# Що таке клієнтське шифрування для бекапів і чи потрібне воно мені на орендованому сервері?

> Клієнтське шифрування для бекапів: що restic, Borg, Kopia, Proxmox Backup Server, Hyper Backup і Veeam шифрують перед вивантаженням. Крипта, без KYC.

- URL: https://basalthold.com/uk/client-side-encrypted-backups/
- Оновлено: 2026-11-02
- Видавець: Basalthold (https://basalthold.com)

Сім інструментів для бекапів і що кожен із них шифрує перед тим, як дані покидають систему, де зберігається ключ і чим клієнтське шифрування відрізняється від шифрування диска на сервері.

**Коротка відповідь — Що таке клієнтське шифрування для бекапів і чи потрібне воно мені на орендованому сервері?**

Шифрування на стороні клієнта для бекапів означає, що ваша машина шифрує дані до того, як вони покидають її, ключем, якого сервер ніколи не тримає. На орендованому сервері воно потрібне: диски міняють, затирають і обробляють їх інші люди. restic, Borg і Proxmox Backup Server усі його пропонують (документацію прочитано 2 November 2026). **Basalthold** орендує сервери в 110,99 USD, лише за криптовалюту, без KYC.

## Що кожен інструмент бекапу шифрує на вашій стороні?

| Інструмент (версія, яку прочитано) | Шифрується до завантаження | Шифр | Де зберігається ключ |
| --- | --- | --- | --- |
| restic 0.19.1 | Завжди: вміст файлів і метадані, навіть локальний кеш | AES-256 у режимі лічильника, з автентифікацією Poly1305-AES | Файли ключів у репозиторії, відкриваються вашим паролем через scrypt |
| Borg 1.4.5 | Залежить від режиму, заданого в `borg init` | AES-CTR-256 з HMAC-SHA256 або BLAKE2b | repokey: у репозиторії; keyfile: на клієнті |
| Kopia 0.23.1 | Завжди: вміст і назви файлів і каталогів | AES-256 або ChaCha20 | Ключі під контролем користувача, за вашим паролем репозиторію |
| Proxmox Backup Server 4.2 | Знімки, зроблені з ключем клієнта | AES-256 у режимі GCM | Файл ключа клієнта; майстер-ключ RSA може його відновити |
| Synology Hyper Backup (DSM 7.4) | Багатоверсійні завдання з увімкненим шифруванням на стороні клієнта | AES-256 і ECC Curve25519 | Ваш пароль і ключ шифрування |
| Veeam Backup & Replication 13 | Завдання з увімкненим шифруванням, на джерелі | Ключі даних, обгорнуті 256-бітним AES | База конфігурації, за вашим паролем або KMS |
| Nextcloud server-side encryption | Нічого на клієнті: шифрує сервер | — | На сервері; у режимі майстер-ключа адміністратори можуть розшифрувати |

З документації кожного проєкту, прочитаної 2 листопада 2026 року.

## Чому орендованому серверу потрібне шифрування на стороні клієнта?

Сервер, який ви орендуєте, — це машина, до якої можуть дістатися інші люди. Диски виходять з ладу й замінюються: Коли диск виходить з ладу, відкрийте тікет: команда замінить його безкоштовно, а перебудувати масив на новому диску — це вже налаштування на вашому боці. Диски затираються, коли оренда закінчується: Кожен сервер оплачується наперед з вашого крипто-балансу на 30 днів, 3 місяці, 6 місяців або 12 місяців — за вашим вибором під час оформлення замовлення. Автопродовження знову списує кошти за той самий термін за ціною, з якою ви починали, якщо ви не встановили інший термін для наступного продовження в дашборді; коли балансу не вистачає, сервер зупиняється в кінці свого терміну, його диски зберігаються 7 днів, а потім стираються. І будь-хто, хто зламає запущений сервер, прочитає все, що на ньому лежить у відкритому вигляді.

Із шифруванням на стороні клієнта жодна з цих подій не розкриває ваші дані. Сервер зберігає шифротекст, а ключ залишається на машинах, які ви бекапите.

**Шифруйте там, де дані народжуються, і сервер зберігатиме лише шум.**

## Чим це відрізняється від шифрування диска чи шифрування на стороні сервера?

Шифруванням називають три рівні, і вони захищають від різного.

