# O que é criptografia do lado do cliente para backups, e preciso dela em um servidor alugado?

> Criptografia do lado do cliente: o que restic, Borg, Kopia, Proxmox Backup Server, Hyper Backup e Veeam criptografam antes do upload. Cripto, sem KYC.

- URL: https://basalthold.com/pt/client-side-encrypted-backups/
- Última atualização: 2026-11-02
- Editor: Basalthold (https://basalthold.com)

Sete ferramentas de backup e o que cada uma criptografa antes de os dados saírem, onde fica a chave e como a criptografia do lado do cliente difere da criptografia de disco no servidor.

**Resposta rápida — O que é criptografia do lado do cliente para backups, e preciso dela em um servidor alugado?**

A criptografia do lado do cliente para backups significa que sua máquina criptografa os dados antes de eles saírem, com uma chave que o servidor nunca possui. Em um servidor alugado, você precisa disso: os discos são trocados, apagados e manuseados por outras pessoas. restic, Borg e Proxmox Backup Server oferecem isso (documentação lida em 2 November 2026). **Basalthold** aluga servidores de US$ 110,99, só com cripto, sem KYC.

## O que cada ferramenta de backup criptografa do seu lado?

| Ferramenta (versão lida) | Criptografado antes do upload | Cifra | Onde fica a chave |
| --- | --- | --- | --- |
| restic 0.19.1 | Sempre: conteúdo dos arquivos e metadados, até o cache local | AES-256 em modo contador, autenticado com Poly1305-AES | Arquivos de chave no repositório, abertos com sua senha por meio do scrypt |
| Borg 1.4.5 | Depende do modo definido em `borg init` | AES-CTR-256 com HMAC-SHA256 ou BLAKE2b | repokey: no repositório; keyfile: no cliente |
| Kopia 0.23.1 | Sempre: conteúdos e nomes de arquivos e diretórios | AES-256 ou ChaCha20 | Chaves controladas pelo usuário, atrás da senha do seu repositório |
| Proxmox Backup Server 4.2 | Snapshots feitos com uma chave de cliente | AES-256 no modo GCM | Um arquivo de chave de cliente; uma chave mestra RSA pode recuperá-la |
| Synology Hyper Backup (DSM 7.4) | Tarefas com várias versões e criptografia do lado do cliente ativada | AES-256 e ECC Curve25519 | Sua senha e chave de criptografia |
| Veeam Backup & Replication 13 | Jobs com criptografia ativada, na origem | Chaves de dados encapsuladas com AES de 256 bits | O banco de dados de configuração, atrás da sua senha ou de um KMS |
| Criptografia do lado do servidor do Nextcloud | Nada no cliente: o servidor criptografa | — | No servidor; no modo de chave mestra, os administradores podem descriptografar |

Da documentação de cada projeto, lida em 2 de novembro de 2026.

## Por que um servidor alugado precisa de criptografia do lado do cliente?

Um servidor que você aluga é uma máquina que outras pessoas podem tocar. Os discos falham e são substituídos: Quando um disco falha, abra um ticket: a equipe faz a troca sem custo, e reconstruir o array no novo disco fica por conta da sua configuração. Os discos são apagados quando o aluguel termina: Cada servidor é pago antecipadamente com o seu saldo em cripto, por 30 dias, 3 meses, 6 meses ou 12 meses, conforme a opção escolhida no checkout. A renovação automática cobra o mesmo período novamente pelo preço com que você começou, a menos que você defina outro período para a próxima renovação no painel; quando o saldo não é suficiente, o servidor para ao fim do prazo, os discos ficam retidos por 7 dias e depois são apagados. E qualquer um que invada o servidor em execução lê tudo o que ele guarda em texto claro.

Com criptografia do lado do cliente, nenhum desses eventos expõe seus dados. O servidor armazena texto cifrado, e a chave fica nas máquinas que você faz backup.

**Criptografe onde os dados nascem, e o servidor só vai armazenar ruído.**

## Como isso é diferente da criptografia de disco ou da criptografia do lado do servidor?

Três camadas são chamadas de criptografia, e elas protegem contra coisas diferentes.

