Come configurare la sincronizzazione S3 con il tuo storage (BYOS) in Filarr

Risposta rapida: con il piano Pro, o con un posto in un’organizzazione Teams o Enterprise, Filarr può sincronizzare i tuoi file attraverso un bucket compatibile S3 che possiedi e controlli tu, invece che sullo storage di Filarr. Apri «Settings → Account & Sync» (Impostazioni → Account e sincronizzazione), trova «Where synced files live» (dove si trovano i file sincronizzati), clicca «Use my bucket» (usa il mio bucket), scegli il tuo provider, compila endpoint, regione, bucket, modalità di indirizzamento, «Access key ID» e «Secret access key», clicca «Test», poi «Save». Da quel momento ogni file viene crittografato sul tuo computer con AES-256-GCM prima di partire, e il server di Filarr lo inoltra al tuo bucket, che quindi conserva solo blob opachi e illeggibili. Funziona con Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway, OVHcloud e qualsiasi altro servizio compatibile S3, come MinIO.

Perché dovresti volere un tuo bucket

La maggior parte delle persone sceglie di usare il proprio storage (BYOS, bring-your-own-storage) per uno di tre motivi molto pratici, e nessuno riguarda la crittografia sulla carta.

Il primo è il controllo dei costi. Se paghi già Backblaze B2 o Wasabi, o hai un account AWS per altri progetti, paghi al gigabyte a tariffe spesso molto più basse di un abbonamento a un’app tutto compreso. Puntare Filarr su quel bucket significa che le tue note e i tuoi file viaggiano su uno storage che hai già messo a budget.

Il secondo è la proprietà e la portabilità. Quando i tuoi dati stanno in un bucket intestato a te, nessuno può cambiare le condizioni di nascosto, alzare il prezzo del tuo piano o chiuderti fuori. Puoi scaricare gli oggetti grezzi in qualsiasi momento con gli strumenti S3 standard, passare a un altro provider o tenerne una copia su un NAS con MinIO a casa tua.

Il terzo è un requisito di conformità o una regola interna. Alcune persone hanno davvero bisogno che i loro dati stiano in una regione precisa, presso un provider preciso, o su un’infrastruttura da poter mostrare a un revisore. Un freelance che gestisce file dei clienti, un commercialista, o chiunque sia soggetto a una regola sulla localizzazione dei dati spesso non può usare l’impostazione predefinita di un cloud generico. Se è la tua situazione, vale la pena leggere, accanto a questo, gli articoli su come proteggere i dati dei clienti senza un reparto IT e, più in generale, sulle alternative a Notion self-hosted e davvero crittografate.

La crittografia è lo strato di rassicurazione sotto tutti e tre. Ottieni il controllo che cercavi e, siccome Filarr crittografa tutto prima del caricamento, non devi rinunciare alla privacy per averlo. Ti accompagno in tutta la configurazione, con onestà, comprese le parti un po’ macchinose.

Cosa fa davvero il BYOS in Filarr (e cosa no)

Prima di toccare qualsiasi impostazione, conviene capire cosa si sposta e dove, perché cambia il modo in cui pensi al bucket.

In modalità BYOS, sul tuo bucket S3 si sposta solo la tua sincronizzazione personale, sotto forma di oggetti crittografati salvati con chiavi interne opache. Il tuo account, l’accesso, i dispositivi e la fatturazione restano da Filarr, mentre casseforti condivise, link di condivisione, Filarr Send e richieste di file restano sempre su Filarr Cloud, perché una cassaforte appartiene a più persone e non può vivere nel bucket di un solo membro. Il bucket è quindi un archivio di contenuti, non uno specchio completo dell’organizzazione del tuo spazio di lavoro. È una scelta progettuale voluta, ed è bene saperlo perché significa che il tuo bucket, da solo, non è una copia completa e consultabile del tuo spazio di lavoro. È un mucchio di oggetti crittografati identificati da ID interni.

Soprattutto, ogni oggetto che arriva nel tuo bucket è già crittografato sul tuo dispositivo. Filarr crittografa il contenuto del file con AES-256-GCM prima che parta la chiamata di caricamento, quindi ciò che riceve l’API S3 è testo cifrato più il tag di autenticazione. La tua password di crittografia e le tue chiavi non viaggiano mai verso il bucket. Se vuoi la versione approfondita della gerarchia delle chiavi, l’articolo su KEK e FEK spiegate descrive esattamente quella usata da Filarr. La versione breve: i tuoi file sono crittografati con la chiave del tuo account (la FEK), con un valore casuale nuovo per ogni file, e la FEK è a sua volta avvolta da una chiave derivata dalla tua password, quindi non sta mai da nessuna parte in chiaro.

