备份加密的密钥，别和备份放一起

备份上传到对象存储前用 age 加密，密钥文件放在 /root/.age/key.txt——就在被备份的那台机器上。

机器一旦丢失或者被入侵，攻击者拿到密钥和备份，加密形同虚设。

正确做法：

• 公钥放服务器，只用于加密；私钥留在本地或密码管理器里，服务器上没有解密能力。
• 恢复时才把私钥带过去，用完删掉。
• 私钥至少两份，放在不同的物理位置；只存一份等于把恢复能力绑在一个点上。

age-keygen -o key.txt          # 生成，私钥留在本地
age -r <public-key> -o backup.age backup.tar.gz

还要定期验证：用私钥真的解一次，确认密钥没记错、文件没损坏。