LifetimeCloud: la recensione tecnica

Che cos'è LifetimeCloud

LifetimeCloud (lifetimecloud.me) vende spazio cloud cifrato con un pagamento unico: 1 TB a 49 € e 2 TB a 99 €, offerti a 79 € il 17 ottobre 2026, oltre a un piano Free da 1 GB senza carta. Nei piani a pagamento ci sono la verifica in due passaggi, le app per Android e Windows, l'accesso WebDAV e rclone, la cronologia delle versioni, file fino a 20 GB e la condivisione con i familiari; la garanzia è di 14 giorni. Si presenta come «progetto italiano indipendente», «sviluppato e gestito da uno sviluppatore italiano», con i dati in «datacenter europei».

Questa è una recensione tecnica. Oltre alle pagine del servizio (la home italiana, le domande frequenti, gli articoli su cifratura, WebDAV e chiave di recupero), guarda il codice JavaScript che il sito invia al browser e le risposte del server, esaminati il 17 ottobre 2026. Dove una cosa viene dal codice lo dice il testo; le citazioni tra virgolette sono tratte dalle pagine del servizio.

Come cifra i file caricati dal sito

1. La chiave nasce dalla password. Il browser usa le funzioni crittografiche native (Web Crypto) e ricava dalla password, con PBKDF2-SHA256 a 310.000 iterazioni e un sale, una chiave AES-GCM da 256 bit.
2. Ogni file è cifrato prima di partire. Il contenuto viene cifrato con AES-256-GCM e un vettore di inizializzazione casuale di 12 byte; anche il nome del file viaggia cifrato. Il formato GCM controlla l'integrità: un file alterato non si decifra.
3. Il download torna in chiaro solo nel browser. Il server restituisce il blocco cifrato, con un'intestazione che dice se il file è cifrato o no, e la decifratura avviene sul dispositivo; lo stesso vale per l'anteprima.
4. La condivisione tiene la chiave fuori dal server. I link condivisi hanno la chiave dopo il simbolo #, la parte dell'indirizzo che il browser non invia al server.

Lo schema è quello dei servizi detti zero-knowledge (vedi Crittografia end-to-end: che cosa protegge): il fornitore conserva dati che non può aprire. Due osservazioni tecniche. PBKDF2 con 310.000 iterazioni è una scelta corrente, ma non è una funzione che consuma molta memoria come Argon2id, e quindi resiste meno ai tentativi fatti con hardware dedicato quando la password è debole. E la garanzia vale per ciò che passa dal codice del sito: chi usa una webmail o un vault cifrato deve fidarsi del codice che riceve ogni volta che apre la pagina.

WebDAV: la porta che non cifra

WebDAV permette di montare lo spazio come un disco di rete (Finder, Esplora file, Cyberduck, rclone). Il servizio crea per questo un token di 72 caratteri, separato dalla password e revocabile, e risponde con l'autenticazione HTTP di base, protetta dal TLS. Ma su questa strada la cifratura nel browser non c'è, e LifetimeCloud lo scrive chiaramente: i file caricati via WebDAV «arrivano protetti in trasmissione e sono cifrati solo se li carichi dal sito o dall'app».

In pratica, per i file mandati in WebDAV la promessa zero-knowledge non vale: il server li riceve leggibili, nomi compresi. Il rimedio suggerito dal servizio è rclone crypt, che cifra contenuto e nomi sul computer prima dell'invio, con una password che resta all'utente; i file cifrati così non hanno anteprima nel sito. Via WebDAV la cronologia delle versioni scende a 30 giorni, ultime 3 versioni, contro un anno dal sito e dall'app.

Gli script di terzi dentro il vault

Il sito è un'unica applicazione: la home, l'accesso, la registrazione, il vault e l'elenco dei file sono la stessa pagina HTML, identica byte per byte. Quella pagina contiene uno script che, sul dominio lifetimecloud.me, configura Google Analytics, due tag di Google Ads, il pixel di Meta e quello di Reddit, e ne carica il codice al primo tocco, clic, tasto o scorrimento, quando si lascia la pagina, oppure entro circa 3 secondi dal caricamento (subito, nella pagina di pagamento riuscito). Il caricamento non dipende da alcun consenso. Un altro pezzo del codice salva i parametri delle campagne (utm, gclid, fbclid, rdt_cid, ttclid) in un cookie e nella memoria del browser.

Il problema tecnico è semplice: uno script caricato in una pagina gira con gli stessi poteri del codice del sito. Può leggere la pagina, ciò che vi si scrive e ciò che il sito conserva nel browser. In un vault in cui la password si digita e la chiave si ricava proprio in quella pagina, ogni script di terzi entra nel perimetro di cui ci si deve fidare. La home italiana promette invece «nessuna profilazione pubblicitaria», e un articolo del servizio scrive che la chiave vive solo nella memoria del browser.

C'è anche un aspetto di regole. In Italia archiviare informazioni nel dispositivo dell'utente, o accedere a quelle già archiviate, è consentito solo con il suo consenso, salvo ciò che è strettamente necessario al servizio richiesto (art. 122 del Codice privacy, d.lgs. 196/2003):

«L'archiviazione delle informazioni nell'apparecchio terminale di un contraente o di un utente o l'accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato».

