SFTP é a transferência de arquivos feita dentro de uma conexão SSH, normalmente na porta 22. FTPS é o FTP tradicional com criptografia TLS, nas portas 21 (explícito) ou 990 (implícito). Os dois protegem senha e arquivos no caminho; a diferença está no protocolo de base, nas portas, na forma de autenticar e em como cada um passa pelo firewall.
Abaixo você encontra a definição de cada um, uma tabela comparativa de FTPS vs SFTP, quando escolher cada protocolo e como conectar pelo FileZilla, pelo WinSCP e pela linha de comando.
O que é SFTP
O SFTP (SSH File Transfer Protocol) é um protocolo de transferência de arquivos que funciona como um subsistema do SSH. Você abre uma sessão SSH com o servidor e, dentro dela, envia, baixa, renomeia e apaga arquivos. Tudo passa por um único canal criptografado: comandos, senha e conteúdo.
- Porta: a mesma do SSH, 22 por padrão (alguns provedores usam outra porta por segurança).
- Conexões: uma só, sem canal de dados separado.
- Autenticação: usuário e senha ou par de chaves SSH (chave pública no servidor, chave privada no seu computador).
- Padrão: o SFTP nasceu como rascunho da IETF e nunca virou RFC, mas a versão implementada pelo OpenSSH é a usada na prática por servidores e clientes.
Correção comum: SFTP não é “FTP passando por SSH”. É outro protocolo, com comandos próprios, que só compartilha com o FTP a finalidade de transferir arquivos. Por isso um servidor FTP não responde a um cliente SFTP, e vice-versa.
O que é FTPS
O FTPS (FTP over SSL/TLS) é o FTP de sempre, o mesmo protocolo que você conhece de um cliente FTP, com uma camada de criptografia TLS por cima. O nome ainda carrega “SSL”, mas hoje a criptografia usada é TLS; veja por que o SSL não é mais usado. Como o servidor apresenta um certificado, o cliente consegue confirmar que está falando com o servidor certo.
O FTP usa duas conexões: uma de controle (comandos e login) e outra de dados (listagens e arquivos), aberta a cada transferência. No FTPS, as duas podem ser criptografadas. Existem dois modos:
| Modo | Porta de controle | Como começa | Situação |
|---|---|---|---|
| Explícito (FTPES) | 21 | Conecta em texto e pede a criptografia com o comando AUTH TLS antes do login | É o modo padrão e o mais usado em hospedagens. |
| Implícito | 990 | A conexão já começa criptografada, sem negociação | Modo legado, ainda aceito por alguns servidores e sistemas antigos. |
Um detalhe que pesa na escolha: no modo explícito, o servidor pode aceitar tanto FTP puro quanto FTPS na mesma porta 21. Se o cliente estiver configurado para “usar TLS se disponível”, ele pode cair no FTP sem criptografia sem você perceber. Por isso, prefira sempre a opção que exige TLS.
SFTP vs FTPS: tabela comparativa
Em segurança, os dois estão no mesmo nível quando bem configurados: ambos usam criptografia forte e moderna. As diferenças práticas estão na rede e na administração:
| Critério | SFTP | FTPS |
|---|---|---|
| Protocolo base | SSH | FTP + TLS |
| Porta padrão | 22 | 21 (explícito) ou 990 (implícito), mais uma faixa de portas para dados |
| Conexões | Uma só | Controle + dados (uma nova a cada listagem ou arquivo) |
| Criptografia | Sempre ligada, do começo ao fim | TLS; no explícito depende de o cliente e o servidor exigirem |
| Firewall e NAT | Simples: liberar uma porta | Exige liberar a faixa de portas passivas; o firewall não consegue ler o canal de controle criptografado para abrir as portas sozinho |
| Identidade do servidor | Impressão digital da chave do host (aceita na primeira conexão) | Certificado TLS, validado por autoridade certificadora |
| Autenticação do usuário | Senha ou chave SSH | Senha (certificado de cliente é possível, mas raro) |
| Contas em hospedagem cPanel | Usuário principal do cPanel, com SSH liberado | Contas FTP adicionais, que podem ser limitadas a uma pasta |
| Automação e scripts | Muito usado em scripts e deploy com chave sem senha | Comum em integrações legadas (bancos, ERPs, EDI) |
O ponto que mais gera chamado de suporte é o firewall. Com FTPS, a conexão de login funciona, mas a listagem de pastas trava: é a conexão de dados batendo numa porta passiva fechada. Com SFTP, se a porta 22 (ou a porta SSH do provedor) estiver aberta, tudo funciona.
Qual usar: SFTP ou FTPS?
Na dúvida, comece pelo SFTP. Ele é mais simples de passar por redes corporativas e permite login por chave. O FTPS ganha quando o outro lado só fala FTP ou quando você precisa de contas restritas.
Use SFTP quando
- Você tem acesso SSH ao servidor (VPS, Cloud Server, servidor dedicado ou hospedagem com SSH liberado).
- Quer autenticar por chave e desligar o login por senha.
- Vai automatizar backups, deploys ou sincronizações com scripts.
- A rede tem firewall restritivo e você só consegue liberar uma porta.
Use FTPS quando
- Um parceiro, banco ou sistema legado só aceita FTP e você precisa pelo menos criptografar.
- Precisa dar acesso a um desenvolvedor ou fornecedor só a uma pasta do site, sem entregar o usuário principal da hospedagem.
- A política da empresa exige identificação do servidor por certificado emitido por autoridade certificadora.