È lo stesso principio zero-knowledge che segue la sincronizzazione facoltativa di Filarr. Se sei curioso di sapere come il server (o, in questo caso, il tuo bucket) resta cieco ai tuoi contenuti, l’approfondimento su come la sincronizzazione cloud di Filarr resta zero-knowledge vale quasi alla lettera anche per il BYOS: i file vengono caricati già crittografati, e lo strato di archiviazione vede solo blob opachi.

Un’avvertenza onesta fin da subito: il BYOS richiede il piano Pro (8 € al mese), o un posto in un’organizzazione Teams o Enterprise, e un indirizzo email verificato (Filarr resta gratuito per sempre per l’uso puramente locale). Con Free e Solo, la sezione mostra «Upgrade to Pro, Teams or Enterprise to use your own bucket.» (passa a Pro, Teams o Enterprise per usare il tuo bucket). Il motivo è questo. La quota di storage di Filarr non si applica al tuo bucket: paghi il tuo provider per lo spazio che usi, e Filarr per il piano che gestisce il tuo bucket.

Prima di iniziare: cosa ti serve

Per completare questa guida ti servono tre cose pronte:

1. Un account di storage compatibile S3. Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway e OVHcloud hanno una voce dedicata in Filarr, e qualsiasi altro servizio che parla l’API S3, come DigitalOcean Spaces o un’istanza MinIO self-hosted, va sotto «Autre (MinIO, Garage, NAS)», un’etichetta che compare in francese anche quando l’app è in inglese.
2. Un bucket creato in quell’account, con la sua regione.
3. Una coppia di chiavi di accesso per quel bucket: un «Access Key ID» e una «Secret Access Key».

Davvero, è tutto. Il resto è compilare un breve modulo dentro Filarr. Partiamo dalla preparazione del bucket, perché è lì che si concentrano la maggior parte del lavoro vero e la maggior parte degli errori.

Passo 1: crea e prepara il tuo bucket

I clic esatti cambiano da un provider all’altro, ma lo schema è sempre lo stesso: crea un bucket privato, annota la sua regione e genera una coppia di chiavi limitata a quel bucket.

Crea il bucket privato. Non renderlo mai pubblico. Filarr non ha bisogno di un accesso pubblico in lettura e, siccome i tuoi oggetti sono crittografati, il contenuto del bucket sarebbe comunque inutile per chiunque; ma lasciare un bucket pubblico è una cattiva abitudine che invita a esporre per sbaglio elenchi di oggetti e metadati. Tienilo privato.

Scegli una regione che ricorderai. Questa regione la digiterai in Filarr, e per alcuni provider fa parte anche dell’URL dell’endpoint. Scegli una regione vicina a te per una latenza più bassa, o una che soddisfi i tuoi eventuali requisiti di localizzazione dei dati.

Genera una coppia di chiavi limitata. Crea una chiave di accesso che possa leggere, scrivere, elencare ed eliminare oggetti in quel solo bucket. Su AWS significa un utente o un ruolo IAM con una policy che concede s3:GetObject, s3:PutObject, s3:DeleteObject e s3:ListBucket sul bucket e sul suo contenuto. Su Backblaze, Wasabi o DigitalOcean, genera la chiave applicativa equivalente e limitala al bucket se il provider lo consente. Limitare la chiave a un solo bucket significa che, anche nel caso peggiore, una chiave trapelata non può toccare il resto del tuo account.

Facoltativo ma consigliato: attiva il versioning. Attivare il versioning del bucket ti dà una rete di sicurezza. Se un file viene sovrascritto o eliminato, la versione precedente resta recuperabile a livello di storage. Si abbina bene a una routine di backup più ampia, di cui parlo nella sezione sulle trappole più sotto e nella guida su come fare il backup delle note crittografate senza rompere lo zero-knowledge.

Se preferisci la riga di comando e usi proprio AWS, il repository include uno script di supporto, scripts/setup-s3.sh, che verifica le tue credenziali AWS, crea il bucket, attiva il versioning e la crittografia lato server, imposta una policy di ciclo di vita ed esegue per te un test di caricamento e download. Sa anche avviare un container MinIO locale per i test. È una comodità, non un requisito, e la procedura nell’app descritta qui sotto non dipende da esso.