La password conservata nel browser

Al login il codice dell'app salva tre cose: il token di accesso e i dati dell'utente nel localStorage, che resta finché non si esce, e la password dell'account nel sessionStorage, che resta finché la scheda è aperta. Entrambi sono spazi del browser leggibili da qualunque script in esecuzione nella pagina: quelli del sito e quelli di terzi descritti sopra.

La password è il segreto da cui nasce la chiave dei file. Conservarla nel browser, in una pagina che carica codice di altre società e senza una Content-Security-Policy, allarga la superficie da cui potrebbe uscire. È una debolezza di progetto, non la prova che qualcuno abbia letto qualcosa: conta se uno di quegli script, o la pagina stessa, venisse compromesso.

Connessione e intestazioni

HSTS dice al browser di usare solo https per quel dominio, anche se l'utente scrive l'indirizzo senza; una Content-Security-Policy stabilisce da quali server la pagina può caricare codice, ed è la difesa standard contro l'iniezione di script. Per un vault che cifra nel browser sono le due intestazioni che contano di più.

Recupero, verifica in due passaggi, versioni

• Chiave di recupero. 64 caratteri esadecimali in otto gruppi, proposta dopo il primo caricamento, non alla registrazione. Il server conserva solo una copia della chiave dei file chiusa con essa e un'impronta per verificarla. Senza password e senza chiave di recupero, scrive il servizio, i file sono persi.
• Verifica in due passaggi. Inclusa; il codice prevede un secondo passaggio al login.
• Cronologia delle versioni. Un anno dal sito e dall'app, 30 giorni (ultime 3) via WebDAV.
• App. Il servizio indica app per Android e Windows, che questa recensione non ha esaminato.

Punti di forza e limiti

Che cosa convince

• La cifratura dei file caricati dal sito avviene nel browser, con algoritmi standard (PBKDF2, AES-256-GCM) e le funzioni native del browser; anche i nomi dei file sono cifrati.
• I link condivisi tengono la chiave nella parte dell'indirizzo che non arriva al server.
• Il servizio dice da sé che WebDAV non è cifrato e indica come rimediare.
• WebDAV usa un token separato e revocabile, non la password dell'account.
• Connessione TLS moderna, chiave di recupero, verifica in due passaggi, garanzia di 14 giorni.

Che cosa non convince

• Google, Meta e Reddit caricati in tutte le pagine dell'app, vault compreso, senza consenso.
• La password dell'account conservata nel sessionStorage e il token nel localStorage, leggibili dagli script della pagina.
• Nessuna Content-Security-Policy, nessun HSTS e nessuna protezione dall'inserimento in frame nelle pagine dell'app.
• I file caricati via WebDAV non sono cifrati sul server.
• PBKDF2 invece di una funzione che consuma memoria, come Argon2id.

Per chi è

LifetimeCloud offre molto spazio con un pagamento unico e, per i file caricati dal sito, una cifratura nel browser costruita su standard. Al 17 ottobre 2026, però, la protezione dipende anche dal codice di terzi che la stessa pagina carica, e dalla password tenuta nel browser: chi sceglie un servizio zero-knowledge proprio per non dover fidarsi di nessuno ha qui più soggetti di cui fidarsi di quanto la promessa lasci intendere. Chi usa WebDAV per i backup deve sapere che quei file restano leggibili sul server, a meno di cifrarli prima. Per cifrare comunque i file prima di metterli in qualunque cloud, gli strumenti sono descritti in Programmi per criptare i file.

Casi frequenti

• «I miei file sono illeggibili per LifetimeCloud?» Quelli caricati dal sito sì, secondo il codice esaminato. Quelli caricati via WebDAV no, a meno che tu non li abbia cifrati prima, per esempio con rclone crypt.
• «Gli script di Google, Meta e Reddit leggono i miei file?» I file restano cifrati sul server. Il punto è un altro: quegli script girano nella stessa pagina in cui digiti la password e il browser la conserva, e un codice in quella posizione può leggere ciò che legge il sito.
• «Se dimentico la password?» Serve la chiave di recupero di 64 caratteri. Senza password e senza chiave, i file cifrati non si aprono più.
• «Chi gestisce il servizio e dove sono i server?» Il sito parla di un progetto italiano indipendente e di datacenter europei, sotto giurisdizione UE.

Fonti

Pagine di LifetimeCloud (lifetimecloud.me) consultate il 17 ottobre 2026: home italiana, domande frequenti, articoli «Cifrato non vuol dire che non possono leggerlo», «Perché conta la chiave di recupero», e in inglese gli articoli su zero-knowledge, PBKDF2, download, token WebDAV e rclone crypt. Codice JavaScript dell'app (file main.413add08.js) e intestazioni HTTP del sito, delle API e di WebDAV, esaminati lo stesso giorno; certificato e protocolli TLS verificati con una connessione diretta. D.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), art. 122. Verificato il 17 ottobre 2026.