Documentação

A Arkame é um painel de backup BYOS (traga seu próprio armazenamento): os dados vão do seu servidor direto para o seu bucket (AWS S3, Backblaze B2, Wasabi, OCI, GCS, MinIO ou qualquer compatível com S3 que tenha versionamento). As credenciais do bucket ficam apenas no seu servidor; o painel nunca as vê.

• Agente Arkame: um binário leve (ou container) instalado no servidor que você quer proteger. Ele executa os backups, mede o uso do bucket e faz as restaurações.
• Armazenamento: o seu bucket S3-compatível, cadastrado no painel (sem credenciais).
• Plano: liga uma origem (pastas do servidor) a um destino (armazenamento), com agendamento, exclusões e limite de banda.
• Restauração: busque por nome, navegue por pastas ou volte a um ponto no tempo, e restaure para qualquer servidor ativo instalado com esse armazenamento (o Operador restaura só no servidor de origem, no lugar original ou numa pasta nova dentro dele; outros destinos ficam com proprietário e administrador).

No painel, vá em Armazenamentos → Adicionar armazenamento, escolha o provedor e informe bucket, região e (para provedores S3-compatíveis) o endpoint. Recomendações:

Nunca contratou armazenamento em nuvem? O guia do armazenamento leva da conta nova na Backblaze, na Wasabi ou na AWS até a chave pronta para a Arkame.

• Habilite o versionamento no bucket: é o que permite restaurar versões antigas e proteger contra sobrescrita e ransomware.
• Ligue o Object Lock e configure uma retenção padrão em modo Compliance (por exemplo, 30 dias). É a retenção que impede apagar ou sobrescrever versões antigas (inclusive com a credencial do servidor na mão de outra pessoa) até o prazo vencer. Object Lock ligado sem retenção padrão não protege nada, e o versionamento sozinho não protege contra quem tem a chave. Escolha um prazo maior do que o tempo que você levaria para perceber um ataque.
• Crie uma credencial (access key) dedicada ao agente Arkame, com acesso apenas a esse bucket.

Object Lock pela API S3 existe na AWS S3, na Backblaze B2, na Wasabi e no MinIO. Google Cloud Storage e OCI têm retenção própria, fora da API S3. O Cloudflare R2 não é aceito em armazenamento novo: não tem versionamento nem Object Lock pela API S3, e sem versões não dá para voltar no tempo nem se proteger de ransomware. Buckets R2 cadastrados antes disso deixam de receber backup (o agente recusa bucket sem versionamento): migre para um provedor com versionamento.

A limpeza da retenção inteligente da Arkame apaga versões antigas com a chave do agente, que por isso precisa da permissão de apagar versões (s3:DeleteObjectVersion ou equivalente). Num bucket com Object Lock, a Arkame não apaga nada: o bloqueio é a sua decisão de que nada saia antes do prazo, e a limpeza respeita isso. Nesse caso a expiração das versões antigas fica com uma regra de ciclo de vida no próprio bucket, que o provedor só aplica depois que a retenção de cada versão vence. Sem Object Lock, uma chave sem permissão de apagar versões também funciona: a limpeza da Arkame fica registrada como falha e a regra de ciclo de vida faz o trabalho.

Em Servidores → Novo servidor você dá um nome ao servidor, escolhe o bucket e o painel mostra a instalação para o sistema dele: um comando no Linux e no macOS, e um instalador de dois cliques no Windows. O Docker fica como alternativa no Linux. O código de instalação vale 24 horas e funciona uma vez. O fluxo:

1. O instalador baixa o agente Arkame, confere a integridade do arquivo e pergunta a chave de acesso e a senha do bucket. Elas ficam no servidor; o painel nunca as recebe.
2. Antes de continuar, o instalador testa a chave no bucket. Se o bucket recusar, ele diz o motivo e pergunta de novo.
3. Com a chave aceita, o agente se registra no painel e gera um par de chaves Ed25519 no servidor. O painel mostra a impressão da chave; você confere e aprova.

Depois de aprovado, o servidor aparece como ativo, o painel confere a conexão com o bucket e o agente passa a executar os planos.

Linux e macOS, no terminal do servidor:

curl -fsSL https://get.arkame.app/install.sh |  sudo sh -s -- --token=<código>

Windows: baixe o instalador no servidor, dê dois cliques, aceite a permissão de administrador e cole o código na janela que abrir:

get.arkame.app/agente.exe

O agente para Windows ainda não tem assinatura de código. Se o Windows 11 estiver com o Controle Inteligente de Aplicativos (Smart App Control) ligado, ele barra a instalação com a mensagem "bloqueado pela política do Device Guard". Com o controle desligado e no Windows 10 e no Windows Server, a instalação passa normalmente.

