Бэкап: полный оффсайт-бэкап прода на VPS (БД + uploads + achievements) + восстановление

- scripts/backup.sh: консистентный снимок SQLite (.backup) + архив fs_<TS>.tar.gz с uploads и
  achievements в backups/, локальная ротация; при заданном BACKUP_VPS_HOST — push на VPS (scp
  отдельным ключом/юзером) с удалённой ротацией. Настройки читаются из .env (BACKUP_*).
- scripts/restore.sh: восстановление архива в прод (stop app → очистка тома → docker cp → start).
- .env.example: блок BACKUP_* (host/user/dir/key/keep). .gitignore: id_backup* (ключ бэкапа).
- deploy/pi/README, deploy/vps/README: настройка ключа и юзера backup, /srv/fs-backups, cron, restore.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

deploy/pi/README.md

@@ -38,8 +38,26 @@ git pull
 docker compose up -d --build
 ```
 
-## Бэкап БД
-`scripts/backup.sh` (консистентная онлайн-копия SQLite; по cron на хосте). Том БД — `db-data`.
+## Бэкап (полный + оффсайт на VPS)
+`scripts/backup.sh` делает консистентный онлайн-снимок и собирает **полный** архив
+`fs_<TS>.tar.gz` (БД + `uploads/` + `achievements/`) в `backups/` с ротацией. Если в `.env`
+задан `BACKUP_VPS_HOST` — копия дополнительно уходит на VPS (оффсайт; Pi → VPS push, т.к. CGNAT).
+
+Настройка оффсайта (один раз):
+```bash
+# 1) отдельный ключ бэкапа + его pubkey на VPS (юзер backup — см. deploy/vps/README.md):
+ssh-keygen -t ed25519 -f deploy/backup/id_backup -N ""
+ssh-copy-id -i deploy/backup/id_backup.pub backup@186.246.51.17
+# 2) в .env заполнить BACKUP_VPS_HOST=186.246.51.17 (по желанию — BACKUP_VPS_USER/DIR/KEEP_*)
+# 3) разовый прогон и проверка, что архив доехал на VPS:
+scripts/backup.sh
+# 4) cron (ежедневно в 04:00):
+crontab -e
+#   0 4 * * * /home/pi/ForbidenStarsApp/scripts/backup.sh >> /var/log/fs-backup.log 2>&1
+```
+
+Восстановление: `scripts/restore.sh backups/fs_<TS>.tar.gz` (ДЕСТРУКТИВНО — заменяет текущие
+данные; сначала проверь на тест-контуре). Тома — `db-data` / `uploads-data` / `achievements-data`.
 
 Логи: `docker compose logs -f app` / `... tunnel`. Если `https://forbiddenstars.ru` отдаёт
 502 — значит туннель не поднят: смотри `docker compose logs tunnel` (чаще всего ключ не в

deploy/vps/README.md

@@ -108,3 +108,18 @@ systemctl reload caddy
    (HTTP 503), это ожидаемо.
 
 Логи Caddy: `journalctl -u caddy -f`.
+
+## 8. Приём бэкапов с Pi (оффсайт-копии)
+Pi ежедневно шлёт полный архив (`scripts/backup.sh`) на VPS отдельным пользователем `backup`
+(не путать с `tunnel`). Каталог — **вне** веб-корней Caddy, права 700.
+```bash
+useradd -m -s /bin/bash backup
+install -d -m 700 -o backup -g backup /home/backup/.ssh
+install -m 600 -o backup -g backup /dev/null /home/backup/.ssh/authorized_keys
+install -d -m 700 -o backup -g backup /srv/fs-backups
+# Публичный ключ бэкапа с Pi (deploy/backup/id_backup.pub) добавь в authorized_keys:
+#   echo '<содержимое id_backup.pub>' >> /home/backup/.ssh/authorized_keys
+```
+> Ротацию на VPS делает сам скрипт с Pi (`BACKUP_KEEP_REMOTE`, по умолч. 30). Каталог
+> `/srv/fs-backups` не отдаётся Caddy (нет `root`/`file_server` на него) → бэкапы не публичны.
+> Проверка приёма: после `scripts/backup.sh` на Pi → `ls -1 /srv/fs-backups/` на VPS.