As Fotografias em iCloud são encriptadas de extremo a extremo?

Por predefinição, as Fotografias em iCloud não são encriptadas de extremo a extremo. A Apple armazena-as com chaves de encriptação que controla e pode desencriptá-las quando legalmente necessário. Ativar a Proteção de dados avançada muda isso: os teus dispositivos de confiança guardam as chaves, a Apple não. O ADP é opcional, está desativado por predefinição e requer a configuração de recuperação antes de o poderes ativar.

As Fotografias em iCloud estão encriptadas - mas com a proteção de dados padrão, a Apple guarda as chaves de encriptação e pode aceder às tuas fotografias em resposta a uma ordem judicial ou para recuperação de conta. Com a Proteção de dados avançada ativada, as Fotografias em iCloud passam a ser genuinamente encriptadas de extremo a extremo: os teus dispositivos guardam as chaves, a Apple não tem nada. O ADP tem de ser ativado manualmente. Não é a predefinição, e foi removido para os utilizadores do Reino Unido em fevereiro de 2025 por uma exigência governamental que a Apple não podia legalmente recusar.

O que significa 'encriptado' quando a Apple guarda as chaves

O iCloud encripta de facto as tuas fotografias. Essa afirmação é verdadeira e também enganosa se ficares por aí.

Com a proteção de dados padrão - a predefinição para todas as contas Apple - as tuas fotografias são encriptadas em trânsito e armazenadas num formato encriptado nos servidores da Apple. A encriptação é real. O que as letras pequenas dizem é que a Apple guarda as chaves de encriptação em módulos de segurança de hardware nos seus próprios centros de dados. A documentação de suporte da Apple é clara: as chaves podem ser acedidas pelos servidores da Apple, e a Apple pode ajudar-te a recuperar os teus dados se perderes o acesso à tua conta.

Essa arquitetura tem um nome: encriptação do lado do servidor. O fornecedor encripta os dados, e o fornecedor guarda a chave. Protege as tuas fotografias contra alguém que viole a camada de armazenamento sem credenciais. Não as protege contra a própria Apple, contra uma ordem judicial dirigida à Apple, nem contra uma violação dos sistemas de gestão de chaves. Quando jornalistas e investigadores descrevem o iCloud como alvo de pedidos das autoridades, é este o mecanismo que estão a descrever. Os dados são recuperáveis porque a Apple os pode recuperar.

Isto não é uma falha oculta. A Apple publica-o na sua visão geral de segurança de dados do iCloud. É a troca deliberada em nome da recuperação de conta: podes recuperar as tuas fotografias depois de perderes o dispositivo precisamente porque a Apple as pode desencriptar em teu nome.

Quinze categorias de dados do iCloud são encriptadas de extremo a extremo com a proteção padrão, incluindo Palavras-passe e Porta-chaves, dados de Saúde, e algumas outras. As Fotografias em iCloud, a Cópia de segurança do iCloud, as Notas e a maioria das restantes não são.

Proteção de dados avançada: quando as Fotografias em iCloud se tornam genuinamente encriptadas de extremo a extremo

A Proteção de dados avançada para o iCloud, que a Apple anunciou a 7 de dezembro de 2022, muda o modelo de custódia de chaves para a maior parte dos teus dados do iCloud. Quando o ADP está ativo, os teus dispositivos de confiança guardam as chaves de encriptação, não a Apple. O número de categorias de dados protegidas com encriptação de extremo a extremo sobe de 15 para 25, e as Fotografias em iCloud são uma das adições.

Uma nota sobre esse número de categorias: o anúncio original da Apple em dezembro de 2022 indicava que a cobertura se expandia de 14 para 23 categorias. As páginas atuais do Apple Support indicam 25. A Apple expandiu a cobertura do ADP desde o lançamento. Este artigo usa 25 como o número atual da documentação do Apple Support, e assinala a discrepância por uma questão de precisão.

Ivan Krstić, responsável de Engenharia e Arquitetura de Segurança da Apple, descreveu-o no lançamento: a Proteção de dados avançada é o nível mais elevado de segurança de dados na cloud da Apple, dando aos utilizadores a opção de proteger a grande maioria dos seus dados mais sensíveis do iCloud com encriptação de extremo a extremo, para que só possam ser desencriptados nos seus dispositivos de confiança.

Essa descrição é precisa. Com o ADP ativado, a Apple não tem as chaves necessárias para desencriptar as fotografias da tua biblioteca pessoal. A Apple pode continuar a fornecer dados encriptados e metadados associados da conta ou do serviço em resposta a uma exigência legal válida; a questão é que não consegue transformar o texto cifrado das fotografias protegidas em texto simples. Os Álbuns partilhados e outras categorias excluídas usam um modelo de proteção diferente.

