WeTransfer è crittografato? Cosa protegge davvero i tuoi file (e cosa no) nel 2026

Hai appena finito un lavoro per un cliente: una cartella di contratti, una serie di foto RAW, un insieme di moduli medici o il montaggio finale di un video. È troppo pesante per l’email, quindi lo carichi su WeTransfer, incolli il link in un messaggio e passi oltre. Quella piccola abitudine quotidiana è esattamente il punto in cui molti dati sensibili escono in silenzio dal tuo controllo. Per questo la domanda onesta conviene fartela prima di inviare il prossimo file, non dopo una fuga di dati: WeTransfer è crittografato, e basta per il tipo di lavoro che fai?

Risposta rapida

Sì, WeTransfer usa la crittografia, ma non del tipo che la maggior parte delle persone immagina. I tuoi file sono crittografati in transito (HTTPS/TLS) durante il caricamento e il download, e WeTransfer dichiara che sono crittografati a riposo sul suo storage. Quello che NON offre è la crittografia end-to-end o zero-knowledge: WeTransfer detiene le chiavi e può tecnicamente accedere ai tuoi file, e chiunque ottenga il link di download può aprire i file (sui trasferimenti gratuiti non è richiesta alcuna password). Per una condivisione occasionale e non sensibile va benissimo. Per documenti riservati dei clienti, cartelle dei pazienti, fascicoli legali o materiale delle fonti, «crittografato in transito e a riposo» non equivale a «solo il destinatario può leggerlo».

Perché conta per chi invia file veri

Se sei un freelance, un fotografo, un avvocato, un commercialista, un terapeuta, un giornalista o chiunque gestisca una piccola attività, WeTransfer fa probabilmente parte del tuo flusso di lavoro proprio perché non crea attriti. Nessun account necessario, dimensioni dei file generose, un solo link. Questa assenza di attriti è il suo punto forte, ed è anche il rischio.

I file che invii raramente sono neutri. Un’agenzia di design invia asset del marchio coperti da NDA. Un contabile invia i bilanci completi di un cliente. Un clinico invia esami o moduli di accettazione. Un giornalista riceve documenti da una fonte. In ogni caso il contenuto è riservato per obbligo, a volte per legge (segreto professionale, GDPR, riservatezza contrattuale). Lo strumento di trasferimento entra a far parte della tua strategia di protezione dei dati, che tu l’abbia previsto o no.

La confusione di fondo è che «crittografato» suona come una garanzia definitiva. In pratica la parola crittografia descrive configurazioni molto diverse tra loro, e le differenze decidono chi può leggere il tuo file se qualcosa va storto. Questa distinzione è tutto, e conviene averla chiara. La spieghiamo nel dettaglio nella nostra guida a crittografia a riposo, end-to-end e zero-knowledge, ma ecco cosa significa nel caso specifico di WeTransfer.

Cosa protegge davvero WeTransfer (e cosa no)

Pensa a un trasferimento di file come a un viaggio in tre tappe: il file che si muove sulla rete, il file che resta su un server e la questione di chi detiene, alla fine, la chiave.

In transito. Quando carichi su WeTransfer e quando il destinatario scarica, la connessione è protetta da HTTPS/TLS. Questo impedisce a chi è sulla stessa rete Wi-Fi, o a chi si trova tra te e il server, di leggere il file mentre viaggia. È uno standard ed è davvero utile. È anche il minimo indispensabile che qualsiasi servizio web serio offre nel 2026.

A riposo. La documentazione di sicurezza di WeTransfer dichiara che i file archiviati sono crittografati a riposo sulla sua infrastruttura. Questo protegge da uno scenario preciso: chi ruba fisicamente un disco o un volume di storage grezzo trova byte illeggibili, non i tuoi documenti. Non protegge da WeTransfer stessa, dall’account compromesso di un dipendente di WeTransfer, dalla richiesta di un’autorità o da un attaccante che entra nel servizio con un accesso legittimo, perché il servizio può decrittografare i file per restituirli al destinatario.

