Внедрите серверное шифрование Nextcloud с измеримым эффектом.

Если вы рассматриваете возможность использования серверного шифрования Nextcloud, поскольку файлы хранятся на сторонних хранилищах, включайте его только после подтверждения того, что SSE соответствует вашей модели угроз. Не существует настройки, гарантирующей шифрование без снижения производительности: сервер должен шифровать и расшифровывать содержимое файлов, поэтому объем передаваемых данных и загрузка ЦП могут меняться. Вы можете контролировать влияние, тестируя репрезентативные файлы, включая шифрование для хранилища, которое в этом нуждается, и планируя пакетные преобразования на периоды низкой активности.

В текущем руководстве администратора Nextcloud 35, проверенном 10 октября 2026 года, встроенное серверное шифрование (SSE) описывается в основном как защита файлов, хранящихся на внешних носителях. Оно не скрывает имена файлов или структуру папок и не защищает файлы от взлома сервера Nextcloud или действий злонамеренного администратора. Для локальных дисков или в случае физической кражи лучше подойдет шифрование дисков операционной системой; для обеспечения недоступности данных для администратора сервера следует рассмотреть сквозное шифрование.

Перед включением шифрования

Перед изменением настроек спланируйте работу с ключами и восстановлением. Создайте резервную копию конфигурации Nextcloud и данных ключей шифрования, и убедитесь, что резервная копия хранится отдельно с контролем доступа. Ключевой материал хранится в каталоге данных; потеря ключей шифрования или секретного ключа экземпляра может сделать зашифрованные данные невосстановимыми. Сохраните проверенную процедуру восстановления, а не просто копию базы данных.

Также зафиксируйте базовые показатели до внесения изменений: проверьте время загрузки и скачивания репрезентативных файлов, понаблюдайте за активностью процессора и хранилища, а также отметьте любые задержки, которые испытывают пользователи. Повторите те же тесты после активации. Это покажет, приемлемо ли изменение для вашего оборудования, вместо того чтобы полагаться на общие заявления о производительности.

Включите модуль шифрования по умолчанию в Nextcloud.

1. Войдите в систему как администратор Nextcloud и откройте раздел «Шифрование на стороне сервера» в настройках администрирования.
2. Выберите «Включить шифрование на стороне сервера» . Если Nextcloud сообщает, что модуль шифрования не загружен, откройте страницу «Приложения» и включите модуль шифрования по умолчанию , затем вернитесь к настройкам шифрования.
3. Перед продолжением ознакомьтесь с режимом шифрования. Для большинства развертываний рекомендуется использовать режим с мастер-ключом по умолчанию, но администраторы могут расшифровывать файлы. Режим с пользовательским ключом имеет дополнительные ограничения по совместимости и восстановлению и не является оптимизацией производительности.
4. Выйдите из системы и войдите снова, чтобы инициализировать ключи шифрования в соответствии с указаниями интерфейса. Проверьте состояние шифрования из командной строки:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

Замените указанный в примере путь и пользователя HTTP на те, которые используются в вашей установке. Nextcloud требует, чтобы OCC запускался от имени пользователя HTTP для сохранения корректных прав доступа к файлам. В Docker, AIO, Snap или управляемом хостинге используйте поддерживаемую оболочку и пользователя соответствующего развертывания, а не копируйте эту команду хоста дословно. Подробности выполнения команды см. в официальном руководстве OCC .

Решите, что и когда шифровать.

После включения SSE новые и измененные файлы шифруются. Существующие файлы не преобразуются автоматически только потому, что эта настройка была включена. Если вам необходимо зашифровать существующую библиотеку файлов, Nextcloud предоставляет следующую команду OCC:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

Перед запуском убедитесь, что резервные копии актуальны, и запланируйте окно технического обслуживания. Операция обрабатывает файлы для всех пользователей, отображает ход выполнения и может занять значительное время и ресурсы на большом экземпляре. Nextcloud рекомендует пользователям не обращаться к файлам во время этого процесса. Не запускайте его в периоды пиковой нагрузки и не рассматривайте его как безобидное переключение. Если SSE требуется только для определенного внешнего монтирования, настройте параметр шифрования для этого монтирования, вместо того чтобы без необходимости запускать преобразование для всего сервера.

Некоторые данные остаются вне зоны действия шифрования содержимого файлов. В текущем руководстве перечислены имена файлов и структуры папок, существующие файлы корзины, исторические версии файлов, миниатюры и предварительные просмотры изображений, а также индекс полнотекстового поиска среди элементов, не зашифрованных с помощью SSE. Обмен файлами, зашифрованными на внешнем хранилище, должен осуществляться через Nextcloud; их нельзя передавать напрямую от поставщика услуг хранения.

Снижение и измерение влияния на производительность

Вместо одновременного шифрования всего содержимого используйте поэтапную проверку:

• Начните с небольшого набора тестовых данных или нового внешнего накопителя, где можно будет настроить параметры шифрования.
• Сравните время загрузки и скачивания, загрузку процессора и видимые пользователю задержки с базовым показателем при аналогичной нагрузке.
• Повторите тест для файлов большего размера и распространенных рабочих процессов, таких как загрузка и скачивание файлов с помощью синхронизирующего клиента, поскольку шифрование происходит на сервере.
• Расширяйте область применения только в том случае, если измеренное воздействие является приемлемым и ключевой процесс резервного копирования и восстановления проверен.

Nextcloud не гарантирует нулевой уровень накладных расходов, и фактическое влияние зависит от оборудования, размеров файлов, объема хранилища, параллельной обработки и рабочей нагрузки. SSE также может незначительно увеличить размер хранимых файлов; в текущем руководстве указано примерно 1% для современных версий по сравнению с большими накладными расходами в более старых версиях. Не следует предполагать, что старая оценка производительности применима к вашей версии.

Проверьте результат и обеспечьте безопасный путь отката.

После включения SSE проверьте occ encryption:statusи протестируйте работу функций загрузки, скачивания, обмена и синхронизации с некритичным файлом. Убедитесь, что данные в нужном хранилище доступны для чтения через Nextcloud и что измеренные задержки остаются приемлемыми. Для существующих файлов не следует предполагать, что они зашифрованы, пока не завершится пакетная операция.

Если вы позже решите отключить SSE, не следует просто выключать приложение или модуль, пока зашифрованные файлы остаются. В документации Nextcloud описана следующая последовательность действий: сначала расшифровать файлы, а затем отключить шифрование; команда расшифровки может перейти в режим обслуживания, и ее также следует запускать с резервными копиями.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

Перед изменением настроек шифрования убедитесь в завершении операции и проверьте доступ к файлу. Если измеренные накладные расходы слишком высоки, сузьте область зашифрованного хранилища или выберите защиту на уровне хранилища, соответствующую вашей модели угроз. Храните резервные копии ключей и секретного ключа экземпляра до тех пор, пока существуют зашифрованные данные.

Официальные ссылки

• Шифрование на стороне сервера в Nextcloud 35: настройка, ограничения, резервное копирование и команды OCC.
• Подробная информация о шифровании на стороне сервера Nextcloud и типах ключей.
• Справочник команд Nextcloud OCC