Como se conectar a um servidor SFTP no Windows (senha ou arquivo de chave)

Alguém mandou para você um acesso SFTP. Um fornecedor quer seus arquivos no servidor dele, um banco precisa de um envio diário ou uma hospedagem está dando acesso ao seu site. A mensagem traz um nome de host, um nome de usuário e uma senha ou um arquivo de chave anexado, e nada sobre o que fazer com isso no Windows.

Este guia explica o que significa cada dado, duas formas de se conectar (um aplicativo ou o comando sftp que o Windows já tem) e o que as mensagens de erro mais comuns estão dizendo.

O que significa cada dado

Uma coisa que o e-mail costuma esquecer: muitos fornecedores só aceitam conexões de endereços que conhecem. Se pediram o seu endereço IP, mande o IP público do seu escritório antes de tentar.

Conectar com um aplicativo

Um cliente gráfico é o jeito mais rápido de ver o servidor e arrastar arquivos para dentro e para fora. No FTPie:

1. Escolha Adicionar armazenamento e selecione SFTP.
2. Preencha Host, Porta e Nome de usuário. Se você recebeu um link sftp://, cole o link inteiro no campo Host e o FTPie preenche a porta, o usuário, a senha e a pasta a partir dele. Com Configurações > Integração com o Windows > Abrir links ftp:// e sftp:// no FTPie ativado, clicar no link abre este formulário já preenchido, com a conexão testada.
3. Em Método de autenticação, escolha Autenticação por senha, Autenticação por chave ou Autenticação dupla se o servidor pedir uma chave e uma senha.
4. Para usar uma chave, clique em Selecionar arquivo ao lado de Chave privada e escolha o seu arquivo de chave. Digite a frase secreta, se houver.
5. Se quiser, defina um Diretório inicial como /incoming e clique em Testar conexão.
6. Na primeira conexão, o FTPie mostra as Informações da Chave de Host do servidor. Compare a impressão digital com a que mandaram para você e clique em Aceitar.

O SFTP está no plano gratuito do FTPie para uso pessoal, para até três servidores FTP, FTPS ou SFTP. Para trabalho, o FTPie Pro tem um teste gratuito.

Arquivos de chave: .ppk, .pem ou OpenSSH?

• .ppk é o formato do PuTTY, criado pelo PuTTYgen. Existem duas versões, a 2 e a 3.
• .pem é uma chave PEM, por exemplo a que a AWS fornece para um servidor EC2.
• id_rsa ou id_ed25519, sem extensão, é uma chave OpenSSH criada pelo ssh-keygen.
• Qualquer arquivo que termine em .pub é a metade pública. Ela fica no servidor; você nunca a carrega num cliente.

A maioria dos tutoriais começa convertendo um formato em outro com o PuTTYgen. O FTPie lê os três do jeito que estão, com ou sem frase secreta, então você pode pular essa etapa. Quando não consegue ler um arquivo, ele explica o motivo: a frase secreta está faltando ou errada, o arquivo não é uma chave privada ou você escolheu o arquivo .pub.

Ainda há um caso em que é preciso converter: o comando sftp do Windows não lê arquivos .ppk. Abra a chave no PuTTYgen e use Conversions > Export OpenSSH key. No sentido contrário, Load seguido de Save private key no PuTTYgen transforma um .pem em .ppk para as ferramentas que pedem esse formato.

Conectar com o comando sftp que vem no Windows

O Windows 10 e 11 incluem o cliente OpenSSH. No PowerShell ou no Prompt de Comando:

sftp -P 22 exports@sftp.example.com

A porta vai com -P maiúsculo; um -p minúsculo significa outra coisa no sftp. Na primeira vez, o sftp mostra a impressão digital do servidor e pergunta Are you sure you want to continue connecting (yes/no/[fingerprint])? Compare com a que mandaram para você, digite yes e depois a sua senha. Com um arquivo de chave:

sftp -i C:\Users\you\.ssh\id_ed25519 exports@sftp.example.com

Depois de entrar, ls lista os arquivos, cd muda de pasta, put envia, get baixa e bye sai. A referência de comandos SFTP traz o resto, e automatizar transferências FTP e SFTP mostra como transformar um envio diário numa tarefa agendada.

Quando não conecta

• "Permission denied (publickey)": o servidor só aceita chaves, e a que você ofereceu não está cadastrada nele. Confira se você carregou a chave privada, e não o arquivo .pub, e se quem administra o servidor adicionou a sua chave pública.
• "Permission denied (password)", ou um erro de autenticação num aplicativo: o usuário ou a senha estão errados. Na maioria dos servidores, o nome de usuário diferencia maiúsculas de minúsculas.
• "Connection timed out": ninguém respondeu. Normalmente é um firewall, uma porta errada ou um servidor que só aceita endereços IP liberados.
• "Connection refused": a máquina respondeu, mas não há nada escutando nessa porta. Confira o número da porta.
• "Host key verification failed", ou um aviso de que a chave de host mudou: a chave do servidor não bate mais com a que está salva no seu PC. Pode ser um servidor reinstalado ou algo pior, então confirme com o responsável pelo servidor antes de aceitar a nova chave. No sftp do Windows, ssh-keygen -R sftp.example.com remove a entrada antiga.
• "Permission denied" ao enviar: você está conectado, mas não pode gravar ali. Servidores de fornecedores costumam aceitar envios só numa pasta, como /incoming.
• "Could not connect to server" no FileZilla cobre quase tudo o que está acima; o log de mensagens dele diz qual é o caso.

Antes de escrever para o fornecedor, três verificações gratuitas ajudam a isolar o problema: o testador de conexão SFTP (o servidor responde a partir da internet?), o verificador de métodos de autenticação SFTP (ele pede senha, chave ou as duas?) e a ferramenta impressão digital da chave SFTP (quais chaves ele apresenta?). Um servidor que só aceita endereços liberados também vai recusar essas verificações.