FTP, SFTP e FTPS: qual a diferença?

FTP, SFTP e FTPS parecem três sabores da mesma coisa, e os nomes incentivam ativamente a confusão. Na prática, um deles é um protocolo dos anos 1970 que manda senhas em texto puro, um é esse mesmo protocolo embrulhado em TLS, e um é um protocolo completamente diferente, que só pegou as letras emprestadas. Se um painel de hospedagem ou uma tela de configuração de NAS está pedindo para você escolher, eis o que cada opção realmente significa.

A resposta curta: se o servidor suportar, use SFTP. Ele criptografa tudo, precisa de uma porta só e passa limpo pelos firewalls. Use FTPS quando você estiver preso a uma infraestrutura baseada em FTP que ganhou TLS. Use FTP puro apenas para downloads públicos e não sensíveis – ou não use.

FTP: o original, e sem criptografia

O FTP (File Transfer Protocol) remonta aos primeiros dias da internet e funciona por dois canais: uma conexão de controle na porta 21, para os comandos, e uma conexão de dados separada para cada transferência de arquivo ou listagem de diretório. Nada é criptografado – o seu usuário, a sua senha e o conteúdo dos arquivos atravessam a rede legíveis por qualquer pessoa em posição de olhar.

O desenho de duas conexões também causa os famosos problemas de firewall do FTP. No modo ativo, o servidor se conecta de volta ao cliente (normalmente bloqueado); no modo passivo, o cliente abre uma segunda conexão a uma porta alta aleatória no servidor (bloqueada, a menos que o firewall do servidor abra a faixa passiva). Se você já entrou sem problema e depois viu uma listagem de diretório travar para sempre, era isso – a nossa análise de onde o FTP ainda se encaixa em 2026 explica por que ele sobrevive mesmo assim.

FTPS: FTP com TLS aparafusado

O FTPS é o FTP comum turbinado com criptografia TLS – a mesma tecnologia que coloca o cadeado no seu navegador. Ele vem em duas variantes: o FTPS explícito, em que o cliente conecta na porta 21 normal e eleva a sessão com um comando AUTH TLS (esse é o padrão, definido na RFC 4217), e o FTPS implícito, uma convenção mais antiga em que a conexão é criptografada desde o primeiro byte, na porta 990.

O servidor prova a identidade com um certificado TLS, exatamente como um site. O que o FTPS não resolve é a arquitetura de duas conexões – os dados continuam correndo por conexões separadas, então a dancinha das portas passivas com o firewall permanece, e fica mais difícil porque os firewalls não conseguem mais espiar dentro do canal de controle (agora criptografado) para abrir as portas de dados automaticamente.

SFTP: nem FTP é

O SFTP (SSH File Transfer Protocol) divide quatro letras com os outros e mais nada. É um protocolo de transferência construído sobre o SSH – o mesmo canal seguro que administradores usam para terminais remotos. Tudo – autenticação, comandos, dados dos arquivos – viaja criptografado dentro de uma única conexão SSH, na porta 22.

Esse desenho de conexão única é o motivo de o SFTP dar tão pouco trabalho com firewalls e NAT: uma porta aberta e pronto. A autenticação pode usar senha ou, melhor ainda, chaves SSH, que é o que faz do SFTP a escolha padrão para publicações automatizadas e transferências programadas. No lugar de um certificado, o servidor prova a identidade com uma chave de host, cuja impressão digital o seu cliente memoriza – e avisa você se ela mudar.

Comparação lado a lado

Qual você deve usar?

• Você tem escolha: SFTP. O padrão mais forte, a rede mais simples, automação com chaves.
• Sua hospedagem ou equipamento só fala FTP/FTPS: FTPS, no modo explícito, e confirme que o certificado é válido. FTP puro, só se os dados forem realmente públicos.
• Você está automatizando: SFTP com chaves SSH – sem senhas em scripts. (No Windows, vale lembrar que o ftp.exe embutido não fala SFTP nem FTPS – veja o nosso guia de FTP pela linha de comando para conhecer os limites dele.)
• A conformidade exige "FTPS": alguns arcabouços de pagamentos e de saúde citam o FTPS explicitamente; fora isso, tanto FTPS quanto SFTP atendem aos requisitos de criptografia em trânsito.

Não tem certeza do que um servidor realmente suporta? Aponte os nossos testadores gratuitos para ele: os testadores de conexão FTP, SFTP e FTPS fazem um handshake de verdade a partir do seu navegador, e o verificador de protocolos TLS mostra quais versões de TLS um servidor FTPS negocia.

Ou pule a escolha de vez

O incômodo prático de ter três protocolos é precisar se importar com qual deles cada servidor fala. Um cliente moderno torna a diferença invisível: o FTPie conecta a FTP e FTPS e também a servidores SFTP (além de WebDAV e mais de 10 serviços de nuvem) na mesma janela, cuida do modo passivo e da verificação da chave do servidor para você, e o plano gratuito dele cobre até 3 conexões com servidores – o bastante para você parar de pensar em siglas e simplesmente mover arquivos.

Trabalhando pelo terminal? Deixe as referências de comandos à mão: comandos de FTP e comandos de SFTP, os dois com sintaxe e exemplos.