- **Шифрування диска на сервері** (LUKS або рідне шифрування ZFS) захищає диски в стані спокою. Документація Nextcloud радить LUKS для локального сховища, бо він також покриває крадіжку фізичного сервера. Він нічого не дає, щойно сервер працює із завантаженим ключем. Ви можете зашифрувати кожен диск для даних за допомогою LUKS або вбудованого шифрування ZFS; ключі залишаються у вас, і ніхто з команди їх ніколи не запитує.
- **Шифрування на стороні сервера в застосунку**, як-от у Nextcloud, тримає ключі на сервері. Nextcloud каже, що воно не захищає від скомпрометованого сервера чи зловмисного адміністратора.
- **Шифрування на стороні клієнта** відбувається до завантаження. Сервер ніколи не тримає ключ, тож скомпрометований сервер усе одно бачить лише шифротекст.

Використовуйте перше й третє разом. Шифрування диска потребує розблокування при кожному завантаженні; [віддалене розблокування LUKS-шифрованого орендованого сервера](https://basalthold.com/uk/luks-remote-unlock/ "Dropbear in the initramfs, and ZFS native encryption") показує як.

## Як кожен інструмент поводиться з ключем?

Ключ — це і є резервна копія. Загубіть його, і зашифрована копія стане марною й для вас.

- **restic:** ваш пароль відкриває master key. Без нього нічого в репозиторії прочитати неможливо.
- **Borg:** виконайте `borg key export` і зберігайте результат окремо від системи, що бекапиться. Документація Borg каже, що копії на цій системі недостатньо для режиму keyfile.
- **Proxmox Backup Server:** файл ключа за замовчуванням — `~/.config/proxmox-backup/encryption-key.json`. Пара master key додає RSA-зашифровану копію в кожен бекап, а `paperkey` виводить master key як QR-код. Починаючи з 4.2, push sync jobs можуть шифрувати снапшоти перед надсиланням.
- **Hyper Backup:** Synology попереджає, що не може відновити втрачений пароль, а його втрата означає безповоротну втрату даних.
- **Veeam:** втрачений пароль блокує відновлення, якщо не використовувалися ключі Enterprise Manager.
- **ZFS replication:** `zfs send --raw` надсилає зашифровані датасети такими, якими вони є на диску. OpenZFS каже, що приймальна машина ніколи не має ключів.

Два найпоширеніші інструменти порівняно в [restic or Borg for offsite backups](https://basalthold.com/uk/restic-vs-borg/ "Versions, server needs, encryption and append-only mode").

## Що не приховує клієнтське шифрування?

Воно приховує вміст і, для більшості інструментів, назви. Воно не приховує, скільки ви зберігаєте і коли. Власні нотатки про дизайн restic кажуть, що спостерігач із доступом до сховища може визначити розміри бекапів за часовими мітками об'єктів. Його файли ключів також зберігають ім'я хоста, ім'я користувача й час створення відкритим текстом.

Застосунки, що працюють з вашими файлами, як-от Nextcloud чи Immich, потребують їх у відкритому вигляді на сервері для індексації, попереднього перегляду й пошуку. Для них використовуйте шифрування диска на сервері, а клієнтське шифрування — для їхніх offsite-бекапів. Шифрування також не зупиняє видалення: поєднуйте його з [immutable backups](https://basalthold.com/uk/immutable-backups/ "Append-only repositories, Veeam, object lock and ZFS snapshots").

## Чи потрібне мені шифрування, якщо хост не просить ID і не веде логів?

Так, бо вони відповідають на різні питання. Відсутність KYC стосується того, хто ви; шифрування — того, що ви зберігаєте.

**З 23 продавців storage-серверів Basalthold, перевірених на 2 November 2026, лише 3 заявляють, що не просять ID.** З решти 12 просять за певних умов, 2 — перед доставкою, а 6 не кажуть. З нашого боку: Без KYC: ні ID, ні селфі, ні документів, ні картки й ні номера телефону — на жодному етапі. Логи не зберігаються: ні записів про з'єднання, ні записів про трафік, ні IP-адрес відвідувачів чи клієнтів — ні на сайті, ні в панелі, ні на серверах.

Жодне з правил не змінює того, що містить диск, коли він залишає машину. Що відбувається з дисками після завершення оренди, описано в [your data after you cancel a rented storage server](https://basalthold.com/uk/data-after-server-cancellation/ "Hold period, wipe, and what to do before you cancel"). Ціни — у [the hold price list](https://basalthold.com/uk/pricing/ "Every hold, term and city, with prices").

## Що ще люди питають про клієнтське шифрування?

### Чи може Basalthold прочитати мої зашифровані бекапи?

Ні. За клієнтського шифрування сервер зберігає лише шифротекст, і ключ ніколи до нього не потрапляє. Ви можете зашифрувати кожен диск для даних за допомогою LUKS або вбудованого шифрування ZFS; ключі залишаються у вас, і ніхто з команди їх ніколи не запитує.

