Se stai valutando la crittografia lato server di Nextcloud perché i file risiedono su storage di terze parti, abilitala solo dopo aver verificato che la crittografia lato server (SSE) risponda al tuo modello di rischio. Non esiste un'impostazione che garantisca la crittografia senza alcun impatto sulle prestazioni: il server deve crittografare e decrittografare il contenuto dei file, quindi i trasferimenti e l'utilizzo della CPU possono variare. Puoi tenere sotto controllo l'impatto testando file rappresentativi, abilitando la crittografia solo per lo storage che ne ha bisogno e programmando eventuali conversioni in blocco per periodi di minore attività.
Il manuale di amministrazione di Nextcloud 35, aggiornato al 10 ottobre 2026, descrive la crittografia lato server (SSE) integrata principalmente come protezione per i file archiviati su supporti di archiviazione esterni. Non nasconde i nomi dei file o la struttura delle cartelle e non protegge i file da un server Nextcloud compromesso o da un amministratore malintenzionato. Per i dischi locali o in caso di furto fisico, la crittografia del disco del sistema operativo potrebbe essere più adatta; per mantenere i dati illeggibili all'amministratore del server, è consigliabile valutare la crittografia end-to-end.
Pianifica le chiavi e il ripristino prima di modificare le impostazioni. Esegui il backup della configurazione di Nextcloud e dei dati delle chiavi di crittografia e assicurati che il backup sia archiviato separatamente con controlli di accesso. Il materiale delle chiavi è archiviato nella directory dei dati; la perdita delle chiavi di crittografia o del segreto dell'istanza può rendere i dati crittografati irrecuperabili. Mantieni una procedura di ripristino testata, non solo una copia del database.
Prima della modifica, registrate anche una configurazione di riferimento: testate i tempi di caricamento e download di file rappresentativi, osservate l'attività della CPU e dello spazio di archiviazione e annotate l'eventuale latenza riscontrata dagli utenti. Ripetete gli stessi test dopo l'attivazione. Questo dimostrerà se la modifica è accettabile sul vostro hardware, anziché basarsi su un'affermazione generica sulle prestazioni.
sudo -E -u www-data php /var/www/nextcloud/occ encryption:statusSostituisci il percorso e l'utente HTTP di esempio con quelli utilizzati dalla tua installazione. Nextcloud richiede che OCC venga eseguito come utente HTTP per preservare le autorizzazioni dei file corrette. In Docker, AIO, Snap o hosting gestito, utilizza la shell e l'utente supportati da tale implementazione anziché copiare letteralmente questo comando host. Consulta la guida ufficiale di OCC per i dettagli sull'esecuzione del comando.
Dopo aver abilitato SSE, i file nuovi e modificati vengono crittografati. I file esistenti non vengono convertiti automaticamente solo perché l'impostazione è stata attivata. Se è necessario crittografare la libreria di file esistente, Nextcloud fornisce questo comando OCC:
sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-allPrima di eseguirla, verificare che i backup siano aggiornati e pianificare una finestra di manutenzione. L'operazione elabora i file per tutti gli utenti, visualizza l'avanzamento e può richiedere tempo e risorse considerevoli su un'istanza di grandi dimensioni. Nextcloud consiglia agli utenti di non accedere ai file durante questo processo. Non eseguirla durante i picchi di utilizzo e non considerarla un'opzione innocua. Se solo un particolare mount esterno richiede SSE, configurare l'opzione di crittografia di quel mount anziché avviare inutilmente una conversione a livello di server.
Alcuni dati rimangono esclusi dalla crittografia del contenuto dei file. Il manuale attuale elenca, tra gli elementi non crittografati da SSE, i nomi dei file e le strutture delle cartelle, i file presenti nel cestino, le versioni precedenti dei file, le miniature e le anteprime delle immagini e l'indice di ricerca full-text. La condivisione di file crittografati su storage esterno deve avvenire tramite Nextcloud; non è possibile condividerli direttamente dal provider di storage.
