O que é a encriptação zero-knowledge? (Guia em linguagem simples, 2026)

Provavelmente já viu „zero-knowledge“ estampado em gestores de palavras-passe e serviços de nuvem focados na privacidade. Soa a jargão, mas a ideia é simples e é a coisa mais importante a compreender para manter os dados privados online. Este guia explica o que significa a encriptação zero-knowledge, como funciona, o que lhe custa e onde a vai encontrar.

A definição breve

A encriptação zero-knowledge significa que os seus dados são encriptados no seu próprio dispositivo, com uma chave que só você detém, antes mesmo de chegarem a um serviço. O fornecedor guarda apenas o resultado encriptado — texto cifrado que não consegue ler — pelo que tem zero conhecimento do que realmente guardou. É a mesma ideia da encriptação ponta a ponta, aplicada a ficheiros armazenados em vez de mensagens: a empresa que aloja os seus dados não os consegue abrir, não os consegue analisar e não consegue produzir uma cópia legível para ninguém, porque nunca tem a chave.

Como difere da encriptação „normal“

Hoje em dia quase todos os serviços encriptam dados, por isso a palavra „encriptado“ sozinha diz pouco. A verdadeira questão é quem detém a chave.

• Encriptação na nuvem padrão — os seus ficheiros são encriptados em trânsito e em repouso, mas é o fornecedor que detém as chaves. Isso é conveniente (alimenta a pesquisa, as pré-visualizações e a recuperação), mas significa que o fornecedor pode tecnicamente ler os seus dados e tem de os entregar sob uma ordem legal válida.
• Encriptação zero-knowledge — a chave é derivada no seu dispositivo a partir da sua palavra-passe e nunca o abandona. O fornecedor apenas vê texto cifrado. Mesmo que obrigado, não tem nada legível para dar.

Assim, dois serviços podem ambos dizer „encriptado“ e oferecer uma privacidade completamente diferente. Com um, a empresa pode ler os seus dados; com o outro, só você pode.

Como funciona, em resumo

Quando define uma palavra-passe, a aplicação usa-a para derivar uma chave de encriptação no seu dispositivo. Os seus ficheiros são encriptados com essa chave antes de serem carregados, pelo que o que viaja para o servidor — e o que lá fica — são dados cifrados ilegíveis. Quando inicia sessão noutro dispositivo, a sua palavra-passe volta a derivar a chave localmente e desencripta os ficheiros para si. A função do servidor é apenas guardar e sincronizar texto cifrado; nunca vê a sua palavra-passe nem a sua chave.

Por que importa

Zero-knowledge muda em quem tem de confiar. Com as chaves detidas pelo fornecedor, a sua privacidade depende das políticas da empresa, dos seus funcionários, da sua segurança e do que um tribunal possa impor. Com zero-knowledge, a sua privacidade depende da matemática e de manter a sua palavra-passe em segurança. Isso significa:

• Uma violação do fornecedor expõe apenas texto cifrado ilegível, não os seus ficheiros.
• O fornecedor não pode analisar o seu conteúdo para publicidade, treino ou „funcionalidades“.
• Uma exigência legal ao fornecedor não produz nada legível, porque ele não tem nada legível para produzir.

Os compromissos honestos

Zero-knowledge não está isento de desvantagens, e os bons fornecedores são frontais quanto a elas:

• Sem recuperação de palavra-passe. Como só você detém a chave, normalmente o fornecedor não a consegue repor. Perde a palavra-passe e a chave de recuperação, e os dados desaparecem. É o preço da verdadeira privacidade.
• Menos conveniência do lado do servidor. O fornecedor não pode pesquisar dentro dos seus ficheiros encriptados nem gerar pré-visualizações, pois não os consegue ler. As funcionalidades que dependem de o servidor ver o seu conteúdo não vão funcionar.
• Continua a confiar no cliente. A encriptação acontece na aplicação, por isso está a confiar no código dessa aplicação. É por isto que o open-source e as auditorias independentes importam — permitem que outros verifiquem a promessa.

Onde a vai encontrar — e como verificar

Zero-knowledge surge em gestores de palavras-passe sólidos, em mensageiros encriptados ponta a ponta e em armazenamento na nuvem focado na privacidade, como o Proton Drive, o pCloud (Crypto) e o Tresorit. Também pode adicioná-la você mesmo a qualquer nuvem, encriptando os ficheiros localmente com uma ferramenta como o Cryptomator antes de os carregar.

Quando um serviço o afirma, verifique três coisas: é open-source, foi auditado de forma independente e é claro sobre o que está encriptado? O conteúdo dos ficheiros deve estar sempre coberto — mas verifique se também estão protegidos os metadados como os nomes dos ficheiros e a estrutura de pastas, pois é aí que as afirmações de „zero-knowledge“ muitas vezes param silenciosamente.