Jak szyfrować pliki w Windows: wszystkie praktyczne sposoby porównane

„Jak zaszyfrować plik w Windows?” ma co najmniej sześć poprawnych odpowiedzi, a każda z nich chroni przed czymś zupełnie innym. Zaszyfrowanie dysku laptopa nic nie da kopii, którą wyślesz do Google Drive; archiwum zip chronione hasłem nic nie da plikom wciąż leżącym w folderze Dokumenty. Zamiast jednego przepisu masz więc uczciwą mapę: co naprawdę chroni każda z możliwości szyfrowania w Windows i która pasuje do zadania, które masz przed sobą.

Najpierw ustal, przed czym się chronisz

• Skradziony albo zgubiony laptop → szyfrowanie całego dysku (BitLocker).
• Ktoś z dostępem do Twojego komputera albo konta → szyfrowanie pojedynczych plików z własnym hasłem.
• Pliki opuszczające Twoją maszynę – wysyłki, magazyny w chmurze, załączniki do e-maili, serwery FTP → szyfrowanie pojedynczych plików po stronie użytkownika, żeby w drogę ruszał wyłącznie szyfrogram.
• Wysłanie jednej paczki jednej osobie → zaszyfrowane archiwum, które otworzy wspólnym hasłem.

Sposób 1: BitLocker – chroni cały dysk i tylko dysk

BitLocker (Windows Pro i wyżej; „szyfrowanie urządzenia” na wielu maszynach z wersją Home) szyfruje cały Twój dysk. Jeśli laptop zostanie skradziony, dane są nie do odczytania – to jego zadanie i wykonuje je dobrze. Włącz go w Ustawienia → Prywatność i zabezpieczenia → Szyfrowanie urządzenia albo wyszukaj „Zarządzaj funkcją BitLocker”.

Czego nie robi: nie chroni plików przed kimś korzystającym z Twojej zalogowanej sesji ani przed niczym, co opuszcza dysk. W chwili, gdy plik trafia na pendrive'a, do załącznika albo do chmury, opuszcza zaszyfrowany dysk w postaci jawnej.

Sposób 2: EFS – pojedyncze pliki, ale przywiązane do Twojego konta Windows

EFS (Encrypting File System, tylko Windows Pro) szyfruje pojedyncze pliki niepostrzeżenie: prawy przycisk → Właściwości → Zaawansowane → „Szyfruj zawartość, aby zabezpieczyć dane”. Pliki odszyfrowują się same, gdy zalogowany jesteś Ty, i są nieczytelne dla innych kont.

Ta niewidoczność jest zarazem słabością: wszystko, co działa jako Ty, czyta te pliki bez problemu, a kopie opuszczające Twój profil (również przez synchronizację z chmurą) wychodzą odszyfrowane. EFS jest w porządku na wspólnym domowym komputerze; nie jest narzędziem do ochrony wysyłanych plików.

Sposób 3: archiwa chronione hasłem – AES-256 w 7-Zipie

Klasyczna odpowiedź na „wyślij te pliki bezpiecznie jednej osobie”: spakuj je do archiwum z hasłem. Zauważ, że wbudowane pakowanie w Windows tego nie potrafi – „Kompresuj do pliku ZIP” w Eksploratorze nie ma żadnego pola na hasło. Potrzebujesz 7-Zipa (za darmo): zaznacz pliki → 7-Zip → Dodaj do archiwum → ustaw hasło i wybierz AES-256 (nie słaby, stary ZipCrypto). Pełne przejście, razem z robieniem tego na zdalnym magazynie, znajdziesz w naszym przewodniku po pakowaniu i szyfrowaniu.

Archiwa świetnie sprawdzają się przy jednorazowym wysłaniu, a nieporadnie przy stałej ochronie: każda poprawka oznacza rozpakowanie → zmianę → ponowne spakowanie → ponowne wpisanie hasła.

Sposób 4: hasła do dokumentów – wbudowane szyfrowanie w pakiecie Office

Word, Excel i PowerPoint potrafią zaszyfrować pojedynczy dokument: Plik → Informacje → Chroń dokument → Szyfruj przy użyciu hasła. Współczesny Office korzysta z AES i przy dobrym haśle jest naprawdę mocny. Całkiem rozsądne przy jednej umowie czy arkuszu; nie do ogarnięcia jako system – obejmuje wyłącznie formaty Office, a każdy plik niesie własne hasło.

Sposób 5: szyfrowanie pojedynczych plików po stronie użytkownika – zbudowane pod pliki, które podróżują

Wszystko powyżej chroni pliki u siebie. Luka dotyczy plików, które wyjeżdżają: kopii zapasowych na serwerze FTP, dokumentów w Google Drive czy Dropboksie, folderów na NAS-ie, do którego sięga cała rodzina. Przy nich chcesz, żeby plik został zaszyfrowany, zanim gdziekolwiek ruszy, kluczem, który nigdy nie opuszcza Twojej maszyny – tak, żeby w magazynie leżał wyłącznie szyfrogram.

Właśnie to robi szyfrowanie plików w FTPie: kliknij dowolny plik albo folder prawym przyciskiem → Szyfrowanie → Zaszyfruj, ustaw hasło, a zostanie zapieczętowany algorytmem AES-256 (w trybie CBC z kontrolą spójności HMAC-SHA256, z kluczem wyprowadzonym na Twoim komputerze funkcją PBKDF2). Działa tak samo na plikach lokalnych i zdalnych, a Zaszyfruj do… potrafi zaszyfrować plik wprost na dowolny podłączony magazyn w jednym kroku – nawet z chmury do chmury, szyfrując go w locie, bez wcześniejszego pobierania. Odszyfrowanie jest dla każdego darmowe: odbiorcy instalują darmowe FTPie, wpisują hasło i gotowe.

Jedno uczciwe ograniczenie wspólne dla narzędzi działających na pojedynczych plikach: nazwy plików pozostają widoczne (plik staje się nazwa.ftpie.ext). Jeśli nazwy są wrażliwe, najpierw spakuj pliki i zaszyfruj archiwum.

Porównanie w jednej tabeli

Rozsądne połączenia

Te sposoby ze sobą nie konkurują – porządne ustawienie korzysta z kilku naraz: włączony BitLocker dla urządzenia, szyfrowanie pojedynczych plików dla wszystkiego, co wyjeżdża (wysyłek, folderów w chmurze, kopii zapasowych poza domem) i zaszyfrowane archiwum, gdy przekazujesz komuś paczkę. Jeśli Twoje pliki lądują konkretnie w Google Drive albo Dropboksie, napisaliśmy przewodniki krok po kroku o szyfrowaniu przed wysłaniem do Google Drive i Dropboksa – a przy ochronie automatycznej zaplanowane kopie zapasowe mogą pakować i szyfrować przy każdym wykonaniu.