Alternativa no Linux, em Docker, no terminal do servidor:

sudo docker run \  --pull always \  --rm \  -it \  --user 0 \  --security-opt label=disable \  --hostname "$(hostname)" \  -v /etc/arkame:/etc/arkame \  ghcr.io/arkame-app/arkame-agent:latest install \  --token=<código> \  --panel-url=https://save.arkame.app \  --install-service=false &&{  sudo docker stop -t 150 arkame-agent >/dev/null 2>&1; \  sudo docker rm arkame-agent >/dev/null 2>&1; \  sudo docker run \    -d \    --name arkame-agent \    --restart always \    --stop-timeout 150 \    --user 0 \    --security-opt label=disable \    --hostname "$(hostname)" \    -v /:/host \    -v /etc/arkame:/etc/arkame \    ghcr.io/arkame-app/arkame-agent:latest; \}

O primeiro container pergunta e testa a chave do bucket e espera a aprovação; só se ele terminar bem o agente sobe como serviço, reiniciando sozinho com o servidor. No Docker, os comandos antes/depois do backup de um plano não rodam. Para os bancos que rodam em contêiner, use a receita Contêineres (agente 0.6.0), que faz o dump sem esses comandos; para um banco instalado direto no servidor, agende o dump (cron) numa pasta incluída no plano.

Num NAS (TrueNAS, Unraid, ZimaOS, CasaOS, Synology, QNAP), a configuração vai para o disco de dados, e não para /etc/arkame: o passo a passo de cada plataforma está em Contêineres e NAS.

Para trocar a chave do bucket depois (chave nova, chave revogada), rode no servidor: ele pergunta, testa e reinicia o agente. No Windows, o painel mostra o comando para o Windows + R.

sudo /usr/local/bin/arkame-agent set-storage-keys --restart

Se o instalador avisou que /usr/local/bin não é só do root (Mac Intel com Homebrew, por exemplo), o programa está em /opt/arkame/bin:

sudo /opt/arkame/bin/arkame-agent set-storage-keys --restart

Instalação sem root (Linux ou macOS):

~/.local/bin/arkame-agent set-storage-keys \  --restart \  --service-scope user

No Docker:

sudo docker run \  --rm \  -it \  --user 0 \  --security-opt label=disable \  -v /etc/arkame:/etc/arkame \  ghcr.io/arkame-app/arkame-agent:latest set-storage-keys &&sudo docker restart -t 150 arkame-agent

Em Planos → Novo plano, escolha o servidor de origem, as pastas a proteger, as exclusões (curingas como *.tmp), o armazenamento de destino e o agendamento: diário, a cada X horas, cron ou sob demanda. Você pode limitar a banda usada pelo backup.

O primeiro backup é completo; os seguintes são incrementais (apenas arquivos alterados), com verificação de integridade SHA-256 em cada arquivo.

Um servidor pode ter vários planos: por exemplo, um diário para os documentos e outro de hora em hora para os dumps do banco. A retenção é em faixas, no modelo GFS (avô, pai e filho): cópias diárias, semanais e mensais, e também trimestrais, semestrais e anuais, escolhendo sessões inteiras. As faixas já vêm prontas na Retenção Inteligente: uma cópia por dia nos últimos 6 meses, uma por semana até 1 ano, uma por mês até 3 anos e, depois, trimestrais, semestrais e anuais, até 10 anos. Você pode editá-las em cada armazenamento. Backup que falha e servidor que fica sem sinal geram aviso por e-mail.

O plano tem receitas prontas para PostgreSQL, MySQL e MariaDB, MongoDB e SQL Server: o dump sai antes do backup e vai junto. No Zimbra, o agente Arkame 0.5.0 exporta cada conta (mensagens por mês, contatos, agenda, configuração, filtros e assinaturas) e restaura conta por conta. Veja bancos de dados e aplicativos. Contêineres do Docker, inclusive em NAS: veja contêineres e NAS.

Em Restaurar você tem três modos: Buscar (por nome de arquivo), Explorar (navegando na árvore de pastas) e Linha do tempo (voltar a um ponto no tempo). Selecione arquivos ou pastas, escolha o servidor de destino, a pasta e a estratégia em caso de conflito, e acompanhe o progresso no Histórico, filtrando por restaurações.

Arquivos em armazenamento frio. Se o seu bucket arquiva sozinho (uma regra de ciclo de vida que manda para o Glacier ou o Deep Archive depois de alguns dias), o objeto não sai de lá na hora. A Arkame lida com isso: ao restaurar, ela pede a reidratação ao provedor, marca o arquivo com um floco de neve, mostra a previsão de quando estará pronto e retoma a transferência sozinha quando ficar. Você não precisa voltar e tentar de novo. O que ninguém consegue encurtar é a espera do provedor: de 3 a 5 horas no Glacier e até 12 no Deep Archive. A tela do armazenamento avisa quando o seu bucket tem uma regra dessas, antes de você precisar.

