Qué va a configurar
BackupZit lee un tenant de Microsoft 365 mediante Microsoft Graph con un registro de aplicación que solo tiene permisos de lectura: en el tenant no se cambia ni se borra nada. Cualquier agente de BackupZit con acceso a Internet descarga los datos — por ejemplo el agente del equipo de la consola — y los guarda como cualquier otra copia: deduplicados, cifrados, con retención, trabajos de copia y pruebas de restauración. BackupZit es gratuito y de código abierto (AGPLv3), sin licencias por usuario.
¿Por qué una copia aparte de Microsoft 365?
Microsoft mantiene el servicio en marcha, pero los datos que contiene son su responsabilidad: un buzón borrado por error, archivos cifrados a través de un OneDrive sincronizado o una cuenta eliminada cuando alguien deja la empresa. Las papeleras y la configuración de retención están en el mismo tenant y caducan. Una copia en su propio almacenamiento es una copia independiente que usted controla, fuera del tenant y de sus cuentas de administrador.
Microsoft y otros proveedores también venden la copia de Microsoft 365 como servicio en la nube, normalmente facturado por usuario o por gigabyte. BackupZit es la opción autoalojada: los datos llegan a su NAS, servidor o bucket S3, y el único coste es el almacenamiento.
Qué necesita
- Una consola BackupZit — una pequeña VM Linux (2 vCPU, 2–4 GB de RAM, disco de 16–20 GB) a partir de la imagen lista de la página de descarga, o el script de instalación en un servidor Debian, Ubuntu, AlmaLinux o Rocky Linux existente.
- Un agente que descargue los datos: Windows o Linux, con acceso HTTPS a
login.microsoftonline.com,graph.microsoft.comy, para los archivos de OneDrive y SharePoint,*.sharepoint.com. Basta con el agente del equipo de la consola. - Almacenamiento de copias: SFTP, un recurso SMB, un bucket compatible con S3, Azure Blob Storage o un repositorio reforzado de BackupZit.
- Un administrador global del tenant, una sola vez, para registrar la aplicación y conceder el consentimiento.
Paso 1 — Registrar una aplicación en Microsoft Entra ID
Una vez por tenant, en el centro de administración de Microsoft Entra:
- App registrations → New registration: llámela, por ejemplo,
BackupZit, elija Accounts in this organizational directory only, sin URI de redirección. Anote el Application (client) ID y el Directory (tenant) ID de su página de información general. - Certificates & secrets → New client secret: elija una duración (p. ej. 24 meses) y copie enseguida el Value del secreto — solo se muestra una vez. El Secret ID no es el secreto.
- API permissions → Add a permission → Microsoft Graph → Application permissions (no delegados):
Para copiar Permisos Correo y OneDrive User.Read.All,Mail.Read,Files.Read.AllCalendarios y contactos además Calendars.Read,Contacts.ReadSitios de SharePoint además Sites.Read.All - Haga clic en Grant admin consent for …. Hasta entonces el estado muestra Not granted y las copias se rechazan.
Son solo permisos de lectura. Para limitar la aplicación a algunos buzones, un administrador de Exchange puede añadir una directiva de acceso a aplicaciones o un ámbito de RBAC for Applications; las cuentas fuera de él se notifican entonces como no legibles.
Paso 2 — Añadir un destino de almacenamiento
En la consola abra Almacenamiento y añada un destino — por ejemplo un recurso SMB en un NAS para la primera copia y un bucket S3 con Object Lock para la copia externa. Deje activado Cifrar las copias (AES-256) (predeterminado): el correo y los archivos se cifran con AES-256 en el agente antes de salir de él. Guarde la clave de recuperación que muestra la consola lejos de las copias, por ejemplo impresa o en un gestor de contraseñas.
Paso 3 — Crear el trabajo de Microsoft 365
- En Trabajos de copia cree un trabajo del tipo Microsoft 365 y elija el agente que descarga.
- Introduzca el Directory (tenant) ID, el Application (client) ID y el Client secret del paso 1. El secreto se guarda cifrado.
- Elija qué copiar: Correo, OneDrive, Calendarios y contactos, Sitios de SharePoint — en cualquier combinación.
- Elija las cuentas: Todas las cuentas con buzón o OneDrive (las cuentas añadidas después se incluyen automáticamente; excepciones en Excepto, una por línea) o Solo estas cuentas. Las cuentas sin licencia se omiten. Para SharePoint se aplica la misma elección a los sitios: todos los sitios con excepciones, o solo direcciones indicadas como
https://contoso.sharepoint.com/sites/sales. - En lugar de escribir direcciones, haga clic en Elegir de la lista: la consola lee las cuentas y sitios del tenant con la aplicación que acaba de introducir y le permite marcarlos.