O ADP é uma melhoria real de privacidade. Com ele ativo, o iCloud torna-se um armazenamento de fotografias genuinamente encriptado de extremo a extremo. Se usas o iCloud para fotografias que queres manter privadas e não estás no Reino Unido, ativar o ADP vale o esforço de configuração.

O que o ADP ainda não protege

A cobertura é ampla, mas não total. Três categorias permanecem fora da encriptação de extremo a extremo mesmo com o ADP ativo.

Mail, Contactos e Calendário. A justificação da Apple é a interoperabilidade: estes serviços trocam dados com sistemas externos - servidores de email, fornecedores CalDAV, serviços CardDAV - e a encriptação padrão é necessária para que essa troca funcione. A Apple encripta estes dados, mas guarda as chaves.

Álbuns partilhados em Fotografias. Um álbum partilhado com outras pessoas ou publicado com um URL 'qualquer pessoa com a ligação' é acessível na web. Esse acesso requer que a Apple consiga servir o conteúdo, o que requer chaves do lado do servidor. As fotografias na tua biblioteca pessoal são encriptadas de extremo a extremo com o ADP ativo; as mesmas fotografias num álbum partilhado não são.

Colaboração iWork. A edição em tempo real de documentos partilhados do Keynote, Numbers e Pages passa pelos servidores da Apple para mediação. Essa coordenação requer acesso do servidor ao conteúdo.

Isto não é descuido da Apple. São os custos arquiteturais de funcionalidades que requerem um servidor no meio. Se queres fotografias encriptadas de extremo a extremo, mantém-nas fora dos Álbuns partilhados.

Como verificar se o ADP está ativo e como o ativar

O ADP não está ativo por predefinição. Para verificar: abre as Definições no teu iPhone, toca no teu nome no topo, toca em iCloud, percorre até ao fundo e toca em Proteção de dados avançada. Se a Proteção de dados avançada aparecer como ativa, o ADP está ativado. Se vires um pedido para o ativar, não está.

Para o ativar são necessárias duas coisas que a Apple pedirá antes de o interruptor fazer alguma coisa: autenticação de dois fatores na tua conta Apple, e pelo menos um método de recuperação - um contacto de recuperação (outra pessoa com um dispositivo Apple) ou uma chave de recuperação (uma cadeia de 28 caracteres que guardas num local seguro). Isto é obrigatório, não opcional. A Apple não consegue ajudar-te a recuperar dados encriptados de extremo a extremo se perderes o acesso, por isso tens de providenciar o teu próprio caminho de recuperação antes de o ADP ser ativado.

Ativar o ADP num dispositivo ativa-o em toda a tua conta Apple em todos os dispositivos compatíveis. Aplica-se a toda a conta. Os dispositivos devem executar iOS 16.2, iPadOS 16.2, macOS 13.1 ou posterior.

A questão da durabilidade: o que aconteceu no Reino Unido

Em fevereiro de 2025, a Apple removeu a Proteção de dados avançada aos utilizadores do Reino Unido. A causa imediata foi uma Notificação de Capacidade Técnica emitida pelo Ministério do Interior britânico ao abrigo da Lei dos Poderes de Investigação, exigindo que a Apple fornecesse acesso a dados de utilizadores encriptados armazenados no iCloud.

Em vez de construir uma porta traseira, a Apple retirou o ADP no Reino Unido. Os utilizadores do Reino Unido que já tinham ativado o ADP receberam alertas a 21 de fevereiro de 2025, a instruí-los a desativá-lo sob pena de perderem o acesso às suas contas do iCloud. Os novos utilizadores do Reino Unido não podem ativar o ADP de todo. As 15 categorias encriptadas por predefinição permanecem protegidas; tudo o resto - Fotografias, Cópia de segurança, Notas e o resto das 25 categorias do ADP - reverteu para a encriptação padrão (a Apple guarda as chaves) nas contas do Reino Unido.

A notificação original terá exigido acesso a dados do iCloud de todos os utilizadores a nível global. Após uma pressão significativa de legisladores dos EUA e, de acordo com relatórios de agosto de 2025, uma declaração da Diretora de Inteligência Nacional dos EUA de que o Reino Unido havia retirado a exigência mais ampla, o Ministério do Interior modificou a ordem para abranger apenas utilizadores do Reino Unido. A Apple retirou subsequentemente a sua contestação legal à ordem revista. O Tribunal dos Poderes de Investigação rejeitou o recurso a 14 de outubro de 2025, citando uma 'mudança de circunstâncias'.

