Ilustração técnica escura de um iPhone com um ícone do iCloud e um cadeado dividido para mostrar dois estados diferentes de custódia de chaves

As fotos do iCloud são criptografadas de ponta a ponta?

Por padrão, as fotos do iCloud não são criptografadas de ponta a ponta. A Apple as armazena usando chaves de criptografia que ela controla e pode descriptografá-las quando legalmente necessário. Ativar a Proteção Avançada de Dados muda isso: seus dispositivos confiáveis possuem as chaves, a Apple não. O ADP é opcional, desativado por padrão e requer configuração de recuperação antes de poder ser ativado.

As fotos do iCloud são criptografadas, mas com a proteção de dados padrão, a Apple possui as chaves de criptografia e pode acessar suas fotos em resposta a uma ordem judicial ou para recuperação de conta. Com a Proteção Avançada de Dados ativada, as fotos do iCloud passam a ser genuinamente criptografadas de ponta a ponta: seus dispositivos possuem as chaves, a Apple não possui nada. O ADP deve ser ativado manualmente. Não é o padrão e foi removido para usuários do Reino Unido em fevereiro de 2025 por uma exigência governamental que a Apple não podia recusar legalmente.

O que 'criptografado' significa quando a Apple possui as chaves

O iCloud criptografa suas fotos. Essa afirmação é verdadeira e também enganosa se você parar por aí.

Com a proteção de dados padrão, o padrão para todas as Contas Apple, suas fotos são criptografadas em trânsito e armazenadas em formato criptografado nos servidores da Apple. A criptografia é real. O que as letras miúdas dizem é que a Apple possui as chaves de criptografia em módulos de segurança de hardware em seus próprios centros de dados. A documentação de suporte da Apple coloca isso claramente: as chaves podem ser acessadas pelos servidores da Apple, e a Apple pode ajudá-lo a recuperar seus dados se você perder o acesso à sua conta.

Essa arquitetura tem um nome: criptografia do lado do servidor. O fornecedor criptografa os dados e o fornecedor possui a chave. Protege suas fotos contra alguém que viole a camada de armazenamento sem credenciais. Não as protege contra a própria Apple, contra uma ordem judicial emitida para a Apple ou contra uma violação dos sistemas de gerenciamento de chaves. Quando jornalistas e pesquisadores descrevem o iCloud como alvo de solicitações das forças policiais, é esse mecanismo que eles descrevem. Os dados são recuperáveis porque a Apple pode recuperá-los.

Não é uma falha oculta. A Apple o publica em seu resumo de segurança de dados do iCloud. É o compromisso deliberado para a recuperação de conta: você pode recuperar suas fotos após perder seu dispositivo precisamente porque a Apple pode descriptografá-las em seu nome.

Quinze categorias de dados do iCloud são criptografadas de ponta a ponta com proteção padrão, incluindo Senhas e Chaveiro, dados de Saúde e algumas outras. Fotos do iCloud, Backup do iCloud, Notas e a maioria do restante não são.

Proteção Avançada de Dados: quando as fotos do iCloud se tornam genuinamente criptografadas de ponta a ponta

A Proteção Avançada de Dados para o iCloud, que a Apple anunciou em 7 de dezembro de 2022, muda o modelo de custódia de chaves para a maioria dos seus dados do iCloud. Com o ADP ativado, seus dispositivos confiáveis possuem as chaves de criptografia, não a Apple. O número de categorias de dados protegidas com criptografia de ponta a ponta sobe de 15 para 25, e as Fotos do iCloud são uma das adições.

Uma nota sobre essa contagem de categorias: o anúncio original da Apple em dezembro de 2022 indicou que a cobertura se expandiu de 14 para 23 categorias. As páginas atuais do Suporte da Apple indicam 25. A Apple expandiu a cobertura do ADP desde o lançamento. Este artigo usa 25 como o número atual da documentação ativa do Suporte da Apple e anota a discrepância por questão de precisão.

Ivan Krstić, chefe de Engenharia e Arquitetura de Segurança da Apple, o descreveu no lançamento: a Proteção Avançada de Dados é o nível mais alto de segurança de dados na nuvem da Apple, dando aos usuários a opção de proteger a grande maioria de seus dados do iCloud mais sensíveis com criptografia de ponta a ponta, para que só possam ser descriptografados em seus dispositivos confiáveis.

