Activați criptarea pe server Nextcloud cu impact măsurat

Dacă luați în considerare criptarea pe server Nextcloud deoarece fișierele se află pe stocare terță parte, activați-o numai după ce confirmați că SSE răspunde modelului dvs. de amenințare. Nu există nicio setare care să garanteze criptarea cu costuri zero de performanță: serverul trebuie să cripteze și să decripteze conținutul fișierelor, astfel încât transferurile și utilizarea CPU se pot modifica. Puteți menține impactul controlat testând fișiere reprezentative, activând criptarea pentru stocarea care are nevoie de ea și programând orice conversie în bloc pentru o perioadă de liniște.

Manualul de administrare actual Nextcloud 35, verificat la 10 octombrie 2026, descrie criptarea server-side (SSE) încorporată în principal ca protecție pentru fișierele aflate în repaus pe stocarea externă. Nu ascunde numele fișierelor sau structurile de foldere și nu protejează fișierele de un server Nextcloud compromis sau de un administrator rău intenționat. Pentru discurile locale sau furtul fizic, criptarea discului sistemului de operare ar putea fi mai potrivită pentru acest obiectiv; pentru a păstra datele ilizibile pentru administratorul serverului, luați în considerare criptarea end-to-end.

Înainte de a activa criptarea

Planificați cheile și recuperarea înainte de a modifica setările. Faceți o copie de rezervă a datelor cheii de configurare și de criptare Nextcloud și asigurați-vă că copia de rezervă este stocată separat, cu controale de acces. Materialul cheii este stocat în directorul de date; pierderea cheilor de criptare sau a secretului instanței poate face ca datele criptate să nu mai poată fi recuperate. Mențineți o procedură de recuperare testată, nu doar o copie a bazei de date.

De asemenea, înregistrați o valoare de referință înainte de modificare: testați timpul de încărcare și descărcare pentru fișiere reprezentative, observați activitatea procesorului și a spațiului de stocare și notați orice latență experimentată de utilizatori. Repetați aceleași teste după activare. Acest lucru va arăta dacă modificarea este acceptabilă pe hardware-ul dvs., în loc să vă bazați pe o afirmație generală despre performanță.

Activează modulul de criptare implicit al Nextcloud

1. Conectați-vă ca administrator Nextcloud și deschideți secțiunea Criptare pe server din setările de administrare.
2. Selectați Activare criptare pe server . Dacă Nextcloud raportează că nu este încărcat niciun modul de criptare, deschideți pagina Aplicații și activați Modulul de criptare implicit , apoi reveniți la setările de criptare.
3. Verificați modul de criptare înainte de a continua. Modul implicit cu cheie principală este recomandat pentru majoritatea implementărilor, dar administratorii pot decripta fișierele. Modul cu cheie utilizator are limite suplimentare de compatibilitate și recuperare și nu reprezintă o optimizare a performanței.
4. Deconectați-vă și conectați-vă din nou pentru a inițializa cheile de criptare conform instrucțiunilor interfeței. Verificați starea criptării din linia de comandă:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

Înlocuiți calea exemplu și utilizatorul HTTP cu cele utilizate de instalarea dvs. Nextcloud necesită ca OCC să ruleze ca utilizator HTTP pentru a păstra permisiunile corecte ale fișierelor. În Docker, AIO, Snap sau găzduire gestionată, utilizați shell-ul și utilizatorul acceptate de implementarea respectivă, în loc să copiați literal această comandă gazdă. Consultați ghidul oficial OCC pentru detalii despre executarea comenzilor.

Decideți ce să criptați și când

După activarea SSE, fișierele noi și cele modificate sunt criptate. Fișierele existente nu sunt convertite automat doar pentru că setarea a fost activată. Dacă trebuie să criptați biblioteca de fișiere existentă, Nextcloud oferă această comandă OCC:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

Înainte de a o rula, confirmați că backup-urile sunt actuale și programați o fereastră de întreținere. Operațiunea procesează fișiere pentru toți utilizatorii, afișează progresul și poate necesita timp și resurse substanțiale pe o instanță mare. Nextcloud recomandă utilizatorilor să nu acceseze fișierele în timpul acestui proces. Nu o rulați în timpul utilizării maxime și nu o tratați ca pe o comutare inofensivă. Dacă doar o anumită montare externă necesită SSE, configurați opțiunea de criptare a acelei montări, în loc să inițiați inutil o conversie la nivel de server.

Unele date rămân în afara domeniului de aplicare al criptării conținutului fișierelor. Manualul actual listează numele fișierelor și structurile de foldere, fișierele existente din coșul de gunoi, versiunile istorice ale fișierelor, miniaturile și previzualizările imaginilor, precum și indexul de căutare full-text printre elementele care nu sunt criptate de SSE. Partajarea fișierelor criptate pe un spațiu de stocare extern trebuie să treacă prin Nextcloud; acestea nu pot fi partajate direct de la furnizorul de stocare.

Reduceți și măsurați impactul performanței

Folosește o verificare în etape în loc să criptezi totul deodată:

• Începeți cu un set de testare mic sau o locație de stocare externă nou montată, unde se poate verifica domeniul de aplicare al opțiunii de criptare.
• Comparați timpii de încărcare și descărcare, utilizarea procesorului și întârzierile vizibile de utilizator cu valorile de referință sub o sarcină similară.
• Repetați testul pentru fișiere mai mari și fluxuri de lucru comune, cum ar fi încărcările și descărcările clientului de sincronizare, deoarece lucrările de criptare au loc pe server.
• Extindeți domeniul de aplicare numai dacă impactul măsurat este acceptabil și dacă procesul cheie de backup și recuperare este verificat.

Nextcloud nu promite zero costuri suplimentare, iar impactul real depinde de hardware, dimensiunile fișierelor, spațiul de stocare, concurența și volumul de lucru. SSE poate, de asemenea, să crească ușor dimensiunea fișierelor stocate; manualul actual menționează aproximativ 1% pentru versiunile moderne, comparativ cu o suprasarcină mai mare în versiunile mai vechi. Nu presupuneți că o estimare veche a performanței se aplică versiunii dvs.

Verificați rezultatul și păstrați o cale de revenire sigură

După activarea SSE, verificați occ encryption:statusși testați comportamentul de încărcare, descărcare, partajare și sincronizare cu un fișier necritic. Confirmați că datele de pe spațiul de stocare dorit pot fi citite prin Nextcloud și că întârzierile măsurate rămân acceptabile. Pentru fișierele existente, nu presupuneți că sunt criptate până la finalizarea operațiunii în bloc.

Dacă ulterior decideți să dezactivați SSE, nu dezactivați pur și simplu aplicația sau modulul cât timp fișierele criptate rămân. Secvența documentată de Nextcloud este de a decripta mai întâi fișierele, apoi de a dezactiva criptarea; comanda decrypt poate intra în modul de întreținere și ar trebui executată și cu copii de rezervă:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

Confirmați finalizarea operațiunii și verificați accesul la fișiere înainte de a modifica setările de criptare. Dacă costul măsurat este prea mare, restrângeți domeniul de stocare criptat sau alegeți o protecție la nivelul de stocare care se potrivește modelului dvs. de amenințare. Păstrați cheile și secretul instanței în copie de rezervă atât timp cât există date criptate.

Referințe oficiale

• Criptare pe server Nextcloud 35: configurare, limitări, copii de rezervă și comenzi OCC
• Detalii despre criptarea pe server Nextcloud și tipuri de chei
• Referință comandă Nextcloud OCC