Como fazer backup dos e-mails do Microsoft 365?

O backup dos e-mails do Microsoft 365 é feito copiando o Exchange Online, caixa por caixa, para um armazenamento que não seja o tenant, com várias datas. Exportar pontualmente um PST à mão não é um backup: é uma foto já desatualizada no dia seguinte, muitas vezes esquecida em uma estação de trabalho.

Atualizado em outubro de 20263 min de leitura5 fontes citadas

O essencial

Incluir as caixas compartilhadas (financeiro@, contato@): nem sempre têm licença e ficam fora dos inventários.
Frequência no mínimo diária: o intervalo entre duas cópias é o seu RPO.
A lixeira do Exchange mantém uma mensagem eliminada por 14 dias por padrão, 30 no máximo: o backup começa aí.
Ferramenta conectada por um aplicativo com permissões limitadas, nunca por uma conta de “administrador global”.
Teste de restauração em outra caixa duas vezes por ano, cronometrado.

Quais caixas de correio

Todas as caixas de usuário que recebem trabalho real.
As caixas compartilhadas (financeiro@, contato@, suporte@). Nem sempre têm licença, e os inventários as esquecem.
As caixas de recursos, somente se o conteúdo tiver valor (raro).
Os ex-funcionários, durante o período em que os e-mails deles precisam continuar acessíveis, com interrupção explícita depois, para não conservar dados pessoais sem justificativa. A Microsoft só permite restaurar uma conta excluída, com a caixa de correio, durante 30 dias.

Agendas e contatos geralmente acompanham a mesma caixa. Cobri-los evita restaurar mensagens cujos compromissos desapareceram.

Configurações que importam

Frequência. Uma vez por dia é o mínimo. A cada poucas horas se o e-mail for o canal de pedidos. O intervalo é o RPO: um incidente às 17h com uma cópia das 22h da véspera perde o dia inteiro. O Cybermalveillance.gouv.fr, plataforma do governo francês de assistência a vítimas de ciberataques, recomenda definir essa frequência perguntando-se quanto custaria perder um dia, uma semana ou um mês.
Retenção. De 30 a 90 dias cobrem o erro e uma invasão descoberta com atraso. Além disso, é preciso uma justificativa precisa (litígio em andamento, obrigação setorial). A retenção da Microsoft dentro do tenant pode coexistir: ela não substitui essas datas guardadas com um terceiro.
Permissões da ferramenta. Um aplicativo registrado no Entra ID, com permissões limitadas à leitura das caixas, consentimento de administrador, segredo protegido e autenticação forte para os administradores. Não uma conta de “administrador global” cuja senha está em um arquivo. A ANSSI, agência nacional de cibersegurança da França, recomenda de forma mais ampla que a infraestrutura de backup não utilize a autenticação da produção.
Imutabilidade da cópia durante a janela de proteção contra ransomware, para que um administrador comprometido não esvazie também o backup.
Teste de restauração em outra caixa, duas vezes por ano: uma pasta, um anexo aberto, uma agenda. Medir o tempo. A ANSSI exige que os backups sejam testados regularmente e que um procedimento de restauração seja documentado.

O que a lixeira permite, para não superestimá-la

Uma mensagem excluída vai primeiro para “Itens Excluídos”. Se for excluída definitivamente dali (lixeira esvaziada, Shift+Delete), o Exchange Online a coloca na pasta Itens Recuperáveis e a mantém por 14 dias por padrão. O administrador pode estender esse prazo para no máximo 30 dias, caixa por caixa. Passado esse prazo, ou após uma eliminação voluntária, a lixeira não devolve mais a mensagem. Ela também não protege contra um invasor que tenha permissões de eliminação.

Necessidade	Lixeira do Exchange	Backup fora do tenant
Mensagem excluída ontem	Sim	Sim
Pasta eliminada há seis semanas	Não (30 dias no máximo)	Sim, conforme a retenção escolhida
Caixa esvaziada por um administrador comprometido	Não	Sim, se a cópia estiver protegida
Restaurar em uma caixa de verificação	Não	Sim

Restaurar quando for preciso

Encerrar as sessões da conta afetada e remover as regras de encaminhamento suspeitas. Restaurar sem isso é preencher uma caixa que continua vazando.
Escolher a data anterior ao incidente.
Restaurar a pasta ou a caixa em um local de verificação e, depois, na produção.
Informar o usuário sobre o que foi perdido entre essa data e a descoberta (o RPO).

O passo a passo completo está em Uma caixa de correio foi esvaziada ou invadida.

Na WeDoBack

Os e-mails do Microsoft 365, assim como as agendas e os contatos, fazem parte do escopo publicado. A cobrança segue um agente por endereço, mais o volume de armazenamento, na oferta SMART ou INTEGRAL. A cópia é criptografada na origem, com a chave mantida pelo cliente, e hospedada fora do tenant. A instalação é feita pelo console ou com um técnico (45 € sem impostos por hora). A WeDoBack não publica um RPO imposto: ele é igual à frequência configurada. O suporte atende pelo +33 9 72 50 78 28, das 9h às 13h e das 14h às 17h30 (horário de Paris).

Solicitar um orçamento Ver as ofertas e preços

Perguntas frequentes

Uma exportação PST regular é suficiente?

Raramente. A exportação é manual e, por isso, acaba esquecida. Muitas vezes fica em uma estação de trabalho ou em um disco, exposta ao mesmo ransomware que a produção. Ela não oferece várias datas de restauração e não cobre as novas caixas de correio.

É preciso fazer backup das caixas de ex-funcionários?

Sim, durante o período em que os e-mails deles precisam continuar acessíveis. A Microsoft só permite restaurar uma conta excluída, com sua caixa de correio, durante 30 dias. Depois disso, interrompa explicitamente o backup para não conservar dados pessoais sem justificativa.

O que fazer primeiro se uma caixa foi esvaziada por um invasor?

Encerrar as sessões da conta e excluir as regras de encaminhamento suspeitas, antes de qualquer restauração. Caso contrário, você estará preenchendo uma caixa que continua vazando. Só depois escolha uma cópia anterior ao incidente.

Para saber mais

Fontes

Documentos consultados em outubro de 2026.

Alterar por quanto tempo os itens excluídos permanentemente são mantidos em uma caixa de correio do Exchange Online — Microsoft Learn
Restaurar um usuário — Microsoft Learn
Backup dos sistemas de informação – Os fundamentos (ANSSI-BP-100, v1.1, 27 de novembro de 2025) — ANSSI
Ransomware: o que fazer se sua organização for vítima de um ataque? — Cybermalveillance.gouv.fr
Ofertas e preços — WeDoBack

Um projeto de backup, PRD ou PCN?

Mais de 20 anos de experiência na proteção de dados empresariais.

Solicitar um orçamento +33 9 72 50 78 28

Proteja seus dados com a WeDoBack

Backup criptografado externo, armazenamento imutável, PRD e PCN: descreva seus servidores e indicaremos a combinação mais adequada.

Solicitar um orçamento Ver ofertas e preços