Essa descrição é precisa. Com o ADP ativado, a Apple não possui as chaves necessárias para descriptografar as fotos da sua biblioteca pessoal. A Apple ainda poderá fornecer dados criptografados e metadados de contas ou serviços associados em resposta a uma exigência legal válida; a questão é que ele não pode transformar o texto cifrado da foto protegida em texto simples. Os álbuns compartilhados e outras categorias excluídas usam um modelo de proteção diferente.

O ADP é uma melhoria real de privacidade. Com ele ativado, o iCloud se torna um armazenamento genuíno de fotos criptografadas de ponta a ponta. Se você usa o iCloud para fotos que deseja manter privadas e não está no Reino Unido, ativar o ADP vale o esforço de configuração.

O que o ADP ainda não protege

A cobertura é ampla, mas não total. Três categorias permanecem fora da criptografia de ponta a ponta mesmo com o ADP ativado.

Mail, Contatos e Calendário. A justificativa da Apple é a interoperabilidade: esses serviços trocam dados com sistemas externos, servidores de e-mail, provedores CalDAV e serviços CardDAV, e a criptografia padrão é necessária para que essa troca funcione. A Apple criptografa esses dados, mas possui as chaves.

Álbuns compartilhados em Fotos. Um álbum compartilhado com outras pessoas ou publicado com uma URL 'qualquer pessoa com o link' é acessível na web. Esse acesso exige que a Apple possa servir o conteúdo, o que requer chaves do lado do servidor. As fotos na sua biblioteca pessoal são criptografadas de ponta a ponta com o ADP ativado; as mesmas fotos em um álbum compartilhado não são.

Colaboração do iWork. A edição em tempo real de documentos Keynote, Numbers e Pages compartilhados passa pelos servidores da Apple para mediação. Essa coordenação requer acesso do servidor ao conteúdo.

Isso não é descuido da Apple. São os custos arquiteturais de recursos que exigem um servidor no meio. Se você quiser fotos criptografadas de ponta a ponta, mantenha-as fora dos Álbuns compartilhados.

Como verificar se o ADP está ativado e como ativá-lo

O ADP não está ativado por padrão. Para verificar: abra Ajustes no seu iPhone, toque no seu nome no topo, toque em iCloud, role até o final e toque em Proteção Avançada de Dados. Se você ver 'Proteção Avançada de Dados está ativada', ela está ativa. Se vir um aviso para ativá-la, não está.

Ativá-lo requer duas coisas que a Apple pedirá antes que o botão faça qualquer coisa: autenticação de dois fatores na sua Conta Apple e pelo menos um método de recuperação, um contato de recuperação (outra pessoa com um dispositivo Apple) ou uma chave de recuperação (uma sequência de 28 caracteres que você guarda em um lugar seguro). Isso é obrigatório, não opcional. A Apple não pode ajudá-lo a recuperar dados criptografados de ponta a ponta se você perder o acesso, então você deve fornecer seu próprio caminho de recuperação antes que o ADP seja ativado.

Ativar o ADP em um dispositivo o ativa para toda a sua Conta Apple em todos os dispositivos compatíveis. É em toda a conta. Os dispositivos precisam estar com iOS 16.2, iPadOS 16.2, macOS 13.1 ou posterior.

A questão da durabilidade: o que aconteceu no Reino Unido

Em fevereiro de 2025, a Apple removeu a Proteção Avançada de Dados para usuários do Reino Unido. A causa imediata foi um Technical Capability Notice emitido pelo Ministério do Interior britânico sob o Investigatory Powers Act, exigindo que a Apple fornecesse acesso aos dados de usuários criptografados armazenados no iCloud.

Em vez de construir uma porta dos fundos, a Apple retirou o ADP do Reino Unido. Os usuários britânicos que já tinham ativado o ADP receberam alertas em 21 de fevereiro de 2025, instruindo-os a desativá-lo ou arriscar perder o acesso às suas contas do iCloud. Novos usuários do Reino Unido não podem ativar o ADP de forma alguma. As 15 categorias criptografadas por padrão permanecem protegidas; todo o restante, Fotos, Backup, Notas e o resto das 25 categorias ADP, reverteu para criptografia padrão (a Apple possui as chaves) para contas do Reino Unido.

O aviso original supostamente exigia acesso aos dados do iCloud de todos os usuários globais. Após pressão significativa de legisladores americanos e, de acordo com reportagens de agosto de 2025, uma declaração do Diretor de Inteligência Nacional dos EUA de que o Reino Unido havia retirado a demanda mais ampla, o Ministério do Interior modificou a ordem para cobrir apenas usuários do Reino Unido. A Apple subsequentemente abandonou seu desafio legal ao aviso revisado. O Investigatory Powers Tribunal rejeitou o recurso em 14 de outubro de 2025, citando uma 'mudança de circunstâncias'.

