Keepit: Backup SaaS con inmutabilidad por diseño, soberanía del dato y restauración granular

El día que el backup deja de ser una teoría

Mientras todo funciona, el backup es una línea más en el Excel de IT. Cuando deja de funcionar, se convierte en una conversación incómoda con dirección, legal y a veces con el regulador.

Con Microsoft 365, Google Workspace y otras aplicaciones SaaS convertidas en el corazón operativo de las empresas, el viejo concepto de “Microsoft se encarga de todo” hace aguas por todos lados. Microsoft protege su infraestructura, sí, pero no se responsabiliza de tus errores, de tus borrados accidentales, de tu ransomware ni de tus tiempos de recuperación.

En ese hueco han aparecido decenas de soluciones de backup SaaS, en un contexto en el que el propio mercado empieza a considerar el backup de aplicaciones SaaS como un requisito crítico, no accesorio. El problema es que no todas hacen lo mismo, aunque lo parezca en la ficha comercial.

En este artículo analizamos Keepit, backup SaaS con inmutabilidad por diseño, soberanía del dato y restauración granular.

Qué significa realmente “hacer backup” en entornos SaaS

Hacer backup en SaaS no es una versión cloud del backup tradicional. Aquí no controlas la infraestructura, el almacenamiento, el rendimiento, el API ni el throttling. Y aun así tienes que garantizar recuperación granular, integridad del histórico, cumplimiento legal y acceso a los datos cuando más los necesitas.

Por ejemplo, en Microsoft 365 esto se traduce en proteger correctamente Exchange Online, OneDrive for Business, SharePoint Online y Microsoft Teams, tanto archivos como, si aplica, chats.

Casi todas las soluciones prometen cubrir estos puntos. Las diferencias aparecen cuando algo se rompe de verdad y hay que recuperar datos rápido, sin margen para reinterpretar políticas o improvisar procedimientos.

Arquitectura de Keepit: diseñado para SaaS, no adaptado

Keepit parte de una idea simple pero poco habitual: no adaptar el backup tradicional al SaaS, sino diseñar el backup directamente para SaaS desde cero.

SaaS-to-SaaS puro: sin agentes, sin infraestructura, sin fricción

Con Keepit no se instala nada. No hay agentes, no hay servidores del cliente, no hay storage que dimensionar. Accedes por navegador, eliges región de centro de datos y empiezas.

Esto tiene una consecuencia directa: el cliente no puede romper la arquitectura, ni por error ni por mala praxis, algo especialmente relevante cuando hablamos de seguridad, auditoría y cumplimiento normativo.

Backup Incremental Forever con árboles de Merkle

Keepit trabaja con backups incrementales cada 12 horas (frecuencia ajustable vía soporte) bajo un modelo incremental forever. Cada snapshot parece un backup completo y se usa como tal, pero no penaliza el consumo de API ni las ventanas de backup.

La arquitectura se apoya en árboles de Merkle, una estructura conocida por garantizar integridad y trazabilidad. En la práctica esto reduce el consumo de API, los riesgos por throttling y la probabilidad de ventanas de backup fallidas, algo especialmente relevante en entornos SaaS compartidos.

Modelo de licenciamiento: por usuario, no por volumen

Uno de los grandes problemas históricos del backup cloud es el modelo de precios. Muchas soluciones parecen razonables al principio y se vuelven prohibitivas a medida que los datos crecen, algo totalmente normal en Microsoft 365, Google Workspace o Salesforce.

Keepit licencia por usuario, no por volumen de datos. Si pagas 100 usuarios a Microsoft 365, pagas 100 usuarios en Keepit. Da igual si esos usuarios tienen 5 GB o 5 TB en OneDrive, buzones pequeños o enormes, o SharePoint con histórico de años.

El crecimiento del dato no penaliza el coste. Para IT y finanzas, esto elimina muchas discusiones futuras, especialmente en sectores regulados donde no se puede borrar histórico, en organizaciones con retención larga, o en entornos con fuerte uso de SharePoint o correo electrónico.

El Dashboard: punto de control de toda la operación

La gestión de Keepit se realiza desde un panel web centralizado. No hay instalación local, no hay consola adicional, y el acceso es por navegador desde cualquier dispositivo.