Passo 2: aggiungi il provider in Filarr

Ora la parte facile. Apri Filarr, vai in «Settings → Account & Sync» e trova la sezione «Where synced files live». Funziona allo stesso modo nell’app desktop e su app.filarr.com.

Scegli prima l’ambito: «Account (all profiles)» (account, tutti i profili), oppure «Profile» seguito dal nome del profilo corrente, per impostare un bucket solo per quel profilo. Poi clicca «Use my bucket». Vedrai un breve modulo con questi campi:

• «Provider». Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway, OVHcloud, oppure «Autre (MinIO, Garage, NAS)» per tutto il resto.
• «Endpoint». L’endpoint dell’API S3, non il sito web del provider. Deve essere un indirizzo HTTPS pubblico, senza niente dopo l’host, per esempio https://s3.eu-west-1.amazonaws.com. Filarr rifiuta http://, localhost e gli indirizzi privati.
• «Region». La regione che hai scelto creando il bucket, per esempio us-east-1 o eu-west-1.
• «Bucket». Il nome esatto del bucket.
• «Addressing». «Path-style» o «Virtual-hosted».
• «Access key ID». La parte pubblica della tua coppia di chiavi.
• «Secret access key». La parte segreta. È quella sensibile.

Mentre compili, Filarr mostra una scheda, «The access key to create at your provider» (la chiave di accesso da creare presso il tuo provider), con le regole esatte da incollare per Amazon S3, Wasabi, Backblaze B2 e «Autre», e cosa scegliere nella console per Cloudflare R2, Scaleway e OVHcloud.

Ecco un dettaglio che conta per il corretto funzionamento: il campo «Addressing» decide se le richieste vanno a endpoint/bucket/key («Path-style») o a bucket.endpoint/key («Virtual-hosted»). Cloudflare R2 vuole il path-style, con l’endpoint https://YOUR_ACCOUNT_ID.r2.cloudflarestorage.com e la regione auto; Amazon S3 vuole il virtual-hosted. Nel dubbio, controlla la documentazione del tuo provider.

Una parola su dove finisce il tuo segreto, perché è la domanda che fanno sempre gli utenti attenti alla privacy. È il server di Filarr a inoltrare al tuo bucket i file già crittografati, quindi la «Secret access key» è conservata da Filarr, crittografata, e non viene più mostrata dopo il salvataggio. È anche il motivo per cui il tuo bucket non ha bisogno di alcuna impostazione CORS: né l’app desktop né il browser gli parlano direttamente. Quello che quella chiave apre è un bucket di testo cifrato; la chiave dei tuoi file non esce mai in chiaro dal tuo dispositivo.

Passo 3: testa la connessione

Non saltare questo passo. Prima di salvare, clicca «Test». Filarr verifica di poter raggiungere il bucket con le tue chiavi; ci vogliono pochi secondi e non viene caricato nulla. «Bucket reachable.» (bucket raggiungibile) significa che Filarr riesce a parlare con il tuo bucket.

Se il test fallisce, nove volte su dieci è per uno di questi motivi, più o meno in ordine di probabilità:

• Un errore di battitura nel nome del bucket o nella regione. Vanno scritti esattamente, maiuscole e caratteri compresi.
• Un endpoint sbagliato: il sito web del provider invece del suo indirizzo API S3, o un indirizzo che non è HTTPS pubblico. Ricontrolla l’host esatto che ti dà il provider.
• Una coppia di chiavi che non ha i permessi sul bucket, o che è stata limitata a un altro bucket.
• Una regione che non corrisponde: il bucket sta in una regione ma ne hai inserita un’altra.

Correggi il campo e testa di nuovo. Con il primo provider è normale che servano uno o due tentativi.

Passo 4: salva e inizia a sincronizzare

Quando il test passa, clicca «Save». Dalla sincronizzazione successiva i nuovi file vanno nel tuo bucket: il contenuto dei file che aggiungi al tuo spazio di lavoro viene crittografato in locale e inoltrato al tuo bucket, e leggere un file significa scaricare il blob crittografato e decrittografarlo sul tuo computer.

Ciò che è già su Filarr Cloud si sposta con il pannello «Bring your data into this bucket» (porta i tuoi dati in questo bucket), e la sincronizzazione resta in pausa finché la copia non è terminata. Clicca «Copy now» (copia ora): la copia avviene da server a server, i file crittografati si spostano così come sono, puoi interromperla e riprenderla, e un oggetto già presente nel tuo bucket non viene mai sovrascritto. Quando è completa, «Delete Filarr Cloud copy» (elimina la copia su Filarr Cloud) libera lo spazio su Filarr Cloud. Questo passaggio è irreversibile, quindi eseguilo solo dopo che la copia è terminata.

