O OneDrive é seguro em 2026? Resposta honesta e alternativas privadas

«O OneDrive é seguro?» tem duas respostas honestas, consoante o que quer dizer. Contra atacantes externos, o OneDrive é razoavelmente seguro - cifrado em trânsito e em repouso, com 2FA, um Cofre Pessoal e o maduro programa de segurança da Microsoft. Mas não é zero-knowledge: a Microsoft detém as chaves de cifra, pode aceder aos seus ficheiros e está sob jurisdição dos EUA. Ou seja, é seguro sem ser privado face ao fornecedor. Este guia explica a diferença e como tornar os seus ficheiros genuinamente privados.

O que o OneDrive efetivamente protege

• Cifra em trânsito (TLS) e em repouso nos servidores da Microsoft.
• Autenticação de dois fatores para proteger a conta.
• Cofre Pessoal - uma pasta protegida por uma verificação de identidade adicional que bloqueia automaticamente.
• Um maduro programa de segurança com auditorias e um bug bounty.

Contra hackers e interceção, é uma base sólida - melhor do que muitas configurações descuidadas.

Recuperação de ransomware e histórico de versões

A segurança não tem só que ver com quem pode ler os seus ficheiros - tem também que ver com não os perder, e aqui o OneDrive é genuinamente forte:

• O histórico de versões guarda versões anteriores dos ficheiros, para que possa reverter uma edição acidental ou uma substituição.
• A deteção de ransomware pode sinalizar um evento de cifra em massa e guiá-lo através do Restauro de Ficheiros, recuando todo o seu OneDrive para um momento anterior ao ataque (normalmente nos últimos 30 dias).
• A reciclagem retém os ficheiros eliminados durante um período, uma rede de segurança contra a eliminação acidental.

Estas funcionalidades fazem do OneDrive um razoável backup de conveniência contra os desastres mais comuns - ainda que, para um verdadeiro backup 3-2-1, continue a precisar de uma cópia independente que uma conta comprometida não consiga alcançar.

Como funciona realmente a cifra do OneDrive

Convém ser preciso sobre o que é cifrado e quem detém a chave, porque é aí que «seguro» e «privado» divergem:

• Em trânsito: o tráfego entre o seu dispositivo e a Microsoft é protegido com TLS, pelo que não pode ser lido na rede.
• Em repouso: os ficheiros residem em armazenamento cifrado nos servidores da Microsoft (a Microsoft descreve uma cifra por ficheiro com chaves que gere). Isto impede que alguém que rouba fisicamente um disco o consiga ler.
• Quem detém a chave: em ambos os casos é a Microsoft que gere as chaves, não você. Esse é o detalhe decisivo. Chaves geridas pelo fornecedor significam que a cifra protege os seus dados de terceiros mas não da própria Microsoft, dos seus sistemas automatizados nem de uma exigência legal dirigida à Microsoft.

Compare isto com a cifra zero-knowledge (de ponta a ponta), em que os dados são cifrados no seu dispositivo com uma chave que apenas você detém. O fornecedor armazena texto cifrado que realmente não consegue abrir. O OneDrive não usa esse modelo por predefinição - é por isso que a resposta honesta a «é seguro?» depende de o seu modelo de ameaça incluir o fornecedor e os governos, ou apenas os atacantes externos.

Onde o OneDrive fica aquém na privacidade

A limitação é estrutural, não uma falha que possa corrigir: a Microsoft detém as chaves. Como a cifra em repouso é gerida pela Microsoft, a empresa pode tecnicamente aceder aos seus ficheiros - para funcionalidades, para conformidade legal ou sob coação. Enquanto empresa norte-americana, a Microsoft está sujeita à CLOUD Act, que a pode obrigar a produzir dados mesmo quando armazenados no estrangeiro. Nada disto significa que o OneDrive está «hackeado»; significa que seguro contra terceiros não é o mesmo que privado face ao fornecedor e aos governos.

O Cofre Pessoal eleva a fasquia contra quem alcança o seu dispositivo ou conta, mas não torna o OneDrive zero-knowledge - os conteúdos permanecem acessíveis à Microsoft.

OneDrive face às alternativas zero-knowledge num relance

Onde se situa o OneDrive face aos serviços orientados para a privacidade com que costuma ser comparado:

O padrão é claro: o OneDrive é a opção cómoda e bem integrada, mas os três serviços orientados para a privacidade mantêm a chave consigo em vez de com o fornecedor. Se o acesso do fornecedor e a jurisdição dos EUA fazem parte do seu modelo de ameaça, é essa a coluna que importa.

Como tornar o OneDrive genuinamente privado

Duas camadas:

1. Blinde a conta. Uma palavra-passe forte e única e a 2FA (aplicação de autenticação ou chave de hardware), e reveja as aplicações ligadas.
2. Cifre antes do carregamento. Use uma ferramenta do lado do cliente como o Cryptomator para que o OneDrive armazene apenas texto cifrado que não consegue ler. Isso acrescenta zero-knowledge a um serviço cómodo.

