Como Encriptar Ficheiros Antes de os Enviar para a Cloud
Guia passo-a-passo para encriptar ficheiros antes de os carregar para armazenamento cloud, garantindo privacidade e proteção máxima dos seus dados.
Encriptar ficheiros antes do upload para a cloud significa que os bytes guardados no seu Google Drive, Dropbox, iCloud, OneDrive, S3, R2 ou Backblaze B2 são texto cifrado que só você consegue desencriptar. O fornecedor vê dados ilegíveis. Pode usar 7-Zip com uma palavra-passe forte (AES-256 em modo CBC, adequado para a maioria das ameaças), rclone com backend crypt (NaCl SecretBox, melhor), Cryptomator para encriptação transparente ao nível da pasta (AES-256-GCM, montagem transparente) ou age/gocryptfs para fluxos de trabalho em linha de comando. A escolha depende de precisar de acesso aleatório, partilha ou leitura em mobile, mas todos os cinco colocam-no dentro do porto seguro de encriptação CCPA 1798.150.
Porque a encriptação detida pelo fornecedor não é suficiente
Todos os grandes serviços cloud anunciam "encriptação em repouso" — AES-256 nos seus discos. O que não anunciam é que detêm as chaves. A Google consegue desencriptar o seu Drive, a Apple consegue desencriptar o seu iCloud (exceto para o nível Advanced Data Protection introduzido em 2022 para algumas regiões), a Dropbox consegue desencriptar os seus ficheiros. Qualquer intimação, administrador interno ou violação que atinja o sistema de gestão de chaves atinge os seus ficheiros. A encriptação no lado do cliente antes do upload inverte isto: o fornecedor guarda texto cifrado, você detém a chave, e uma intimação ao fornecedor não produz nada útil.
7-Zip para encriptação simples baseada em palavra-passe
A ferramenta mais fácil para encriptação pontual é o 7-Zip no Windows/Linux, Keka no macOS ou ZArchiver no Android. Clique com o botão direito no ficheiro, selecione "Adicionar ao arquivo", escolha o formato 7z, método de encriptação AES-256, e uma palavra-passe forte. O ficheiro .7z resultante é texto cifrado. Carregue-o para qualquer cloud. O problema: o KDF padrão do 7-Zip é relativamente fraco — deriva a chave com iterações SHA-256 fixas de 2^19, que uma GPU moderna quebra a talvez 100 000 palavras-passe/segundo. Use uma frase-passe de 20 ou mais caracteres para compensar. Funciona para uploads ocasionais; não é ideal para ficheiros de 10 GB porque re-carrega o arquivo inteiro a cada alteração.
Backend crypt do rclone para sincronização agnóstica à cloud
O rclone (código aberto, licença MIT) sincroniza com mais de 70 fornecedores de cloud e tem um backend crypt que encripta ficheiros antes do upload usando NaCl SecretBox (XSalsa20-Poly1305). Configure uma vez com rclone config, escolha uma palavra-passe, e a partir daí qualquer rclone sync ~/docs crypt:bucket encripta de forma transparente. Os nomes de ficheiro também são encriptados. A chave vive na configuração local do rclone, ofuscada mas recuperável se alguém controlar o seu diretório home — guarde a palavra-passe num gestor de palavras-passe e trate a configuração como substituível. Funciona com o Backblaze B2 a 0,006 $/GB/mês, R2 sem taxas de egresso ou Wasabi a 0,0068 $/GB/mês.
Cryptomator para encriptação transparente ao nível da pasta
O Cryptomator (código aberto, gratuito para desktop) monta um cofre encriptado como uma unidade virtual no macOS, Windows e Linux. Largue um ficheiro no cofre, o Cryptomator encripta-o com AES-256-GCM e guarda o texto cifrado numa pasta irmã que sincroniza com o Dropbox ou Drive. O texto em claro original nunca toca na cloud. Os ficheiros individuais recebem chaves individuais derivadas da palavra-passe do cofre via scrypt. Um .docx de 12 MB mantém-se com 12 MB após encriptação — sem sobrecarga de arquivo — por isso a sincronização apenas de alterações funciona. As aplicações móveis (iOS 15€, Android 18€) leem o mesmo formato de cofre, por isso o seu telemóvel vê ficheiros desencriptados dentro da aplicação Cryptomator enquanto o fornecedor de sincronização não vê nada.
age e rage para linha de comando Unix
age (pronuncia-se "ah-gay") é o substituto moderno do GPG por Filippo Valsorda, usando X25519, ChaCha20-Poly1305 e HKDF-SHA256. Instale com brew install age ou equivalente. Encripte com age -p -o ficheiro.age ficheiro.pdf para baseado em palavra-passe, ou age -r age1... para baseado em chave pública. O ficheiro .age resultante carrega para qualquer lado. rage é um port em Rust com formato idêntico. Comparado ao GPG, o age não tem opções, sem web of trust, sem cifras legadas — apenas criptografia moderna que funciona. Para pipelines de automação (cópias de segurança noturnas de bases de dados para S3), age mais uma chave SOPS ou KMS é o padrão idiomático de 2026.
