Recensione Tresorit 2026: zero-knowledge AES-256 e giurisdizione svizzera SOC 2 — vale il prezzo?

Indice — l'essenziale di Tresorit

TL;DR — Tresorit in 30 secondi

Voto finale: 4,4 / 5. Tresorit è la cloud privacy-first più credibile per le organizzazioni regolamentate (sanità, legale, finanza) nel 2026, grazie allo zero-knowledge per impostazione predefinita, alle certificazioni enterprise (SOC 2 Type II, ISO 27001, ISO 27018, HIPAA, FIPS 140-2) e agli audit di conformità indipendenti.

Il principale punto di attrito da conoscere è commerciale: la griglia di prezzo resta da 2 a 3 volte sopra pCloud Crypto e Proton Drive, senza un'offerta a vita per ammortizzare. In cambio, Tresorit è uno dei pochi vendor a fornire garanzie contrattuali di livello enterprise (SLA, BAA HIPAA self-service) che i concorrenti consumer non offrono.

Consigliato se: gestisci o lavori in una PMI / organizzazione mid-market dove la conformità normativa (GDPR rigoroso, HIPAA, SOC 2, ISO 27001) deve essere dimostrata da certificazioni indipendenti e audit firmati contrattualmente. Tresorit è uno dei pochi vendor a offrire un HIPAA Business Associate Agreement (BAA) senza trattativa manuale.

Sconsigliato se: sei un privato a caccia del miglior rapporto prezzo/zero-knowledge su 5–10 anni — in tal caso, pCloud Crypto a vita o Proton Drive incluso in Proton Unlimited offrono un costo totale inferiore del 50–70%.

Perché Tresorit nel 2026 — il contesto del mercato della privacy aziendale

Il mercato della cloud per la privacy aziendale sta attraversando un punto di flesso strutturale nel 2025–2026. Tre forze concomitanti rendono Tresorit insolitamente rilevante nel 2026, dopo diversi anni in cui era percepito come un attore premium di nicchia di fronte a Dropbox Business e Microsoft OneDrive for Business.

In primo luogo, la piena applicazione del Data Act europeo (settembre 2025) e la revisione in corso del Cloud Service Cybersecurity Certification Scheme (EUCS) impongono ai vendor cloud obblighi in materia di trasparenza sui subappaltatori, portabilità contrattuale dei dati e protezione contro i trasferimenti internazionali non autorizzati. I vendor svizzeri ed europei, direttamente soggetti a questi regimi, ottengono un vantaggio strutturale sui colossi Big Tech statunitensi che restano esposti al CLOUD Act e alla sezione 702 del FISA anche tramite le loro filiali UE. Tresorit, con sede a Wollerau e acquisita dalla Swiss Post Group nel 2021, beneficia di questo riposizionamento normativo.

In secondo luogo, il consolidamento dell'uso aziendale su Microsoft OneDrive e Google Workspace a seguito di diversi incidenti di divulgazione involontaria nel 2024–2025 (in particolare l'incidente OneDrive del marzo 2024 in cui file contrassegnati come «solo interni» sono stati accidentalmente indicizzati da Microsoft Search a causa di una condivisione mal configurata). Gli uffici legali e i DPO di PMI e organizzazioni mid-market sono attivamente alla ricerca di alternative che garantiscano contrattualmente lo zero-knowledge — esattamente la proposta di valore di Tresorit, che può dimostrare tecnicamente di non possedere alcuna capacità di decifratura.

In terzo luogo, la maturazione dello stesso segmento della cloud per la privacy aziendale. Nel 2026, Tresorit affronta una seria concorrenza da Proton Drive Business (lanciato a novembre 2024, incluso nel Proton Business Suite a 12,99 €/utente/mese) e da una manciata di sfidanti europei come Boxcryptor (acquisito da Dropbox nel 2022 e chiuso a fine 2023, con gli utenti migrati a Tresorit o Cryptomator), Cryptomator (open-source, ma che richiede una cloud sottostante) e Cryptee (boutique ma limitato a 25 GB gratuiti). Questa pressione spinge Tresorit ad affinare la propria proposta sul segmento strettamente regolamentato, dove le sue certificazioni giustificano il sovrapprezzo.

