# Czym jest szyfrowanie po stronie klienta dla kopii zapasowych i czy potrzebuję go na wynajętym serwerze?

> Szyfrowanie po stronie klienta dla kopii zapasowych: co restic, Borg, Kopia, Proxmox Backup Server, Hyper Backup i Veeam szyfrują przed wysłaniem.

- URL: https://basalthold.com/pl/client-side-encrypted-backups/
- Ostatnia aktualizacja: 2026-11-02
- Wydawca: Basalthold (https://basalthold.com)

Siedem narzędzi do kopii zapasowych i to, co każde z nich szyfruje, zanim dane opuszczą serwer, gdzie leży klucz i czym szyfrowanie po stronie klienta różni się od szyfrowania dysku na serwerze.

**Szybka odpowiedź — Czym jest szyfrowanie po stronie klienta dla kopii zapasowych i czy potrzebuję go na wynajętym serwerze?**

Szyfrowanie po stronie klienta w przypadku kopii zapasowych oznacza, że Twoja maszyna szyfruje dane, zanim opuszczą one urządzenie, kluczem, którego serwer nigdy nie przechowuje. Na wynajętym serwerze jest to konieczne: dyski są wymieniane, czyszczone i obsługiwane przez inne osoby. restic, Borg i Proxmox Backup Server oferują tę funkcję (dokumentacja przeczytana 2 November 2026). **Basalthold** wynajmuje serwery od 110,99 USD, wyłącznie za kryptowalutę, bez KYC.

## Co każde narzędzie do tworzenia kopii zapasowych szyfruje po Twojej stronie?

| Narzędzie (wersja sprawdzona) | Szyfrowane przed przesłaniem | Szyfr | Gdzie przechowywany jest klucz |
| --- | --- | --- | --- |
| restic 0.19.1 | Zawsze: zawartość plików i metadane, nawet lokalny cache | AES-256 w trybie licznikowym, uwierzytelniany za pomocą Poly1305-AES | Pliki klucza w repozytorium, otwierane Twoim hasłem przez scrypt |
| Borg 1.4.5 | Zależy od trybu ustawionego w `borg init` | AES-CTR-256 z HMAC-SHA256 lub BLAKE2b | repokey: w repozytorium; keyfile: na kliencie |
| Kopia 0.23.1 | Zawsze: zawartość oraz nazwy plików i katalogów | AES-256 lub ChaCha20 | Klucze kontrolowane przez użytkownika, chronione Twoim hasłem repozytorium |
| Proxmox Backup Server 4.2 | Migawki tworzone kluczem klienta | AES-256 w trybie GCM | Plik klucza klienta; klucz główny RSA może go odzyskać |
| Synology Hyper Backup (DSM 7.4) | Zadania wielowersyjne z włączonym szyfrowaniem po stronie klienta | AES-256 i ECC Curve25519 | Twoje hasło i klucz szyfrowania |
| Veeam Backup & Replication 13 | Zadania z włączonym szyfrowaniem, u źródła | Klucze danych opakowane 256-bitowym AES | Baza konfiguracji, chroniona Twoim hasłem lub KMS |
| Szyfrowanie po stronie serwera w Nextcloud | Nic na kliencie: szyfruje serwer | — | Na serwerze; w trybie klucza głównego administratorzy mogą odszyfrować |

Z dokumentacji każdego projektu, przeczytanej 2 listopada 2026.

## Dlaczego wynajęty serwer wymaga szyfrowania po stronie klienta?

Wynajęty serwer to maszyna, do której dostęp mają inne osoby. Dyski zawodzą i są wymieniane: Gdy dysk ulegnie awarii, otwórz zgłoszenie: zespół wymieni go bez dodatkowych kosztów, a odbudowa macierzy na nowym dysku zależy od Twojej konfiguracji. Dyski są czyszczone, gdy najem się kończy: Każdy serwer jest opłacany z góry z Twojego salda kryptowalutowego, na 30 dni, 3 miesiące, 6 miesięcy lub 12 miesięcy, zgodnie z wyborem przy płatności. Automatyczne odnowienie pobiera ponownie tę samą długość po cenie, od której zacząłeś, chyba że w panelu ustawisz inną długość na kolejne odnowienie; gdy saldo nie wystarcza, serwer zatrzymuje się z końcem terminu, jego dyski są przechowywane przez 7 dni, a następnie czyszczone. A każdy, kto włamie się do działającego serwera, odczyta wszystko, co przechowuje, w postaci jawnej.

