A partire da ottobre 2026, la documentazione per gli amministratori di Nextcloud 35, nella sua versione stabile, chiarisce un punto importante in modo più preciso rispetto a molti tutorial precedenti: la crittografia lato server (SSE) è pensata principalmente per proteggere i file archiviati su storage esterno di terze parti e la modalità predefinita con chiave master offre prestazioni migliori e una maggiore compatibilità con i sistemi di autenticazione rispetto alle chiavi per singolo utente. La stessa documentazione evidenzia inoltre che i file crittografati ora aggiungono solo circa l'1% di spazio di archiviazione, rispetto a un sovraccarico molto maggiore nelle versioni precedenti a Nextcloud 25.
Ciò non significa che la crittografia sia letteralmente gratuita. Ogni operazione di lettura e scrittura crittografata richiede un lavoro crittografico, quindi nessuna guida affidabile può promettere un costo nullo in termini di CPU o latenza su ogni server. L'obiettivo pratico è diverso: abilitare la crittografia in modo da evitare rallentamenti evidenti per gli utenti, mantenere sotto controllo la pressione sul database e sui blocchi e crittografare solo lo spazio di archiviazione effettivamente necessario.
Nextcloud SSE crittografa il contenuto dei file sul server prima che vengano memorizzati. Quando un utente scarica o apre un file tramite Nextcloud, il server lo decrittografa prima di consegnarlo all'utente autorizzato. Le chiavi di crittografia rimangono sul server Nextcloud, motivo per cui SSE è particolarmente utile quando i dati effettivi del file risiedono su un provider di archiviazione esterno di cui non ci si fida completamente.
SSE non nasconde i nomi dei file o la struttura delle directory e non protegge i file da un amministratore Nextcloud malintenzionato o da un server applicativo completamente compromesso. Se il requisito è che nemmeno l'amministratore del server debba essere in grado di leggere i file, il modello di crittografia end-to-end di Nextcloud rappresenta il livello di sicurezza più appropriato. Il confronto ufficiale è disponibile nella documentazione sulla crittografia lato server di Nextcloud .
| Decisione | Scelta con costi generali inferiori | Quando scegliere qualcos'altro |
|---|---|---|
| Gestione delle chiavi | Chiave master, che è la modalità predefinita e consigliata per la maggior parte delle implementazioni | Utilizzare chiavi per utente solo quando tale compromesso in termini di sicurezza è specificamente richiesto e le relative limitazioni di autenticazione/recupero sono accettabili. |
| ambito di archiviazione | Crittografa la memoria esterna lasciando non crittografata la memoria locale quando il modello di minaccia è il provider esterno. | Crittografa anche lo spazio di archiviazione domestico quando è necessaria anche la protezione dei dati a riposo sullo spazio di archiviazione locale di Nextcloud. |
| Blocco del backend | Blocco dei file transazionali basato su Redis o Valkey | Il blocco del database può essere accettabile per sistemi molto piccoli, ma aggiunge un carico evitabile al database in caso di traffico elevato. |
Le chiavi di crittografia e il segreto dell'istanza sono elementi fondamentali per il ripristino. Nextcloud raccomanda esplicitamente di eseguire il backup della configurazione dell'istanza e delle chiavi di crittografia prima di abilitare SSE. La perdita delle chiavi o del segreto dell'istanza necessari può rendere i dati crittografati irrecuperabili.
Prima di implementare la modifica, effettuate una semplice misurazione di riferimento utilizzando il carico di lavoro rilevante per i vostri utenti. Misurate alcuni caricamenti e download rappresentativi, annotate l'utilizzo della CPU da parte di PHP-FPM, il carico del database, la latenza di archiviazione e il tempo di risposta dell'app File. Non è necessario un benchmark di laboratorio. Vi serve un test ripetibile prima e dopo la modifica, in grado di indicarvi se l'implementazione ha modificato il comportamento percepito dagli utenti.
Valuta inoltre se hai effettivamente bisogno di crittografare lo storage domestico. Se il tuo obiettivo è proteggere un backend S3, SMB, object storage o altro dal provider di storage, mantenere lo storage domestico locale al di fuori di SSE evita di eseguire operazioni crittografiche che non offrono alcun valore aggiunto in base a tale modello di minaccia.