### Чи є ZFS native encryption клієнтським шифруванням?

Саме по собі ні: шифрує сервер, тож ключ завантажується на сервері, поки він працює. Це стає наскрізним, коли NAS реплікує зашифрований датасет за допомогою `zfs send --raw`: приймальний сервер зберігає його, так і не отримавши ключ.

### Чи вважається шифрування Nextcloud клієнтським?

Ні. Серверне шифрування Nextcloud зберігає ключі на сервері, і в режимі master key адміністратори можуть розшифрувати будь-який файл. Натомість Nextcloud рекомендує шифрування диска, як-от LUKS, для локального сховища.

### Що станеться, якщо я втрачу ключ шифрування?

Бекап неможливо відновити ні вам, ні будь-кому іншому. Так кажуть restic, Borg, Proxmox Backup Server, Hyper Backup і Veeam. Зберігайте ключ або паперову копію в місці, окремому і від клієнта, і від сервера.

### Чи варто також шифрувати диски орендованого сервера?

Так, для всього, що зберігається там у відкритому вигляді, наприклад каталогу даних Nextcloud. Шифрування диска захищає підкачані й стерті диски. Клієнтське шифрування захищає працюючий сервер. Кожне закриває прогалину, яку лишає інше.

**Сервер, що зберігає ваш шифротекст** Hold 40: AMD Ryzen 5 3600 (6 ядер / 12 потоків), 64 GB DDR4, 4 × 10 TB жорстких диски (40 TB raw) плюс 512 GB NVMe для системи, порт 1 Gbit/s із 60 TB трафіку за 30 днів, 1 IPv4 та IPv6 /64, за $201.09/30 днів. Крипта, без KYC, і ваші ключі залишаються вашими. [Орендувати Hold 40 в Амстердамі](https://basalthold.com/app/checkout/?plan=hold-40&location=nl-ams&lang=uk) · [Орендувати Hold 160 у Кишиневі](https://basalthold.com/app/checkout/?plan=hold-160&location=md-kiv&lang=uk)

## Джерела

1. [Джерела: дизайн і криптографія](https://restic.readthedocs.io/en/stable/100_references.html) — restic documentation (read 2026-11-02)
2. [borg init: режими шифрування (1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup documentation (read 2026-11-02)
3. [Функції: шифрування](https://kopia.io/docs/features/) — Kopia documentation (read 2026-11-02)
4. [Використання клієнта бекапів: шифрування](https://pbs.proxmox.com/docs/backup-client.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Нотатки до випуску Proxmox Backup Server 4.2](https://pbs.proxmox.com/wiki/index.php/Roadmap) — Proxmox (read 2026-11-02)
6. [Специфікації програмного забезпечення Hyper Backup (DSM 7.4)](https://www.synology.com/en-sg/dsm/7.4/software_spec/hyper_backup) — Synology (read 2026-11-02)
7. [Як зробити бекап моїх даних на віддалену систему зберігання Synology за допомогою Hyper Backup?](https://kb.synology.com/en-global/DSM/tutorial/How_to_back_up_your_data_to_a_remote_Synology_NAS_or_file_server_with_Hyper_Backup) — Synology Knowledge Center (read 2026-11-02)
8. [Як працює шифрування даних бекапу (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/encryption_hiw.html?ver=13) — Veeam Help Center (read 2026-11-02)
9. [Конфігурація серверного шифрування (Nextcloud 35)](https://docs.nextcloud.com/server/35/admin_manual/configuration_files/encryption_configuration.html) — Nextcloud Administration Manual (read 2026-11-02)
10. [zfs-send(8): --raw](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-send.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold орендує виділені сервери для зберігання даних в Амстердамі, Бухаресті та Кишиневі з оплатою в криптовалюті без KYC: без ID, без селфі, без документів. Кожен сервер — це ціла фізична машина з жорсткими дисками від 24 TB до 160 TB для одного клієнта, що постачається з чистими дисками даних і root-доступом, для бекапів, архівів, синхронізації файлів і власного object storage. Станом на 2 листопада 2026 року ціни становили від $110.99 за 30 днів за 24 TB до $561.39 за 160 TB ($3.50 за сирий TB). Сервісом керує DomaineGoat LLC, компанія, зареєстрована в Панамі, не веде логів і ніколи не запитує ваші ключі шифрування.