Joplin端到端加密（E2EE）设置教程：原理详解与实操步骤

为什么需要端到端加密

Joplin 默认将同步数据以明文（仅附件可选加密）上传到网盘或自建服务器。如果你的同步目标是 OneDrive、Dropbox、Nextcloud 等第三方服务，服务商理论上可以读取你的笔记内容。开启端到端加密（End-to-End Encryption，E2EE）后，数据在离开设备之前就被加密，密钥只保存在你自己的设备上，服务器上存储的只是密文——即使服务器被攻破或服务商内部人员查看，也无法还原你的笔记。

对于记录日记、账号密码、商业想法、医疗记录等敏感内容的用户，E2EE 是必备的隐私防线。

端到端加密原理详解

Joplin 的 E2EE 采用业界标准的加密方案，理解以下流程有助于正确使用：

1. 主密码派生密钥：你在设备上设置的主密码（Master Password）通过密钥派生函数生成加密密钥，主密码本身不会离开设备；
2. 本地加密后上传：每条笔记、待办和附件在同步之前，先在本机使用 AES 算法加密，然后才上传到同步目标；
3. 其他设备用密码解密：新设备同步时，需要输入同样的主密码才能解密云端数据；
4. 密钥不经过服务器：整个过程中，主密码和派生密钥都不会上传，服务器只负责存储密文。

这意味着主密码是唯一钥匙：忘记主密码，云端加密数据将无法恢复，请务必妥善保管。

设置前提：先配置同步

E2EE 依附于同步功能，设置前请先完成同步配置。Joplin 支持多种同步目标：Joplin Cloud（官方付费云）、Dropbox、OneDrive、Nextcloud、WebDAV（可对接坚果云等）以及本地文件系统。在「工具」→「选项」→「同步」中选择同步方式并完成授权，确认两台设备之间能正常同步明文笔记后，再进行加密设置，这样出现问题时更容易定位原因。

端到端加密设置步骤

步骤1：在第一台设备启用加密

1. 打开「工具」→「选项」→「加密」；
2. 点击「启用加密」按钮；
3. 在弹出窗口中输入主密码并确认（建议 16 位以上，混合大小写字母、数字和符号）；
4. 点击确定，Joplin 开始加密本地数据并重新上传到同步目标。

加密过程视笔记数量可能需要几分钟，期间保持网络畅通，不要关闭程序。

步骤2：验证加密效果

加密完成后，可以登录网盘网页版查看同步目录，会发现所有 .md 文件内容都变成了无规律的密文，说明加密已生效。

步骤3：在其他设备上解锁

在第二台设备上配置相同的同步目标后，同步下拉会提示「数据已加密，请输入密码」：

1. 输入主密码，点击提交；
2. Joplin 会下载并解密全部数据；
3. 之后该设备会记住密钥（保存在本地配置中），日常使用无需重复输入。

步骤4：确认多设备状态

在每台设备的「选项」→「加密」页面，都能看到「已启用」状态和加密信息。此后新建的笔记会在保存时自动加密，无需任何额外操作。

主密码管理建议

• 使用密码管理器保存主密码，或写在安全的地方；
• 不要使用生日、手机号等弱密码；
• 可以在「加密」页面「更改密码」，但注意所有设备都需要重新输入新密码；
• 主密码与同步账号密码是两回事：前者加密数据，后者用于登录网盘，不要混淆。

常见问题

忘记主密码怎么办？ 云端数据无法解密。如果至少还有一台设备能正常访问笔记，可以在该设备上导出数据（JEX 格式），然后禁用再重新启用加密并设置新密码。

开启加密后同步变慢？ 加密会带来少量性能开销，正常情况下感知不明显。若明显变慢，检查网络或减少超大附件数量。

能只加密部分笔记本吗？ Joplin 的 E2EE 是全局开关，不支持按笔记本选择性加密。

手机端支持加密吗？ 支持。移动端在「配置」→「加密」中输入相同主密码即可解锁。

结语

Joplin 的端到端加密配置并不复杂：第一台设备启用加密、其余设备输入主密码解锁，三步即可让笔记获得银行级的隐私保护。配合强主密码和定期备份习惯，你的数字花园将真正做到只有自己能打开。