La nostra recensione di giugno 2026 arriva quindi in un momento in cui Tresorit ha chiarito il proprio posizionamento: la cloud privacy aziendale di riferimento per le organizzazioni che necessitano di SLA, audit indipendenti e BAA HIPAA firmabili senza trattativa personalizzata. Per l'uso consumer, pCloud Crypto o Proton Drive restano economicamente più razionali.

Come analizziamo Tresorit

Questa recensione è un'analisi editoriale basata su elementi verificabili: la documentazione ufficiale di Tresorit (modello di crittografia, giurisdizione), le sue certificazioni e i rapporti di conformità (SOC 2 Type II, ISO 27001/27018, HIPAA, FIPS 140-2), i suoi prezzi pubblici e il suo rapporto di trasparenza. Non pubblichiamo cifre di throughput o disponibilità presentate come misurazioni interne.

I criteri che privilegiamo per una cloud privacy aziendale:

• Modello di crittografia: cosa è effettivamente zero-knowledge per impostazione predefinita, inclusi i nomi dei file.
• Conformità contrattuale: SLA, BAA HIPAA, certificazioni utilizzabili nelle gare d'appalto.
• Giurisdizione: sede legale E posizione effettiva dei server.
• Costo reale: prezzi enterprise vs alternative, nel tempo.

Tresorit comunica una buona affidabilità del servizio; per quanto ne sappiamo, nessun incidente di sicurezza importante è documentato pubblicamente dal lato di Tresorit. Per le prestazioni, ragioniamo a partire da ciò che la crittografia lato client completa consente, senza avanzare numeri misurati internamente.

Architettura crittografica — l'analisi vera

È qui che Tresorit si distacca dalla maggior parte dei concorrenti generalisti. Si impilano tre livelli di protezione.

Livello 1 — in transito. TLS 1.3 obbligatorio (TLS 1.2 deprecato nel 2024), HSTS preload, certificate pinning sulle app iOS e Android. Nessun fallback a HTTP. Test SSL Labs: voto A+.

Livello 2 — a riposo sui server Tresorit. AES-256 in modalità GCM. I server ricevono file già cifrati lato client — Tresorit gestisce quindi solo un livello di archiviazione di blob cifrati senza capacità di lettura. I nomi dei file stessi sono cifrati (a differenza di Box Encrypted o Dropbox, che possono vedere i nomi anche quando i contenuti sono cifrati).

Livello 3 — zero-knowledge lato client. La chiave di cifratura è derivata dalla tua password utente tramite PBKDF2-HMAC-SHA256 (100.000+ iterazioni sugli account creati dopo il 2024), a sua volta protetta da una chiave asimmetrica RSA-4096 (con Curve25519 + Ed25519 attualmente in beta su alcuni account business). Tresorit non memorizza né la password in chiaro, né la chiave derivata, né la chiave master. Architetturalmente, è lo stesso modello che Bitwarden o 1Password usano per i loro vault, trasposto all'archiviazione dei file.

Validazione indipendente: audit di conformità indipendenti, con executive summary disponibili su richiesta contrattuale. SOC 2 Type II auditato annualmente. ISO 27001 e ISO 27018 (rinnovo triennale). FIPS 140-2 Level 1 per i moduli crittografici sottostanti. Per l'elenco esatto e aggiornato delle certificazioni, fai riferimento alla pagina di conformità di Tresorit, che è autorevole.

