Nenhuma ferramenta única "protege" arquivos automaticamente. Defesa em profundidade — camadas de criptografia, backup, controle de acesso e higiene — é a única estratégia confiável.
1. Criptografia em Repouso
- Criptografia de disco completo: BitLocker (Win Pro/Ent), FileVault (Mac), LUKS (Linux). Ativo por padrão em SO modernos — verifique se está ligado.
- Criptografia de container: VeraCrypt (multiplataforma) para subconjuntos sensíveis (declarações de imposto, chaves, carteiras). Monte sob demanda.
- Criptografia na nuvem: Cryptomator (gratuito, open-source) criptografa antes de sincronizar com Drive/Dropbox/OneDrive. Zero-conhecimento.
2. Backup — A Recuperação Definitiva
- Regra 3-2-1: 3 cópias, 2 tipos de mídia, 1 fora do local.
- Local: SSD externo (Samsung T7, SanDisk Extreme) — criptografado (BitLocker/FileVault/VeraCrypt).
- Fora do local: Backblaze B2 ($6/TB/mês), rsync.net, ou segundo disco criptografado na casa de um amigo.
- Automação: Veeam Agent (gratuito), Duplicati, restic, Time Machine, Histórico de Arquivos.
- Teste restaurações trimestralmente.
3. Controle de Acesso e Autenticação
- Gerenciador de senhas: Bitwarden (gratuito, opção self-host), 1Password, KeePassXC. Senhas únicas de 20+ caracteres por serviço.
- 2FA: Chave de hardware (YubiKey) > app TOTP (Aegis, Bitwarden) > SMS (evite).
- Bloqueio de dispositivo: PIN/biometria + auto-bloqueio 1–5 min. Criptografe backups (iTunes/Finder: "Criptografar backup local").
4. Higiene de Rede e Transporte
- TLS em todo lugar: HTTPS, IMAPS, SMTPS, SFTP. Sem FTP/Telnet simples.
- VPN em Wi-Fi público: Mullvad, Proton, WireGuard auto-hospedado.
- Compartilhamento local: Syncthing (P2P, criptografado) em vez de nuvem para pastas grandes.
5. Segurança Operacional
- Não clique em links/anexos não solicitados.
- Mantenha SO, navegador, firmware atualizados (auto-atualização ligada).
- Use bloqueador de anúncios/rastreadores (uBlock Origin, NextDNS).
- Separe conta admin de usuário padrão.
Dicas Específicas por Tipo de Arquivo
- Fotos: HEIC/HEIF (espaço), mantenha originais RAW em NAS criptografado. Sincronize com Google Photos / iCloud com E2EE (Proteção Avançada de Dados).
- MP3s: Sem risco de DRM se ripados por você. Marque com MusicBrainz Picard. Faça backup.
- Documentos: PDF/A para arquivos. Arquivos Office → converta para PDF/A para longo prazo.
- Código/Chaves: Assine commits com GPG. Armazene chaves SSH no 1Password/agente SSH, não em ~/.ssh sem criptografia.
Se Você For Alvo de Alto Valor
- Chaves de segurança de hardware (YubiKey) para todo 2FA.
- Qubes OS ou GrapheneOS para compartimentalização.
- OpSec: separe identidades, telefones descartáveis, dinheiro vivo.
Comece hoje: Ative BitLocker/FileVault, instale Bitwarden, compre um SSD externo de 2 TB, faça o primeiro backup. Camada por camada.
