Zero-knowledge, end-to-end o crittografia a riposo: le differenze concrete (2026)

Stai confrontando due app di note, due servizi cloud o due strumenti di backup. Tutti dicono «crittografato». Uno dice «crittografato a riposo con AES-256». Un altro dice «crittografato end-to-end». Un terzo dice «zero-knowledge». Sembrano tre modi di dire la stessa cosa. Non lo sono. La domanda pratica che sta sotto a tutte e tre è semplice: se domani questa azienda subisce un attacco, o riceve una richiesta da un’autorità giudiziaria, un essere umano può leggere i tuoi file? Questa sola domanda separa i tre termini, e la risposta cambia ciò che dovresti affidare a uno strumento.

Questa guida spiega i tre termini in parole semplici, mostra esattamente cosa trapela in ciascun modello quando le cose vanno male e ti dà una breve checklist per distinguere i testi di marketing da una protezione reale.

Risposta rapida

La crittografia a riposo significa che i tuoi dati sono conservati in forma cifrata sui dischi del fornitore, ma il fornitore tiene le chiavi e può decrittografarli quando vuole (per indicizzarli, mostrarli in un’app web o trasmetterli a un’autorità che li richiede). La crittografia end-to-end (E2EE) significa che i dati vengono crittografati sul tuo dispositivo e decrittografati solo su quello del destinatario, quindi gli intermediari, durante il transito e l’archiviazione, non vedono mai il testo in chiaro. Zero-knowledge descrive la stessa garanzia dal punto di vista del fornitore: il servizio letteralmente non può leggere i tuoi dati, perché la chiave non gli arriva mai. In breve: la crittografia a riposo protegge dal furto di un disco; end-to-end e zero-knowledge proteggono dal fornitore stesso. In caso di violazione o di richiesta di un’autorità, la crittografia a riposo può esporre documenti leggibili, mentre un vero sistema zero-knowledge espone solo testo cifrato illeggibile.

Perché questa distinzione ti riguarda davvero

Quasi nessuno pensa alla terminologia della crittografia finché non succede una di due cose: legge di una violazione dei dati che colpisce un’app che usa, oppure gestisce dati che non sono solo suoi (file di clienti, note sui pazienti, materiale delle fonti, dati dei dipendenti). In quel momento la parola di marketing «crittografato» smette di rassicurare e diventa una domanda: crittografato nei confronti di chi?

Ecco la realtà scomoda. Quasi tutti i servizi cloud seri crittografano i dati a riposo. È il minimo indispensabile, e protegge da una minaccia ristretta: qualcuno che ruba fisicamente un server o un disco dismesso. Non fa praticamente nulla contro le minacce che preoccupano davvero le persone nel 2026: il fornitore violato attraverso i suoi stessi sistemi in funzione, un dipendente infedele, una richiesta di un’autorità troppo ampia o il fornitore che analizza in silenzio i tuoi contenuti. Questo perché, nel modello della crittografia a riposo, il fornitore tiene le chiavi accanto ai dati protetti. Una violazione che raggiunge l’applicazione in esecuzione di solito raggiunge anche le chiavi.

I termini end-to-end e zero-knowledge esistono proprio per descrivere la promessa più forte: il fornitore non ha le chiavi, quindi non può leggere i tuoi dati nemmeno se lo volesse, nemmeno se subisce un attacco, nemmeno di fronte alla richiesta di un’autorità. Capire quale promessa fa davvero uno strumento è la differenza tra «i miei documenti sono trapelati» e «è trapelato rumore illeggibile».

I tre modelli, con precisione

1. Crittografia a riposo

I dati che si trovano sullo storage del fornitore sono crittografati con un cifrario simmetrico (di solito AES-256). Il fornitore possiede e gestisce le chiavi, in genere in un servizio di gestione delle chiavi. Quando accedi tramite un’app web, il server decrittografa i tuoi dati per mostrarli, li crittografa di nuovo per conservarli, e può cercarli o mostrarne un’anteprima perché ha la chiave.