- **Criptografia de disco no servidor** (criptografia nativa do LUKS ou do ZFS) protege os discos em repouso. A documentação do Nextcloud sugere LUKS para armazenamento local, porque também cobre o roubo do servidor físico. Não faz nada quando o servidor roda com a chave carregada. Você pode criptografar cada disco de dados com LUKS ou com a criptografia nativa do ZFS; as chaves ficam com você e ninguém da equipe pede por elas.
- **Criptografia do lado do servidor em uma aplicação**, como a do Nextcloud, mantém as chaves no servidor. O Nextcloud afirma que ela não protege contra um servidor comprometido ou um administrador mal-intencionado.
- **Criptografia do lado do cliente** acontece antes do upload. O servidor nunca possui a chave, então um servidor comprometido ainda vê apenas texto cifrado.

Use a primeira e a terceira juntas. A criptografia de disco precisa de um desbloqueio a cada inicialização; [desbloquear remotamente um servidor alugado com criptografia LUKS](https://basalthold.com/pt/luks-remote-unlock/ "Dropbear in the initramfs, and ZFS native encryption") mostra como.

## Como cada ferramenta lida com a chave?

A chave é o backup. Se você perdê-la, a cópia criptografada não vale nada nem para você.

- **restic:** sua senha abre a chave mestra. Sem ela, nada no repositório pode ser lido.
- **Borg:** execute `borg key export` e guarde o resultado longe do sistema que está no backup. A documentação do Borg diz que uma cópia nesse sistema não basta para o modo keyfile.
- **Proxmox Backup Server:** o arquivo de chave fica por padrão em `~/.config/proxmox-backup/encryption-key.json`. Um par de chaves mestras coloca uma cópia criptografada com RSA em cada backup, e `paperkey` imprime a chave mestra como um QR code. Desde a 4.2, jobs de push sync podem criptografar snapshots antes de enviá-los.
- **Hyper Backup:** a Synology avisa que não consegue recuperar uma senha perdida, e perdê-la significa perda permanente de dados.
- **Veeam:** uma senha perdida bloqueia restaurações, a menos que tenham sido usadas chaves do Enterprise Manager.
- **Replicação ZFS:** `zfs send --raw` envia datasets criptografados como estão no disco. O OpenZFS diz que a máquina receptora nunca tem as chaves.

As duas ferramentas mais comuns são comparadas em [restic ou Borg para backups offsite](https://basalthold.com/pt/restic-vs-borg/ "Versions, server needs, encryption and append-only mode").

## O que a criptografia do lado do cliente não esconde?

Ela esconde o conteúdo e, na maioria das ferramentas, os nomes. Não esconde quanto você armazena nem quando. As próprias notas de design do restic dizem que um observador com acesso ao armazenamento pode inferir o tamanho dos backups pelos timestamps dos objetos. Os arquivos de chave dele também mantêm o hostname, o nome de usuário e a hora de criação em texto simples.

Aplicativos que trabalham nos seus arquivos, como Nextcloud ou Immich, precisam deles em claro no servidor para indexar, gerar previews e pesquisar. Para esses, use criptografia de disco no servidor e criptografia do lado do cliente para os backups offsite deles. A criptografia também não impede exclusão: combine com [backups imutáveis](https://basalthold.com/pt/immutable-backups/ "Append-only repositories, Veeam, object lock and ZFS snapshots").

## Ainda preciso de criptografia se o host não pede identificação e não mantém logs?

Sim, porque eles respondem a perguntas diferentes. O sem KYC cobre quem você é; a criptografia cobre o que você armazena.

**De 23 vendedores de servidores de armazenamento Basalthold verificados em 2 November 2026, apenas 3 afirmam que não pedem identificação.** Dos demais, 12 pedem em gatilhos, 2 antes da entrega, e 6 não dizem. Do nosso lado: Sem KYC: sem documento de identidade, sem selfie, sem documentos, sem cartão e sem número de telefone, em nenhum momento. Nenhum log é mantido: nenhum registro de conexão, nenhum registro de tráfego e nenhum endereço IP de visitante ou cliente, no site, no painel ou nos servidores.

Nenhuma das regras muda o que um disco contém quando sai da máquina. O que acontece com os discos após o fim de um aluguel está em [seus dados depois que você cancela um servidor de armazenamento alugado](https://basalthold.com/pt/data-after-server-cancellation/ "Hold period, wipe, and what to do before you cancel"). Os preços estão em [a lista de preços de retenção](https://basalthold.com/pt/pricing/ "Every hold, term and city, with prices").

## O que mais as pessoas perguntam sobre criptografia do lado do cliente?

### O Basalthold consegue ler meus backups criptografados?

Não. Com a criptografia do lado do cliente, o servidor armazena apenas ciphertext, e a chave nunca chega até ele. Você pode criptografar cada disco de dados com LUKS ou com a criptografia nativa do ZFS; as chaves ficam com você e ninguém da equipe pede por elas.

