Migliori strumenti open source di crittografia per la condivisione file
Esplora i migliori strumenti open source di crittografia per la condivisione file sicura, con funzionalità, punti di forza e casi d'uso ideali per ogni tool.
I migliori strumenti open source di crittografia per la condivisione file nel 2026 sono: age (per la crittografia da riga di comando moderna), GnuPG (per la compatibilità PGP con gli standard), 7-Zip con AES-256 (per archivi portabili), Cryptomator (per cartelle cloud), rclone crypt (per pipeline di sincronizzazione cifrata), VeraCrypt (per container cifrati) e OnionShare (per invii diretti instradati via Tor). Ognuno risolve un problema specifico — file piccoli, archivi, mirror cloud, drop anonimo — e si combinano bene tra loro. Il codice sorgente è verificabile su GitHub, e i cifrari sottostanti (AES-256-GCM, ChaCha20-Poly1305, X25519) sono revisionati pubblicamente da crittografi indipendenti.
age: moderno, minimale, verificabile
age ("actually good encryption") è stato scritto da Filippo Valsorda (ex responsabile della crittografia Go in Google) e rilasciato per la prima volta nel 2019. Usa X25519 + ChaCha20-Poly1305 e una specifica deliberatamente ridotta — l'implementazione di riferimento è sotto le 3.000 righe di Go. Un solo comando cifra un file con la chiave pubblica del destinatario:
age -r age1ql3z7h... -o segreto.age documento.pdf
Ha sostituito GnuPG in molti flussi di lavoro da sviluppatore perché non porta con sé 30 anni di legacy OpenPGP: niente key server, niente rete di fiducia, niente gerarchia di sottochiavi. Lo svantaggio è l'adozione: age non è installato di default da nessuna parte se non tramite brew o apt. Per i team già nel CLI, è eccellente.
GnuPG: il punto di riferimento per gli standard
GnuPG 2.4 implementa OpenPGP secondo RFC 4880 e RFC 9580 ed è l'unica opzione quando il destinatario richiede compatibilità PGP. Questo include la maggior parte dei flussi di lavoro giornalistici (SecureDrop vi si basa), molti firmatari di pacchetti Debian e qualsiasi organizzazione con una policy incompatibile con S/MIME. Per cifrare:
gpg --encrypt --recipient alice@example.com documento.docx
GnuPG gestisce AES-256-CFB, ECDH con Curve25519 e firme separate. L'UX è datata, ma il nucleo crittografico è stato più volte verificato e il binario è disponibile su ogni distribuzione Linux. Per l'interoperabilità con destinatari non tecnici, abbinalo a un servizio di inoltro dedicato.
7-Zip: il cifratore d'archivio universale
7-Zip è open-source (LGPL) e disponibile su Windows, macOS (tramite Keka o p7zip) e Linux. Il formato .7z supporta AES-256 in modalità CBC con derivazione della chiave basata su SHA-256 (500.000 iterazioni di default nelle versioni recenti). Per creare un archivio cifrato:
7z a -p -mhe=on archivio.7z cartella/
Il flag -mhe=on cifra anche i nomi dei file — cosa fondamentale: lasciare lettera-dimissioni-finale.pdf visibile nell'elenco dell'archivio vanifica l'obiettivo. Il vantaggio di 7-Zip è il supporto universale: chiunque su Windows 11 può fare doppio clic e inserire la password. Trasmetti la password via Signal, mai nello stesso canale dell'archivio.
Cryptomator: crittografia cloud trasparente
Cryptomator si inserisce tra il tuo filesystem e Dropbox, Google Drive, OneDrive o qualsiasi target WebDAV. Crea un'unità virtuale che cifra i file con AES-256-GCM e oscura i nomi dei file prima della sincronizzazione. Il vault con il testo cifrato è ciò che finisce nel cloud; il testo in chiaro esiste solo in locale. Open-source sotto GPLv3, con audit di sicurezza pubblicati da Cure53.
È ideale per archivi conservati a lungo nel cloud dove vuoi accesso zero da parte del provider, ma non è uno strumento per condividere con qualcuno: il destinatario ha bisogno di Cryptomator installato e della password del vault. Per invii occasionali, abbinalo a un servizio di trasferimento che genera un link.
rclone crypt: pipeline di sincronizzazione cifrata
rclone è il coltellino svizzero della sincronizzazione cloud, e il suo backend crypt avvolge qualsiasi remote con crittografia lato client usando XSalsa20 (libsodium) per il contenuto dei file e EME per i nomi dei file. Configuralo una volta, poi comandi come rclone copy ./foto cifrato:backup spingono blob cifrati su Backblaze B2, S3, Wasabi o uno qualsiasi degli oltre 70 backend supportati.
È popolare nelle configurazioni di backup self-hosted e funziona senza supervisione nei job cron. Non è uno strumento di condivisione autonomo — pensalo come il layer di crittografia che sta sotto la tua pipeline.
VeraCrypt: container e disco intero
VeraCrypt è il successore spirituale di TrueCrypt, con gli audit alle spalle che questo implica. Crea file container cifrati o volumi a disco intero usando AES, Twofish, Serpent o cascate di tutti e tre, con derivazione della chiave SHA-512 o Whirlpool. Un container da 4 GB sembra un blob binario casuale, si monta come un'unità e si smonta quando hai finito.
Utile per spazio scratch cifrato in locale, per trasportare dati sensibili attraverso una frontiera o per abbinarsi a un servizio di trasferimento (carica il container, condividi la password separatamente). I volumi nascosti forniscono plausible deniability — due password rivelano due filesystem diversi.
OnionShare: invio diretto via Tor
OnionShare lancia un servizio onion Tor effimero sulla tua macchina e genera un URL .onion che il destinatario apre nel browser Tor. I file non transitano mai attraverso un server di terze parti — si spostano peer-to-peer tramite i relay cifrati di Tor. La crittografia end-to-end è intrinseca al circuito Tor (TLS 1.3 avvolto nel routing onion).
È lo strumento preferito quando vuoi zero metadati dal provider: nessun timestamp nei log del server, nessun record IP, nessuna azienda a cui notificare citazioni in giudizio. La velocità è bassa (la banda Tor si attesta attorno a 5-10 MB/s in pratica), ed entrambe le parti devono essere online contemporaneamente. Per giornalisti e fonti, è difficile da battere.
Scegliere la combinazione giusta
Nessuno strumento copre ogni scenario. Combinazioni comuni: age + HexaTransfer per un invio cifrato rapido a uno sviluppatore, 7-Zip + Signal per un archivio protetto da password a un cliente, Cryptomator sopra iCloud per un vault cloud cifrato, OnionShare per scenari di protezione delle fonti. La proprietà condivisa è che il codice sorgente è pubblico — tu (o un crittografo di tua fiducia) puoi verificare che l'implementazione corrisponda alle dichiarazioni.
Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file