As fotos do iCloud sao criptografadas de ponta a ponta?

Por padrao, as fotos do iCloud nao sao criptografadas de ponta a ponta. A Apple as armazena usando chaves de criptografia que ela controla e pode descriptografa-las quando legalmente necessario. Ativar o Advanced Data Protection muda isso: seus dispositivos confiaveis possuem as chaves, a Apple nao. O ADP e opcional, desativado por padrao e requer configuracao de recuperacao antes de poder ser ativado.

As fotos do iCloud sao criptografadas, mas com a protecao de dados padrao, a Apple possui as chaves de criptografia e pode acessar suas fotos em resposta a uma ordem judicial ou para recuperacao de conta. Com o Advanced Data Protection ativado, as fotos do iCloud passam a ser genuinamente criptografadas de ponta a ponta: seus dispositivos possuem as chaves, a Apple nao possui nada. O ADP deve ser ativado manualmente. Nao e o padrao e foi removido para usuarios do Reino Unido em fevereiro de 2025 por uma exigencia governamental que a Apple nao podia recusar legalmente.

O que 'criptografado' significa quando a Apple possui as chaves

O iCloud criptografa suas fotos. Essa afirmacao e verdadeira e tambem enganosa se voce parar por ai.

Com a protecao de dados padrao, o padrao para todas as Apple Accounts, suas fotos sao criptografadas em transito e armazenadas em formato criptografado nos servidores da Apple. A criptografia e real. O que as letras miudas dizem e que a Apple possui as chaves de criptografia em modulos de seguranca de hardware em seus proprios centros de dados. A documentacao de suporte da Apple coloca isso claramente: as chaves podem ser acessadas pelos servidores da Apple, e a Apple pode ajuda-lo a recuperar seus dados se voce perder o acesso a sua conta.

Essa arquitetura tem um nome: criptografia do lado do servidor. O fornecedor criptografa os dados e o fornecedor possui a chave. Protege suas fotos contra alguem que viole a camada de armazenamento sem credenciais. Nao as protege contra a propria Apple, contra uma ordem judicial emitida para a Apple ou contra uma violacao dos sistemas de gerenciamento de chaves. Quando jornalistas e pesquisadores descrevem o iCloud como alvo de solicitacoes das forcas policiais, e esse mecanismo que eles descrevem. Os dados sao recuperaveis porque a Apple pode recupera-los.

Nao e uma falha oculta. A Apple o publica em seu resumo de seguranca de dados do iCloud. E o compromisso deliberado para a recuperacao de conta: voce pode recuperar suas fotos apos perder seu dispositivo precisamente porque a Apple pode descriptografa-las em seu nome.

Quinze categorias de dados do iCloud sao criptografadas de ponta a ponta com protecao padrao, incluindo Senhas e Chaveiro, dados de Saude e algumas outras. Fotos do iCloud, Backup do iCloud, Notas e a maioria do restante nao sao.

Advanced Data Protection: quando as fotos do iCloud se tornam genuinamente criptografadas de ponta a ponta

O Advanced Data Protection para o iCloud, que a Apple anunciou em 7 de dezembro de 2022, muda o modelo de custodia de chaves para a maioria dos seus dados do iCloud. Com o ADP ativado, seus dispositivos confiaveis possuem as chaves de criptografia, nao a Apple. O numero de categorias de dados protegidas com criptografia de ponta a ponta sobe de 15 para 25, e as Fotos do iCloud sao uma das adicoes.

Uma nota sobre essa contagem de categorias: o anuncio original da Apple em dezembro de 2022 indicou que a cobertura se expandiu de 14 para 23 categorias. As paginas atuais do Suporte da Apple indicam 25. A Apple expandiu a cobertura do ADP desde o lancamento. Este artigo usa 25 como o numero atual da documentacao ativa do Suporte da Apple e anota a discrepancia por questao de precisao.

Ivan Krstić, chefe de Engenharia e Arquitetura de Seguranca da Apple, o descreveu no lancamento: o Advanced Data Protection e o nivel mais alto de seguranca de dados na nuvem da Apple, dando aos usuarios a opcao de proteger a grande maioria de seus dados do iCloud mais sensiveis com criptografia de ponta a ponta, para que so possam ser descriptografados em seus dispositivos confiaveis.

Essa descrição é precisa. Com o ADP ativado, a Apple não possui as chaves necessárias para descriptografar as fotos da sua biblioteca pessoal. A Apple ainda poderá fornecer dados criptografados e metadados de contas ou serviços associados em resposta a uma exigência legal válida; a questão é que ele não pode transformar o texto cifrado da foto protegida em texto simples. Os álbuns compartilhados e outras categorias excluídas usam um modelo de proteção diferente.

