feat(backup): Off-Site-Upload nach S3 + SFTP

Schutz gegen Box-Total-Loss — lokale Backups in /var/backups/edgeguard
helfen nicht, wenn die Disk stirbt oder die Box brennt. Nach jedem
erfolgreichen lokalen Backup wird die tar.gz an alle aktiven
Off-Site-Ziele hochgeladen.

Migration 0022: backup_remotes (kind=s3|sftp, target_url, settings
JSONB, active, last_upload_at, last_error) + backups.remote_uploads
JSONB (per-Target-Result).

internal/services/backup/remote/:
  - UploadAll() — pro aktivem Target ein Upload, Failures non-fatal
  - S3 via minio-go/v7 — funktioniert mit AWS, MinIO, Backblaze B2,
    Cloudflare R2, Hetzner Object Storage (alle S3-API-kompatibel)
  - SFTP via golang.org/x/crypto/ssh + pkg/sftp. Password + Private-
    Key (OpenSSH, base64-encoded) als Auth. Optional host_key_
    fingerprint-Pinning (SHA256:...); leer = TOFU (unsicher vs MitM,
    OK für initial setup).
  - Test() lädt eine 1KB-Probe + löscht sie wieder — Operator-UI hat
    einen „Verbindung testen"-Button.

backup.Service.RemoteUploader-Interface: nach erfolgreichem
recordSuccess() läuft UploadAll, Results landen in backups.remote_
uploads JSONB. last_upload_at/last_error in backup_remotes pro Target
gepflegt. API + Scheduler injizieren beide den Adapter.

internal/handlers/backup_remotes.go: CRUD + POST /:id/test. Sensitive
Felder (secret_key, password, private_key) werden in GET-Responses
durch ***SET*** maskiert; UpdateChannel merged das zurück damit der
Operator bei Edit ohne Re-Eingabe speichern kann.

UI: Backups-Page jetzt mit Tabs "Sicherungen" + "Off-Site-Ziele".
Tab 2 hat CRUD-Tabelle mit kind-konditionalem Form (S3-Felder oder
SFTP-Felder), Test-Button pro Row, last_upload-Status mit FAIL-Tag
bei Errors.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

management-ui/src/i18n/locales/de/common.json

@@ -711,6 +711,26 @@
       "delivered": "Gesendet"
     }
   },
+  "remotes": {
+    "scopeTitle": "Off-Site-Backup-Ziele",
+    "scopeDesc": "Nach jedem erfolgreichen lokalen Backup wird das tar.gz in alle aktiven Ziele hochgeladen. S3-Endpoints (AWS, MinIO, Backblaze B2, Cloudflare R2, Hetzner Object Storage) und SFTP/SSH. Schutz gegen Box-Total-Loss.",
+    "add": "Ziel hinzufügen",
+    "addTitle": "Off-Site-Ziel anlegen",
+    "editTitle": "Off-Site-Ziel bearbeiten",
+    "empty": "Keine Off-Site-Ziele. Lokale Backups schützen NICHT gegen Disk-Verlust oder Box-Total-Defekt.",
+    "test": "Test",
+    "testOk": "Test erfolgreich — Verbindung + Upload + Cleanup OK.",
+    "testFailed": "Test fehlgeschlagen",
+    "confirmDelete": "Ziel {{name}} wirklich löschen?",
+    "targetExtra": "Frei-Text-Label für die Übersicht. Setze hier den Bucket/Path-Hinweis (s3://my-bucket oder sftp://backup@host).",
+    "col": {
+      "name": "Name",
+      "kind": "Typ",
+      "target": "Ziel",
+      "lastUpload": "Letzter Upload",
+      "active": "Aktiv"
+    }
+  },
   "diag": {
     "title": "Diagnose",
     "intro": "Operator-Tools direkt aus dem UI: ping, traceroute, DNS, HTTP-Probe, TCP-Connect. Alle Calls laufen authentifiziert auf dieser Box (nicht im Browser).",
@@ -730,6 +750,7 @@
     "intro": "Sicherungen der PostgreSQL-Datenbank + /var/lib/edgeguard (Setup, License, JWT, ACME-Account). Täglicher Auto-Job + manueller Trigger.",
     "scopeTitle": "Was wird gesichert?",
     "scopeDesc": "DB-Dump (pg_dump --clean), setup.json, license_key, license.cache, .jwt_fingerprint, acme-account/. Konfig-Dateien (haproxy.cfg, nft, …) sind aus der DB regenerierbar und werden NICHT mitgesichert.",
+    "tabs": { "history": "Sicherungen", "remotes": "Off-Site-Ziele" },
     "runNow": "Backup jetzt erstellen",
     "created": "Backup erstellt: {{file}}",
     "failed": "Backup fehlgeschlagen",

management-ui/src/i18n/locales/en/common.json

@@ -711,6 +711,26 @@
       "delivered": "Delivered"
     }
   },
+  "remotes": {
+    "scopeTitle": "Off-site backup targets",
+    "scopeDesc": "After every successful local backup, the tar.gz is uploaded to all active targets. S3 endpoints (AWS, MinIO, Backblaze B2, Cloudflare R2, Hetzner Object Storage) and SFTP/SSH. Protects against box loss.",
+    "add": "Add target",
+    "addTitle": "Add off-site target",
+    "editTitle": "Edit off-site target",
+    "empty": "No off-site targets. Local backups do NOT protect against disk loss or full box failure.",
+    "test": "Test",
+    "testOk": "Test OK — connect, upload + cleanup all worked.",
+    "testFailed": "Test failed",
+    "confirmDelete": "Really delete target {{name}}?",
+    "targetExtra": "Free-text label for the overview. Use bucket/path hint (s3://my-bucket or sftp://backup@host).",
+    "col": {
+      "name": "Name",
+      "kind": "Kind",
+      "target": "Target",
+      "lastUpload": "Last upload",
+      "active": "Active"
+    }
+  },
   "diag": {
     "title": "Diagnostics",
     "intro": "Operator tools straight from the UI: ping, traceroute, DNS, HTTP probe, TCP connect. All calls run authenticated on this box (not in the browser).",
@@ -730,6 +750,7 @@
     "intro": "Snapshots of the PostgreSQL database + /var/lib/edgeguard (setup, license, JWT, ACME account). Daily auto job + manual trigger.",
     "scopeTitle": "What is backed up?",
     "scopeDesc": "DB dump (pg_dump --clean), setup.json, license_key, license.cache, .jwt_fingerprint, acme-account/. Generated configs (haproxy.cfg, nft, …) are reproducible from the DB and are NOT included.",
+    "tabs": { "history": "Backups", "remotes": "Off-site targets" },
     "runNow": "Run backup now",
     "created": "Backup created: {{file}}",
     "failed": "Backup failed",