Il ciclo è tutto qui. Il tuo spazio di lavoro si comporta esattamente come nell’uso solo locale, ma ora i tuoi file vivono in uno storage che possiedi.

Note specifiche per provider

I campi sono gli stessi ovunque, ma il formato dell’endpoint fa inciampare molte persone, quindi ecco gli schemi più comuni. Conferma sempre l’host esatto nella dashboard del tuo provider, perché regioni e formati cambiano.

AWS S3. Inserisci l’endpoint regionale, per esempio https://s3.eu-west-1.amazonaws.com, la regione del bucket (qui eu-west-1), il bucket e l’indirizzamento «Virtual-hosted». Crea una chiave IAM limitata al bucket.

Backblaze B2. Usa l’endpoint compatibile S3 indicato nei dettagli del tuo bucket, del tipo https://s3.us-west-004.backblazeb2.com. La regione è il valore corrispondente, per esempio us-west-004. Genera una chiave applicativa limitata al bucket.

Wasabi. L’endpoint è del tipo https://s3.eu-central-1.wasabisys.com (il segmento della regione varia). I prezzi forfettari a terabyte di Wasabi lo rendono popolare proprio per questo uso.

DigitalOcean Spaces. Scegli «Autre (MinIO, Garage, NAS)». L’endpoint è del tipo https://nyc3.digitaloceanspaces.com, dove nyc3 è la regione. Genera le chiavi di accesso Spaces dalla sezione API della tua dashboard DigitalOcean.

MinIO self-hosted. Scegli «Autre (MinIO, Garage, NAS)» e punta l’endpoint al tuo server tramite un URL HTTPS pubblico, per esempio MinIO dietro un reverse proxy: è il server di Filarr a inoltrare al tuo bucket, quindi deve poterlo raggiungere. Nell’app desktop, «Where the storage lives» (dove si trova lo storage) offre anche «On my network (NAS, MinIO, Garage)» (sulla mia rete), che accetta un indirizzo come http://192.168.1.50:9000 su una rete domestica. I server di Filarr non possono raggiungere uno storage del genere, quindi il suo stato non viene verificato e i file che hai già non vengono copiati: parte vuoto e si riempie con le sincronizzazioni successive, e con http:// le tue chiavi di storage viaggiano non crittografate su quella rete. Usa la chiave di accesso e il segreto configurati dal lato di MinIO. È l’opzione più privata di tutte, perché lo storage resta sempre su un hardware che controlli fisicamente. Se vuoi provare MinIO al volo, lo script incluso scripts/setup-s3.sh può avviarti un container MinIO locale.

Trappole e buone pratiche

Qualche accorgimento che ti risparmierà dei grattacapi, imparato a proprie spese.

La frase di recupero è tutto. Siccome i file vengono crittografati prima del caricamento, il tuo bucket non vale niente per un attaccante, ma non vale niente nemmeno per te se perdi la password e la tua frase di recupero BIP-39 di 24 parole. Non esiste un «reimposta password» capace di leggere i tuoi dati, perché Filarr non possiede mai la tua chiave in una forma utilizzabile. Annota la frase di recupero e conservala in un posto sicuro e offline. È il prezzo diretto di una vera crittografia zero-knowledge, ed è lo stesso che paga ogni strumento crittografato serio. La guida più ampia su come crittografare le tue note approfondisce perché le chiavi di recupero contano.

Il BYOS è sincronizzazione, non backup. Un bucket sincronizzato e un backup sono cose diverse. Se elimini un file e l’eliminazione si propaga, sparisce anche dal bucket. Attiva il versioning del bucket (passo 1) perché lo strato di storage conservi le vecchie versioni, e tieni almeno una copia indipendente. La sincronizzazione ti protegge da un portatile morto. Non ti protegge da te stesso quando elimini la cosa sbagliata.

Limita bene le chiavi, e rinnovale. Usa una chiave limitata a un solo bucket. Se sospetti che una chiave sia compromessa, genera una nuova coppia presso il provider, aggiornala in Filarr con «Edit bucket» (modifica il bucket) ed elimina la vecchia chiave. Sostituire le chiavi sullo stesso endpoint e sullo stesso bucket non conta come un cambio di destinazione dello storage, quindi il rinnovo è un lavoro da due minuti.