Cifrar os seus ficheiros do OneDrive com o Cryptomator, passo a passo

1. Instale o Cryptomator (gratuito, de código aberto) no mesmo computador que executa o cliente de sincronização do OneDrive.
2. Crie um novo cofre e, quando lhe for perguntado onde o guardar, escolha uma pasta dentro da sua pasta do OneDrive. O Cryptomator só guardará ficheiros cifrados aí.
3. Defina uma frase-passe forte para o cofre e guarde-a no seu gestor de palavras-passe. Essa frase-passe é a chave - se a perder, ninguém, incluindo você, consegue recuperar os conteúdos. É esse o propósito do zero-knowledge.
4. Desbloqueie o cofre para obter uma unidade virtual e mova para lá os seus ficheiros sensíveis. O OneDrive sincroniza as versões cifradas; quem quer que olhe para o seu OneDrive vê apenas texto cifrado.
5. Bloqueie o cofre quando terminar. Noutro dispositivo, instale o Cryptomator, aponte-o para a pasta do cofre que o OneDrive sincronizou e desbloqueie-o com a mesma frase-passe.

Se preferir não acrescentar cifra, mude para um fornecedor que seja zero-knowledge por conceção, em que as chaves ficam consigo.

As definições de partilha que realmente deixam fugir dados

A cifra fica com todas as atenções, mas no uso diário aquilo que expõe um ficheiro do OneDrive é quase sempre uma ligação que alguém enviou. Duas definições comandam isso, e a forma como se combinam apanha as pessoas de surpresa.

As datas de expiração e as palavras-passe exigem uma subscrição. A Microsoft documenta ambas como funcionalidades que pode acrescentar aos ficheiros partilhados com uma subscrição do Microsoft 365. Numa conta gratuita pura e simplesmente não existem, o que significa que uma ligação que partilha é uma ligação que vive até que a revogue à mão.

A palavra-passe não se aplica à opção que provavelmente escolheu. Esta é a parte que vale a pena ler duas vezes. A documentação da Microsoft indica que a funcionalidade de definir palavra-passe não se aplica à opção de partilha «Specific people» (pessoas específicas): as palavras-passe aplicam-se a «Anyone with the link» (todas as pessoas com a ligação). Portanto, o instinto de escolher «Specific people» e depois acrescentar-lhe uma palavra-passe por cima não é uma configuração que consiga realmente criar. Está a escolher entre dois modelos diferentes, não a empilhá-los.

Os dois modelos protegem contra coisas distintas:

• «Specific people» liga o acesso a identidades que indica. Se um destinatário reencaminhar o convite, só as pessoas que já têm acesso podem usar a ligação. Não há palavra-passe porque o controlo é a verificação de identidade.
• «Anyone with the link» entrega o acesso a quem tiver o URL. É para isso que servem uma palavra-passe e uma data de expiração: são os controlos compensatórios de uma ligação que não sabe quem a tem na mão.

Há ainda um limite que convém conhecer quanto às pastas: a expiração para as pastas do OneDrive aplica-se à partilha «Anyone».

A regra prática. Se o destinatário tiver uma conta Microsoft, use «Specific people» e aceite que não há palavra-passe, porque não precisa dela. Se não tiver, use «Anyone with the link», e então uma palavra-passe e uma expiração curta não são extras opcionais: são a única coisa entre o seu ficheiro e qualquer pessoa que receba uma mensagem reencaminhada.

OneDrive pessoal vs. profissional: uma diferença de privacidade

O OneDrive de uma conta Microsoft 365 profissional ou escolar não é tão privado como uma pessoal - e isto é frequentemente esquecido. Um administrador do inquilino pode repor a sua palavra-passe, aceder aos seus ficheiros, aplicar políticas de retenção e executar o eDiscovery para recolher conteúdos por motivos legais ou de conformidade. Isso é assim por conceção numa conta pertencente ao empregador, mas significa que o OneDrive profissional nunca deve conter dados pessoais verdadeiramente sensíveis. Guarde os documentos pessoais numa conta pessoal (ou melhor, num fornecedor zero-knowledge) e trate tudo o que está num inquilino profissional como visível para a sua organização.

Guias relacionados

Para aprofundar, consulte as melhores alternativas ao OneDrive.

Para comparações completas, veja melhor armazenamento na nuvem cifrado 2026, melhor armazenamento na nuvem privado e o Google Drive é seguro? para a mesma pergunta sobre um serviço rival.

Conclusão

O OneDrive é suficientemente seguro contra terceiros - cifrado, compatível com 2FA, com Cofre Pessoal e bem gerido - e adequado para ficheiros do dia a dia se usar uma palavra-passe forte e a 2FA. Mas não é zero-knowledge: a Microsoft detém as chaves e está sob jurisdição dos EUA, pelo que não é o lugar certo para os seus dados mais sensíveis a menos que cifre primeiro do lado do cliente (Cryptomator) ou mude para um fornecedor zero-knowledge. Decida pela sensibilidade: conveniência no OneDrive, verdadeira privacidade com zero-knowledge.

Avaliação editorial baseada no modelo de cifra documentado do OneDrive (em trânsito/em repouso, chaves detidas pelo fornecedor), no design do Cofre Pessoal protegido por verificação, na jurisdição norte-americana da Microsoft (CLOUD Act) e no modelo zero-knowledge das alternativas. Distinguimos claramente «seguro contra terceiros» de «privado face ao fornecedor». As ligações comerciais têm o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliação sem custo adicional para si e sem qualquer influência na avaliação.