O ADP e uma melhoria real de privacidade. Com ele ativado, o iCloud se torna um armazenamento genuino de fotos criptografadas de ponta a ponta. Se voce usa o iCloud para fotos que deseja manter privadas e nao esta no Reino Unido, ativar o ADP vale o esforco de configuracao.

O que o ADP ainda nao protege

A cobertura e ampla, mas nao total. Tres categorias permanecem fora da criptografia de ponta a ponta mesmo com o ADP ativado.

Mail, Contatos e Calendario. A justificativa da Apple e a interoperabilidade: esses servicos trocam dados com sistemas externos, servidores de e-mail, provedores CalDAV e servicos CardDAV, e a criptografia padrao e necessaria para que essa troca funcione. A Apple criptografa esses dados, mas possui as chaves.

Albuns compartilhados em Fotos. Um album compartilhado com outras pessoas ou publicado com uma URL 'qualquer pessoa com o link' e acessivel na web. Esse acesso exige que a Apple possa servir o conteudo, o que requer chaves do lado do servidor. As fotos na sua biblioteca pessoal sao criptografadas de ponta a ponta com o ADP ativado; as mesmas fotos em um album compartilhado nao sao.

Colaboracao do iWork. A edicao em tempo real de documentos Keynote, Numbers e Pages compartilhados passa pelos servidores da Apple para mediacao. Essa coordenacao requer acesso do servidor ao conteudo.

Isso nao e descuido da Apple. Sao os custos arquiteturais de recursos que exigem um servidor no meio. Se voce quiser fotos criptografadas de ponta a ponta, mantenha-as fora dos Albuns compartilhados.

Como verificar se o ADP esta ativado e como ativa-lo

O ADP nao esta ativado por padrao. Para verificar: abra Ajustes no seu iPhone, toque no seu nome no topo, toque em iCloud, role ate o final e toque em Advanced Data Protection. Se voce ver 'Advanced Data Protection esta ativado', esta habilitado. Se voce ver um aviso para ativa-lo, nao esta.

Ativa-lo requer duas coisas que a Apple pedira antes que o botao faca qualquer coisa: autenticacao de dois fatores no seu Apple Account e pelo menos um metodo de recuperacao, um contato de recuperacao (outra pessoa com um dispositivo Apple) ou uma chave de recuperacao (uma sequencia de 28 caracteres que voce guarda em um lugar seguro). Isso e obrigatorio, nao opcional. A Apple nao pode ajuda-lo a recuperar dados criptografados de ponta a ponta se voce perder o acesso, entao voce deve fornecer seu proprio caminho de recuperacao antes que o ADP seja ativado.

Ativar o ADP em um dispositivo o ativa para toda a sua Apple Account em todos os dispositivos compativeis. E em toda a conta. Os dispositivos precisam estar com iOS 16.2, iPadOS 16.2, macOS 13.1 ou posterior.

A questao da durabilidade: o que aconteceu no Reino Unido

Em fevereiro de 2025, a Apple removeu o Advanced Data Protection para usuarios do Reino Unido. A causa imediata foi um Technical Capability Notice emitido pelo Ministerio do Interior britanico sob o Investigatory Powers Act, exigindo que a Apple fornecesse acesso aos dados de usuarios criptografados armazenados no iCloud.

Em vez de construir uma porta dos fundos, a Apple retirou o ADP do Reino Unido. Os usuarios britanicos que ja tinham ativado o ADP receberam alertas em 21 de fevereiro de 2025, instruindo-os a desativa-lo ou arriscar perder o acesso as suas contas do iCloud. Novos usuarios do Reino Unido nao podem ativar o ADP de forma alguma. As 15 categorias criptografadas por padrao permanecem protegidas; todo o restante, Fotos, Backup, Notas e o resto das 25 categorias ADP, reverteu para criptografia padrao (a Apple possui as chaves) para contas do Reino Unido.

O aviso original supostamente exigia acesso aos dados do iCloud de todos os usuarios globais. Apos pressao significativa de legisladores americanos e, de acordo com reportagens de agosto de 2025, uma declaracao do Diretor de Inteligencia Nacional dos EUA de que o Reino Unido havia retirado a demanda mais ampla, o Ministerio do Interior modificou a ordem para cobrir apenas usuarios do Reino Unido. A Apple subsequentemente abandonou seu desafio legal ao aviso revisado. O Investigatory Powers Tribunal rejeitou o recurso em 14 de outubro de 2025, citando uma 'mudanca de circunstancias'.

