云盘加密怎么做：三种方案、选型表与五个「加了密还是泄露」的坑
把文件传进网盘，并不等于「只有你能看」。绝大多数网盘的「加密」是服务器端加密——数据在服务商那里解密、扫描、生成缩略图，必要时还能被内部人员或执法请求调取。真正的隐私要求是另一件事：密钥只在你手上，服务商拿到的是一堆无法解读的字节。
这篇给三种可落地的做法、一张按用途选型的表，以及五个「加了密还是泄露」的常见坑。
先分清三种「加密」
| 层级 | 谁掌握密钥 | 服务商能看到什么 | 典型形式 |
|---|---|---|---|
| 传输加密（HTTPS） | — | 传输过程看不到，落盘后照常读取 | 所有网盘默认 |
| 服务器端加密 | 服务商 | 能解密、能扫描、能配合调查 | 网盘宣传的「加密存储」 |
| 端到端 / 客户端加密 | 只有你 | 只有密文、随机文件名、无法预览 | 7z 加密包、Cryptomator、rclone crypt |
只有第三层能解决「服务商被拖库 / 内部人员翻文件 / 账号被盗后文件被批量下载」这三类问题。代价也很直接：在线预览、全文搜索、去重、秒传全部失效，因为这些功能的前提就是服务端能读懂内容。
按用途选方案
| 用途 | 推荐方案 | 理由 |
|---|---|---|
| 偶尔传一份证件、合同、备份包 | 7-Zip 加密压缩包 | 零学习成本，收件人用密码就能解 |
| 长期同步一个私密文件夹 | Cryptomator 保险库 | 透明挂载成虚拟盘，拖进去即加密，适合照片、笔记 |
| 整目录备份到对象存储 / WebDAV | rclone crypt | 命令行、可脚本化、支持增量与校验 |
| 团队共享资料 | 不要用个人加密盘 | 密钥分发与离职回收会失控，用企业权限体系 |
| 只需防止「账号被盗后被翻」 | 强密码 + 双因素 + 独立加密目录 | 先堵入口，再谈内容加密，成本更低 |
方案一：7-Zip 加密包（10 分钟）
- 打包时选 7z 格式，加密方式 AES-256；
- 勾选「加密文件名」（命令行参数
-mhe=on）——不勾的话，压缩包里有哪些文件仍然一览无余； - 密码用 5 词以上的短语，别用「文件名 + 123」；
- 密码通过另一条渠道告诉对方（比如微信发文件、电话说密码），不要和文件放在同一个网盘；
- 上传后自己下载一次，确认能解开——每年都有人上传了损坏的分卷。
注意：7z 的密码强度直接决定安全性。攻击者拿到文件后可以本地无限次尝试，4 词短语在离线爆破下只有半小时的抵抗力，具体算账见密码短语怎么设置。
方案二：Cryptomator 保险库（长期同步）
- 安装 Cryptomator（开源），新建保险库，选择放在网盘同步目录里；
- 设置一个高强度密码，并立刻导出恢复密钥，与密码分开保存；
- 解锁后系统会挂载一个虚拟盘，把文件拖进去，Cryptomator 自动加密并写入网盘目录；
- 换设备时安装同一软件，指向同一网盘目录，输入密码即可解密。
它的加密粒度是「文件级」：每个文件单独加密、文件名也加密，因此网盘仍能做增量同步，不会因为改一个字就重传整个容器。这是它相对「加密容器（如 VeraCrypt）」的关键优势。
方案三：rclone crypt（可脚本化）
适合已经用命令行管理备份的人：先配一个指向网盘的 remote，再叠加一层 crypt remote，指定密码（可用 rclone obscure 生成混淆串）和文件名加密方式，之后 rclone sync 就像操作普通目录。
- 优点：支持增量、校验、限速、断点续传，能进定时任务；
- 注意：密码和 salt 必须单独备份，丢了就永久无法解密；
- 注意：文件名加密会让网盘端的目录结构不可读，排障时要靠 rclone 的
ls而不是网页端。
五个「加了密还是泄露」的坑
| 坑 | 后果 | 怎么避免 |
|---|---|---|
| 压缩包没加密文件名 | 文件清单、目录结构全部暴露 | 勾选「加密文件名」/ -mhe=on |
| 密码存在同一个网盘的备忘录里 | 账号一旦被盗，加密等于没有 | 密码进密码管理器，恢复密钥离线保存 |
| 上传前没清 EXIF / 文档属性 | 拍摄地点、作者、修订记录泄露 | 上传前剥元数据，或整包加密 |
| 加密容器整包同步 | 改一个字就重传几个 GB，且易产生冲突副本 | 用文件级加密（Cryptomator/rclone） |
| 分享链接 + 密码发在同一个聊天里 | 链接被转发即等于明文 | 链接与密码分渠道发送，设置有效期 |
还有一个常被忽略的点：文件大小、修改时间、上传频率本身也是元数据。即便内容加密，服务商仍能看出「这个账号每周日晚上传 2GB」。对绝大多数人这无所谓，但如果你在意，就要连同步节奏一起设计（例如批量、错峰、混入无关文件）。
密钥管理：唯一不能出错的一环
- 密码放密码管理器，不要只靠记忆，也不要写在网盘里的 txt；
- 恢复密钥离线存两份：一份纸质放家里，一份放异地（父母家、保险箱）；
- 写一份「解密说明」：用的是哪个工具、哪个版本、密钥在哪。半年后你自己也会忘；
- 每年演练一次：在另一台设备上完整解密一个文件，确认备份可用；
- 别把唯一副本放在加密盘里：加密盘 + 单副本 = 一次误删就永久丢失。
常见问题
网盘说「支持端到端加密」，还需要自己加密吗？
看密钥归谁。真正的端到端意味着服务商也无法解密，通常还会明确写「忘记密码无法找回」。如果它同时提供网页预览、在线解压、全文搜索，那多半不是端到端，只是服务器端加密。
手机上传的照片怎么加密？
iOS/Android 上 Cryptomator 有移动端，可以把相册导出到保险库；更省事的做法是只把「证件、合同、备份」这类高价值文件放进保险库，日常照片靠账号双因素保护——全量加密的维护成本很高，容易半途而废。
加密后还能分享给不用这些工具的人吗？
用 7z 加密包最省事：对方装个 7-Zip 或 Windows 自带解压（部分版本需额外软件）就能解。Cryptomator 的分享必须对方也装客户端，适合长期协作的小圈子。
忘记密码真的没救吗？
对真正的客户端加密来说，是的。没有后门就是它的设计目标。所以密码与恢复密钥的备份，重要性不低于加密本身。
小结
云盘加密的决策只有一句话：先确定密钥归谁，再选工具。临时文件用 7z 加密包（记得加密文件名），长期同步用 Cryptomator，脚本化备份用 rclone crypt；三者都要求「强短语密码 + 离线恢复密钥 + 每年演练一次」。把这三件事做完，网盘才真正变成一个「别人打不开的柜子」，而不是「别人暂时没打开」。