# backupally keys

Gerencia chaves RSA-4096 usadas para criptografar backups.

# Sintaxe

backupally keys <SUBCOMANDO> [OPÇÕES]

# Subcomandos

# keys list

Lista todas as chaves disponíveis.

backupally keys list

Saída:

NAME        FINGERPRINT       CREATED              STATUS
default     a1b2c3d4e5f6a7b8  2026-01-15 10:00:00  active
old-key     f8e7d6c5b4a39281  2025-06-01 08:00:00  archived

# keys generate

Gera uma nova chave RSA-4096.

backupally keys generate --name <NAME> [OPÇÕES]

Opções:

Exemplo:

backupally keys generate --name production --set-default

# keys fingerprint

Exibe o fingerprint de uma chave.

backupally keys fingerprint <KEY_PATH>

Exemplo:

backupally keys fingerprint /etc/backupally/keys/default.key

Saída:

Key fingerprint: a1b2c3d4e5f6a7b8
Algorithm: RSA-4096
Created: 2026-01-15 10:00:00

O fingerprint é os primeiros 8 bytes do SHA-256 da chave pública.

# keys sync

Sincroniza chaves com o servidor central (backup de chaves).

backupally keys sync [OPÇÕES]

Opções:

Exemplo:

backupally keys sync \
  --server https://central.backupally.io \
  --api-key your-api-key

# keys recover

Recupera uma chave do servidor central usando o fingerprint.

backupally keys recover --fingerprint <FP> [OPÇÕES]

Opções:

Exemplo:

backupally keys recover \
  --fingerprint a1b2c3d4e5f6a7b8 \
  --server https://central.backupally.io \
  --api-key your-api-key \
  --output /etc/backupally/keys/recovered.key

# Boas Práticas

# Backup de Chaves

Crítico: Sem a chave, backups criptografados são irrecuperáveis.

1. Anote o fingerprint de cada chave
2. Use keys sync para backup no servidor central
3. Mantenha cópia offline em local seguro

# Rotação de Chaves

1. Gere nova chave: keys generate --name new-key
2. Atualize tasks para usar nova chave
3. Mantenha chave antiga para restaurar backups antigos
4. Archive chave antiga após período de retenção

# Estrutura de Arquivos

/etc/backupally/keys/
├── default.key      # Chave privada padrão
├── default.pub      # Chave pública padrão
├── production.key   # Chave adicional
└── production.pub

# Segurança

• Chaves são armazenadas com permissão 0600
• Apenas root pode ler arquivos de chave
• Fingerprint identifica qual chave descriptografa cada backup
• Chave privada nunca é transmitida em texto claro