A declaração da Apple naquele momento: 'Estamos profundamente decepcionados que as proteções fornecidas pelo ADP não estejam disponíveis para nossos clientes no Reino Unido, dado o aumento contínuo de violações de dados e outras ameaças à privacidade dos clientes.'

Em junho de 2026, o ADP permanece indisponível para usuários do Reino Unido de acordo com a própria página de suporte da Apple em support.apple.com/en-gb/122234. Privacy International e Liberty têm desafios legais ativos contra as ordens de vigilância do Ministério do Interior agendadas para 2026, mas esses casos buscam contestar as ordens, não restaurar o ADP como resultado a curto prazo. Se o ADP retornará ao Reino Unido é uma pergunta em aberto sem resposta confirmada até o momento da redação deste artigo.

O caso do Reino Unido é relevante para usuários em todo o mundo por uma razão: é uma prova de conceito documentada. Um governo pode forçar a desativação de um botão em nível de plataforma para todos os usuários de um país inteiro sem que esses usuários sejam individualmente visados ou notificados. O mecanismo, um aviso secreto sob uma lei de segurança nacional, não é exclusivo do Reino Unido. O Investigatory Powers Act tem equivalentes em outras jurisdições. O ponto não é alarmar; o ponto é que 'a plataforma promete criptografia de ponta a ponta' é diferente de 'a capacidade da plataforma de fornecer criptografia de ponta a ponta é legalmente durável'. São duas afirmações separadas.

Onde o Vaultaire se encaixa: uma arquitetura diferente

O Vaultaire é uma arquitetura diferente, não um substituto para tudo o que o ADP faz.

O ADP é em nível de plataforma, vinculado à conta e acoplado à nuvem. Os dados ainda vivem no iCloud; a inovação é que a Apple não mais possui a chave. Você obtém sincronização do iCloud, acesso multidispositivo e backup, com a custódia das chaves transferida para seus dispositivos. Esse é um bom compromisso para a maioria das pessoas.

Vaultaire prioriza o local. Seus arquivos do cofre ficam no dispositivo, e o backup criptografado no iCloud vem ativado por padrão. Um padrão desenhado na grade 5x5 e uma passagem de sal em todo o dispositivo PBKDF2-HMAC-SHA512 para derivar a chave do cofre local. Essa chave autentica o índice criptografado e abre uma chave mestra aleatória separada usada para a criptografia de arquivos com AES-256-GCM. Os campos de recuperação são mantidos em um banco de dados do Keychain criptografado com AES-GCM em vez de estar ausente do armazenamento do dispositivo.

Para o backup criptografado no iCloud, ativado por padrão e que pode ser desativado, o Vaultaire deriva uma chave de backup independente do dispositivo separada do padrão e criptografa registros do CloudKit no dispositivo. A Apple recebe texto cifrado, grava e transfere metadados e um manifesto de recuperação criptografado, não uma chave de backup em texto simples. A frase de recuperação personalizada de 9 palavras deriva outra chave que pode abrir esse manifesto quando os registros criptografados correspondentes permanecerem disponíveis.

O limite do provedor é específico: o Vaultaire não opera um serviço que contém um cofre de texto simples ou uma chave de backup. Uma violação do provedor ainda pode expor o texto cifrado e os metadados do serviço, enquanto o cliente, iOS, Keychain, credenciais de recuperação e um dispositivo desbloqueado permanecem parte do modelo de confiança.

A diferença do ADP é onde reside o controle. Com ADP e Fotos do iCloud, sua biblioteca é sincronizada entre dispositivos e recuperável por meio do modelo de recuperação configurado pela Apple. O backup do Vaultaire no CloudKit vem ativado por padrão e pode ser desativado; a sincronização e o compartilhamento só rodam se você os configurar, e a restauração pelo CloudKit depende da frase de recuperação personalizada e dos registros criptografados correspondentes. Os backups separados do dispositivo no iOS ou no computador são controlados no nível do sistema operacional. Vaultaire não tem chave substituta mantida pelo Wraxle.

Nenhum dos modelos é estritamente superior. ADP adiciona proteção ponta a ponta às categorias do iCloud, mantendo a sincronização do iCloud e recuperação. Vaultaire não precisa de conta de identidade, e seu backup no CloudKit criptografado do lado do cliente vem ativado por padrão porque um único dispositivo é frágil demais; você pode desativá-lo em Ajustes. Nenhuma das opções remove o endpoint, o caminho de recuperação, os metadados, as configurações de backup do sistema operacional ou a implementação do cliente do modelo de ameaça.

