O DynamoDB é criptografado?

Sim. Todos os dados do DynamoDB são criptografados em repouso por padrão, usando chaves de criptografia armazenadas no AWS Key Management Service (KMS), e a criptografia não pode ser desativada. Você escolhe o tipo de chave — uma AWS owned key (a padrão, gratuita), uma AWS managed key ou uma customer managed key — e os dados em trânsito são protegidos com HTTPS/TLS.

O que a criptografia em repouso cobre

A criptografia se aplica a tudo que uma tabela criptografada armazena em mídia durável: a própria tabela, incluindo sua chave primária, índices secundários locais e globais, streams, global tables e backups. Note que, se sua tabela tem uma sort key, algumas das sort keys que marcam os limites de intervalo são armazenadas em texto simples nos metadados da tabela.

As três opções de chave

AWS owned key — a padrão. De propriedade e gerenciada pelo DynamoDB, sem custo adicional.
AWS managed key — armazenada na sua conta e gerenciada pelo AWS KMS (cobranças do KMS se aplicam).
Customer managed key — criada, de propriedade e rotacionada por você, com controle total sobre o acesso (cobranças do KMS se aplicam).

Você pode alternar entre os tipos de chave a qualquer momento pelo console, CLI ou API.

É transparente para a sua aplicação

O DynamoDB descriptografa os dados de forma transparente quando você os lê. Você não muda nenhum código para trabalhar com uma tabela criptografada, as consultas funcionam sem alteração e a latência permanece na mesma faixa de milissegundos de um dígito. Para proteção de ponta a ponta de valores de atributo individuais antes de saírem da sua aplicação, a AWS também oferece criptografia do lado do cliente via o AWS Database Encryption SDK.

Saiba mais

Os backups também são criptografados — veja como funcionam no guia de backups e PITR, estime os custos de tabela (o KMS é cobrado separadamente) com a calculadora de preços, e baixe o DynoTable para navegar por suas tabelas criptografadas — a descriptografia é feita pela AWS antes de os dados chegarem a qualquer cliente.

Referências

Última verificação em 2026-07-13 contra a documentação oficial da AWS vinculada acima.