando o serviço regressa. Diz respeito às mensagens já entregues nas caixas, e às ações dos utilizadores, desde a última cópia de segurança, no caso de o próprio armazenamento se perder. Um RPO inferior a 2 horas significa que, no máximo, duas horas desse histórico teriam de ser reconstituídas. São objetivos: pergunte como são medidos e testados.
Mudar de servidor sem mudar de domínio
Uma avaria prolongada, o fim de um contrato ou a aquisição do fornecedor podem obrigar a mudar de correio eletrónico. O seu domínio e os seus endereços não mudam: é o registo MX que designa a nova plataforma. O método, com a coexistência, as passagens de cópia e a coerência de SPF, DKIM e DMARC, está descrito em migrar um correio eletrónico sem interrupção. Não é repetido aqui.
Perguntas frequentes
A redundância substitui a cópia de segurança?
Não. A redundância replica também as eliminações. Protege contra uma avaria de hardware, não contra um erro nem contra uma eliminação intencional.
Uma mensagem recebida durante uma avaria perde-se?
Em geral, não: o remetente guarda-a e tenta novamente. Só se perde se for recusada definitivamente, ou se a avaria durar mais do que o prazo de desistência do remetente.
Trinta dias de cópia de segurança são suficientes?
Para voltar atrás depois de um erro, muitas vezes sim. Para conservar mensagens durante vários anos, não: esse é o papel do arquivo. Ver arquivar as mensagens.
O ataque a uma caixa tem de ser descoberto rapidamente?
Sim, porque o prazo de retenção está a correr. A proteção a montante cabe ao gateway de filtragem; ver proteger o correio eletrónico que já tem.
Onde se posiciona a Klytic
No Klytic Mail, as três redes existem e são distintas.
- Do lado do utilizador, a pasta de itens eliminados permite recuperar por conta própria, sem custos, mensagens eliminadas.
- Do lado do serviço, o correio eletrónico é copiado de hora a hora. As cópias de segurança são encriptadas, conservadas durante 30 dias, replicadas em vários locais e imutáveis: uma cópia escrita já não pode ser modificada nem eliminada. São supervisionadas continuamente e os restauros são testados todos os meses. Para isso, a Klytic apoia-se nos serviços da WeDoBack, descritos na página Segurança e cópia de segurança.
- Do lado da plataforma, os objetivos publicados são uma reposição do serviço em menos de 4 horas (RTO) e menos de 2 horas de dados perdidos no máximo (RPO). Colocado à frente do correio eletrónico, o Klytic MTA conserva temporariamente, encriptada, uma mensagem cujo servidor de destino está indisponível.
O restauro de uma mensagem, de uma pasta ou de uma caixa pede-se ao suporte, indicando o elemento em causa e a data aproximada. Está incluído em caso de mau funcionamento do serviço, de eliminação intencional por um colaborador ou de conta eliminada demasiado cedo aquando de uma saída (no limite de 3 pedidos por mês), ou de ataque sofrido apesar de postos de trabalho corretamente protegidos. Após uma eliminação acidental, um erro de manipulação, ou se os postos estavam insuficientemente protegidos, é objeto de um ticket de assistência pago. A pasta de itens eliminados, sem custos, continua a ser o primeiro recurso. O procedimento está descrito em restaurar uma mensagem ou uma caixa.
O que a oferta não cobre: um restauro em autosserviço pelo utilizador para além da pasta de itens eliminados, e uma conservação superior a 30 dias pela cópia de segurança. Para guardar mensagens durante vários anos, o arquivo legal é proposto como opção.
Esta página descreve um enquadramento geral. Os compromissos aplicáveis são os do seu contrato.
Fontes
Consultadas em outubro de 2026.
- ANSSI, «Sauvegarde des systèmes d’information : les fondamentaux» (Cópia de segurança dos sistemas de informação: os fundamentos, versão 1.1): definição da cópia de segurança offline, regra «3-2-1», testes regulares das cópias de segurança, isolamento dos servidores de cópia de segurança, exame do mecanismo de imutabilidade, correspondência entre PDMA e RPO, DMIA e RTO. cyber.gouv.fr
- Klytic, Segurança e cópia de segurança: frequência, retenção, encriptação, replicação, imutabilidade, testes mensais, RTO e RPO previstos, restauro de um e-mail, de uma pasta ou de uma caixa. klytic.com
- Klytic, Perguntas frequentes: cópia de segurança horária exceto telefonia, objetivos de recuperação, conservação temporária pelo Klytic MTA quando o servidor de destino está indisponível. klytic.com
- Klytic, Migrar um correio eletrónico sem interrupção: fila de espera dos remetentes em caso de erro temporário, papel do MX, coexistência. klytic.com
