¿Qué es el cifrado en el cliente para copias de seguridad y lo necesito en un servidor alquilado?

¿Por qué un servidor alquilado necesita cifrado del lado del cliente?

Un servidor que alquilas es una máquina que otras personas pueden tocar. Los discos fallan y se sustituyen: Cuando falla un disco, abre un ticket: el equipo lo sustituye sin coste, y reconstruir el array en el nuevo disco depende de tu configuración. Los discos se borran cuando termina el alquiler: Cada servidor se paga por adelantado desde tu saldo en criptomonedas, por 30 días, 3 meses, 6 meses o 12 meses según elijas al pagar. La renovación automática vuelve a cobrar el mismo periodo al precio con el que empezaste, salvo que establezcas otro periodo para la siguiente renovación en el panel; cuando el saldo no alcanza, el servidor se detiene al final de su periodo, sus discos se conservan durante 7 días y después se borran. Y cualquiera que entre en el servidor en funcionamiento lee en claro todo lo que contiene.

Con el cifrado del lado del cliente, ninguno de esos sucesos expone tus datos. El servidor guarda texto cifrado y la clave se queda en las máquinas de las que haces copia de seguridad.

Cifra donde nace el dato y el servidor solo almacenará ruido.

¿En qué se diferencia del cifrado de disco o del cifrado del lado del servidor?

Hay tres capas a las que se llama cifrado y protegen contra cosas distintas.

• Cifrado de disco en el servidor (LUKS o el cifrado nativo de ZFS) protege los discos en reposo. La documentación de Nextcloud sugiere LUKS para el almacenamiento local, porque también cubre el robo del servidor físico. No hace nada cuando el servidor ya funciona con la clave cargada. Puedes cifrar cada disco de datos con LUKS o con el cifrado nativo de ZFS; las claves se quedan contigo y nadie del equipo te las pide nunca.
• Cifrado del lado del servidor en una aplicación, como el de Nextcloud, mantiene las claves en el servidor. Nextcloud dice que no protege contra un servidor comprometido ni contra un administrador malintencionado.
• El cifrado del lado del cliente ocurre antes de subir. El servidor nunca tiene la clave, así que un servidor comprometido sigue viendo solo texto cifrado.

Usa el primero y el tercero juntos. El cifrado de disco necesita un desbloqueo en cada arranque; desbloquear de forma remota un servidor alquilado cifrado con LUKS muestra cómo hacerlo.

¿Cómo gestiona cada herramienta la clave?

La clave es la copia de seguridad. Si la pierdes, la copia cifrada tampoco te sirve de nada.

• restic: tu contraseña abre la clave maestra. Sin ella, no se puede leer nada del repositorio.
• Borg: ejecuta borg key export y guarda el resultado lejos del sistema respaldado. La documentación de Borg dice que una copia en ese sistema no basta para el modo keyfile.
• Proxmox Backup Server: el archivo de clave se guarda por defecto en ~/.config/proxmox-backup/encryption-key.json. Un par de claves maestras coloca una copia cifrada con RSA en cada copia de seguridad, y paperkey imprime la clave maestra como código QR. Desde la 4.2, los trabajos de sincronización push pueden cifrar las instantáneas antes de enviarlas.
• Hyper Backup: Synology advierte de que no puede recuperar una contraseña perdida, y perderla implica una pérdida de datos permanente.
• Veeam: una contraseña perdida bloquea las restauraciones, salvo que se hayan usado las claves de Enterprise Manager.
• Replicación ZFS: zfs send --raw envía los datasets cifrados tal como están en el disco. OpenZFS dice que la máquina receptora nunca tiene las claves.

Las dos herramientas más comunes se comparan en restic o Borg para copias de seguridad fuera de sitio.

¿Qué no oculta el cifrado del lado del cliente?

Oculta el contenido y, en la mayoría de las herramientas, los nombres. No oculta cuánto almacenas ni cuándo. Las propias notas de diseño de restic dicen que un observador con acceso al almacenamiento puede deducir el tamaño de las copias de seguridad a partir de las marcas de tiempo de los objetos. Sus archivos de clave también guardan el nombre de host, el nombre de usuario y la hora de creación en texto plano.

Las aplicaciones que trabajan con tus archivos, como Nextcloud o Immich, los necesitan en claro en el servidor para indexar, previsualizar y buscar. Para esas, usa el cifrado de disco en el servidor y el cifrado del lado del cliente para sus copias de seguridad fuera de sitio. El cifrado tampoco impide el borrado: combínalo con copias de seguridad inmutables.

¿Sigo necesitando cifrado si el proveedor no pide identificación y no guarda registros?

Sí, porque responden a preguntas distintas. No pedir KYC cubre quién eres; el cifrado cubre lo que almacenas.

De 23 vendedores de servidores de almacenamiento Basalthold comprobados el 2 November 2026, solo 3 afirman que no piden identificación. Del resto, 12 la piden en determinados casos, 2 antes de la entrega y 6 no lo dicen. Por nuestra parte: Sin KYC: sin documento de identidad, sin selfie, sin documentos, sin tarjeta y sin número de teléfono, en ningún momento. No se guardan logs: ni registros de conexiones, ni registros de tráfico, ni direcciones IP de visitantes o clientes, ni en el sitio web, ni en el panel, ni en los servidores.

Ninguna de las dos reglas cambia lo que contiene un disco cuando sale de la máquina. Lo que pasa con los discos cuando termina un alquiler está en tus datos después de cancelar un servidor de almacenamiento alquilado. Los precios están en la lista de precios de alojamiento.