El Dashboard es la pantalla de inicio y actúa como punto de monitorización global. Muestra en tiempo real:

• Estado de los conectores: agrupados en Healthy, Unhealthy y Critical. En un vistazo puedes ver si todos los servicios están respondiendo correctamente.
• Último snapshot disponible para restaurar: cuándo fue el último backup válido disponible.
• Backups exitosos en las últimas 48 horas: indicador de salud operativa.
• Tamaño total de backup: volumen acumulado en almacenamiento.
• Backup coverage: gráfico temporal de objetos cubiertos por servicio (Exchange, OneDrive, SharePoint, Groups & Teams), con navegación por meses.
• Backup integrity: indicador de integridad del backup en curso.
• Recovery insights: estadísticas de restauraciones en las últimas 24 horas, con detalle de éxito, en progreso y tasa de éxito.

Desde el menú desplegable superior, el Dashboard tiene tres vistas distintas según lo que necesites monitorizar:

• Data Protection: el estado del backup en sí.
• Data Monitoring: seguimiento de actividad y cambios en los datos protegidos.
• Usage: consumo de almacenamiento y cobertura de licencias.

Conectores y plataformas soportadas

En la sección Connectors se definen y gestionan todas las conexiones con servicios externos. Desde aquí puedes ver la lista de conectores activos con su estado de autenticación y tipo de servicio, añadir nuevos conectores, reautenticar si expira un token o eliminar conexiones existentes.

Keepit trabaja con un enfoque de plataforma: todos los conectores se gestionan con el mismo modelo de backup, restauración, retención y control de acceso, independientemente del servicio protegido.

Plataformas soportadas

A día de hoy Keepit protege más de 15 aplicaciones SaaS empresariales, y la lista crece regularmente:

• Microsoft: Microsoft 365 (Exchange, OneDrive, SharePoint, Teams), Entra ID (Azure AD), Power BI, Power Platform, Azure DevOps.
• Google: Google Workspace completo (Gmail, Drive, Shared Drives, Calendar, Contacts).
• Colaboración y productividad: Slack, Atlassian Jira, Atlassian Confluence, Zendesk.
• CRM y desarrollo: Salesforce, GitHub.

En el roadmap para 2026 se añaden monday.com, Jira Service Management, GitLab, HubSpot CRM, ServiceNow ITSM, Autodesk CC, Auth0 e iManage. Para 2026/2027 están en estudio plataformas como SAP HANA, Xero, NetSuite, Figma, Bitbucket o Tableau, entre otros.

Proceso de alta de un conector

El flujo de configuración de un nuevo conector es directo:

1. Ir a Connectors y hacer clic en Add Connector.
2. Elegir el servicio (por ejemplo, Microsoft 365).

   

3. Login con cuenta admin vía OAuth.

   

4. Revisar y aceptar los permisos que solicita Keepit.

   

5. Seleccionar los usuarios o grupos a incluir en el backup.

   

6. Configurar el periodo de retención del backup.

   

7. Guardar e iniciar el backup. Una vez configurado, el conector ejecuta backups de forma autónoma según la frecuencia establecida.

   

 

Soberanía del dato e inmutabilidad por diseño

Soberanía del dato: no solo "dónde está", sino "quién puede tocarlo"

Keepit opera con centros de datos regionales independientes, sin replicación cruzada entre países. Una cuenta configurada en Alemania no existe ni se replica en EE. UU. La infraestructura está alojada en Equinix pero operada íntegramente por Keepit, sin subprocesadores externos.

Esto puede pesar poco en un entorno pequeño, pero es crítico en sectores regulados, administraciones públicas y empresas europeas con obligaciones estrictas de residencia del dato.

Inmutabilidad por diseño: no es una política, es estructura

Aquí conviene ser claros, porque es un término muy usado y poco entendido.

En Keepit los datos no se pueden borrar, no se pueden modificar y no existe ningún modo de administrador para saltarse esto. No es una política configurable, no es una casilla que se activa. Es parte estructural del sistema.

En muchas otras soluciones la inmutabilidad depende de políticas, puede desactivarse o vive únicamente en la capa de almacenamiento. Eso no es necesariamente malo, pero no es lo mismo cuando se compara una inmutabilidad configurable con una inmutabilidad que forma parte del diseño del sistema. Para ransomware y para auditorías, la diferencia entre "no deberías poder" y "no puedes físicamente" es enorme.