A declaração da Apple nesse momento: 'Estamos profundamente dececionados com o facto de as proteções fornecidas pelo ADP não estarem disponíveis para os nossos clientes no Reino Unido, dado o aumento contínuo de violações de dados e outras ameaças à privacidade dos clientes.'

Em junho de 2026, o ADP permanece indisponível para utilizadores do Reino Unido, de acordo com a própria página de suporte da Apple em support.apple.com/en-gb/122234. A Privacy International e a Liberty têm contestações legais ativas contra as ordens de vigilância do Ministério do Interior agendadas para 2026, mas esses casos procuram contestar as ordens, não restaurar o ADP como resultado a curto prazo. Se o ADP voltará ao Reino Unido é uma questão em aberto, sem resposta confirmada no momento em que isto é escrito.

O caso do Reino Unido é relevante para utilizadores de todo o lado por uma razão: é uma prova de conceito documentada. Um governo pode forçar a desativação de um interruptor ao nível da plataforma para todos os utilizadores de um país sem que esses utilizadores sejam individualmente visados ou notificados. O mecanismo - uma notificação secreta ao abrigo de uma lei de segurança nacional - não é exclusivo do Reino Unido. A Lei dos Poderes de Investigação tem equivalentes noutras jurisdições. O objetivo não é alarmar; o ponto é que 'a plataforma promete encriptação de extremo a extremo' é diferente de 'a capacidade da plataforma de fornecer encriptação de extremo a extremo é juridicamente durável'. São duas afirmações separadas.

Onde o Vaultaire se encaixa: uma arquitetura diferente

O Vaultaire é uma arquitetura diferente, não um substituto de tudo o que o ADP faz.

O ADP é ao nível da plataforma, ligado à conta e acoplado à cloud. Os dados continuam no iCloud; a inovação é que a Apple já não guarda a chave. Tens a sincronização do iCloud, acesso em vários dispositivos e cópia de segurança, com a custódia das chaves transferida para os teus dispositivos. É uma boa troca para a maioria das pessoas.

O Vaultaire dá prioridade ao local. Os ficheiros do teu cofre não vão para um servidor por predefinição. Um padrão desenhado na grelha 5x5 e um sal de todo o dispositivo passam pelo PBKDF2-HMAC-SHA512 para derivar a chave do cofre local. Essa chave autentica o índice encriptado e desembrulha uma chave mestra aleatória separada, usada para a encriptação AES-256-GCM dos ficheiros. Os campos de recuperação ficam guardados no armazenamento do dispositivo, numa base de dados do Keychain encriptada com AES-GCM.

Para a cópia de segurança iCloud encriptada, ativada por predefinição e que pode ser desativada, o Vaultaire deriva do padrão uma chave de cópia de segurança separada e independente do dispositivo, e encripta no dispositivo registos do CloudKit com preenchimento. A Apple recebe texto cifrado, metadados dos registos e das transferências e um manifesto de recuperação encriptado, não uma chave de cópia de segurança em texto simples. A frase de recuperação personalizada de nove palavras deriva outra chave que pode abrir esse manifesto enquanto os registos encriptados correspondentes continuarem disponíveis.

O limite do fornecedor é específico: o Vaultaire não opera nenhum serviço que guarde um cofre ou uma chave de cópia de segurança em texto simples. Uma violação do fornecedor pode ainda expor texto cifrado e metadados do serviço, enquanto o cliente, o iOS, o Keychain, as credenciais de recuperação e um dispositivo desbloqueado continuam a fazer parte do modelo de confiança.

A diferença em relação ao ADP está em quem tem o controlo. Com o ADP e as Fotografias em iCloud, a tua biblioteca é sincronizada entre dispositivos e recuperável através do modelo de recuperação que configuraste na Apple. A cópia de segurança CloudKit encriptada do Vaultaire está ativada por predefinição e pode ser desativada em Definições, a sincronização e a partilha só funcionam quando as configuras, e o restauro a partir do CloudKit depende da frase de recuperação personalizada e dos registos encriptados correspondentes. As cópias de segurança separadas do iOS ou do dispositivo num computador são controladas ao nível do sistema operativo. O Vaultaire não tem nenhuma chave de reserva guardada pela Wraxle.

Nenhum dos modelos é estritamente superior. O ADP acrescenta proteção de extremo a extremo às categorias do iCloud abrangidas, mantendo a sincronização e a recuperação do iCloud. O Vaultaire não precisa de conta de identidade, e a sua cópia de segurança CloudKit encriptada do lado do cliente está ativada por predefinição porque um único dispositivo é demasiado frágil; podes desativá-la em Definições. Nenhuma das opções retira do modelo de ameaça o dispositivo final, o caminho de recuperação, os metadados, as definições de cópia de segurança do sistema operativo ou a implementação do cliente.