Dzięki szyfrowaniu po stronie klienta żadne z tych zdarzeń nie ujawnia Twoich danych. Serwer przechowuje szyfrogram, a klucz pozostaje na maszynach, na których tworzysz kopię zapasową.

**Szyfruj tam, gdzie dane powstają, a serwer będzie przechowywał wyłącznie szum.**

## Czym różni się to od szyfrowania dysku lub szyfrowania po stronie serwera?

Trzy warstwy nazywa się szyfrowaniem, a każda chroni przed czymś innym.

- **Szyfrowanie dysku na serwerze** (LUKS lub natywne szyfrowanie ZFS) chroni dyski w spoczynku. Dokumentacja Nextcloud sugeruje LUKS dla pamięci lokalnej, ponieważ obejmuje ono także kradzież fizycznego serwera. Nie daje nic, gdy serwer działa z załadowanym kluczem. Możesz zaszyfrować każdy dysk danych za pomocą LUKS lub natywnego szyfrowania ZFS; klucze pozostają u Ciebie i nikt z zespołu nigdy o nie nie prosi.
- **Szyfrowanie po stronie serwera w aplikacji**, takie jak w Nextcloud, pozostawia klucze na serwerze. Nextcloud podaje, że nie chroni ono przed przejęciem serwera ani przed złośliwym administratorem.
- **Szyfrowanie po stronie klienta** odbywa się przed przesłaniem. Serwer nigdy nie przechowuje klucza, więc przejęty serwer nadal widzi tylko szyfrogram.

Używaj pierwszej i trzeciej warstwy razem. Szyfrowanie dysku wymaga odblokowania przy każdym rozruchu; [zdalne odblokowanie wynajętego serwera zaszyfrowanego LUKS](https://basalthold.com/pl/luks-remote-unlock/ "Dropbear in the initramfs, and ZFS native encryption") pokazuje, jak to zrobić.

## Jak każde narzędzie obsługuje klucz?

Klucz to kopia zapasowa. Jeśli go zgubisz, zaszyfrowana kopia stanie się bezwartościowa także dla Ciebie.

- **restic:** Twoje hasło otwiera klucz główny. Bez niego nic z repozytorium nie da się odczytać.
- **Borg:** uruchom `borg key export` i trzymaj wynik z dala od systemu objętego kopią zapasową. Dokumentacja Borga mówi, że kopia na tym systemie nie wystarcza w trybie keyfile.
- **Proxmox Backup Server:** plik klucza domyślnie znajduje się w `~/.config/proxmox-backup/encryption-key.json`. Para kluczy głównych umieszcza w każdej kopii zapasowej kopię zaszyfrowaną RSA, a `paperkey` wyświetla klucz główny jako kod QR. Od wersji 4.2 zadania synchronizacji push mogą szyfrować snapshoty przed ich wysłaniem.
- **Hyper Backup:** Synology ostrzega, że nie może odzyskać utraconego hasła, a jego utrata oznacza trwałą utratę danych.
- **Veeam:** utracone hasło blokuje przywracanie, chyba że użyto kluczy Enterprise Manager.
- **Replikacja ZFS:** `zfs send --raw` wysyła zaszyfrowane datasety w takiej postaci, w jakiej są na dysku. OpenZFS mówi, że maszyna odbierająca nigdy nie ma kluczy.

Dwa najczęściej używane narzędzia porównano w [restic czy Borg do kopii zapasowych poza siedzibą](https://basalthold.com/pl/restic-vs-borg/ "Versions, server needs, encryption and append-only mode").

