Synology 共用資料夾加密：硬碟被偷也讀不出資料
你把報稅資料、身分證影本、保單、密碼備份都放進 NAS，設好了帳號密碼、開了兩步驟驗證，覺得很安全。這在防「有人從網路上登入你的 NAS」時確實有用。
但有一種情況，帳號密碼完全擋不住：有人把你的 NAS 或硬碟直接搬走。
硬碟只要被拆下來、接到另一台電腦，裡面的檔案就能被直接讀出來——不需要你的 DSM 帳號密碼，因為那層防護是 DSM 系統的，繞過 DSM 直接讀硬碟，它就形同不存在。搬家遭小偷、NAS 送修、二手轉賣忘了清乾淨，都是真實會發生的情境。
這時候唯一能救你的，是加密。共用資料夾加密之後，硬碟上存的是一堆 AES-256 密文，就算整顆硬碟被拿走，沒有你的金鑰和密碼，看到的也只是亂碼。 這篇教你怎麼建立加密資料夾，以及那個「弄丟就永遠打不開」的金鑰該怎麼管。
🎯 這篇適合誰
💡 先搞懂：加密防的是什麼、不防什麼
這是最重要的觀念，先講清楚才不會誤會它的作用。
加密防的是「實體層級」的資料外洩：
- 小偷把整台 NAS 或某顆硬碟搬走
- NAS 送修，維修人員有機會接觸硬碟
- 二手賣出、報廢，硬碟沒清乾淨就流出
這些情況的共通點是：對方繞過 DSM，直接讀硬碟。 加密讓硬碟上的資料本身就是密文，繞過 DSM 也沒用。
加密不防的是「線上帳號被入侵」：
- 有人猜到你的密碼從網路登入 → 這要靠強密碼、兩步驟驗證、自動封鎖
- 因為只要是「正常登入 DSM」且加密資料夾已掛載，內容就是正常可讀的——加密不會擋住合法登入的人
所以加密和帳號權限是兩層不同的防護、各司其職：權限管「誰能存取」，加密管「就算實體被偷、資料也打不開」。兩者不是二選一，是搭配。
🗂️ 什麼資料值得加密（不必全加）
加密不是免費的——它有效能開銷和相容性限制（後面會講）。所以不建議把所有資料夾都加密，而是挑真正敏感的：
值得加密：
- 財務、報稅、薪資單
- 證件影本（身分證、護照、駕照）
- 保單、合約、法律文件
- 密碼備份、金鑰檔、還原碼
通常不用加密：
- 家庭照片、影片（量大、加密後效能影響明顯，且多半不算高機密）
- 一般文件、下載的軟體、媒體庫
- 已經有其他保護的資料
做法上，建議單獨開一個加密資料夾（例如 private、secure）專門放敏感檔，其餘維持一般資料夾。這樣既保護了重點，又不用承受全站加密的代價。
🔒 動手：建立加密共用資料夾
加密只能在建立共用資料夾時開啟（既有的未加密資料夾不能直接就地加密，要另開一個再把資料搬過去）。
- 登入 DSM → 控制台 → 共用資料夾 → 建立
- 輸入名稱（例如
private）、選擇儲存空間 - 在加密設定分頁，勾選 「加密此共用資料夾」
- 設定加密密碼（passphrase）——這串不等於你的 DSM 登入密碼，是專門解這個資料夾用的
- 建立時，DSM 會產生並讓你下載一個金鑰檔（副檔名
.key）——務必存好（下一段詳談） - 完成後，這個資料夾就是加密的了，正常掛載時使用起來跟一般資料夾無異
加密採用 AES-256，是目前業界標準等級的強度，正確使用下不必擔心被暴力破解。
🔑 最致命的一步：金鑰與密碼管理
這是整篇最重要、也最多人栽跟頭的地方，請務必讀完：
加密資料夾沒有「後門」。如果你同時忘記加密密碼、又弄丟金鑰檔，裡面的資料就永遠打不開——連 Synology 官方也救不回來。
這跟「忘記 DSM 登入密碼」完全不同。登入密碼忘了，還能用管理員帳號重設；但加密的金鑰弄丟，資料就是一堆無解的亂碼，沒有任何救援途徑。這是加密的本質——它強到連你自己都救不回來。
所以金鑰管理的鐵律：
- 金鑰檔要離線另存：把那個
.key檔複製到不在這台 NAS 上的地方——隨身碟、密碼管理器的附件、另一台裝置。放在 NAS 自己裡面等於沒備份（NAS 被偷就一起沒了）。 - 加密密碼用密碼管理器記好：別只靠記憶，也別跟金鑰存在一起。
- 金鑰檔和密碼分開存：兩個都在同一個地方，等於單點失效。