Pensa alla regione per la latenza e la conformità. Un bucket dall’altra parte del mondo sembrerà lento sui file grandi. Scegli una regione vicina, a meno che una regola sulla localizzazione dei dati non imponga altrimenti.

Proteggi comunque il computer. Le impostazioni del bucket stanno con il tuo account Filarr, non in un file sul tuo computer, ma i tuoi file vengono decrittografati e aperti sul tuo computer. La crittografia dell’intero disco vale comunque la pena come secondo strato, per le ragioni spiegate nel confronto tra crittografia locale e cloud classico in caso di fuga di dati.

Testa dopo ogni modifica. Hai cambiato una chiave, spostato la regione, rinominato un bucket? Esegui di nuovo «Test». Ci vogliono pochi secondi e ti dice subito se i trasferimenti funzioneranno. Tieni presente che puoi cambiare la destinazione dello storage due volte ogni 7 giorni, oppure una volta con «Autre (MinIO, Garage, NAS)».

Domande frequenti

Filarr vede i miei file quando uso il mio bucket? No. I file vengono crittografati con AES-256-GCM sul tuo dispositivo prima del caricamento. Il server di Filarr inoltra gli oggetti crittografati al tuo bucket, e né lui né il tuo bucket conservano mai altro che blob crittografati opachi. La chiave dei tuoi file non esce mai in chiaro dal tuo computer.

Quali provider sono supportati? Qualsiasi storage compatibile S3. Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway e OVHcloud hanno una voce dedicata; qualsiasi altro servizio compatibile S3, come DigitalOcean Spaces o un MinIO self-hosted, va sotto «Autre (MinIO, Garage, NAS)». L’endpoint è sempre obbligatorio, come indirizzo HTTPS pubblico (l’app desktop accetta anche uno storage sulla tua rete).

Il BYOS è gratuito? Filarr è gratuito per sempre per l’uso solo locale. Il BYOS richiede il piano Pro (8 € al mese), o un posto in un’organizzazione Teams o Enterprise. La quota di storage di Filarr non si applica al tuo bucket, e il bucket stesso lo paghi a parte al tuo provider di storage. Se il piano termina, Filarr smette di scrivere nel tuo bucket, continua a leggerlo per circa 30 giorni, poi smette di usarlo; i tuoi file restano presso il tuo provider.

Cosa succede se perdo la password? I tuoi file crittografati nel bucket diventano irrecuperabili, perché nessuno, Filarr compreso, possiede una copia utilizzabile della tua chiave. È il senso della crittografia zero-knowledge. La tua frase di recupero di 24 parole è l’unica via d’uscita, quindi conservala offline e al sicuro.

Viene caricata anche la struttura delle mie cartelle? In modalità BYOS, nel tuo bucket va solo la tua sincronizzazione personale, sotto forma di oggetti crittografati con chiavi interne opache. Casseforti condivise, link di condivisione, Send e richieste di file restano su Filarr Cloud. Il bucket è un archivio di contenuti, non uno specchio consultabile del tuo spazio di lavoro.

Posso cambiare provider più avanti o usarne più di uno? Sì, entro certi limiti. Imposti un bucket per il tuo account e, se vuoi, uno diverso per un determinato profilo. Per spostarti usa «Edit bucket», testa il nuovo bucket e salva; puoi cambiare la destinazione dello storage due volte ogni 7 giorni, oppure una volta con «Autre (MinIO, Garage, NAS)». «Switch back to Filarr Cloud» (torna a Filarr Cloud) ti riporta indietro, ricopiando prima tutto oppure cambiando senza copiare. In entrambi i casi Filarr non svuota il tuo bucket.

In conclusione

Configurare il BYOS in Filarr si riduce a quattro mosse: prepara un bucket privato con una coppia di chiavi limitata, inseriscilo in «Settings → Account & Sync → Where synced files live», testalo e salva. Fallo una volta e il tuo spazio di lavoro si sincronizza attraverso uno storage che possiedi, al prezzo che hai già negoziato con il tuo provider oltre al tuo piano Pro, senza nessun fornitore che tenga in ostaggio i tuoi dati.

La crittografia è ciò che ti permette di fare tutto questo senza rinunciare a nulla sul fronte della privacy. I tuoi file vengono sigillati con AES-256-GCM prima ancora di raggiungere il bucket, così proprietà e riservatezza smettono di essere un compromesso. Crea il bucket, incolla le chiavi, esegui il test, e hai finito. Se stai ancora decidendo se la proprietà local-first si adatta al tuo modo di lavorare, la classifica delle migliori app local-first nel 2026 è una buona tappa successiva.