Em hospedagem com cPanel: segundo a documentação do cPanel, contas FTP adicionais não conectam por SFTP; o SFTP usa o usuário do próprio cPanel (ou o root, num servidor seu). Na prática: o dono do site usa SFTP, e terceiros recebem uma conta FTP limitada e conectam com FTPS. Saiba mais sobre o painel em o que é cPanel.
Como conectar com FileZilla, WinSCP e linha de comando
Antes de abrir o programa, separe quatro dados com o seu provedor: endereço do servidor, porta, usuário e senha (ou chave privada). Os nomes das opções mudam conforme o idioma da interface; abaixo, quando ajuda, vai também o nome em inglês.
FileZilla
- Abra o Gerenciador de Sites (Site Manager), no menu Arquivo, e clique em Novo site.
- Em Protocolo, escolha SFTP – SSH File Transfer Protocol para SFTP, ou FTP – File Transfer Protocol para FTPS.
- Para FTPS, em Criptografia (Encryption), selecione Require explicit FTP over TLS (porta 21) ou, se o servidor usar o modo implícito, Require implicit FTP over TLS (porta 990). Evite “use if available” e “plain FTP”.
- Preencha Host e Porta (22 para SFTP, salvo se o provedor indicar outra).
- Em Tipo de logon (Logon Type), use Normal ou Ask for password para login com senha, ou Key file (arquivo de chave) para SFTP com chave privada, apontando para o arquivo da chave.
- Clique em Conectar. Na primeira vez, o FileZilla mostra a impressão digital da chave do servidor (SFTP) ou o certificado (FTPS). Confira com o provedor antes de aceitar.
WinSCP
- Na tela de login, clique em New Site.
- Em File protocol, escolha SFTP, ou FTP com a opção de Encryption em TLS/SSL explícito ou implícito para FTPS. O WinSCP sugere a porta padrão de cada um (22, 21 ou 990), conforme a documentação do WinSCP.
- Preencha Host name, User name e, se for usar senha, Password.
- Para chave SSH, deixe a senha vazia e vá em Advanced > SSH > Authentication, campo Private key file. O WinSCP usa o formato do PuTTY e oferece a conversão se você escolher uma chave OpenSSH.
- Clique em Save e depois em Login.
Linha de comando (sftp)
Linux e macOS já trazem o comando sftp. No Windows 10 (versão 1809 ou mais recente) e no Windows 11, ele faz parte do Cliente OpenSSH; se o comando não for reconhecido, adicione o Cliente OpenSSH em Recursos opcionais, conforme a documentação da Microsoft. Um exemplo de sessão:
# gerar um par de chaves (uma vez só)
ssh-keygen -t ed25519 -C "meu-notebook"
# conectar (troque a porta se o provedor usar outra)
sftp -P 22 usuario@seudominio.com.br
# dentro da sessão
sftp> cd public_html # pasta no servidor
sftp> lcd C:/projetos/site # pasta no seu computador
sftp> put index.html # envia um arquivo
sftp> put -r assets # envia uma pasta inteira
sftp> get backup.sql # baixa um arquivo
sftp> ls -l # lista arquivos
sftp> exitPara logar com chave, a chave pública (id_ed25519.pub) precisa estar cadastrada no servidor. No cPanel, isso fica em SSH Access; num servidor com acesso root, no arquivo ~/.ssh/authorized_keys do usuário. Se você administra o próprio servidor, entenda as diferenças entre VPS, Cloud e servidor dedicado antes de escolher onde vai rodar o SSH.
Por que evitar o FTP puro
O FTP original, criado em 1985, não tem nenhuma criptografia. Usuário, senha, nomes de arquivos e conteúdo trafegam em texto puro. Qualquer pessoa na mesma rede (Wi-Fi de hotel, coworking, provedor comprometido) que capture o tráfego enxerga algo assim:
220 Servidor FTP pronto
USER contato@seudominio.com.br
331 User contato@seudominio.com.br OK. Password required
PASS MinhaSenha2026
230 OK. Current directory is /- Senha exposta: com a senha do FTP, um invasor pode trocar arquivos do site e instalar malware.
- Arquivos alterados no caminho: sem integridade criptográfica, o conteúdo enviado pode ser modificado durante a transferência.
- Sem identidade do servidor: nada garante que você está mandando os arquivos para o servidor certo.
Se você usava FTP puro até hoje, troque o protocolo no cliente e, por precaução, altere a senha da conta. Para criar uma senha longa e única, siga as dicas do guia de senhas.
Na SAN: a hospedagem de sites usa cPanel, onde você gerencia as contas FTP do site, com suporte em português. Se precisa de controle total do SSH, com chaves, portas e usuários definidos por você, o Cloud Server tem acesso root.
Perguntas frequentes
O SFTP usa a porta do SSH, 22 por padrão (alguns provedores mudam). O FTPS explícito usa a porta 21 e o implícito a 990, e os dois precisam ainda de uma faixa de portas passivas para a transferência de dados.
Bem configurados, os dois oferecem criptografia forte. O SFTP costuma ser mais fácil de manter seguro porque sempre criptografa tudo e aceita login por chave; no FTPS explícito, é preciso configurar o cliente para exigir TLS, senão ele pode cair no FTP sem criptografia.
Não. Segundo a documentação do cPanel, o SFTP usa o usuário do próprio cPanel (ou o root); contas FTP adicionais conectam por FTP ou FTPS.
Não. Os dois usam SSH, mas o SCP só copia arquivos, enquanto o SFTP também lista pastas, renomeia, apaga e retoma transferências. Clientes como o WinSCP oferecem os dois.
Não. O FTP puro envia usuário, senha e arquivos em texto aberto, que podem ser capturados na rede. Use SFTP ou FTPS e, se você usava FTP puro, troque a senha da conta.