Utilizza una verifica a fasi anziché crittografare tutto in una volta:
Nextcloud non garantisce un overhead pari a zero e l'impatto effettivo dipende dall'hardware, dalle dimensioni dei file, dallo spazio di archiviazione, dalla concorrenza e dal carico di lavoro. SSE potrebbe anche aumentare leggermente le dimensioni dei file archiviati; il manuale attuale indica un aumento di circa l'1% per le versioni moderne, rispetto a un overhead maggiore nelle versioni precedenti. Non dare per scontato che una vecchia stima delle prestazioni sia valida per la tua versione.
Dopo aver abilitato SSE, verifica occ encryption:statuse testa il comportamento di caricamento, download, condivisione e sincronizzazione con un file non critico. Conferma che i dati nella posizione di archiviazione prevista siano leggibili tramite Nextcloud e che i ritardi misurati rimangano accettabili. Per i file esistenti, non dare per scontato che siano crittografati finché l'operazione in blocco non è stata completata.
Se in seguito decidete di disabilitare SSE, non limitatevi a chiudere l'app o il modulo finché i file crittografati sono ancora presenti. La procedura documentata da Nextcloud prevede di decrittografare prima i file e poi disabilitare la crittografia; il comando di decrittografia potrebbe entrare in modalità di manutenzione e dovrebbe essere eseguito solo dopo aver effettuato un backup.
sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-allPrima di modificare le impostazioni di crittografia, verificare il completamento dell'operazione e l'accesso ai file. Se il sovraccarico misurato è eccessivo, restringere l'ambito di archiviazione crittografata o scegliere una protezione a livello di archiviazione più adatta al modello di minaccia. Eseguire il backup delle chiavi e del segreto dell'istanza per tutto il tempo in cui i dati crittografati sono presenti.
Risolvi i problemi più comuni riscontrati durante le scansioni di Nextcloud con gli aggiornamenti più recenti, HTTPS e HSTS, una configurazione precisa del proxy inverso e verifiche rispetto al server pubblico.
Configura Nextcloud SSE per lo spazio di archiviazione che lo richiede, proteggi le chiavi di crittografia e misura l'impatto sul trasferimento dati e sulla CPU prima di crittografare i file esistenti.
Collega la ricerca file di Nextcloud a Elasticsearch, indicizza il contenuto dei documenti e scegli una configurazione adatta alle esigenze del tuo server e della tua sicurezza.
Configura Nextcloud per rimuovere i file eliminati dopo un periodo di conservazione definito, pianifica in modo affidabile le attività in background ed evita i comandi che svuotano il cestino di tutti gli utenti.
Esegui in modo sicuro la riparazione OCC di Nextcloud, visualizza in anteprima le modifiche al database e verifica il motivo per cui l'avviso potrebbe persistere.
Consenti il caricamento di file di dimensioni maggiori nel browser Nextcloud allineando le impostazioni di PHP, Nginx o Apache, dello spazio di archiviazione temporaneo e del timeout, e verifica quale limite sta bloccando il file.
Imposta il limite di memoria PHP effettivamente utilizzato da Nextcloud, riavvia il servizio corretto e conferma l'impostazione di 512 MB nella Panoramica di amministrazione.
Monta un bucket di object storage compatibile in Nextcloud utilizzando il suo backend S3, con l'endpoint, le credenziali, l'ambito di accesso e i passaggi di verifica corretti.
Spostare in modo sicuro una directory di dati Nextcloud su Linux verso un'unità esterna utilizzando un mount UUID persistente, la modalità di manutenzione, una copia verificata e il collegamento simbolico del percorso originale.
Ripristina l'accesso a Nextcloud dopo un aggiornamento diagnosticando gli errori SQL, verificando la connettività del database e completando in sicurezza le migrazioni interrotte.