Questa è la fase preparatoria più importante per le prestazioni. Nextcloud raccomanda la memorizzazione nella cache per ottenere prestazioni ottimali e, in particolare, consiglia APCu per la cache locale, oltre a Redis o un backend compatibile per il blocco transazionale dei file. Il blocco transazionale dei file è particolarmente importante per i file crittografati, poiché Nextcloud deve coordinare in modo sicuro le modifiche ai file durante le operazioni di crittografia e archiviazione.
Una configurazione comune a server singolo utilizza APCu per la cache locale e Redis per i blocchi:
'memcache.local' => '\OC\Memcache\APCu',
'memcache.locking' => '\OC\Memcache\Redis',
'redis' => [
'host' => '127.0.0.1',
'port' => 6379,
'dbindex' => 0,
],Se Redis è in esecuzione sullo stesso host, la documentazione di Nextcloud relativa al blocco dei file raccomanda di utilizzare un socket Unix, ove possibile. La documentazione più recente di Nextcloud 35 descrive anche l'opzione KeyValueCache inclusa per i server compatibili con Redis o Valkey, che può fornire il blocco transazionale senza richiedere l'estensione PHP phpredis. Utilizza la configurazione che corrisponde alla tua implementazione anziché copiare ciecamente un esempio.
È inoltre necessario abilitare e dimensionare PHP OPcache in modo che non rimuova ripetutamente il codice compilato. La guida all'ottimizzazione del server di Nextcloud afferma che OPcache migliora le prestazioni delle applicazioni PHP e avvisa gli amministratori quando i limiti configurati superano il 90% di utilizzo. Prima del rollout, consultare la guida ufficiale alla cache di memoria , la guida al blocco dei file transazionali e la guida all'ottimizzazione del server .
Per la maggior parte delle implementazioni attuali, la modalità con chiave master è il punto di partenza migliore. Nextcloud 35 la indica come predefinita, la raccomanda per la maggior parte delle implementazioni e sottolinea che offre prestazioni migliori e compatibilità con un maggior numero di metodi di accesso. Il compromesso è chiaro: gli amministratori che controllano il server possono decrittografare i file degli utenti. Se questo non è accettabile, l'autenticazione Single Sign-On (SSE) con chiave master non rappresenta il livello di sicurezza adeguato.
Nell'interfaccia web, apri la sezione Crittografia lato server nelle impostazioni di amministrazione, abilita la crittografia lato server, quindi abilita il modulo di crittografia predefinito di Nextcloud da App se Nextcloud segnala che non è caricato alcun modulo di crittografia. Torna alle impostazioni di crittografia e verifica che il modulo sia selezionato. Disconnettiti e accedi di nuovo per inizializzare le chiavi di crittografia.
È possibile gestire la crittografia anche con occ. La documentazione di riferimento dei comandi corrente descrive la seguente sequenza:
sudo -E -u www-data php occ app:enable encryption
sudo -E -u www-data php occ encryption:enable
sudo -E -u www-data php occ encryption:statusSe lo scopo di SSE è solo la crittografia dell'archiviazione esterna, deseleziona l'opzione per la crittografia dell'archiviazione domestica prima di procedere a un'implementazione più ampia. Questa scelta può ridurre significativamente la quantità di dati che devono transitare attraverso il livello di crittografia.
La crittografia dell'archiviazione esterna viene configurata per ogni punto di montaggio. Abilita la crittografia solo per i punti di montaggio che la richiedono, quindi carica un file rappresentativo tramite Nextcloud e scaricalo nuovamente. Verifica l'accesso tramite lo stesso flusso di lavoro desktop, mobile, WebDAV o browser effettivamente utilizzato dai tuoi utenti.
Dopo il test funzionale, ripetere le misurazioni di base del passaggio 1. Confrontare il tempo di caricamento, il tempo di download, l'utilizzo della CPU, l'attività del database e la latenza di archiviazione. Se la variazione è minima e il tempo di risposta visibile all'utente è stabile, il server ha un margine sufficiente. Se le prestazioni calano drasticamente, non dare per scontato che la crittografia sia l'unica causa. Verificare innanzitutto la presenza di blocchi di file basati sul database, worker PHP-FPM saturi, storage esterno lento, OPcache insufficiente o un problema di connessione a Redis.