End-to-end / zero-knowledge. Questa è la parte che WeTransfer non fa. In un sistema end-to-end o zero-knowledge, i file vengono crittografati prima di uscire dal tuo dispositivo con una chiave che il server non vede mai, così il fornitore conserva solo blob illeggibili e letteralmente non può aprirli, nemmeno su richiesta di un’autorità. WeTransfer non è costruito così. L’azienda può accedere al contenuto, ed è proprio per questo che funzioni come le anteprime dei link, la scansione antivirus e i semplici link «clicca per scaricare» funzionano in modo così fluido.

Ecco il quadro a confronto:

Protezione	WeTransfer (trasferimento standard)	Da cosa difende	Da cosa NON difende
In transito (TLS)	Sì	Intercettazioni sulla rete tra te e il server	Il server che legge il file una volta ricevuto
A riposo (lato server)	Sì (secondo la documentazione di WeTransfer)	Furto di dischi o di storage grezzo	Il fornitore, gli accessi interni, le richieste di un’autorità, un attaccante autenticato
Password sul link	Solo piani a pagamento	Sconosciuti che indovinano l’URL	Il fornitore conserva comunque il file in forma leggibile
End-to-end / zero-knowledge	No	Il fornitore, le violazioni, le richieste di un’autorità	n/d (non offerto)

Ci sono altre due complicazioni da nominare con onestà. Primo, sui trasferimenti gratuiti il link di download È il controllo di accesso: chiunque abbia l’URL può scaricare i file, i link si sono sempre potuti inoltrare e, in almeno un incidente segnalato nel 2019, sono stati recapitati a destinatari sbagliati. La protezione con password e il controllo della scadenza sono funzioni a pagamento. Secondo, a metà 2025 WeTransfer è stata criticata pubblicamente per un aggiornamento dei termini di servizio che sembrava concedere diritti ampi sui contenuti caricati; l’azienda ha poi chiarito di non usare i contenuti degli utenti per addestrare l’IA e ha rivisto la formulazione. Prendilo come promemoria: quando un fornitore può accedere ai tuoi file, le condizioni che regolano il servizio e le loro modifiche future fanno parte del tuo modello di minaccia, non solo la crittografia.

Cosa significa concretamente

Non devi abbandonare WeTransfer per usarlo in modo responsabile. Devi adattare lo strumento alla sensibilità del file. Qualche pratica concreta:

• Classifica i file in base a «chi ci rimette se trapela». Mockup di marketing e PDF pubblici: WeTransfer va bene. Contratti, dati finanziari, dati sanitari, dati personali identificabili, documenti delle fonti: alza l’asticella.
• Crittografa prima di caricare. La soluzione più pulita per qualsiasi strumento di trasferimento non end-to-end è crittografare tu stesso il file prima (un archivio protetto da password, o uno strumento con crittografia lato client), così il servizio detiene sempre e solo dati crittografati. La nostra guida pratica su come crittografare note e file ne illustra i compromessi. Condividi la password su un canale separato, mai nello stesso messaggio del link.
• Usa password e scadenze brevi quando disponibili. Se paghi un piano che le supporta, una password sul link e una finestra di scadenza breve riducono in modo significativo il periodo di esposizione. Non rendono il trasferimento zero-knowledge, ma chiudono la falla del «chiunque abbia il link».
• Preferisci un link in cui la chiave non si trova affatto sul server. Lo schema più robusto per la condivisione è la crittografia end-to-end in cui la chiave di decrittografia viaggia nel frammento dell’URL (la parte dopo il #), che i browser non inviano mai ai server. È il principio alla base della condivisione crittografata di Filarr, ed è il livello da pretendere da qualsiasi strumento di invio «sicuro».
• Capisci cosa esporrebbe davvero una violazione. Con un trasferimento cloud classico, una violazione può esporre documenti leggibili. Con la crittografia lato client o locale, la stessa violazione espone rumore. Approfondiamo questa differenza in cosa cambia davvero quando i tuoi dati trapelano.