O painel avisa por e-mail quando um backup falha ou fica incompleto, e quando um servidor fica sem sinal, para mais de um endereço, se você quiser. Para levar os mesmos eventos ao seu sistema de chamados, ao n8n, ao Slack, ao Teams ou ao Telegram, veja o guia dos webhooks.

Conecte Claude, Cursor, VS Code ou outro assistente compatível com MCP aos seus backups, com um token seu: ele consulta a saúde da organização, investiga falhas e opera planos dentro de limites. Veja o guia do MCP.

• Credenciais do bucket só existem no seu servidor (BYOS): o painel nunca as recebe.
• Cada servidor tem identidade própria (Ed25519) aprovada manualmente por você.
• O agente Arkame fala com o painel e com o bucket por HTTPS, e a integridade de cada arquivo é verificada por SHA-256. Num serviço S3 que você hospeda, o endereço é você quem define; use HTTPS nele também.
• Ações sensíveis ficam registradas no histórico da organização. A tela para você consultar esse registro ainda não existe: hoje o suporte da Arkame consulta a seu pedido.

O comando tira do servidor o serviço, o arquivo de configuração com a chave do bucket, a identidade do agente e o próprio programa. Os backups continuam no bucket.

Windows

Em Configurações → Aplicativos → Aplicativos instalados, procure "Agente de backup Arkame" (nas versões anteriores à 0.5.3, "Arkame" seguido de "agente de backup") e clique em Desinstalar. Ou aperte Windows + R, cole e Enter (agente com versão anterior à 0.3.1 não aparece em Aplicativos: use este caminho depois de reinstalar):

powershell -Command "Start-Process -Verb RunAs 'C:\Program Files\Arkame\arkame-agent.exe' 'uninstall --pause'"

Linux e macOS

sudo /usr/local/bin/arkame-agent uninstall

Se o instalador avisou que /usr/local/bin não é só do root (Mac Intel com Homebrew, por exemplo), o programa está em /opt/arkame/bin:

sudo /opt/arkame/bin/arkame-agent uninstall

Instalação sem root (Linux ou macOS):

~/.local/bin/arkame-agent uninstall --service-scope user

Docker

sudo docker stop -t 150 arkame-agent 2>/dev/null; \sudo docker rm arkame-agent 2>/dev/null; \sudo rm -rf /etc/arkame; \sudo docker rmi ghcr.io/arkame-app/arkame-agent:latest 2>/dev/null

Depois, no painel, arquive o servidor (Servidores → ⋯ → Arquivar) para ele deixar de ser cobrado. O histórico e os backups dele continuam restauráveis, e o nome fica livre para outra máquina.

Se o painel mostra um servidor sem sinal (há mais de 5 minutos), o serviço do agente Arkame provavelmente parou nesse servidor. Backups, restaurações e o teste de conexão só rodam com o agente ativo. Use os comandos abaixo conforme o sistema operacional.

Primeiro passo: rode `arkame-agent status` no servidor (com sudo e o caminho completo, `/usr/local/bin/arkame-agent`, ou `/opt/arkame/bin/arkame-agent` quando o instalador avisou que `/usr/local/bin` não é só do root, na instalação com root; `~/.local/bin/arkame-agent` na instalação sem root). Ele mostra se o agente está registrado, com qual painel e qual armazenamento. O sinal em si aparece no painel; para ver se o serviço está rodando, use o comando do seu sistema abaixo.

Docker

Se instalou com Docker, o agente é o container arkame-agent. Veja se ele está rodando, leia as últimas linhas do log e reinicie:

sudo docker ps -a --filter name=arkame-agentsudo docker logs --tail 50 arkame-agentsudo docker restart -t 150 arkame-agent

Linux: instalação padrão (serviço do sistema, com sudo)

sudo systemctl status arkame-agentsudo systemctl restart arkame-agentsudo journalctl -u arkame-agent -n 50

Linux: instalação por usuário

Aqui os comandos são sem sudo: sudo systemctl --user consulta os serviços do usuário root, não o seu. Use list-unit-files (não list-units, que esconde serviços parados) para achar o nome:

systemctl --user list-unit-files 'arkame-agent*'   # acha o nome (mostra parados)systemctl --user restart <nome-do-servico>journalctl --user -u <nome-do-servico> -n 50

macOS (launchd)

sudo launchctl print system/app.arkame.agentsudo launchctl kickstart -k system/app.arkame.agent

macOS: instalação sem sudo (agente do usuário)

launchctl list | grep app.arkame   # acha o nome (mostra parados)launchctl kickstart -k gui/$(id -u)/<rotulo>

Windows

O agente roda como serviço do Windows (arkame-agent). Para reiniciá-lo, aperte Windows + R, cole e Enter; clique em Sim quando o Windows pedir permissão:

powershell -Command "Start-Process -Verb RunAs powershell '-Command Restart-Service arkame-agent'"

Se o serviço não existir mais (por exemplo, a máquina foi reinstalada), gere um novo comando em Servidores → menu ⋯ → "Reinstalar" e rode-o de novo.