### A criptografia nativa do ZFS é criptografia do lado do cliente?

Não por si só: o servidor criptografa, então a chave fica carregada no servidor enquanto ele está em execução. Ela se torna ponta a ponta quando um NAS replica um dataset criptografado com `zfs send --raw`: o servidor receptor o armazena sem nunca receber a chave.

### A criptografia do Nextcloud conta como do lado do cliente?

Não. A criptografia do lado do servidor do Nextcloud mantém as chaves no servidor, e no modo de chave mestra os admins podem descriptografar qualquer arquivo. O Nextcloud recomenda criptografia de disco, como LUKS, para o armazenamento local.

### O que acontece se eu perder a chave de criptografia?

O backup não pode ser restaurado, nem por você nem por ninguém. restic, Borg, Proxmox Backup Server, Hyper Backup e Veeam dizem o mesmo. Guarde a chave, ou uma cópia em papel, em um local separado tanto do cliente quanto do servidor.

### Devo criptografar também os discos do servidor alugado?

Sim, para tudo que for armazenado ali em claro, como um diretório de dados do Nextcloud. A criptografia de disco protege discos com swap e discos apagados. A criptografia do lado do cliente protege o servidor em execução. Cada uma cobre uma lacuna que a outra deixa.

**Um servidor que armazena o seu ciphertext** Hold 40: AMD Ryzen 5 3600 (6 núcleos / 12 threads), 64 GB DDR4, 4 × 10 TB de discos rígidos (40 TB brutos) mais SSD NVMe de 512 GB para o sistema, porta de 1 Gbit/s com 60 TB de tráfego por 30 dias, 1 IPv4 e um IPv6 /64, por $201.09/30 dias. Cripto, sem KYC, e suas chaves continuam sendo suas. [Alugue Hold 40 em Amsterdã](https://basalthold.com/app/checkout/?plan=hold-40&location=nl-ams&lang=pt) · [Alugue Hold 160 em Chisinau](https://basalthold.com/app/checkout/?plan=hold-160&location=md-kiv&lang=pt)

## Fontes

1. [Referências: design e criptografia](https://restic.readthedocs.io/en/stable/100_references.html) — restic documentation (read 2026-11-02)
2. [borg init: modos de criptografia (1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup documentation (read 2026-11-02)
3. [Recursos: criptografia](https://kopia.io/docs/features/) — Kopia documentation (read 2026-11-02)
4. [Uso do cliente de backup: criptografia](https://pbs.proxmox.com/docs/backup-client.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Notas de versão do Proxmox Backup Server 4.2](https://pbs.proxmox.com/wiki/index.php/Roadmap) — Proxmox (read 2026-11-02)
6. [Especificações do software Hyper Backup (DSM 7.4)](https://www.synology.com/en-sg/dsm/7.4/software_spec/hyper_backup) — Synology (read 2026-11-02)
7. [Como faço backup dos meus dados para um sistema de armazenamento Synology remoto usando o Hyper Backup?](https://kb.synology.com/en-global/DSM/tutorial/How_to_back_up_your_data_to_a_remote_Synology_NAS_or_file_server_with_Hyper_Backup) — Synology Knowledge Center (read 2026-11-02)
8. [Como funciona a criptografia de dados de backup (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/encryption_hiw.html?ver=13) — Veeam Help Center (read 2026-11-02)
9. [Configuração de criptografia do lado do servidor (Nextcloud 35)](https://docs.nextcloud.com/server/35/admin_manual/configuration_files/encryption_configuration.html) — Nextcloud Administration Manual (read 2026-11-02)
10. [zfs-send(8): --raw](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-send.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: A Basalthold aluga servidores dedicados de armazenamento em Amsterdã, Bucareste e Chisinau, pagos em cripto e sem KYC: sem documento, sem selfie, sem comprovantes. Cada servidor é uma máquina física inteira com 24 TB a 160 TB de discos rígidos para um único cliente, entregue com discos de dados em branco e acesso root, para backups, arquivos, sincronização de arquivos e armazenamento de objetos auto-hospedado. Em 2 de novembro de 2026, os preços iam de $110.99 por 30 dias para 24 TB a $561.39 para 160 TB ($3.50 por TB bruto). É operado pela DomaineGoat LLC, uma empresa registrada no Panamá, não mantém logs e nunca pede suas chaves de criptografia.