# Posso criptografar o disco de um VPS com LUKS? > Sim: o LUKS2 criptografa um volume em um VPS, mas o host pode ver a RAM. O Gloam, com 2 vCPU e 4 GB, custa $8.25 por mês em 12 meses. - URL: https://gloamport.com/pt/guides/how-to-encrypt-a-vps-disk-with-luks/ - Última atualização: 2026-11-10 - Editor: Gloamport (https://gloamport.com) O LUKS protege os dados em repouso. Ele não esconde um VPS em execução da máquina em que ele roda, e esta página diz onde está a linha. **Resposta rápida — Posso criptografar o disco de um VPS com LUKS?** Sim, você pode criptografar o disco de um VPS com LUKS, porque a Gloamport dá a você virtualização KVM completa, com seu próprio kernel. Crie um volume com cryptsetup luksFormat, abra-o, formate e monte-o. Um plano Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, custa $8.25 por mês em 12 meses. ## O que o LUKS protege em um VPS, e o que não protege? | Situação | Protegido pelo LUKS? | Por quê | | --- | --- | --- | | Uma cópia da imagem do disco ou um snapshot | Sim | Os dados em disco são texto cifrado sem a senha | | Um VPS desligado | Sim | A chave não está na memória | | Um VPS em execução com o volume aberto | Não | A chave e o texto claro ficam na RAM, que a máquina host pode ler | | Alguém com root dentro do seu VPS | Não | Eles veem o volume montado | | Uma senha perdida ou um cabeçalho danificado | Não | Os dados se perdem, a menos que você tenha feito um backup do cabeçalho | O limite da RAM é uma propriedade da virtualização, não da Gloamport: qualquer host pode ler a memória dos convidados que roda. ## O que criptografar o disco de um VPS com LUKS realmente oferece? O LUKS oferece criptografia em repouso: quem copiar o disco sem a senha só obtém ruído. Ele não oferece proteção contra o host enquanto o VPS roda, porque a chave desbloqueada fica na memória que o hipervisor pode ler. É por isso que a formulação honesta importa. A Gloamport declara que Virtualização KVM completa: seu próprio kernel, suas próprias regras de firewall e sua própria criptografia de disco, se você configurar, o que torna o LUKS possível, e que Nenhum plano inclui backups: mantenha sua própria cópia de tudo o que você não pode perder. Combine a criptografia com seus próprios backups. Para a questão mais ampla do que um VPS privado é e não é, veja [O que torna um VPS focado em privacidade?](https://gloamport.com/pt/privacy-focused-vps/ "O que torna uma VPS focada em privacidade?"). ## Qual plano da Gloamport serve para um volume criptografado? O Gloam é um tamanho confortável: tem 2 vCPU, 4 GB de RAM e 80 GB de NVMe de armazenamento, e a Gloamport o lista para "Um servidor Matrix, Vaultwarden e SearXNG juntos". A criptografia consome um pouco de CPU, então um segundo núcleo ajuda. Segundo a pesquisa da Gloamport de 10 de novembro de 2026, o preço mediano de um VPS comparável de 2 vCPU e 4 GB entre 29 hosts foi $31.29 por mês. O Gloam custa $8.25 por mês em 12 meses e $16.50 em 1 mês. ## Como criptografo um volume em um VPS com LUKS, passo a passo? Sete passos para um volume de dados guardado em um arquivo. Os mesmos comandos funcionam em um dispositivo de bloco. 1. **Instale o cryptsetup** — Rode apt install cryptsetup como root. 2. **Crie o arquivo contêiner** — Aloque um arquivo com o tamanho que você precisa. O cryptsetup mapeia um arquivo comum para um dispositivo de loop sozinho. 3. **Formate como LUKS2** — Rode cryptsetup --type luks2 luksFormat no arquivo e escolha uma senha longa. Isso apaga tudo o que houver no arquivo. 4. **Faça backup do cabeçalho** — Rode luksHeaderBackup e guarde o arquivo longe do VPS. Um cabeçalho danificado, de outro modo, perde tudo. 5. **Abra o volume** — Rode cryptsetup open com um nome de mapeamento. Um dispositivo aparece em /dev/mapper/. 6. **Crie um sistema de arquivos e monte-o** — Rode mkfs.ext4 no dispositivo mapeado, crie uma pasta e monte-a. 7. **Feche quando terminar** — Desmonte, depois rode cryptsetup close, que remove o mapeamento e apaga a chave da memória do kernel. ## Quais são os comandos exatos do LUKS? Os comandos abaixo seguem o manual do cryptsetup. `luksFormat` inicializa o volume e define a primeira senha, `open` cria o mapeamento, `luksDump` exibe o cabeçalho, e `luksHeaderBackup` guarda um backup binário do cabeçalho e da área de slots de chave. O manual diz que, se o cabeçalho de um volume LUKS for danificado, todos os dados se perdem de forma permanente, a menos que você tenha um backup do cabeçalho. *Crie e formate o contêiner* ```bash apt install cryptsetup fallocate -l 10G /root/vault.img cryptsetup --type luks2 luksFormat /root/vault.img cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header ``` *Abra, formate e monte* ```bash cryptsetup open /root/vault.img vault mkfs.ext4 /dev/mapper/vault mkdir -p /mnt/vault