Restauración granular y acceso a datos

Restauración granular, desde el Tenant hasta un solo Correo

Keepit permite restaurar a cualquier nivel de granularidad:

• Tenants completos
• Sitios de SharePoint completos
• Bibliotecas, carpetas y archivos individuales
• Versiones concretas de archivos
• Correos individuales o carpetas completas
• Elementos de calendario y contactos

Además, permite previsualizar datos directamente desde el backup sin restaurarlos previamente. Esto es coherente con el comportamiento real de los administradores, donde la mayoría de las recuperaciones son puntuales (un correo perdido, un documento sobreescrito o un elemento de calendario eliminado). Los formatos soportados para previsualización incluyen EML, documentos Office, PDFs, imágenes y metadatos.

Dentro de un conector, puedes navegar por los snapshots históricos, ver versiones anteriores de objetos y acceder a elementos eliminados directamente desde la interfaz, sin necesidad de lanzar una restauración completa primero.

Public Links: acceso a datos sin que el SaaS esté disponible

Este es el apartado que más cambia la conversación con negocio, y el que más valor aporta en situaciones de crisis.

Keepit permite generar enlaces públicos temporales, protegidos con contraseña y auditables, para acceder a datos del backup directamente desde el navegador, sin restaurar nada, sin esperar horas.

Desde la sección Public Links puedes gestionar todos los enlaces activos con su fecha de expiración, el contenido que comparten y el estado de cumplimiento. Puedes crear nuevos enlaces, revocar acceso y controlar la expiración de cada uno.

El flujo típico es:

1. Localizas el archivo o correo en el backup.
2. En vez de descargarlo, eliges Create Public Link
3. Configuras expiración, contraseña y nivel de acceso
4. Compartes el enlace directamente con quien lo necesita

Los casos de uso reales son claros:

• El CEO necesita un correo urgente y Exchange está caído. 
• Un equipo necesita cinco archivos de un SharePoint enorme sin esperar una restauración completa.
• Microsoft tiene una incidencia regional.

En todos esos casos, no restauras nada, no esperas. Accedes, descargas y sigues.

El riesgo está en que son accesos externos, por lo que hay que controlar activamente la expiración de los Public Links. La plataforma lo facilita, pero la gestión depende del administrador.

Compliance y Auditoría: Report Hub, Audit Log y RTBF

Report Hub: informes programables para auditorías y dirección

La sección Report Hub centraliza toda la capacidad de reporting de la plataforma. Dispone de informes predefinidos sobre estado de backups, actividad y uso de datos, exportables en CSV o PDF.

Los informes son configurables: puedes programar envíos automáticos por correo con frecuencia mensual o semanal, seleccionar el tipo de reporte (Data Protection), el alcance por workload y conectores, y los destinatarios.

Es especialmente útil para entregar reportes periódicos a dirección, compliance o clientes sin intervención manual cada vez.

Audit Log: trazabilidad completa de toda la actividad

El Audit Log registra de forma continua toda la actividad en la plataforma, acciones de usuarios y administradores (logins, restauraciones, cambios de configuración), eventos del sistema y operaciones de recovery.

Desde el panel puedes filtrar por usuario, área, tipo de evento y rango de fechas, y exportar el resultado en CSV. Las categorías de filtro incluyen eventos de conectores, eventos de recovery, eventos de cuenta, eventos de compliance, eventos de seguridad y eventos de reporting.

Este nivel de trazabilidad es relevante en dos contextos, auditorías internas o externas, donde hay que demostrar qué ocurrió y cuándo, e investigaciones de incidentes donde necesitas reconstruir la secuencia de acciones con precisión.

RTBF: Cumplir el GDPR sin destruir el backup

El derecho al olvido (Right To Be Forgotten) es uno de los terrenos más delicados en la intersección entre backup y GDPR. En muchos sistemas, cumplirlo implica borrar datos del backup, lo cual rompe la inmutabilidad, complica las auditorías y genera contradicciones legales.

Keepit aplica un enfoque distinto. El dato no se borra físicamente, se bloquea de forma permanente. No se puede ver, no se puede restaurar, no se puede descargar, y solo los roles de compliance pueden gestionar estas solicitudes.

El resultado es que cumples con GDPR sin destruir el histórico del backup, preservando la integridad del sistema y la trazabilidad necesaria para auditorías futuras.

El proceso es sencillo, ir a RTBF, crear la solicitud, seleccionar el usuario y confirmar. La operación es irreversible, por lo que la plataforma lo advierte explícitamente antes de confirmar.

Keepit frente a la competencia: Microsoft 365 y alternativas

Microsoft 365 en detalle: Dónde están las diferencias reales

Microsoft 365 es el entorno donde la mayoría de organizaciones tienen concentrado el grueso de sus datos operativos (correo, documentos, colaboración e identidad). Es también el escenario donde las diferencias entre soluciones de backup dejan de ser marketing y se hacen evidentes en producción.