A declaracao da Apple naquele momento: 'Estamos profundamente decepcionados que as protecoes fornecidas pelo ADP nao estejam disponiveis para nossos clientes no Reino Unido, dado o aumento continuo de violacoes de dados e outras ameacas a privacidade dos clientes.'

Em junho de 2026, o ADP permanece indisponivel para usuarios do Reino Unido de acordo com a propria pagina de suporte da Apple em support.apple.com/en-gb/122234. Privacy International e Liberty tem desafios legais ativos contra as ordens de vigilancia do Ministerio do Interior agendadas para 2026, mas esses casos buscam contestar as ordens, nao restaurar o ADP como resultado a curto prazo. Se o ADP retornara ao Reino Unido e uma pergunta em aberto sem resposta confirmada ate o momento da redacao deste artigo.

O caso do Reino Unido e relevante para usuarios em todo o mundo por uma razao: e uma prova de conceito documentada. Um governo pode forcar a desativacao de um botao em nivel de plataforma para todos os usuarios de um pais inteiro sem que esses usuarios sejam individualmente visados ou notificados. O mecanismo, um aviso secreto sob uma lei de seguranca nacional, nao e exclusivo do Reino Unido. O Investigatory Powers Act tem equivalentes em outras jurisdicoes. O ponto nao e alarmar; o ponto e que 'a plataforma promete criptografia de ponta a ponta' e diferente de 'a capacidade da plataforma de fornecer criptografia de ponta a ponta e legalmente duravel'. Sao duas afirmacoes separadas.

Onde o Vaultaire se encaixa: uma arquitetura diferente

O Vaultaire e uma arquitetura diferente, nao um substituto para tudo o que o ADP faz.

O ADP e em nivel de plataforma, vinculado a conta e acoplado a nuvem. Os dados ainda vivem no iCloud; a inovacao e que a Apple nao mais possui a chave. Voce obtem sincronizacao do iCloud, acesso multidispositivo e backup, com a custodia das chaves transferida para seus dispositivos. Esse e um bom compromisso para a maioria das pessoas.

Vaultaire prioriza o local. Seus arquivos do vault não vão para um servidor por padrão. Um padrão desenhado na grade 5x5 e uma passagem de sal em todo o dispositivo PBKDF2-HMAC-SHA512 para derivar a chave do cofre local. Essa chave autentica o índice criptografado e desembrulha uma chave mestra aleatória separada usada para AES-256-GCM criptografia de arquivos. Os campos de recuperação são mantidos em um AES-GCM-criptografado Keychain banco de dados em vez de estar ausente do armazenamento do dispositivo.

Se você ativar criptografado iCloud backup, o Vaultaire deriva uma chave de backup independente do dispositivo separada do padrão e criptografa CloudKit registros no dispositivo. A Apple recebe texto cifrado, grava e transfere metadados e um manifesto de recuperação criptografado, não uma chave de backup em texto simples. A frase de recuperação personalizada contendo 9 palavras separadas deriva outra chave que pode abrir esse manifesto quando os registros criptografados correspondentes permanecerem disponíveis.

O limite do provedor é específico: o Vaultaire não opera um serviço que contém um cofre de texto simples ou uma chave de backup. Uma violação do provedor ainda pode expor o texto cifrado e os metadados do serviço, enquanto o cliente, iOS, Keychain, credenciais de recuperação e um dispositivo desbloqueado permanecem parte do modelo de confiança.

A diferença do ADP é onde reside o controle. Com ADP e iCloud Fotos, sua biblioteca é sincronizada entre dispositivos e recuperável por meio do modelo de recuperação configurado pela Apple. Vaultaire não inicia CloudKit transferências de dados do vault, a menos que você habilite backup, sincronização ou compartilhamento, e seus CloudKit a restauração depende da frase de recuperação personalizada e dos registros criptografados correspondentes. Separado iOS ou os backups de dispositivos de computador são controlados no nível do sistema operacional. Vaultaire não tem chave substituta mantida pelo Wraxle.

Nenhum dos modelos é estritamente superior. ADP adiciona proteção ponta a ponta aos iCloud categorias, mantendo iCloud sincronização e recuperação. Vaultaire não precisa de conta de identidade e pode deixar a sua própria CloudKit recursos desativados ou adicione criptografia do lado do cliente CloudKit backup quando um único dispositivo é muito frágil. Nenhuma das opções remove o endpoint, o caminho de recuperação, os metadados, as configurações de backup do sistema operacional ou a implementação do cliente do modelo de ameaça.