Limite tecnico onesto: Tresorit non ha annunciato una roadmap post-quantistica pubblica a giugno 2026, a differenza di Proton, che ha implementato l'ibrido Kyber-768 + X25519 su Proton Mail (e sta lavorando per estenderlo a Drive nel 2026–2027). Per i dati la cui riservatezza deve durare 15–25 anni (archivi medici, fascicoli giudiziari, segreti industriali), è una lacuna da tenere a mente. Per la maggior parte dell'uso aziendale attuale (3–7 anni di conservazione), AES-256 + RSA-4096 è ancora considerato robusto dal NIST almeno fino al 2030.

Prezzi Tresorit 2026 — analisi reale

Quattro piani a giugno 2026, tutti con fatturazione annuale obbligatoria (la fatturazione mensile aggiunge il 20–25%).

Costo comparativo su 5 anni (1 utente, ~2 TB di archiviazione zero-knowledge) — oppure fai i tuoi calcoli con il nostro calcolatore dei costi di cloud storage:

Verdetto sui prezzi: Tresorit Premium è competitivo per i privati solo quando l'opzione a vita non è disponibile (rischio giurisdizionale del pCloud a vita) o quando conta l'accesso a certificazioni/audit di conformità (raro per i consumatori). Il vero sweet spot di Tresorit è Business Plus a 24 €/utente/mese, dove le funzioni di conformità (BAA HIPAA, DLP, audit log, SAML SSO) giustificano il sovrapprezzo e dove i concorrenti generalisti (OneDrive for Business, Dropbox Advanced) non forniscono uno zero-knowledge contrattuale.

Prestazioni — cosa aspettarsi

Il throughput reale dipende soprattutto dalla connessione e dal carico dei server. Architetturalmente, Tresorit applica la crittografia lato client completa inclusi i nomi dei file: un forte vantaggio per la privacy, ma che aggiunge un leggero costo di latenza e throughput rispetto a un servizio non cifrato come Dropbox.

Ciò che possiamo dire onestamente:

• Throughput: Tresorit si colloca nella stessa categoria delle altre cloud cifrate consumer; né la più veloce né la più lenta. La velocità di upload è il collo di bottiglia più comune sulla fibra consumer (raramente simmetrica).
• Latenza di sync: leggermente superiore a un servizio non cifrato, dato che la crittografia (nomi dei file inclusi) viene calcolata prima dell'invio. Per l'uso d'ufficio quotidiano, la differenza è impercettibile.
• Lavoro di squadra: su cartelle molto condivise (più utenti che modificano in parallelo), il versionamento differenziale di Tresorit aiuta a gestire i conflitti.
• Costo: Tresorit è strutturalmente più costoso (niente a vita, fatturazione annuale), giustificato dalle garanzie di conformità più che dalla pura velocità.

Conformità — il vero motivo per comprare Tresorit

È il pilastro che giustifica il sovrapprezzo. Quattro punti concreti.

SOC 2 Type II auditato annualmente (rapporto disponibile su richiesta contrattuale per i potenziali clienti Business Plus). SOC 2 Type II attesta l'applicazione efficace dei controlli su una finestra di 6-12 mesi (vs SOC 2 Type I, che attesta solo la definizione dei controlli in un dato momento). È lo standard de facto per i vendor cloud B2B negli USA e, sempre più, in Europa.

ISO 27001 + ISO 27018 validi 2024–2027 (rinnovo triennale). ISO 27018 affronta specificamente la protezione dei dati personali nei servizi cloud — è lo standard che i DPO francesi e tedeschi citano più spesso negli appalti pubblici e nelle gare delle grandi aziende.

HIPAA Business Associate Agreement (BAA) firmabile in self-service dal pannello admin Business Plus. È raro — la maggior parte dei concorrenti (incluso Proton Drive Business a giugno 2026) richiede settimane di trattativa contrattuale manuale per fornire un BAA. Per le organizzazioni sanitarie statunitensi (ospedali, cliniche, MSP sanitari), è un vero differenziatore operativo.

