Habilitar el cifrado del lado del servidor de Nextcloud con impacto medido

Si está considerando el cifrado del lado del servidor de Nextcloud porque los archivos se encuentran en almacenamiento de terceros, habilítelo solo después de confirmar que SSE aborda su modelo de amenazas. No existe ninguna configuración que garantice el cifrado sin impacto en el rendimiento: el servidor debe cifrar y descifrar el contenido de los archivos, por lo que las transferencias y el uso de la CPU pueden variar. Puede controlar el impacto probando archivos representativos, habilitando el cifrado para el almacenamiento que lo requiera y programando cualquier conversión masiva para un período de baja actividad.

El manual de administración de Nextcloud 35, revisado el 10 de octubre de 2026, describe el cifrado integrado del lado del servidor (SSE) principalmente como protección para archivos almacenados en almacenamiento externo. No oculta los nombres de archivo ni la estructura de carpetas, ni protege los archivos de un servidor Nextcloud comprometido o de un administrador malintencionado. Para discos locales o en caso de robo físico, el cifrado de disco del sistema operativo podría ser más adecuado; para que el administrador del servidor no pueda leer los datos, se recomienda el cifrado de extremo a extremo.

Antes de habilitar el cifrado

Planifique la gestión de claves y la recuperación antes de modificar la configuración. Realice una copia de seguridad de la configuración de Nextcloud y de los datos de la clave de cifrado, y asegúrese de que la copia de seguridad se almacene por separado con controles de acceso. El material de la clave se almacena en el directorio de datos; la pérdida de las claves de cifrado o del secreto de la instancia puede provocar que los datos cifrados sean irrecuperables. Mantenga un procedimiento de recuperación probado, no solo una copia de la base de datos.

Además, registra una línea base antes del cambio: prueba el tiempo de carga y descarga de archivos representativos, observa la actividad de la CPU y el almacenamiento, y anota cualquier latencia que experimenten los usuarios. Repite las mismas pruebas después de la activación. Esto te permitirá comprobar si el cambio es aceptable en tu hardware, en lugar de basarte en una afirmación general sobre el rendimiento.

Habilitar el módulo de cifrado predeterminado de Nextcloud

1. Inicia sesión como administrador de Nextcloud y abre la sección de cifrado del lado del servidor en la configuración de administración.
2. Seleccione Habilitar cifrado del lado del servidor . Si Nextcloud indica que no se ha cargado ningún módulo de cifrado, abra la página Aplicaciones y habilite el módulo de cifrado Predeterminado ; a continuación, vuelva a la configuración de cifrado.
3. Revise el modo de cifrado antes de continuar. Se recomienda el modo de clave maestra predeterminado para la mayoría de las implementaciones, pero los administradores pueden descifrar los archivos. El modo de clave de usuario tiene limitaciones adicionales de compatibilidad y recuperación, y no optimiza el rendimiento.
4. Cierre sesión y vuelva a iniciarla para inicializar las claves de cifrado según las instrucciones de la interfaz. Compruebe el estado del cifrado desde la línea de comandos:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

Sustituya la ruta de ejemplo y el usuario HTTP por los que utilice su instalación. Nextcloud requiere que OCC se ejecute como el usuario HTTP para conservar los permisos de archivo correctos. En Docker, AIO, Snap o alojamiento gestionado, utilice el intérprete de comandos y el usuario compatibles con esa implementación en lugar de copiar literalmente este comando de host. Consulte la guía oficial de OCC para obtener más detalles sobre la ejecución de comandos.

Decida qué cifrar y cuándo.

Una vez habilitado SSE, los archivos nuevos y modificados se cifran. Los archivos existentes no se convierten automáticamente solo porque se haya activado esta configuración. Si necesita cifrar la biblioteca de archivos existente, Nextcloud proporciona este comando OCC:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

Antes de ejecutarlo, confirme que las copias de seguridad estén actualizadas y programe una ventana de mantenimiento. La operación procesa archivos para todos los usuarios, muestra el progreso y puede consumir bastante tiempo y recursos en una instancia grande. Nextcloud recomienda que los usuarios no accedan a los archivos durante este proceso. No lo ejecute durante los períodos de mayor uso ni lo considere una opción inofensiva. Si solo un montaje externo específico requiere SSE, configure la opción de cifrado de ese montaje en lugar de iniciar una conversión innecesaria en todo el servidor.

Algunos datos quedan fuera del alcance del cifrado de contenido de archivos. El manual actual enumera los nombres de archivos y las estructuras de carpetas, los archivos de la papelera de reciclaje, las versiones históricas de archivos, las miniaturas y vistas previas de imágenes, y el índice de búsqueda de texto completo entre los elementos no cifrados por SSE. Para compartir archivos cifrados en almacenamiento externo, es necesario utilizar Nextcloud; no se pueden compartir directamente desde el proveedor de almacenamiento.

Reducir y medir el impacto en el rendimiento

Utilice una verificación por etapas en lugar de cifrar todo a la vez:

• Comience con un pequeño conjunto de pruebas o una ubicación de almacenamiento externo recién instalada donde se pueda delimitar la opción de cifrado.
• Compare los tiempos de carga y descarga, el uso de la CPU y los retrasos visibles para el usuario con respecto al valor de referencia bajo una carga similar.
• Repita la prueba con archivos más grandes y flujos de trabajo comunes, como cargas y descargas de clientes de sincronización, ya que el cifrado se realiza en el servidor.
• Amplíe el alcance únicamente si el impacto medido es aceptable y se ha verificado el proceso clave de copia de seguridad y recuperación.

Nextcloud no garantiza una sobrecarga nula, y el impacto real depende del hardware, el tamaño de los archivos, el almacenamiento, la concurrencia y la carga de trabajo. SSE también puede aumentar ligeramente el tamaño de los archivos almacenados; el manual actual indica aproximadamente un 1 % para las versiones modernas, en comparación con una sobrecarga mayor en versiones anteriores. No asuma que una estimación de rendimiento antigua se aplica a su versión.

Verifique el resultado y mantenga una ruta de reversión segura.

Tras habilitar SSE, compruebe occ encryption:statusy pruebe el comportamiento de carga, descarga, uso compartido y sincronización con un archivo no crítico. Confirme que los datos en el almacenamiento previsto se pueden leer a través de Nextcloud y que los retrasos medidos siguen siendo aceptables. Para los archivos existentes, no dé por sentado que están cifrados hasta que finalice la operación masiva.

Si posteriormente decide desactivar SSE, no apague la aplicación o el módulo mientras haya archivos cifrados. La secuencia documentada de Nextcloud consiste en descifrar primero los archivos y luego desactivar el cifrado; el comando de descifrado puede entrar en modo de mantenimiento y también debe ejecutarse con copias de seguridad disponibles.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

Confirme que la operación se haya completado y verifique el acceso a los archivos antes de modificar la configuración de cifrado. Si la sobrecarga medida es demasiado alta, reduzca el alcance del almacenamiento cifrado o elija una protección de capa de almacenamiento que se ajuste a su modelo de amenazas. Mantenga copias de seguridad de las claves y el secreto de la instancia mientras existan datos cifrados.

Referencias oficiales

• Cifrado del lado del servidor en Nextcloud 35: configuración, limitaciones, copias de seguridad y comandos OCC
• Detalles del cifrado del servidor de Nextcloud y tipos de claves
• Referencia de comandos OCC de Nextcloud