Habilite a criptografia do lado do servidor do Nextcloud com impacto mensurável.

Se você está considerando a criptografia do lado do servidor do Nextcloud porque seus arquivos estão armazenados em servidores de terceiros, habilite-a somente após confirmar que o SSE atende ao seu modelo de ameaças. Não existe uma configuração que garanta criptografia com custo de desempenho zero: o servidor precisa criptografar e descriptografar o conteúdo dos arquivos, portanto, as transferências e o uso da CPU podem variar. Você pode controlar o impacto testando arquivos representativos, habilitando a criptografia para o armazenamento que realmente precisa dela e agendando qualquer conversão em massa para um período de baixa atividade.

O Manual de Administração do Nextcloud 35, consultado em 10 de outubro de 2026, descreve a criptografia integrada do lado do servidor (SSE) principalmente como proteção para arquivos em repouso em armazenamento externo. Ela não oculta nomes de arquivos ou estruturas de pastas e não protege os arquivos contra um servidor Nextcloud comprometido ou um administrador malicioso. Para discos locais ou roubo físico, a criptografia de disco do sistema operacional pode ser mais adequada; para manter os dados ilegíveis para o administrador do servidor, considere a criptografia de ponta a ponta.

Antes de habilitar a criptografia

Planeje as chaves e a recuperação antes de alterar as configurações. Faça backup da configuração do Nextcloud e dos dados da chave de criptografia e certifique-se de que o backup seja armazenado separadamente com controles de acesso. O material da chave é armazenado no diretório de dados; perder as chaves de criptografia ou o segredo da instância pode tornar os dados criptografados irrecuperáveis. Mantenha um procedimento de recuperação testado, não apenas uma cópia do banco de dados.

Registre também uma linha de base antes da alteração: teste o tempo de upload e download de arquivos representativos, observe a atividade da CPU e do armazenamento e anote qualquer latência que os usuários possam experimentar. Repita os mesmos testes após a ativação. Isso mostrará se a alteração é aceitável em seu hardware, em vez de confiar em uma afirmação genérica sobre o desempenho.

Ative o módulo de criptografia padrão do Nextcloud.

1. Inicie sessão como administrador do Nextcloud e abra a seção Criptografia do lado do servidor nas configurações de Administração.
2. Selecione Ativar criptografia do lado do servidor . Se o Nextcloud informar que nenhum módulo de criptografia está carregado, abra a página Aplicativos e ative o módulo de criptografia padrão . Em seguida, retorne às configurações de criptografia.
3. Analise o modo de criptografia antes de prosseguir. O modo de chave mestra padrão é recomendado para a maioria das implementações, mas os administradores podem descriptografar os arquivos. O modo de chave de usuário possui limitações adicionais de compatibilidade e recuperação e não otimiza o desempenho.
4. Saia da sua conta e entre novamente para inicializar as chaves de criptografia conforme as instruções da interface. Verifique o status da criptografia na linha de comando:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

Substitua o caminho e o usuário HTTP do exemplo pelos utilizados na sua instalação. O Nextcloud exige que o OCC seja executado como o usuário HTTP para preservar as permissões de arquivo corretas. Em Docker, AIO, Snap ou hospedagem gerenciada, use o shell e o usuário compatíveis com essa implantação, em vez de copiar este comando do host literalmente. Consulte o guia oficial do OCC para obter detalhes sobre a execução do comando.

Decida o que criptografar e quando.

Após a ativação do SSE, os arquivos novos e modificados são criptografados. Os arquivos existentes não são convertidos automaticamente apenas porque a configuração foi ativada. Se você precisar criptografar a biblioteca de arquivos existente, o Nextcloud fornece este comando OCC:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

Antes de executar o procedimento, confirme se os backups estão atualizados e agende uma janela de manutenção. A operação processa arquivos de todos os usuários, exibe o progresso e pode consumir tempo e recursos consideráveis ​​em instâncias grandes. O Nextcloud recomenda que os usuários não acessem arquivos durante esse processo. Não execute o procedimento durante períodos de pico de uso nem o trate como uma simples alternância. Se apenas um ponto de montagem externo específico exigir criptografia SSE, configure a opção de criptografia desse ponto de montagem em vez de iniciar uma conversão em todo o servidor desnecessariamente.

Alguns dados permanecem fora do escopo da criptografia de conteúdo de arquivos. O manual atual lista nomes de arquivos e estruturas de pastas, arquivos existentes na lixeira, versões históricas de arquivos, miniaturas e pré-visualizações de imagens e o índice de pesquisa de texto completo entre os itens não criptografados pelo SSE. O compartilhamento de arquivos criptografados em armazenamento externo deve ser feito através do Nextcloud; eles não podem ser compartilhados diretamente do provedor de armazenamento.

Reduzir e mensurar o impacto no desempenho

Use uma verificação em etapas em vez de criptografar tudo de uma vez:

• Comece com um pequeno conjunto de testes ou um local de armazenamento externo recém-instalado onde a opção de criptografia possa ser avaliada.
• Compare os tempos de upload e download, o uso da CPU e os atrasos visíveis ao usuário com a linha de base sob carga semelhante.
• Repita o teste para arquivos maiores e fluxos de trabalho comuns, como uploads e downloads de clientes de sincronização, já que a criptografia ocorre no servidor.
• Amplie o escopo somente se o impacto medido for aceitável e o processo principal de backup e recuperação for verificado.

O Nextcloud não promete sobrecarga zero, e o impacto real depende do hardware, tamanho dos arquivos, armazenamento, concorrência e carga de trabalho. O SSE também pode aumentar ligeiramente o tamanho dos arquivos armazenados; o manual atual indica aproximadamente 1% para versões modernas, em comparação com uma sobrecarga maior em versões mais antigas. Não assuma que uma estimativa de desempenho antiga se aplica à sua versão.

Verifique o resultado e mantenha um caminho de reversão seguro.

Após habilitar o SSE, verifique occ encryption:statuse teste o comportamento de upload, download, compartilhamento e sincronização com um arquivo não crítico. Confirme se os dados no armazenamento pretendido são legíveis pelo Nextcloud e se os atrasos medidos permanecem aceitáveis. Para arquivos existentes, não assuma que eles estão criptografados até que a operação em lote seja concluída.

Se você decidir desativar o SSE posteriormente, não desligue simplesmente o aplicativo ou módulo enquanto os arquivos criptografados permanecerem. A sequência documentada pelo Nextcloud é descriptografar os arquivos primeiro e, em seguida, desativar a criptografia; o comando de descriptografia pode entrar em modo de manutenção e também deve ser executado com backups disponíveis.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

Confirme se a operação foi concluída e verifique o acesso aos arquivos antes de alterar as configurações de criptografia. Se a sobrecarga medida for muito alta, reduza o escopo do armazenamento criptografado ou escolha uma proteção de camada de armazenamento adequada ao seu modelo de ameaças. Mantenha as chaves e o segredo da instância em backup enquanto os dados criptografados existirem.

Referências oficiais

• Criptografia do lado do servidor no Nextcloud 35: configuração, limitações, backups e comandos OCC
• Detalhes da criptografia do lado do servidor e tipos de chave do Nextcloud
• Referência de comandos OCC do Nextcloud