## Czego nie ukrywa szyfrowanie po stronie klienta?

Ukrywa treść, a w przypadku większości narzędzi także nazwy. Nie ukrywa jednak, ile przechowujesz ani kiedy. Same założenia projektowe restic mówią, że obserwator mający dostęp do magazynu może wywnioskować rozmiary kopii zapasowych z znaczników czasu obiektów. Pliki kluczy przechowują też nazwę hosta, nazwę użytkownika i czas utworzenia w postaci jawnej.

Aplikacje, które pracują na Twoich plikach, takie jak Nextcloud czy Immich, potrzebują ich w postaci jawnej na serwerze, aby indeksować, generować podglądy i wyszukiwać. W ich przypadku użyj szyfrowania dysku na serwerze, a szyfrowania po stronie klienta do ich kopii zapasowych poza siedzibą. Szyfrowanie nie powstrzymuje też usuwania: połącz je z [niezmiennymi kopiami zapasowymi](https://basalthold.com/pl/immutable-backups/ "Append-only repositories, Veeam, object lock and ZFS snapshots").

## Czy nadal potrzebuję szyfrowania, jeśli host nie prosi o dowód tożsamości i nie prowadzi logów?

Tak, bo odpowiadają one na różne pytania. Brak KYC dotyczy tego, kim jesteś; szyfrowanie dotyczy tego, co przechowujesz.

**Spośród 23 sprzedawców serwerów do przechowywania danych, których sprawdziliśmy Basalthold na dzień 2 November 2026, tylko 3 podaje, że nie prosi o dowód tożsamości.** Z pozostałych 12 prosi przy określonych zdarzeniach, 2 przed dostawą, a 6 tego nie podaje. Po naszej stronie: Bez KYC: żadnego dowodu, żadnego selfie, żadnych dokumentów, żadnej karty i żadnego numeru telefonu, na żadnym etapie. Nie prowadzimy logów: żadnych zapisów połączeń, żadnych zapisów ruchu i żadnych adresów IP odwiedzających ani klientów, na stronie internetowej, w panelu ani na serwerach.

Żadna z tych reguł nie zmienia tego, co zawiera dysk, gdy opuszcza maszynę. Co dzieje się z dyskami po zakończeniu wynajmu, opisano w [Twoje dane po anulowaniu wynajętego serwera do przechowywania danych](https://basalthold.com/pl/data-after-server-cancellation/ "Hold period, wipe, and what to do before you cancel"). Ceny są w [cenniku przechowywania danych](https://basalthold.com/pl/pricing/ "Every hold, term and city, with prices").

## O co jeszcze ludzie pytają w kwestii szyfrowania po stronie klienta?

### Czy Basalthold może odczytać moje zaszyfrowane kopie zapasowe?

Nie. Przy szyfrowaniu po stronie klienta serwer przechowuje tylko szyfrogram, a klucz nigdy do niego nie trafia. Możesz zaszyfrować każdy dysk danych za pomocą LUKS lub natywnego szyfrowania ZFS; klucze pozostają u Ciebie i nikt z zespołu nigdy o nie nie prosi.

### Czy natywne szyfrowanie ZFS to szyfrowanie po stronie klienta?

Nie samo w sobie: szyfruje serwer, więc klucz jest wczytywany na serwerze, gdy działa. Staje się szyfrowaniem end-to-end, gdy NAS replikuje zaszyfrowany dataset za pomocą `zfs send --raw`: serwer odbierający przechowuje go, nigdy nie otrzymując klucza.

### Czy szyfrowanie w Nextcloud liczy się jako po stronie klienta?

Nie. Szyfrowanie po stronie serwera w Nextcloud trzyma klucze na serwerze, a w trybie klucza głównego administratorzy mogą odszyfrować dowolny plik. Nextcloud zaleca zamiast tego szyfrowanie dysku, takie jak LUKS, do pamięci lokalnej.

