O DynamoDB é criptografado?

Sim. Todos os dados do DynamoDB são criptografados em repouso por padrão, usando chaves de criptografia armazenadas no AWS Key Management Service (KMS), e a criptografia não pode ser desligada. Você escolhe o tipo de chave — uma chave de propriedade da AWS (o padrão, gratuita), uma chave gerenciada pela AWS ou uma chave gerenciada pelo cliente — e os dados em trânsito são protegidos com HTTPS/TLS.

O que a criptografia em repouso cobre

A criptografia se aplica a tudo o que uma tabela criptografada armazena em mídia durável: a própria tabela, incluindo a sua chave primária, os índices secundários locais e globais, streams, tabelas globais e backups. Repare que, se a sua tabela tem uma chave de ordenação, algumas das chaves de ordenação que marcam limites de intervalo ficam armazenadas em texto claro nos metadados da tabela.

As três opções de chave

Chave de propriedade da AWS — o padrão. De propriedade do DynamoDB e gerenciada por ele, sem custo adicional.
Chave gerenciada pela AWS — armazenada na sua conta e gerenciada pelo AWS KMS (aplicam-se cobranças do KMS).
Chave gerenciada pelo cliente — criada, de propriedade e rotacionada por você, com controle total sobre o acesso (aplicam-se cobranças do KMS).

Você pode alternar entre os tipos de chave a qualquer momento pelo console, pela CLI ou pela API.

Quanto custa de fato o "aplicam-se cobranças do KMS"

A AWS diz que a cobrança existe e deixa você precificá-la, então as pessoas presumem uma taxa por requisição em um banco de dados que faz milhões de requisições. Não é o caso. A documentação de criptografia é específica: "DynamoDB doesn't call AWS KMS for every DynamoDB operation. The key is refreshed once every 5 minutes per caller with active traffic."

Isso se reduz a uma aritmética que você pode conferir. Um chamador com tráfego contínuo atualiza a chave 12 vezes por hora, então ao longo de um mês de 730 horas:

Requisições: 12 × 730 = 8.760 chamadas ao KMS, a US$0,03 por 10.000 = US$0,026.
A chave em si: US$1/mês para uma chave gerenciada pelo cliente, com rateio por hora. Uma chave gerenciada pela AWS não tem taxa mensal de chave, apenas a cobrança por requisição.

Então uma chave gerenciada pelo cliente em uma tabela movimentada custa cerca de US$1,03/mês, e a metade de requisições mal se mexe conforme o tráfego cresce. Cinquenta instâncias da aplicação acessando a mesma tabela dão 438.000 chamadas, ou US$1,31. Se o DynamoDB chamasse o KMS a cada operação, uma tabela servindo 200 milhões de requisições por mês teria acrescentado US$600.

Mais uma coisa que vale orçar antes de escolher uma chave gerenciada pelo cliente: desabilitá-la ou agendá-la para exclusão coloca a tabela em um estado Inaccessible, e se o DynamoDB não conseguir alcançar a chave por mais de sete dias a tabela é arquivada em um backup sob demanda pelo qual você passa a ser cobrado.

É transparente para a sua aplicação

O DynamoDB descriptografa os dados de forma transparente quando você os lê. Você não muda nenhum código para trabalhar com uma tabela criptografada, as consultas funcionam sem alteração e a latência permanece na mesma faixa de milissegundos de um dígito. Para proteção ponta a ponta de valores de atributo individuais antes de eles saírem da sua aplicação, a AWS também oferece criptografia no lado do cliente via AWS Database Encryption SDK.

Aprofunde-se

Os backups também são criptografados — veja como funcionam no guia de backups e PITR, estime custos de tabela (o KMS é cobrado à parte) com a calculadora de preços, e baixe o DynoTable para navegar pelas suas tabelas criptografadas — a descriptografia é feita pela AWS antes de os dados chegarem a qualquer cliente.

Referências

Verificado pela última vez em 2026-07-13 contra a documentação oficial da AWS vinculada acima. O intervalo de atualização de chave do KMS e os preços usados na seção de custos foram consultados em 2026-07-28.