• Exchange Online es el caso más sencillo sobre el papel. Todos los proveedores relevantes respaldan buzones, carpetas y mensajes individuales. La diferencia real aparece cuando Exchange no está disponible, ya sea por una incidencia de Microsoft, por ransomware o por un problema de autenticación. Keepit permite acceder a correos directamente vía public links sin necesitar que el servicio esté operativo. El resto de soluciones, incluidas Druva y Veeam, dependen de restore o export, lo que implica tiempo y requiere que al menos parte del entorno esté funcionando.
• OneDrive for Business es el terreno con menos diferencias entre soluciones. La restauración por archivo y versión está bien cubierta en la mayoría. Keepit destaca en la previsualización directa sin necesidad de restaurar previamente, lo que agiliza las recuperaciones puntuales más habituales.
• SharePoint Online es el campo de batalla real, y donde la mayoría de soluciones muestra sus límites. SharePoint no es solo un repositorio de archivos: es estructura de sitios, columnas de metadatos personalizadas, permisos granulares, tipos de contenido y flujos de trabajo asociados. Restaurar solo los archivos sin respetar esa estructura resulta en sitios rotos o incompletos. Keepit maneja bien restauraciones que respetan la estructura completa, incluyendo metadatos y permisos. Druva también lo hace con solidez en escenarios enterprise. Veeam, en su modalidad Data Cloud, cubre bien la granularidad de objetos, aunque restauraciones de sitios complejos pueden requerir más pasos manuales.
• Microsoft Teams es el caso más delicado desde el punto de vista legal. Teams mezcla en la misma plataforma archivos almacenados en SharePoint, mensajes de canal, chats privados y grabaciones, cada capa con implicaciones regulatorias distintas en Europa. Keepit soporta chats pero los separa explícitamente del backup estándar y avisa de su impacto legal. Druva también ha extendido su cobertura a los chats privados de Teams, incluyendo conversaciones individuales y de grupo, asegurando que sean recuperables para cumplimiento. Veeam Data Cloud cubre Teams a nivel de archivos y canales, con soporte para canales privados y compartidos añadido en versiones recientes.
• Entra ID (Azure AD) es el gran olvidado en muchas evaluaciones de backup. Un tenant sin sus objetos de identidad (usuarios, grupos, roles, permisos, políticas de acceso condicional) no se puede recuperar aunque tengas todos los archivos. Keepit protege Entra ID como conector independiente. Veeam Data Cloud también incluye protección de Entra ID, con restauración granular de atributos, grupos y registros. Druva cubre Entra ID dentro de su plataforma unificada de Microsoft 365.

Comparativa con otras soluciones

No hay solución universal. Hay decisiones informadas o decisiones por inercia. La tabla siguiente resume las diferencias clave en los criterios que más importan en entornos regulados y con obligaciones de compliance:

Criterio	Keepit	Druva	Veeam Data Cloud	Afi.ai
Arquitectura	SaaS-to-SaaS puro, infraestructura propia	SaaS sobre AWS + Azure	SaaS sobre Azure	SaaS sobre nube pública
Inmutabilidad	Estructural, por diseño, no desactivable	Air-gapped e inmutable por política	Inmutable a nivel de servicio, configurable	Inmutable vía almacenamiento de objetos
Soberanía del dato	Centros de datos propios, sin subprocesadores, sin replicación cruzada	Almacenamiento en AWS/Azure según región elegida	Azure Storage, selección de región, soberanía configurable	Depende de la región de nube pública seleccionada
Licenciamiento	Por usuario, sin coste por volumen	Por usuario o por volumen según plan	Por usuario, almacenamiento incluido	Por usuario
Microsoft 365	Exchange, OneDrive, SharePoint, Teams, Entra ID	Exchange, OneDrive, SharePoint, Teams, Entra ID, Dynamics 365	Exchange, OneDrive, SharePoint, Teams, Entra ID	Exchange, OneDrive, SharePoint, Teams
Otras plataformas	Google Workspace, Salesforce, Slack, Jira, GitHub, Zendesk y más	Endpoints, AWS, Azure, Salesforce, Google Workspace	Salesforce, Azure, más workloads en roadmap	Google Workspace, Salesforce
Acceso sin SaaS	Sí, vía Public Links con expiración y auditoría	No equivalente directo	No equivalente directo	No equivalente directo
RTBF / GDPR	Bloqueo sin borrado físico, solo roles de compliance	Soportado vía legal hold y eDiscovery	Soportado vía retención y políticas de cumplimiento	Funcionalidad básica
Detección de amenazas	No incluida de forma nativa	Sí, anomaly detection, MDDR 24/7, cuarentena	Sí, detección de malware integrada	Anomaly detection básica
Perfil ideal	Regulado europeo, soberanía estricta, simplicidad operativa	Enterprise global, cyber resilience avanzado, múltiples workloads	Organizaciones ya en ecosistema Veeam, híbrido on-prem + cloud	Pymes y mid-market cloud-first con presupuesto ajustado