一句話：加密的資料，你保護得了它，也可能永遠鎖死自己——差別只在金鑰有沒有管好。
🔓 掛載與自動掛載的取捨
加密資料夾有個一般資料夾沒有的行為：它平常是卸載（unmount）狀態時看不到內容，要掛載（mount）後才能存取。而NAS 重開機後，加密資料夾預設會回到卸載狀態——這就是很多人「重開機後資料夾不見了」的原因，其實不是不見，是需要重新掛載。
掛載方式：控制台 → 共用資料夾 → 選加密資料夾 → 編輯 → 加密 → 掛載，輸入加密密碼（或用金鑰檔）即可。
這裡有個關鍵取捨——要不要開「自動掛載」：
| 選擇 | 方便性 | 安全性 |
|---|---|---|
| 開啟自動掛載 | 重開機自動掛好，跟一般資料夾一樣好用 | 金鑰存在 NAS 上 → 只防「硬碟被單獨拆走」，不防「整台 NAS 被搬走開機」（它會自己掛載） |
| 不自動掛載 | 每次重開機要手動掛載、輸密碼 | 金鑰不留在 NAS → 連「整台被偷開機」都防得住，防護最強 |
怎麼選看你的威脅情境：
- 怕的是「硬碟送修 / 二手流出 / 單顆硬碟被抽走」→ 自動掛載就夠，方便又擋得住。
- 怕的是「整台 NAS 被搬走」→ 別開自動掛載，寧可麻煩一點每次手動掛。
家用最常見、也最務實的是自動掛載——擋住硬碟層級的外洩，同時不犧牲日常便利。真正的高機密再考慮手動掛載。
⚠️ 加密資料夾的限制
加密有代價，動手前先知道這幾個限制，才不會踩雷：
- 檔名長度上限 143 字元：加密會佔用檔名空間，所以加密資料夾裡的檔名（含副檔名）不能超過 143 字元，太長會無法建立。放一般長度的檔沒問題，但如果你有超長檔名的檔案要留意。
- 效能開銷：讀寫都要即時加解密，會吃一點 CPU、拖慢速度。放大量小檔或高頻讀寫的資料（如相片庫、資料庫）感受較明顯，這也是不建議全加密的原因。
- 部分套件／服務不完全支援：某些 DSM 套件或服務對加密資料夾支援不佳，安裝前建議查一下。一般檔案存放不受影響。
- 備份要留意：用 Hyper Backup 備份加密資料夾時，注意備份目的地的資料狀態與還原時的金鑰需求，別讓「備份出來的那份」反而沒保護。
❓ 常見問題
Q：加密會不會讓 NAS 變很慢？ 放一般文件感受不明顯；但大量小檔、高頻讀寫（相片庫、資料庫）會比較有感。所以建議只加密真正敏感的資料夾，其餘維持一般。
Q：我可以把現有的資料夾直接加密嗎？ 不行。加密只能在建立資料夾時啟用。要加密既有資料，得新建一個加密資料夾，再把檔案搬進去，然後刪掉原本未加密的。
Q：忘記加密密碼怎麼辦？ 用當初下載的金鑰檔掛載，然後重設密碼。但如果密碼和金鑰都沒了，資料就永遠救不回——這就是為什麼金鑰一定要離線另存。
Q：加密資料夾被掛載時，一般登入的家人看得到嗎？ 看得到——只要資料夾已掛載，它就跟一般資料夾一樣受權限控制。加密防的是實體竊取，不是取代權限。要限制家人存取，還是要靠權限設定。
Q：整台 NAS 加密和單一資料夾加密有什麼不同？ 本篇講的是「共用資料夾」層級的加密（挑資料夾加密）。部分機型另有磁碟／儲存空間層級的加密選項，適用情境不同；家用挑敏感資料夾加密通常就夠。
加密是那種「平常感覺不到、關鍵時刻救你一命」的保護。它不會讓你的 NAS 更快、也不會多出什麼功能，它只保證一件事：當最壞的情況發生——硬碟落到別人手上——你的敏感資料仍然是一堆打不開的亂碼。 前提只有一個：把金鑰和密碼管好。把這件事做對，你才敢真正放心地把重要的東西交給 NAS。
🔗 延伸閱讀
- Synology 使用者與群組權限：幫家人建帳號、分讀寫唯讀 — 另一層防護：管「誰能存取」
- Synology NAS 資安清單：帳號、網路與存取控制 — 防線上入侵的完整設定
- 密碼管理器怎麼選：Bitwarden、1Password 完整比較 — 好好保管加密密碼與金鑰
- Hyper Backup 完整備份教學：版本化、異地備份一次搞定 — 加密資料夾也要備份