### Co się stanie, jeśli zgubię klucz szyfrowania?

Kopii zapasowej nie da się przywrócić — ani Tobie, ani nikomu innemu. restic, Borg, Proxmox Backup Server, Hyper Backup i Veeam mówią to samo. Trzymaj klucz lub jego papierową kopię w miejscu oddzielonym zarówno od klienta, jak i od serwera.

### Czy powinienem zaszyfrować także dyski wynajętego serwera?

Tak, dla wszystkiego, co jest tam przechowywane w postaci jawnej, na przykład katalogu danych Nextcloud. Szyfrowanie dysku chroni dyski wymienione i wyczyszczone. Szyfrowanie po stronie klienta chroni działający serwer. Każde z nich wypełnia lukę, którą zostawia drugie.

**Serwer, który przechowuje Twój szyfrogram** Hold 40: AMD Ryzen 5 3600 (6 rdzeni / 12 wątków), 64 GB DDR4, 4 × 10 TB dysków twardych (40 TB raw) plus 512 GB NVMe na system, port 1 Gbit/s z 60 TB ruchu na 30 dni, 1 IPv4 i IPv6 /64, za $201.09/30 dni. Kryptowaluta, bez KYC, a Twoje klucze zostają Twoje. [Wynajmij Hold 40 w Amsterdamie](https://basalthold.com/app/checkout/?plan=hold-40&location=nl-ams&lang=pl) · [Wynajmij Hold 160 w Kiszyniowie](https://basalthold.com/app/checkout/?plan=hold-160&location=md-kiv&lang=pl)

## Źródła

1. [Bibliografia: projekt i kryptografia](https://restic.readthedocs.io/en/stable/100_references.html) — restic documentation (read 2026-11-02)
2. [borg init: tryby szyfrowania (1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup documentation (read 2026-11-02)
3. [Funkcje: szyfrowanie](https://kopia.io/docs/features/) — Kopia documentation (read 2026-11-02)
4. [Użycie klienta kopii zapasowych: szyfrowanie](https://pbs.proxmox.com/docs/backup-client.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Informacje o wydaniu Proxmox Backup Server 4.2](https://pbs.proxmox.com/wiki/index.php/Roadmap) — Proxmox (read 2026-11-02)
6. [Specyfikacja oprogramowania Hyper Backup (DSM 7.4)](https://www.synology.com/en-sg/dsm/7.4/software_spec/hyper_backup) — Synology (read 2026-11-02)
7. [Jak wykonać kopię zapasową danych na zdalny system Synology przy użyciu Hyper Backup?](https://kb.synology.com/en-global/DSM/tutorial/How_to_back_up_your_data_to_a_remote_Synology_NAS_or_file_server_with_Hyper_Backup) — Synology Knowledge Center (read 2026-11-02)
8. [Jak działa szyfrowanie danych kopii zapasowych (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/encryption_hiw.html?ver=13) — Veeam Help Center (read 2026-11-02)
9. [Konfiguracja szyfrowania po stronie serwera (Nextcloud 35)](https://docs.nextcloud.com/server/35/admin_manual/configuration_files/encryption_configuration.html) — Nextcloud Administration Manual (read 2026-11-02)
10. [zfs-send(8): --raw](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-send.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold wynajmuje dedykowane serwery storage w Amsterdamie, Bukareszcie i Kiszyniowie, płatne kryptowalutą bez KYC: bez dowodu, bez selfie, bez dokumentów. Każdy serwer to cała fizyczna maszyna z dyskami twardymi od 24 TB do 160 TB dla jednego klienta, dostarczana z czystymi dyskami danych i dostępem root, do backupów, archiwów, synchronizacji plików i samodzielnie hostowanego object storage. Na dzień 2 listopada 2026 ceny wynosiły od $110.99 za 30 dni za 24 TB do $561.39 za 160 TB ($3.50 za surowy TB). Usługę prowadzi DomaineGoat LLC, firma zarejestrowana w Panamie, nie prowadzi logów i nigdy nie prosi o Twoje klucze szyfrowania.