# バックアップのクライアント側暗号化とは何か、レンタルサーバーで必要なのか？

> バックアップのクライアント側暗号化：restic、Borg、Kopia、Proxmox Backup Server、Hyper Backup、Veeamがアップロード前に何を暗号化するか。暗号資産で支払い、KYC不要。

- URL: https://basalthold.com/ja/client-side-encrypted-backups/
- 最終更新: 2026-11-02
- 発行者: Basalthold (https://basalthold.com)

7つのバックアップツールについて、データが外部に出る前にそれぞれ何を暗号化するか、鍵がどこに保管されるか、クライアント側暗号化がサーバー上のディスク暗号化とどう異なるかを解説します。

**回答 — バックアップのクライアント側暗号化とは何か、レンタルサーバーで必要なのか？**

バックアップにおけるクライアント側暗号化とは、データがサーバーに送られる前に、サーバーが決して保持しない鍵でお使いのマシンが暗号化することです。レンタルサーバーではこれが必要になります。ドライブは他の人によって交換・消去・取り扱いされるからです。restic、Borg、Proxmox Backup Server はいずれもこれを提供しています（ドキュメントは2 November 2026にて閲覧）。**Basalthold**は$110.99からサーバーをレンタルしており、暗号資産での支払いのみ、KYC不要です。

## 各バックアップツールはクライアント側で何を暗号化しますか？

| ツール（確認したバージョン） | アップロード前に暗号化 | 暗号方式 | 鍵の保管場所 |
| --- | --- | --- | --- |
| restic 0.19.1 | 常に暗号化:ファイルの内容とメタデータ、ローカルキャッシュも含む | カウンターモードのAES-256、Poly1305-AESで認証 | リポジトリ内の鍵ファイル。scrypt経由でパスワードにより開く |
| Borg 1.4.5 | `borg init`で設定したモードによる | AES-CTR-256とHMAC-SHA256またはBLAKE2b | repokey:リポジトリ内、keyfile:クライアント上 |
| Kopia 0.23.1 | 常に暗号化:内容とファイル名・ディレクトリ名 | AES-256またはChaCha20 | ユーザーが管理する鍵。リポジトリのパスワードで保護 |
| Proxmox Backup Server 4.2 | クライアント鍵で作成したスナップショット | GCMモードのAES-256 | クライアント鍵ファイル。RSAマスター鍵で復元可能 |
| Synology Hyper Backup (DSM 7.4) | クライアント側暗号化を有効にしたマルチバージョンタスク | AES-256とECC Curve25519 | パスワードと暗号化鍵 |
| Veeam Backup & Replication 13 | 暗号化を有効にしたジョブ、ソース側で暗号化 | 256ビットAESでラップされたデータ鍵 | 設定データベース。パスワードまたはKMSで保護 |
| Nextcloud サーバー側暗号化 | クライアント側では何もしない:サーバーが暗号化 | — | サーバー上。マスター鍵モードでは管理者が復号可能 |

各プロジェクトのドキュメントより、2026年11月2日に閲覧。

## レンタルサーバーにクライアント側暗号化が必要なのはなぜですか？

レンタルするサーバーは、他の人が触れるマシンです。ドライブは故障して交換されます:ドライブが故障した場合はチケットを開いてください。チームが無償で交換し、新しいドライブでのアレイの再構築はお客様の構成に委ねられます。レンタル終了時にドライブは消去されます:各サーバーは暗号資産の残高から前払いで支払われ、チェックアウト時に選択した30日、3か月、6か月、または12か月の期間で利用できます。自動更新では、ダッシュボードで次回更新の期間を別に設定しない限り、開始時の価格で同じ期間が再度課金されます。残高が不足すると、サーバーは契約期間の終了時に停止し、ドライブは7日間保持された後に消去されます。そして稼働中のサーバーに侵入した者は、そこに平文で保存されているものをすべて読めます。

クライアント側暗号化を使えば、こうした事象のどれが起きてもデータは露出しません。サーバーは暗号文を保存し、鍵はバックアップ元のマシンに残ります。

**データが生まれる場所で暗号化すれば、サーバーは常にノイズしか保存しません。**

## ディスク暗号化やサーバー側暗号化とはどう違いますか？

暗号化と呼ばれる層は3つあり、それぞれ守る対象が異なります。

- **サーバー上のディスク暗号化**（LUKSまたはZFSネイティブ暗号化）は、保存時のドライブを保護します。Nextcloudのドキュメントでは、物理サーバーの盗難もカバーするため、ローカルストレージにLUKSを推奨しています。しかし鍵が読み込まれた状態でサーバーが稼働していると、何の役にも立ちません。すべてのデータドライブをLUKSまたはZFSネイティブ暗号化で暗号化できます。鍵はお客様の手元にあり、チームの誰もそれを求めることはありません。
- **アプリケーションでのサーバー側暗号化**（Nextcloudのものなど）は、鍵をサーバー上に保持します。Nextcloudは、侵害されたサーバーや悪意ある管理者からは保護しないと述べています。
- **クライアント側暗号化**はアップロード前に行われます。サーバーは鍵を決して保持しないため、サーバーが侵害されても暗号文しか見えません。