Voce pode usar os dois. A maioria das pessoas que usa o Vaultaire ainda usa Fotos do iCloud para sua biblioteca do dia a dia, com o ADP ativado.

Leitura relacionada:

• Criptografia de ponta a ponta para fotos, explicada
• O Apple Intelligence examina suas fotos?
• Criptografia de conhecimento zero, explicada
• Backup criptografado do iCloud: criptografado antes de sair do seu iPhone
• O que as politicas de privacidade de armazenamento de fotos na nuvem realmente dizem

Perguntas frequentes

As fotos do iCloud sao criptografadas de ponta a ponta por padrao?

Nao. Com a protecao de dados padrao, a Apple armazena as Fotos do iCloud usando chaves de criptografia que ela controla em seus proprios centros de dados. A Apple pode descriptografar suas fotos quando necessario: para recuperacao de conta e em resposta a ordens legais validas. Apenas 15 categorias de dados do iCloud sao criptografadas de ponta a ponta por padrao; Fotos nao e uma delas.

O que o Advanced Data Protection realmente faz pelas minhas fotos?

Com o ADP ativado, as Fotos do iCloud se juntam as 25 categorias de dados do iCloud que usam criptografia de ponta a ponta. Seus dispositivos confiaveis possuem as chaves, nao a Apple. A Apple nao pode ler suas fotos, nao pode entrega-las em resposta a uma ordem judicial para dados do iCloud e nao pode recupera-las se voce perder sua conta. A recuperacao e sua responsabilidade: por isso o ADP exige a configuracao de um contato de recuperacao ou chave de recuperacao antes de ser ativado.

A Apple pode ver minhas fotos do iCloud?

Com a protecao de dados padrao: sim, a Apple pode acessar e descriptografar as Fotos do iCloud quando necessario. Com o Advanced Data Protection: nao, a Apple nao possui nenhuma chave para seus dados criptografados de ponta a ponta. As 15 categorias padrao, incluindo senhas de Saude e Chaveiro, sao sempre inacessiveis para a Apple independentemente do status do ADP.

Como ativo o Advanced Data Protection?

Abra Ajustes, toque no seu nome, toque em iCloud, role ate o final e toque em Advanced Data Protection. Voce precisara da autenticacao de dois fatores ativada e pelo menos um metodo de recuperacao configurado primeiro, um contato de recuperacao ou uma chave de recuperacao. Os dispositivos precisam estar com iOS 16.2 ou posterior. Ativa-lo em um dispositivo o ativa para toda a sua Apple Account.

Quais dados nao sao cobertos pelo Advanced Data Protection?

Mail, Contatos e Calendario nao sao criptografados de ponta a ponta mesmo com o ADP ativado, porque precisam trocar dados com servidores externos. Albuns compartilhados em Fotos tambem nao sao criptografados de ponta a ponta: eles sao acessiveis na web. Documentos de colaboracao em tempo real do iWork tambem nao sao cobertos. Qualquer coisa compartilhada 'com qualquer pessoa com o link' esta fora da protecao do ADP.

O governo pode acessar minhas fotos do iCloud pela Apple?

Com a protecao de dados padrao, sim: uma ordem judicial valida emitida para a Apple pode resultar na entrega das suas fotos. Com o ADP ativado, a Apple nao possui nenhuma chave para entregar. O caso do Reino Unido de fevereiro de 2025 mostrou que um governo tambem pode forcar uma plataforma a desativar o ADP para um pais inteiro, movendo usuarios da protecao de ponta a ponta para a protecao padrao sem o consentimento individual deles.

O que e um cofre de fotos do iCloud?

A expressao descreve o uso das Fotos do iCloud como lugar para armazenar fotos sensiveis. Com o ADP ativado, as Fotos do iCloud funcionam como armazenamento genuino de fotos na nuvem criptografadas de ponta a ponta. O limite pratico e que isso ainda esta vinculado a conta: o acesso requer seu Apple Account, e a durabilidade da criptografia depende da capacidade da Apple de mante-la sob pressao legal em sua jurisdicao.

Ha alguma maneira de armazenar fotos que a Apple nao possa acessar?

Sim, de duas maneiras. Primeiro, a Proteção Avançada de Dados mantém as chaves de descriptografia para proteger iCloud Fotos longe da Apple. Em segundo lugar, um cofre local pode manter os arquivos fora do armazenamento na nuvem ou criptografá-los no dispositivo antes de um upload opcional. A Apple ainda pode manter metadados de contas, serviços e texto cifrado, mas não uma chave de conteúdo de texto simples para esses arquivos protegidos.