FIPS 140-2 Level 1 per i moduli crittografici. Il livello richiesto dal NIST per i contratti federali statunitensi e certi obblighi settoriali (difesa, finanza, sanità). Tresorit annuncia di puntare al Level 2 sulla roadmap 2026–2027, il che aprirebbe il segmento federale statunitense.

Rapporto di trasparenza pubblicato da Tresorit. Il punto strutturale: grazie all'architettura zero-knowledge, Tresorit è tecnicamente incapace di fornire i dati in chiaro, anche di fronte a una richiesta legale — a differenza dei Big Tech, che non sono cifrati per impostazione predefinita e possono divulgare i contenuti. Per le cifre esatte sulle richieste ricevute/eseguite, fai riferimento al rapporto pubblicato da Tresorit, che è autorevole.

Tresorit vs pCloud Crypto vs Proton Drive — tabella riassuntiva

Verdetto finale — chi dovrebbe davvero comprare Tresorit?

Compra Tresorit Business Plus se:

• Gestisci, o sei CIO/DPO/CISO di, una PMI/organizzazione mid-market in un settore regolamentato (sanità, legale, finanza, consulenza HR, payroll)
• Devi dimostrare contrattualmente lo zero-knowledge ai tuoi clienti o revisori
• Hai bisogno di un BAA HIPAA firmabile in self-service (in particolare sanità statunitense)
• Hai bisogno di SOC 2 Type II + ISO 27001 + ISO 27018 nelle tue gare d'appalto
• Il sovrapprezzo di ~24 €/utente/mese è assorbibile nella tua struttura di costi operativi

Compra Tresorit Premium come privato se:

• Non puoi accedere al livello Solo (verifica la disponibilità con il supporto)
• Vuoi un servizio zero-knowledge auditato (SOC 2 / ISO) senza add-on a pagamento da attivare (vs pCloud Crypto)
• Accetti il sovrapprezzo di ~430 € su 5 anni rispetto a pCloud Lifetime + Crypto per questa tranquillità

Compra invece pCloud Crypto se:

• Uso personale o familiare, budget limitato
• Puoi pagare 199 € a vita + 125 € di add-on Crypto a vita in un'unica soluzione
• Accetti che la regione dati «Svizzera» sia un'opzione annuale a pagamento

Compra invece Proton Drive se:

• Paghi già per Proton Mail Plus o Unlimited
• Vuoi la roadmap post-quantistica più avanzata sul mercato a giugno 2026
• Accetti una UX desktop leggermente meno curata di Tresorit o pCloud

Il nostro verdetto per il pubblico target di Priviy (utenti business privacy-first nel 2026): Tresorit Business Plus è il riferimento incontrastato per le organizzazioni regolamentate, ma resta sovradimensionato per l'80% dei casi d'uso personali, dove pCloud Crypto Lifetime o Proton Drive Unlimited offrono un miglior rapporto costo-protezione su 5 anni.

Per approfondire

• Migliori servizi di cloud storage cifrato 2026 — confronto completo tra provider — come Tresorit si misura su sei criteri ponderati contro tutti i principali concorrenti
• Proton Drive vs Tresorit vs pCloud Crypto — il testa a testa svizzero — confronto tecnico completo a 3 vie
• Recensione pCloud 2026 — offerta a vita — alternativa budget per l'uso personale
• Recensione Proton Drive 2026 — alternativa con ecosistema integrato
• E2E vs zero-knowledge cloud storage — ciò che il marketing nasconde — perché Tresorit è zero-knowledge per impostazione predefinita mentre pCloud standard non lo è
• CLOUD Act vs GDPR 2026 — perché la giurisdizione dei server conta quanto quella della sede legale
• Metodologia editoriale Priviy — come analizziamo i servizi cloud (specifiche, certificazioni, prezzi pubblici)
• Priviy Wikidata Q140050544 — entità Knowledge Graph
• Rapporti di trasparenza Tresorit (ufficiali): https://tresorit.com/transparency-report
• Standard ISO 27018 (ISO ufficiale): https://www.iso.org/standard/76559.html