Una nota sulla conformità, perché la domanda torna spesso: «WeTransfer crittografa i file» non equivale a «WeTransfer ti rende conforme al GDPR». La crittografia in transito e a riposo è una misura tecnica tra tante. Se tratti dati personali o regolamentati, i tuoi obblighi riguardano l’intera catena del trattamento (dove sono conservati i dati, chi è il responsabile del trattamento, dove si trovano i server, la conservazione e i tuoi accordi), non una singola casella da spuntare. Questo articolo non è una consulenza legale; quando i dati sono regolamentati, verifica la tua configurazione con un professionista qualificato.

Dove si colloca Filarr (onestamente)

Filarr non è un sostituto diretto di WeTransfer per spedire un video da 5 GB a uno sconosciuto, e sarebbe disonesto fingere il contrario. Filarr è uno spazio di lavoro local-first crittografato: le tue note e i tuoi file sono crittografati sul tuo disco con AES-256-GCM con la chiave del tuo account, e la sincronizzazione cloud facoltativa resta zero-knowledge. La tua chiave è casuale, bloccata da una chiave derivata dalla tua password, e non viene mai consegnata in chiaro a un server. È un baricentro diverso da quello di un servizio di trasferimento.

Con la questione WeTransfer si sovrappone su due punti. Primo, la funzione di condivisione di Filarr ti permette di inviare un file come link crittografato end-to-end, in cui la chiave di decrittografia sta nel frammento dell’URL, così il server conserva un blob opaco e non può leggerne il contenuto. È più vicino a ciò che dovrebbe significare «invio sicuro di file» rispetto a un link WeTransfer standard. Secondo, e soprattutto, gran parte dell’uso di WeTransfer si riduce in realtà a «mi serve un posto dove tenere i miei file, organizzarli, ritrovarli e ogni tanto passarli a qualcuno». Tenere quei file crittografati a riposo sul tuo computer, con una vera ricerca e un grafo che collega i documenti alle note, elimina in partenza il riflesso di riversare materiale sensibile presso terzi.

Cosa Filarr NON fa: non è una certificazione, non è conformità legale o normativa, e non proteggerà magicamente un file che hai già caricato altrove. Riduce la frequenza con cui i tuoi file riservati passano da un server in grado di leggerli. Questo è il perimetro onesto.

Domande frequenti

WeTransfer è crittografato end-to-end? No. WeTransfer crittografa i file in transito e dichiara che sono crittografati a riposo, ma detiene le chiavi e può accedere al contenuto. Non esiste una modalità zero-knowledge o end-to-end, quindi non può affermare che solo il tuo destinatario possa leggere i file.

I dipendenti di WeTransfer o un hacker possono leggere i miei file? Poiché il servizio può decrittografare i file per servirli, il contenuto è tecnicamente accessibile a WeTransfer, a chiunque ottenga un accesso legittimo tramite un account compromesso e, potenzialmente, a una richiesta valida di un’autorità. La crittografia a riposo protegge soprattutto dal furto dello storage grezzo, non dall’accesso attraverso il servizio stesso.

È sicuro inviare documenti riservati dei clienti con WeTransfer? Per file poco sensibili, sì. Per dati riservati o regolamentati (contratti, dati finanziari, documenti sanitari o legali), crittografa tu il file prima di caricarlo, usa una password sul link e una scadenza breve se il tuo piano le supporta, e invia la password su un canale separato. Meglio ancora, usa uno strumento in cui la chiave non raggiunge mai il server.

Usare WeTransfer mi rende conforme al GDPR? No. La crittografia è una misura tecnica. La conformità al GDPR dipende dall’intera catena del trattamento: luogo di conservazione, rapporto con il responsabile del trattamento, conservazione e accordi documentati. Questa non è una consulenza legale; verifica i flussi di lavoro regolamentati con un professionista.

Qual è un’alternativa più riservata per inviare file sensibili? Cerca la crittografia end-to-end in cui la chiave di decrittografia sta nel frammento dell’URL (mai inviato al server), oppure crittografa i file lato client prima di caricarli ovunque. Tenere i file crittografati sul tuo dispositivo e condividerli in modo selettivo, invece di caricare tutto su un cloud leggibile, è l’impostazione predefinita più solida.