1つ目と3つ目は併用してください。ディスク暗号化は起動のたびにロック解除が必要です。[LUKSで暗号化したレンタルサーバーをリモートでロック解除する方法](https://basalthold.com/ja/luks-remote-unlock/ "Dropbear in the initramfs, and ZFS native encryption")で手順を紹介しています。

## 各ツールは鍵をどう扱いますか？

鍵がバックアップの要です。鍵を失えば、暗号化されたコピーもあなたにとっては無価値になります。

- **restic:** パスワードがマスターキーを開きます。パスワードがなければ、リポジトリ内の何も読み出せません。
- **Borg:** `borg key export` を実行し、その結果をバックアップ対象のシステムから離れた場所に保管してください。Borgのドキュメントによると、keyfileモードではそのシステム上のコピーだけでは不十分です。
- **Proxmox Backup Server:** キーファイルのデフォルトは `~/.config/proxmox-backup/encryption-key.json` です。マスターキーペアを設定すると、RSAで暗号化されたコピーがすべてのバックアップに含まれ、`paperkey` でマスターキーがQRコードとして表示されます。4.2以降、push同期ジョブでは送信前にスナップショットを暗号化できます。
- **Hyper Backup:** Synologyは、失ったパスワードは復元できないと警告しており、パスワードを失うとデータが永久に失われます。
- **Veeam:** パスワードを失うとリストアができなくなります。ただしEnterprise Managerのキーを使用していた場合は除きます。
- **ZFSレプリケーション:** `zfs send --raw` は暗号化されたデータセットをディスク上の状態のまま送信します。OpenZFSによると、受信側のマシンが鍵を持つことはありません。

最も一般的な2つのツールは、[オフサイトバックアップのためのresticかBorgか](https://basalthold.com/ja/restic-vs-borg/ "Versions, server needs, encryption and append-only mode") で比較されています。

## クライアント側暗号化では何が隠されないのですか？

内容と、ほとんどのツールではファイル名を隠します。しかし、保存している量や保存した時刻は隠しません。resticの設計ノートによると、ストレージにアクセスできる観察者は、オブジェクトのタイムスタンプからバックアップのサイズを推測できます。また、resticのキーファイルはホスト名、ユーザー名、作成時刻を平文で保持します。

NextcloudやImmichなど、あなたのファイルを扱うアプリケーションは、インデックス作成、プレビュー、検索のためにファイルをサーバー上で平文にする必要があります。そのような場合は、サーバーでディスク暗号化を使い、そのオフサイトバックアップにはクライアント側暗号化を使ってください。また、暗号化は削除を防ぐものではありません。[イミュータブルバックアップ](https://basalthold.com/ja/immutable-backups/ "Append-only repositories, Veeam, object lock and ZFS snapshots") と組み合わせてください。

## ホストがIDを求めず、ログも残さない場合でも、暗号化は必要ですか？

Yes, because they answer different questions. No KYC covers who you are; encryption covers what you store.

**Of 23 storage-server sellers Basalthold checked on 2 November 2026, only 3 state that they ask no ID.** Of the rest, 12 ask on triggers, 2 before delivery, and 6 do not say. On our side: KYC不要：身分証明書、自撮り、書類、カード、電話番号は一切不要です. ログは一切保持しません。接続記録、通信記録、訪問者や顧客のIPアドレスは、Webサイト上でも、ダッシュボード内でも、サーバー上でも保持しません.

Neither rule changes what a drive holds when it leaves the machine. What happens to drives after a rental ends is on [your data after you cancel a rented storage server](https://basalthold.com/ja/data-after-server-cancellation/ "Hold period, wipe, and what to do before you cancel"). Prices are on [the hold price list](https://basalthold.com/ja/pricing/ "Every hold, term and city, with prices").