Se devi crittografare file già esistenti prima dell'abilitazione di SSE, Nextcloud offre questa funzionalità encryption:encrypt-all. Considerala come un'attività di migrazione, non come una normale richiesta interattiva. Può interessare una grande quantità di dati, quindi pianificala durante una finestra di manutenzione e assicurati che il piano di backup e ripristino sia adeguato. I comandi di crittografia disponibili sono documentati nel manuale di riferimento ufficiale di OCC sulla crittografia .
Ciò aumenta la quantità di I/O crittografati senza necessariamente affrontare una minaccia reale. Adatta l'ambito della crittografia al motivo per cui stai abilitando SSE.
La documentazione di Nextcloud afferma che il backend di blocco del database predefinito impone un carico significativo al database stesso. Una cache di blocco basata su Redis o Valkey è uno dei modi più diretti per eliminare questo collo di bottiglia.
Il traffico interattivo e una fase di crittografia completa dei dati competono per CPU, I/O, worker PHP e larghezza di banda di archiviazione. Separare il lavoro di migrazione dal normale traffico di produzione.
Le chiavi SSE sono disponibili al server, quindi un amministratore malintenzionato o un server completamente compromesso rimangono all'interno del perimetro di fiducia. Utilizzate la crittografia end-to-end quando questa è la minaccia che dovete affrontare.
Il modo più sicuro per abilitare la crittografia lato server di Nextcloud senza un calo significativo delle prestazioni è quello di mantenere l'ambito ristretto, utilizzare la chiave master predefinita quando il suo modello di fiducia è appropriato, configurare prima APCu e il blocco Redis o Valkey e testare il carico di lavoro reale prima e dopo la modifica. Le attuali linee guida di Nextcloud 35 supportano questo approccio: la modalità con chiave master è l'impostazione predefinita per ottimizzare le prestazioni, l'archiviazione esterna è il principale caso d'uso di SSE e l'overhead dovuto alle dimensioni dei file crittografati è ora di circa l'1%.
Iniziate consultando la guida ufficiale alla crittografia lato server di Nextcloud 35 e i dettagli tecnici relativi alla crittografia lato server . Questi documenti devono rimanere la fonte di riferimento per quanto riguarda il comportamento della gestione delle chiavi, i comandi di migrazione e le limitazioni specifiche della versione.
Confronta sei server e collettori syslog gratuiti per Windows e Linux, inclusi strumenti con interfaccia grafica, opzioni open source, funzionalità di ricerca, avvisi e trasporto sicuro.
Scopri cosa fa Microsoft IIS, come funzionano la sua pipeline di richieste e i pool di applicazioni e quando Apache, NGINX o Caddy potrebbero essere più adatti alle tue esigenze di server web.
Diagnostica i picchi di utilizzo della CPU del browser Jitsi Meet e riduci il carico del client controllando i riquadri video, gli effetti della fotocamera, la grafica del browser e le impostazioni dell'host.
Monitora lo stato di salute, il carico della conferenza e il traffico di Jitsi Videobridge con il suo endpoint Prometheus integrato, quindi esplora e visualizza i dati in Grafana.
Configura un dominio personalizzato per Jitsi Meet Docker con DNS, URL pubblico, HTTPS, Let's Encrypt, porte del firewall, impostazioni NAT e verifica end-to-end.
Fix Zimbra Admin Console 404 errors after SSL renewal by checking the correct URL and port, proxy routing, service status, deployed certificates, and logs.
Scopri come diagnosticare e risolvere l'avviso di configurazione di PHP OPcache di Nextcloud controllando l'SAPI PHP attivo, i limiti di dimensionamento, i commenti e le impostazioni di riconvalida.
Risolvere i problemi di migrazione del database Kopano dopo un aggiornamento di MySQL o MariaDB verificando i backup, le versioni del server, le modalità SQL, il set di caratteri, lo stato dello schema e i log.
Collega Nextcloud a LDAP o Active Directory con trasporto sicuro, filtri per utenti e gruppi, attributi di accesso e un'implementazione collaudata.
Risolvi i problemi di notifiche di Element Android sui telefoni senza Google configurando UnifiedPush, le autorizzazioni Android, le impostazioni della batteria ed eseguendo test di verifica affidabili.