Protegge da: furto di dischi fisici, backup smarriti, furti a livello di storage.
NON protegge da: il fornitore che legge i tuoi dati, una violazione a livello applicativo, un amministratore infedele o una richiesta di un’autorità che impone di rivelare i dati.
Chi la usa: praticamente tutti (Google Drive, Dropbox, Notion, iCloud per impostazione predefinita). Notion, per esempio, crittografa a riposo ma tiene le chiavi e non è end-to-end, ed è proprio per questo che alla domanda «Notion è crittografato?» la risposta è «sì, ma non nei confronti di Notion».

2. Crittografia end-to-end (E2EE)

I dati vengono crittografati sul dispositivo del mittente e possono essere decrittografati solo sulle estremità previste. L’esempio classico è la messaggistica (Signal): i due telefoni hanno le chiavi, e tutto ciò che sta in mezzo (server, rete) vede solo testo cifrato. La E2EE riguarda fondamentalmente chi sono le estremità, e la garanzia che nessuno nel mezzo possa leggere il contenuto.

Protegge da: intercettazioni in transito, compromissione del server, il fornitore che legge il contenuto dei messaggi.
Attenzione a: i metadati (chi ha parlato con chi, quando, dimensioni dei file) spesso non sono coperti, e tra le «estremità» può finire in silenzio anche il fornitore, se la gestione delle chiavi è approssimativa.

3. Zero-knowledge

Zero-knowledge è la stessa garanzia descritta dal punto di vista del fornitore dello storage: il servizio conserva e sincronizza i tuoi dati ma non ha alcuna possibilità di leggerli, perché la chiave di crittografia è derivata da un segreto che conosci solo tu (la tua password o una passphrase) e viene calcolata sul tuo dispositivo; il server non riceve mai né quella chiave né nulla che basti a ricavarla. Il server vede blob opachi e nient’altro. In pratica, un’app di archiviazione zero-knowledge ben fatta è una crittografia end-to-end lato client in cui una delle «estremità» sono semplicemente gli altri tuoi dispositivi.

Protegge da: violazione del fornitore, dipendenti infedeli, richieste delle autorità, analisi silenziosa dei contenuti.
Il compromesso da accettare: se la chiave è davvero solo tua, perdere la password (senza un meccanismo di recupero) può significare perdere i dati. È il costo onesto di un fornitore che non può aiutarti, perché la stessa proprietà che ferma gli aggressori impedisce al fornitore di reimpostare il tuo accesso.

I termini si sovrappongono molto e spesso vengono usati in modo approssimativo. Se vuoi il confine preciso tra gli ultimi due, abbiamo scritto un’analisi dedicata a crittografia end-to-end vs zero-knowledge. In breve: end-to-end riguarda il percorso della comunicazione, zero-knowledge riguarda l’impossibilità per il fornitore di leggere i dati conservati. Uno strumento può essere l’uno, l’altro, entrambi o nessuno dei due.

A confronto

	Crittografia a riposo	End-to-end (E2EE)	Zero-knowledge
Dove vengono crittografati i dati	Sul server	Sul tuo dispositivo	Sul tuo dispositivo
Chi tiene la chiave	Il fornitore	Le estremità	Solo tu
Il fornitore può leggerli?	Sì	No (contenuto)	No
Cosa trapela in una violazione del server	Dati leggibili (se le chiavi vengono raggiunte)	Testo cifrato	Testo cifrato
Resiste a una richiesta di un’autorità rivolta al fornitore?	No, il fornitore può trasmettere i dati in chiaro	Sì, per il contenuto	Sì
Metadati protetti?	Di solito no	Spesso no	Dipende dal design
Se perdi la password	Il fornitore può reimpostarla	Dipende	Spesso irrecuperabile senza una chiave di recupero
Esempi tipici	Google Drive, Dropbox, Notion	Signal, WhatsApp	Proton, Standard Notes, Filarr

Una sfumatura da dire chiaramente: questi modelli non si escludono a vicenda. Una buona app zero-knowledge è anche crittografata a riposo e applica anche i principi dell’end-to-end. La distinzione che conta non è «quale dei tre», ma «il fornitore ha una chiave in grado di leggere i miei dati?». Se sì, hai una protezione da crittografia a riposo, qualunque cosa dica il marketing. Se no, hai la garanzia forte.

Cosa trapela davvero quando le cose vanno male

È qui che la terminologia diventa una decisione. Immagina lo stesso incidente in ciascun modello.