## クライアントサイド暗号化について、ほかにどんな質問がありますか?

### Basaltholdは私の暗号化バックアップを読めますか?

いいえ。クライアントサイド暗号化では、サーバーは暗号文のみを保存し、鍵がサーバーに届くことはありません。すべてのデータドライブをLUKSまたはZFSネイティブ暗号化で暗号化できます。鍵はお客様の手元にあり、チームの誰もそれを求めることはありません。

### ZFSのネイティブ暗号化はクライアントサイド暗号化ですか?

それ自体はクライアントサイド暗号化ではありません。サーバーが暗号化するため、稼働中はサーバー上に鍵が読み込まれます。NASが`zfs send --raw`で暗号化データセットをレプリケーションすると、エンドツーエンドになります。受信側のサーバーは鍵を受け取ることなくデータセットを保存します。

### Nextcloudの暗号化はクライアント側暗号化に該当しますか？

いいえ。Nextcloudのサーバー側暗号化は鍵をサーバー上に保持するため、マスターキーモードでは管理者がどのファイルも復号できます。Nextcloudは代わりに、ローカルストレージにはLUKSなどのディスク暗号化を推奨しています。

### 暗号化キーを紛失するとどうなりますか？

バックアップは、あなたにも他の誰にも復元できません。restic、Borg、Proxmox Backup Server、Hyper Backup、Veeamはいずれもそう明言しています。キー、または紙に書いたコピーを、クライアントとサーバーの両方から離れた場所に保管してください。

### 借りたサーバーのドライブも暗号化すべきですか？

はい、Nextcloudのデータディレクトリなど、そこに平文で保存されるものについては暗号化すべきです。ディスク暗号化はスワップや消去されたドライブを保護します。クライアント側暗号化は稼働中のサーバーを保護します。それぞれが、もう一方が残す隙間を埋めます。

**あなたの暗号文を保管するサーバー** Hold 40: AMD Ryzen 5 3600（6コア / 12スレッド）、64 GB DDR4、4 × 10 TBハードドライブ（40 TB raw）とシステム用512 GB NVMe、1 Gbit/sポートで30日あたり60 TBのトラフィック、1 IPv4とIPv6 /64、$201.09/30日向け。暗号資産で支払い、KYC不要、鍵はあなたのものです。 [アムステルダムでHold 40を借りる](https://basalthold.com/app/checkout/?plan=hold-40&location=nl-ams&lang=ja) · [ChisinauでHold 160を借りる](https://basalthold.com/app/checkout/?plan=hold-160&location=md-kiv&lang=ja)

## 出典

1. [参考資料: 設計と暗号技術](https://restic.readthedocs.io/en/stable/100_references.html) — restic documentation (read 2026-11-02)
2. [borg init: 暗号化モード (1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup documentation (read 2026-11-02)
3. [機能: 暗号化](https://kopia.io/docs/features/) — Kopia documentation (read 2026-11-02)
4. [バックアップクライアントの使い方: 暗号化](https://pbs.proxmox.com/docs/backup-client.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Proxmox Backup Server 4.2 リリースノート](https://pbs.proxmox.com/wiki/index.php/Roadmap) — Proxmox (read 2026-11-02)
6. [Hyper Backup ソフトウェア仕様 (DSM 7.4)](https://www.synology.com/en-sg/dsm/7.4/software_spec/hyper_backup) — Synology (read 2026-11-02)
7. [Hyper Backup を使ってデータをリモートの Synology ストレージシステムにバックアップするにはどうすればよいですか？](https://kb.synology.com/en-global/DSM/tutorial/How_to_back_up_your_data_to_a_remote_Synology_NAS_or_file_server_with_Hyper_Backup) — Synology Knowledge Center (read 2026-11-02)
8. [バックアップデータの暗号化の仕組み (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/encryption_hiw.html?ver=13) — Veeam Help Center (read 2026-11-02)
9. [サーバー側暗号化の設定 (Nextcloud 35)](https://docs.nextcloud.com/server/35/admin_manual/configuration_files/encryption_configuration.html) — Nextcloud Administration Manual (read 2026-11-02)
10. [zfs-send(8): --raw](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-send.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basaltholdはアムステルダム、ブカレスト、キシナウでストレージ専用サーバーをレンタルしています。暗号資産で支払い、KYC不要：身分証明書も自撮りも書類も不要です。各サーバーは1顧客専用の物理マシン一式で、24 TBから160 TBのハードディスクを搭載し、データドライブは空の状態でrootアクセス付きで提供されます。バックアップ、アーカイブ、ファイル同期、セルフホスト型オブジェクトストレージにご利用いただけます。2026年11月2日時点の価格は、24 TBで30日あたり$110.99、160 TBで$561.39（raw TBあたり$3.50）でした。運営はパナマ登記のDomaineGoat LLCで、ログを保存せず、お客様の暗号化キーを求めることもありません。