Bloquear ou desbloquear o SSE-C para um bucket de uso geral

Em abril de 2026, o Amazon S3 passou a desabilitar automaticamente a criptografia do lado do servidor com chaves fornecidas pelo cliente (SSE-C) para todos os novos buckets de uso geral. O Amazon S3 também desabilitou o SSE-C para buckets existentes em contas sem objetos criptografados com SSE-C. Isso significa que, por padrão, as solicitações para fazer upload de objetos usando SSE-C são rejeitadas com o erro HTTP 403 AccessDenied.

O SSE-C exige que você forneça a chave de criptografia em todas as solicitações para ler ou gravar objetos criptografados, o que dificulta o compartilhamento do acesso com outros usuários, perfis ou serviços da AWS que operam em seus dados. A maioria das workloads usa criptografia do lado do servidor com chaves gerenciadas pelo Amazon S3 (SSE-S3) ou chaves do AWS KMS (SSE-KMS).

Se a workload exigir SSE-C, é possível habilitá-lo explicitamente atualizando a configuração de criptografia padrão do bucket. Entretanto, se você tiver buckets existentes nos quais o SSE-C ainda é permitido, será necessário bloqueá-lo para evitar novos uploads com SSE-C.

Quando o SSE-C é bloqueado para um bucket, qualquer solicitação PutObject, CopyObject, PostObject, de multipart upload ou de replicação que especificar a criptografia SSE-C será rejeitada com o erro HTTP 403 AccessDenied. Os objetos criptografados com SSE-C existentes no bucket não são afetados. Você ainda pode lê-los com GetObject ou HeadObject fornecendo os cabeçalhos SSE-C necessários.

Essa configuração é um parâmetro na API PutBucketEncryption e também poderá ser atualizada usando o console do S3, a AWS CLI ou SDKs da AWS. Você deve ter a permissão s3:PutEncryptionConfiguration.

Permissões

Use a PutBucketEncryption API ou o console do S3, SDKs da AWS ou a AWS CLI para bloquear ou desbloquear tipos de criptografia para um bucket de uso geral. É necessário ter a seguinte permissão:

Use a GetBucketEncryption API ou o console do S3, SDKs da AWS ou a AWS CLI para visualizar os tipos de criptografia bloqueados para um bucket de uso geral. É necessário ter a seguinte permissão:

Considerações antes de bloquear a criptografia SSE-C

Depois de bloquear o SSE-C para qualquer bucket, o seguinte comportamento de criptografia será aplicado:

Se você quiser verificar se está usando o SSE-C em qualquer um dos seus buckets antes de bloquear esse tipo de criptografia, use ferramentas como o AWS CloudTrail para monitorar o acesso aos seus dados. Esta publicação de blog mostra como auditar métodos de criptografia para uploads de objetos em tempo real. Você também pode consultar este artigo do re:Post para saber como consultar os relatórios do Inventário S3 para ver se você tem algum objeto criptografado com SSE-C.

Etapas

É possível bloquear ou desbloquear a criptografia do lado do servidor com chaves fornecidas pelo cliente (SSE-C) para um bucket de uso geral usando o console do Amazon S3, a AWS Command Line Interface (AWS CLI), a API REST do Amazon S3 e SDKs da AWS.

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "SSE-C"
      }
    }]
  }'

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "NONE"
      }
    }]
  }'