Scenario: il fornitore subisce una violazione e l’aggressore raggiunge il livello applicativo in funzione.

Crittografia a riposo: l’app in esecuzione può decrittografare, quindi spesso può farlo anche l’aggressore. Aspettati documenti leggibili. Ai sensi del GDPR, di solito si tratta di una violazione dei dati personali da notificare.
Zero-knowledge / E2EE: l’aggressore ottiene dei blob. Senza la tua chiave, il testo cifrato è inutilizzabile dal punto di vista computazionale. Abbiamo analizzato proprio questo contrasto in cosa cambia quando i tuoi dati trapelano con la crittografia locale rispetto a quella nel cloud: un modello fa trapelare file leggibili, l’altro rumore.

Scenario: al fornitore arriva una richiesta legittima di un’autorità.

Crittografia a riposo: il fornitore può dare seguito alla richiesta e trasmettere i dati in chiaro.
Zero-knowledge: il fornitore può trasmettere solo testo cifrato che non è in grado di decrittografare. Non ha davvero nulla di leggibile da fornire.

L’avvertenza onesta: lo zero-knowledge protegge il contenuto, non necessariamente i metadati, e non protegge mai un dispositivo già compromesso. Se il tuo portatile ha un malware mentre hai effettuato l’accesso e i dati sono decrittografati, nessun modello lato server ti salva. La crittografia dei dati conservati e la sicurezza del dispositivo sono due lavori diversi.

Cosa significa in concreto: come valutare qualsiasi strumento

I testi di marketing non ti diranno direttamente la verità, quindi verifica tu le affermazioni con queste domande:

Puoi usare l’intero prodotto in un browser con la sola password, comprese anteprime e ricerca su tutto? Se sì, quasi certamente il server ha una chiave utilizzabile. Siamo più vicini alla crittografia a riposo che allo zero-knowledge, qualunque cosa dica la homepage.
Quando reimposti la password, mantieni l’accesso ai vecchi dati? Se un semplice reset della password ripristina tutto senza chiave di recupero, il fornitore può decrittografare i tuoi dati. I veri sistemi zero-knowledge impongono un compromesso su questo punto e ti danno una frase di recupero.
Quali algoritmo e derivazione della chiave vengono indicati? Cerca un cifrario autenticato indicato per nome, come AES-256-GCM, e una funzione di hashing delle password lenta (PBKDF2 con un numero elevato di iterazioni, oppure Argon2). «Crittografia di livello bancario» senza dettagli è un campanello d’allarme.
C’è una gerarchia di chiavi per file o per elemento, o un’unica chiave globale? Un design a due livelli, in cui ogni file ha una sua chiave avvolta da una chiave principale, limita i danni se una singola chiave viene esposta. Spieghiamo perché in KEK e FEK, la crittografia per file spiegata.
L’affermazione è verificabile? Codice open source, un modello di minaccia pubblico o un whitepaper di sicurezza valgono più di un aggettivo di marketing. Se il meccanismo è descritto con abbastanza dettagli da permettere a uno scettico di verificarlo (per esempio, una spiegazione di come la sincronizzazione resta zero-knowledge nel codice reale), è un segnale molto più forte di un bollino.

Una regola pratica: la comodità e la leggibilità da parte del fornitore sono due facce della stessa medaglia. Più un servizio cloud legge, mostra in anteprima, indicizza e ricondivide i tuoi contenuti senza sforzo per te, più è certo che può leggerli senza di te. Non è automaticamente un male (molti dati non hanno bisogno dello zero-knowledge), ma dovresti sceglierlo consapevolmente, invece di dare per scontato che «crittografato» volesse dire «privato anche nei confronti dell’azienda».

Dove si colloca Filarr (onestamente)

Filarr è uno spazio di lavoro crittografato local-first per note e file, quindi si colloca saldamente nel campo dello zero-knowledge, e vale la pena essere precisi su cosa questo ti dà e cosa no.