Podes usar ambos. A maioria das pessoas que usa o Vaultaire continua a usar as Fotografias em iCloud para a tua biblioteca do dia a dia, com o ADP ativado.

Leitura relacionada:

• Encriptação de extremo a extremo para fotografias, explicada
• O Apple Intelligence analisa as tuas fotografias?
• Encriptação de conhecimento zero, explicada
• Cópia de segurança do iCloud encriptada: encriptada antes de sair do teu telemóvel
• O que dizem realmente as políticas de privacidade do armazenamento de fotografias na cloud

Perguntas frequentes

As Fotografias em iCloud são encriptadas de extremo a extremo por predefinição?

Não. Com a proteção de dados padrão, a Apple armazena as Fotografias em iCloud com chaves de encriptação que controla nos seus próprios centros de dados. A Apple pode desencriptar as tuas fotografias quando necessário: para recuperação de conta, e em resposta a ordens judiciais válidas. Apenas 15 categorias de dados do iCloud são encriptadas de extremo a extremo por predefinição; as Fotografias não são uma delas.

O que faz realmente a Proteção de dados avançada pelas minhas fotografias?

Com o ADP ativado, as Fotografias em iCloud juntam-se às 25 categorias de dados do iCloud que usam encriptação de extremo a extremo. Os teus dispositivos de confiança guardam as chaves, não a Apple. A Apple não pode ler as tuas fotografias, não pode entregá-las em resposta a uma ordem judicial para dados do iCloud, e não pode recuperá-las se perderes a tua conta. A recuperação é da tua responsabilidade - é por isso que o ADP exige a configuração de um contacto de recuperação ou de uma chave de recuperação antes de se ativar.

A Apple pode ver as minhas fotografias do iCloud?

Com a proteção de dados padrão: sim, a Apple pode aceder às Fotografias em iCloud e desencriptá-las quando necessário. Com a Proteção de dados avançada: não, a Apple não guarda nenhuma chave para os teus dados encriptados de extremo a extremo. As 15 categorias predefinidas - incluindo dados de Saúde e palavras-passe do Porta-chaves - são sempre inacessíveis à Apple, independentemente do estado do ADP.

Como ativo a Proteção de dados avançada?

Abre as Definições, toca no teu nome, toca em iCloud, percorre até ao fundo e toca em Proteção de dados avançada. Precisarás de autenticação de dois fatores ativada e de pelo menos um método de recuperação configurado previamente - um contacto de recuperação ou uma chave de recuperação. Os dispositivos devem executar iOS 16.2 ou posterior. Ativar num dispositivo ativa-o em toda a tua conta Apple.

Que dados não são abrangidos pela Proteção de dados avançada?

Mail, Contactos e Calendário não são encriptados de extremo a extremo mesmo com o ADP ativo, porque precisam de trocar dados com servidores externos. Os Álbuns partilhados em Fotografias também não são encriptados de extremo a extremo: são acessíveis na web. Os documentos de colaboração em tempo real do iWork também não são abrangidos. Tudo o que for partilhado 'com qualquer pessoa com a ligação' fica fora da proteção do ADP.

O governo pode aceder às minhas fotografias do iCloud através da Apple?

Com a proteção de dados padrão, sim: uma ordem judicial válida dirigida à Apple pode resultar na entrega das tuas fotografias. Com o ADP ativado, a Apple não tem nenhuma chave a entregar. O caso do Reino Unido de fevereiro de 2025 mostrou que um governo pode também forçar uma plataforma a desativar o ADP para um país inteiro, passando os utilizadores da proteção de extremo a extremo de volta para a proteção padrão sem o seu consentimento individual.

O que é um cofre de fotografias do iCloud?

A expressão descreve o uso das Fotografias em iCloud como local para armazenar fotografias sensíveis. Com o ADP ativo, as Fotografias em iCloud funcionam como armazenamento de fotografias na cloud genuinamente encriptado de extremo a extremo. O limite prático é que continua ligado à conta: o acesso requer a tua conta Apple, e a durabilidade da encriptação depende da capacidade da Apple de a manter sob pressão legal na tua jurisdição.

Há alguma forma de armazenar fotografias a que a Apple não possa aceder?

Sim, de duas maneiras. Primeiro, a Proteção de dados avançada mantém as chaves de desencriptação das Fotografias em iCloud protegidas fora do alcance da Apple. Segundo, um cofre local pode manter os ficheiros fora do armazenamento na cloud, ou encriptá-los no dispositivo antes de um carregamento opcional. A Apple pode continuar a ter metadados da conta, do serviço e do texto cifrado, mas não uma chave de conteúdo em texto simples para esses ficheiros protegidos.