- Elija el destino de almacenamiento, una programación (p. ej. cada noche) y la retención.
Al guardar el trabajo, la consola inicia sesión como la aplicación y comprueba los permisos, las cuentas y los sitios, así que un secreto incorrecto o la falta de consentimiento se ve al instante.
La primera copia lo descarga todo. Cada copia posterior vuelve a listar las carpetas, pero solo descarga los mensajes y archivos nuevos o cambiados (los mensajes leídos, marcados, movidos o editados cuentan como cambiados); los datos sin cambios se toman de la copia anterior. Microsoft limita la velocidad de lectura de una aplicación — BackupZit espera cuando Microsoft lo pide y continúa, por lo que la primera copia de buzones grandes puede tardar horas.
Qué se copia
| Datos | Se guardan como |
|---|---|
| Correo | Todas las carpetas y subcarpetas; cada mensaje completo con adjuntos como archivo .eml, con nombre según fecha y asunto. Outlook, Thunderbird y la mayoría de los programas de correo lo abren. |
| OneDrive | Todos los archivos y carpetas con su fecha de modificación. |
| Calendarios | Cada calendario; cada evento como archivo iCalendar (.ics) con hora, lugar, asistentes, recordatorio y periodicidad. Outlook, Google Calendar y Thunderbird lo importan. |
| Contactos | Contactos y carpetas de contactos como vCards (.vcf). |
| SharePoint | Cada biblioteca de documentos de cada sitio, con todas las carpetas y archivos. Los archivos de Teams están en SharePoint y se incluyen. |
Una copia tiene una carpeta por cuenta — ana@contoso.com/Mail/Inbox/…, …/OneDrive/…, …/Calendar/…, …/Contacts/… — y SharePoint/<sitio>/<biblioteca>/…. Como son formatos estándar, los archivos siguen siendo legibles sin BackupZit.
Paso 4 — Mantener una copia externa (3-2-1)
Añada un trabajo del tipo Copia secundaria con el trabajo de Microsoft 365 como origen y un segundo destino en otro lugar — un bucket S3 con Object Lock o un repositorio reforzado hace que esa copia sea inmutable. Solo se envían los datos que aún no están en el destino, y la copia tiene su propia retención. Las pruebas de restauración automáticas (semanales por defecto, en Configuración → Pruebas de restauración) restauran una muestra aleatoria de la copia más reciente y verifican cada byte con las sumas de comprobación guardadas.
Restauración
- Examinar y descargar: en una ejecución de copia, abra las carpetas de correo, OneDrive, calendarios o contactos de una cuenta, o un sitio de SharePoint; marque mensajes, eventos, archivos o carpetas y descárguelos — un archivo tal cual, varios como ZIP. Abra los archivos
.emlen Outlook o arrástrelos a un buzón. - Restaurar en una carpeta de cualquier agente: mensajes como
.eml, eventos como.ics, contactos como.vcf, archivos de OneDrive y SharePoint tal como estaban, bajo<carpeta>/<cuenta>/…y<carpeta>/SharePoint/….
Límites que conviene conocer
- La restauración directa en un buzón o en OneDrive aún no existe (prevista; escribirá solo en una carpeta nueva y nunca sobrescribirá). Por ahora se descarga o se restaura en una carpeta.
- No se incluyen: chats y mensajes de canales de Teams, listas y páginas de SharePoint (solo bibliotecas de documentos), adjuntos de eventos, fotos de contactos, repeticiones modificadas sueltas de una serie y buzones compartidos sin cuenta de usuario.
- Las horas de los eventos se guardan en UTC.
Solución de problemas
- AADSTS7000215 / invalid client secret: se copió el ID del secreto en lugar de su Value, o el secreto caducó — cree uno nuevo e introdúzcalo en el trabajo.
- Missing application permissions / Authorization_RequestDenied: añada los permisos como permisos de aplicación y haga clic en Grant admin consent.
- The account has no Exchange Online mailbox: la cuenta no tiene licencia de Exchange (o es un contacto); quítela del trabajo.
- Una ejecución con avisos lista los mensajes o archivos que no se pudieron leer (p. ej. un bloc de notas de OneNote); el resto de la copia está completo.
Siguientes pasos
Descargue BackupZit, vea todas las funciones para Microsoft 365 o lea el capítulo de Microsoft 365 en la guía integrada en la consola. La misma consola también hace copias de servidores y máquinas virtuales — vea las guías de Proxmox VE y Hyper-V. Las preguntas son bienvenidas en GitHub Discussions. Las empresas pueden contratar soporte comercial de MaxZit (solo en inglés).