Ogni file viene crittografato sul tuo dispositivo con AES-256-GCM sotto un’unica chiave dell’account casuale a 256 bit (la FEK), con un valore casuale nuovo per ogni file. La FEK è cifrata da una chiave (la KEK) derivata dalla tua password tramite PBKDF2-SHA512 con 600.000 iterazioni (ben oltre le 210.000 raccomandate dall’OWASP per PBKDF2-SHA512). I dati vivono prima di tutto crittografati sul tuo disco; la sincronizzazione cloud è facoltativa. Quando sincronizzi, i file sono già crittografati prima di lasciare il dispositivo, e il backend (Cloudflare R2) conserva solo blob opachi. La tua chiave non raggiunge mai il server in chiaro, ed è questo che «zero-knowledge» significa nel codice di sincronizzazione. Quanto alla password: dal 16 ottobre 2026 l’accesso non la invia più. Il tuo dispositivo calcola una chiave di autenticazione derivata, distinta dalla KEK, e il server riceve solo quella. Durante una transizione di circa due mesi, un account non ancora ricollegato o una vecchia versione dell’app invia ancora la password al server all’accesso (in HTTPS, verificata con un hash bcrypt): in quel caso un server compromesso potrebbe intercettarla e sbloccare la tua chiave. Una copia rubata del database, da sola, non apre nulla. Il recupero passa da una frase BIP-39 di 24 parole, ed è il compromesso voluto della tabella qui sopra: il fornitore non può reimpostare il tuo accesso al posto tuo, quindi sei tu a custodire la frase.

Ciò che Filarr non fa, e nessuna app crittografata può fare: non protegge un dispositivo già compromesso mentre hai effettuato l’accesso, e non equivale, di per sé, alla conformità al GDPR né a una consulenza legale. La crittografia è un controllo forte all’interno di un quadro più ampio. Filarr è anche più giovane di Obsidian, ha meno plugin e la sua app mobile è una giovane app Android, senza nulla su iPhone. Se stai confrontando le opzioni dell’intera categoria, la nostra guida onesta alle app di note crittografate nel 2026 mette Filarr accanto a Standard Notes, Notesnook, Joplin, Proton Docs e altri, senza pretendere che uno strumento vinca su ogni riga.

Filarr è gratis per sempre per l’uso locale; il piano gratuito sincronizza 5 GB, e la sincronizzazione cloud a pagamento parte da 4 €/mese.

Domande frequenti

Quindi la crittografia a riposo è inutile? No. Difende davvero da supporti di archiviazione fisici rubati o dismessi in modo scorretto, ed è una base che dovresti aspettarti da qualsiasi fornitore serio. Semplicemente non ti protegge dal fornitore stesso, da una violazione a livello applicativo o da una richiesta di un’autorità. Scegli la garanzia in base al tuo modello di minaccia.

Zero-knowledge è solo una parola di marketing per dire crittografia end-to-end? Si sovrappongono ma descrivono cose diverse. End-to-end riguarda il percorso della comunicazione (solo le estremità possono leggere il contenuto). Zero-knowledge riguarda l’impossibilità totale, per il fornitore dello storage, di leggere i tuoi dati. Un’app di archiviazione può essere zero-knowledge applicando i principi dell’end-to-end, con i tuoi stessi dispositivi come estremità.

Se un fornitore zero-knowledge subisce un attacco, i miei dati sono al sicuro? Il tuo contenuto è protetto, perché l’aggressore ottiene testo cifrato senza la tua chiave. Due avvertenze: i metadati (nomi dei file, dimensioni, tempi) potrebbero non essere crittografati, a seconda del design, e un modello davvero zero-knowledge non può aiutarti se il tuo dispositivo è stato compromesso mentre era sbloccato.

Cosa succede se dimentico la password di uno strumento zero-knowledge? È il costo onesto di un fornitore che non ha alcuna chiave: potrebbe non esserci modo di recuperare i dati senza un backup o una chiave di recupero. Gli strumenti seri attenuano il problema con una frase di recupero (Filarr usa una frase BIP-39 di 24 parole). Conservala offline e trattala come la chiave di una cassaforte.

Come capisco in fretta quale modello usa un prodotto? Verifica se un semplice accesso web dà pieno accesso con anteprime e ricerca, e se un reset della password ripristina tutti i tuoi vecchi dati. Se entrambe le cose sono vere, il fornitore può leggere i tuoi dati (livello crittografia a riposo). Se il reset richiede una chiave di recupero e l’esperienza web è limitata, è probabile che sia davvero zero-knowledge.