Analizando cada solución con más detalle:

• Keepit es la opción más sólida cuando los requisitos de soberanía del dato son estrictos y no negociables. Su inmutabilidad estructural, la ausencia de subprocesadores externos y el modelo de licenciamiento sin sorpresas por volumen lo hacen especialmente relevante para organizaciones europeas en sectores regulados (legal, salud, administración pública y finanzas). El acceso a datos vía public links sin necesidad de que el SaaS esté operativo es una ventaja funcional que ningún competidor directo replica de forma comparable.
• Druva es la referencia para grandes organizaciones con necesidades de cyber resilience avanzadas. Su plataforma unificada cubre múltiples workloads desde una sola consola, con detección de anomalías basada en IA, recuperación de ransomware con cuarentena y un acuerdo de garantía de resiliencia de datos de 10 millones de dólares para clientes cualificados. Su alianza estratégica con Microsoft anunciada en 2025 refuerza además su integración con el ecosistema Azure. El punto débil respecto a Keepit es que sus datos residen en infraestructura de terceros (AWS o Azure), lo que en algunos escenarios regulatorios europeos puede complicar la justificación de soberanía.
• Veeam Data Cloud es el movimiento natural para organizaciones que ya confían en Veeam para entornos híbridos o on-premise. Su modelo permite seleccionar la región de Azure donde reside el backup, incluyendo opciones en España y Europa, con inmutabilidad a nivel de arquitectura que impide manipulaciones incluso con permisos elevados. El precio es por usuario con almacenamiento ilimitado incluido, lo que lo acerca al modelo de Keepit en términos de previsibilidad de costes. Su complejidad operativa es mayor cuando se combina con Veeam Data Platform para entornos on-premise, aunque Veeam Data Cloud como servicio puro es bastante más sencillo de gestionar.
• Afi.ai es la opción racional para pymes y mid-market que necesitan cubrir Microsoft 365 y Google Workspace con una curva de entrada baja y un coste predecible. Su arquitectura de microservicios y el uso de IA para reducir tareas administrativas manuales le da una ventaja en entornos con equipos IT reducidos. No compite en profundidad con Keepit o Druva en escenarios enterprise, soberanía estricta o recuperación ante incidentes complejos, pero para el caso de uso habitual, funciona bien y sin fricciones.

La decisión final depende menos de las hojas de características y más de tres preguntas concretas:

• ¿Dónde tiene que residir el dato y quién puede tocarlo?
• ¿Cuál es el escenario de recuperación más crítico en tu organización?
• ¿Cuánta complejidad operativa puedes asumir?

Las respuestas a esas tres preguntas eliminan dos o tres opciones de la lista antes de entrar en una demo.

 

El backup SaaS no va de “copiar datos”

El backup SaaS moderno no va solo de recuperar archivos. Va de poder recuperar con confianza, rapidez y sin improvisación cuando algo falla. Va de cumplir la ley, resistir incidentes, mantener el negocio operativo y tener una respuesta preparada cuando el proveedor SaaS no responde.

Keepit resuelve este problema con una arquitectura que hace del backup algo cotidiano y operativamente invisible, hasta que lo necesitas de verdad. El flujo diario es exactamente así de limpio:

1. Configuras los Connectors una vez.
2. Los backups se ejecutan automáticamente cada 12 horas.
3. Supervisas el estado desde el Dashboard y el Job Monitor.
4. Generas informes desde el Report Hub.
5. Restauras o compartes datos mediante Public Links.
6. Auditas toda la actividad desde el Audit Log.
7. Gestionas el cumplimiento GDPR desde RTBF.

Para entornos regulados, con obligaciones de residencia del dato, o donde la continuidad operativa no admite improvisación, Keepit es una de las pocas soluciones que puede justificar cada una de esas capas de forma técnica, no solo comercial.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!