Você pode usar os dois. A maioria das pessoas que usa o Vaultaire ainda usa Fotos do iCloud para sua biblioteca do dia a dia, com o ADP ativado.

Leitura relacionada:

Fontes

Perguntas frequentes

As fotos do iCloud são criptografadas de ponta a ponta por padrão?

Não. Com a proteção de dados padrão, a Apple armazena as Fotos do iCloud usando chaves de criptografia que ela controla em seus próprios centros de dados. A Apple pode descriptografar suas fotos quando necessário: para recuperação de conta e em resposta a ordens legais válidas. Apenas 15 categorias de dados do iCloud são criptografadas de ponta a ponta por padrão; Fotos não é uma delas.

O que a Proteção Avançada de Dados realmente faz pelas minhas fotos?

Com o ADP ativado, as Fotos do iCloud se juntam às 25 categorias de dados do iCloud que usam criptografia de ponta a ponta. Seus dispositivos confiáveis possuem as chaves, não a Apple. A Apple não pode ler suas fotos, não pode entregá-las em resposta a uma ordem judicial para dados do iCloud e não pode recuperá-las se você perder sua conta. A recuperação é sua responsabilidade: por isso o ADP exige a configuração de um contato de recuperação ou chave de recuperação antes de ser ativado.

A Apple pode ver minhas fotos do iCloud?

Com a proteção de dados padrão: sim, a Apple pode acessar e descriptografar as Fotos do iCloud quando necessário. Com a Proteção Avançada de Dados: não, a Apple não possui nenhuma chave para seus dados criptografados de ponta a ponta. As 15 categorias padrão, incluindo senhas de Saúde e Chaveiro, são sempre inacessíveis para a Apple independentemente do status do ADP.

Como ativo a Proteção Avançada de Dados?

Abra Ajustes, toque no seu nome, toque em iCloud, role até o final e toque em Proteção Avançada de Dados. Você precisará da autenticação de dois fatores ativada e pelo menos um método de recuperação configurado primeiro, um contato de recuperação ou uma chave de recuperação. Os dispositivos precisam estar com iOS 16.2 ou posterior. Ativá-lo em um dispositivo o ativa para toda a sua Conta Apple.

Quais dados não são cobertos pela Proteção Avançada de Dados?

Mail, Contatos e Calendário não são criptografados de ponta a ponta mesmo com o ADP ativado, porque precisam trocar dados com servidores externos. Álbuns compartilhados em Fotos também não são criptografados de ponta a ponta: eles são acessíveis na web. Documentos de colaboração em tempo real do iWork também não são cobertos. Qualquer coisa compartilhada 'com qualquer pessoa com o link' está fora da proteção do ADP.

O governo pode acessar minhas fotos do iCloud pela Apple?

Com a proteção de dados padrão, sim: uma ordem judicial válida emitida para a Apple pode resultar na entrega das suas fotos. Com o ADP ativado, a Apple não possui nenhuma chave para entregar. O caso do Reino Unido de fevereiro de 2025 mostrou que um governo também pode forçar uma plataforma a desativar o ADP para um país inteiro, movendo usuários da proteção de ponta a ponta para a proteção padrão sem o consentimento individual deles.

O que é um cofre de fotos do iCloud?

A expressão descreve o uso das Fotos do iCloud como lugar para armazenar fotos sensíveis. Com o ADP ativado, as Fotos do iCloud funcionam como armazenamento genuíno de fotos na nuvem criptografadas de ponta a ponta. O limite prático é que isso ainda está vinculado à conta: o acesso requer sua Conta Apple, e a durabilidade da criptografia depende da capacidade da Apple de mantê-la sob pressão legal em sua jurisdição.

Há alguma maneira de armazenar fotos que a Apple não possa acessar?

Sim, de duas maneiras. Primeiro, a Proteção Avançada de Dados mantém as chaves de descriptografia para proteger Fotos do iCloud longe da Apple. Em segundo lugar, um cofre local pode manter os arquivos fora do armazenamento na nuvem ou criptografá-los no dispositivo antes de um upload opcional. A Apple ainda pode manter metadados de contas, serviços e texto cifrado, mas não uma chave de conteúdo de texto simples para esses arquivos protegidos.

Baixar Vaultaire gratuitamente