VeraCrypt para volumes de contentor completos
O VeraCrypt (fork de código aberto do TrueCrypt) cria ficheiros de contentor encriptados que montam como unidades. Um contentor VeraCrypt de 50 GB guarda ficheiros arbitrários, encripta em tempo real com AES-256 ou Serpent ou Twofish, e carrega como um único blob. Negação plausível via volumes ocultos. A desvantagem: alterar um ficheiro dentro de um grande contentor significa re-sincronizar o contentor inteiro para a cloud, o que elimina a sincronização delta do Dropbox. Use VeraCrypt para cópias de segurança de estilo arquivístico (instantâneos anuais) em vez de conjuntos de trabalho ativos. O contentor sobrevive à mudança de fornecedor — mude do Dropbox para o Mega sem re-encriptar.
gocryptfs para uso diário em Linux e macOS
O gocryptfs é um sistema de ficheiros FUSE que foi auditado de segurança (Quarkslab 2017, re-auditado em 2023) e corre em Linux e macOS via macFUSE. Como o Cryptomator mas mais leve: gocryptfs ~/cifrado ~/claro e trabalha em ~/claro enquanto ~/cifrado é sincronizado. Encriptação ao nível do ficheiro com AES-256-GCM, estrutura de diretório preservada mas nomes encriptados com EME. Mais rápido do que o Cryptomator porque é C nativo em vez de Java. Combina naturalmente com rclone para sincronização cloud ou restic para cópias de segurança deduplicadas. Esta é a escolha para utilizadores avançados técnicos de Linux que querem encriptação transparente sem GUI.
Escolher a estratégia certa de derivação de chave
Todas as ferramentas acima derivam chaves de encriptação da sua palavra-passe. A força depende do KDF: o 7-Zip usa iterações SHA-256 2^19 (~500k), rclone crypt usa scrypt com N=16384, Cryptomator usa scrypt com parâmetros padrão em 2^15, VeraCrypt usa 500 000 PBKDF2-HMAC-SHA512, age em modo palavra-passe usa scrypt com N=2^18. Argon2id seria melhor do que todos estes; apenas as versões mais recentes do age o incluem. Escolha uma palavra-passe com pelo menos 75 bits de entropia (20 caracteres aleatórios ou seis palavras Diceware) para que as fraquezas do KDF não importem — uma frase-passe de 100 caracteres resiste a ataques offline mesmo com contagens de iteração baixas.
O que fazer com os metadados dos ficheiros
Encriptar o conteúdo dos ficheiros é o principal, mas os metadados também vazam. Tamanhos de ficheiro, timestamps de modificação, nomes de ficheiro e estrutura de diretório revelam informação. O Cryptomator, gocryptfs e rclone encriptam nomes de ficheiro; age e 7-Zip não. Para privacidade máxima, empacote ficheiros sensíveis num único arquivo com um nome genérico (arquivo-2026-05-14.tar.gz.age) e uma data de modificação não descritiva. O fornecedor vê um timestamp mas não quais os ficheiros que editou. Para armazenamento cloud partilhado com colegas, este nível de ofuscação frequentemente perturba os fluxos de trabalho — pese os prós e contras.
Quando usar o HexaTransfer em vez de armazenamento cloud permanente
Se está a carregar um ficheiro para partilhar com uma pessoa e depois apagar, não precisa de armazenamento cloud de todo — uma transferência encriptada de curta duração funciona melhor. O HexaTransfer faz AES-256-GCM no lado do cliente com chaves que nunca chegam ao servidor, limite de 10 GB e expiração automática. Comparado a carregar um ficheiro encriptado com age para o Dropbox, partilhar o link e lembrar de apagar depois, uma ferramenta de transferência de propósito específico é menos para gerir. Para armazenamento permanente, encripte antes do upload com as ferramentas acima. Para partilha transitória, use um serviço E2EE efémero.
Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.
Envie arquivos grandes com segurança e criptografia de ponta a ponta
Transfira arquivos de até 10 GB gratuitamente com criptografia de ponta a ponta. Sem necessidade de conta. Seus arquivos são criptografados no navegador antes do envio — ninguém mais pode lê-los.
Enviar um arquivo