mount /dev/mapper/vault /mnt/vault ``` *Feche* ```bash umount /mnt/vault cryptsetup close vault ``` ## Posso desbloquear remotamente um disco raiz criptografado com dropbear-initramfs? Sim, se o sistema inicializa a partir de uma raiz criptografada, um pequeno servidor SSH no initramfs pode receber a senha antes de o sistema de arquivos raiz ser montado. Isso exige uma instalação feita com raiz criptografada, um trabalho maior que o volume de dados acima; trate-o como um passo avançado e confira se sua imagem e seu processo de boot permitem. O pacote Debian `dropbear-initramfs` oferece acesso SSH dentro do sistema de arquivos inicial na RAM, por exemplo para desbloquear discos criptografados. A documentação dele coloca suas chaves públicas em `/etc/dropbear/initramfs/authorized_keys` e as opções em `/etc/dropbear/initramfs/dropbear.conf`, e manda rodar `update-initramfs -u -k all` depois de alterá-las. Ela também aconselha não reutilizar as chaves SSH principais do host, porque `/boot` geralmente não é criptografado. *Instale e aplique o servidor SSH do initramfs* ```bash apt install dropbear-initramfs nano /etc/dropbear/initramfs/authorized_keys update-initramfs -u -k all ``` *Opcional: escute em outra porta (dropbear.conf)* ```text DROPBEAR_OPTIONS="-p 2222" ``` > **Teste antes de depender dele** Mantenha uma segunda forma de acesso e teste o desbloqueio primeiro em um VPS reserva. Um initramfs errado ou uma senha perdida podem deixar a máquina esperando no boot. Use outra porta SSH ou outro arquivo known-hosts para o passo de desbloqueio, já que as chaves do host dele são diferentes das do servidor principal. ## Como mantenho um VPS criptografado utilizável com o tempo? Faça backup do cabeçalho, anote a senha offline e mantenha sua própria cópia dos dados, já que o plano não tem backups. O manual do cryptsetup diz que o backup também é obrigatório para dados criptografados, se os dados tiverem algum valor. Tranque a porta da frente também. [Como endurecer o SSH em um VPS novo?](https://gloamport.com/pt/guides/how-to-harden-ssh-on-a-vps/ "Como reforço o SSH em uma VPS nova?") cobre isso, e [Como gero uma chave SSH para o meu VPS?](https://gloamport.com/pt/guides/how-to-generate-an-ssh-key/ "Como gero uma chave SSH para o meu VPS?") cobre a chave. Os planos e os prazos estão em [a página de preços](https://gloamport.com/pt/pricing/ "Quanto custa uma VPS da Gloamport?"). **Resumo** - O LUKS2 criptografa dados em repouso em um VPS com virtualização KVM completa. - Ele não esconde um VPS em execução do host, que pode ler a RAM. - `cryptsetup --type luks2 luksFormat` cria o volume; `open` e `close` o gerenciam. - Faça backup do cabeçalho com `luksHeaderBackup`: um cabeçalho danificado perde todos os dados. - `dropbear-initramfs` permite desbloquear remotamente uma raiz criptografada. - Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) custa $8.25 por mês em 12 meses. ## LUKS em um VPS: perguntas frequentes ### O host do VPS consegue ler meus dados criptografados com LUKS? Não a partir do disco, mas sim enquanto o volume está aberto, porque a chave e os dados ficam na memória que o host pode ler. O LUKS protege os dados em repouso. ### Posso usar um arquivo em vez de uma partição? Sim. O manual do cryptsetup diz que, se o argumento do dispositivo for um arquivo, o cryptsetup tenta alocar um dispositivo de loopback e mapeá-lo para esse arquivo. ### O que acontece se eu esquecer a senha? Os dados não podem ser lidos. Guarde a senha em segurança e faça um backup do cabeçalho, porque um cabeçalho danificado também perde tudo. ### O que o dropbear-initramfs faz? Ele inicia um pequeno servidor SSH dentro do sistema de arquivos inicial na RAM, para que você possa desbloquear um disco raiz criptografado no boot a partir de outra máquina. ### A Gloamport inclui backups? Nenhum plano inclui backups; então mantenha sua própria cópia de tudo o que você não pode perder. ## Fontes 1. [Página de manual cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10) 2. [Página de manual cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10) 3. [README do dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10) 4. [Pacote dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10) --- Gloamport: A Gloamport é um provedor de VPS que vende servidores Linux KVM sem KYC, pedidos com número de conta e pagos em cripto, Monero em primeiro lugar; é operada pela DomaineGoat LLC, empresa registrada no Panamá. Um pedido pede um plano, uma moeda e, só se você quiser, um endereço de e-mail: sem nome, sem endereço postal, sem telefone e sem documento de identidade. No prazo de 12 meses, cada plano custa pelo menos 25% menos que um plano comparável nomeado, de uma pesquisa com 38 hosts de VPS cripto sem KYC lida em 10 de novembro de 2026.