Cifrado de extremo a extremo (E2EE, por sus siglas en inglés) significa que tus archivos se cifran en tu dispositivo antes de salir de él y que solo pueden descifrarlos las personas que tienen la clave, nunca el servicio que los guarda y los entrega. Los servicios «cifrados» corrientes protegen los archivos por el camino y en sus discos, pero se quedan con las claves; con el cifrado de extremo a extremo, solo ven datos ilegibles.
La diferencia parece técnica, pero decide quién puede leer tus archivos si un servidor sufre un ataque, si un empleado mira donde no debe o si llega un requerimiento legal. Esta guía explica los tres tipos de cifrado que verás anunciados, cómo funciona el cifrado de extremo a extremo en una transferencia de archivos y cuáles son sus límites prácticos.
Tres tipos de cifrado, comparados
| Tipo | Qué protege | Quién tiene la clave | ¿Puede el servicio leer tus archivos? |
|---|---|---|---|
| En tránsito (TLS, el candado del navegador) | Los archivos mientras viajan por la red | Tu navegador y el servidor, en cada sesión | Sí, una vez que llegan |
| En reposo (p. ej., AES-256 en el almacenamiento) | Los archivos guardados en los discos del proveedor | El proveedor | Sí |
| De extremo a extremo | Los archivos en todas partes fuera de los dispositivos del remitente y del destinatario | Solo quienes tienen la clave | No |
El cifrado en tránsito se basa en TLS, hoy en su versión TLS 1.3 (RFC 8446), que protege frente a quien espía la red. El cifrado en reposo protege frente al robo de un disco. Los dos son estándar y útiles, pero en ambos casos el servicio puede descifrar los archivos, porque gestiona las claves. El cifrado de extremo a extremo añade una capa por encima que el servicio no puede quitar.
¿Cómo funciona el cifrado de extremo a extremo al enviar archivos?
Paso 1
Tu navegador crea una clave
Al activar el E2EE, tu navegador genera una clave secreta aleatoria. No hace falta escribirla ni recordarla.
Paso 2
Los archivos se cifran antes de subirlos
Cada archivo se cifra en tu dispositivo con esa clave, con un algoritmo moderno como AES en modo GCM, que además detecta cualquier manipulación.
Paso 3
Solo se sube el texto cifrado
El servicio guarda y entrega datos cifrados que no puede leer.
Paso 4
La clave viaja en el enlace
La clave se añade al enlace de descarga después de un signo #. Esa parte de una URL se queda en el navegador.
Paso 5
El navegador del destinatario descifra
Cuando el destinatario abre el enlace completo, su navegador descarga los archivos cifrados y los descifra en su propio equipo con la clave.
¿Por qué la clave que va después del # sigue siendo privada?
Una dirección web puede terminar con un fragmento, la parte que va después del signo #. El estándar HTTP (RFC 9110) establece que los identificadores de fragmento se reservan para el procesamiento en el lado del cliente y no se envían en las peticiones: cuando el destinatario abre el enlace, el navegador pide la página al servidor sin el fragmento y luego lee la clave localmente. Es el diseño que popularizó el antiguo servicio Firefox Send de Mozilla, y es así como funciona el cifrado de extremo a extremo de Transfr.
¿Qué significa el cifrado de extremo a extremo en WhatsApp?
Es la misma idea aplicada a un chat. WhatsApp cifra los mensajes y los archivos adjuntos entre las personas que participan en la conversación: se cifran en el teléfono de quien envía y solo los descifran los dispositivos de los participantes, mientras que WhatsApp los transporta sin poder leer su contenido. En un servicio de transferencia de archivos ocurre lo mismo, con una diferencia práctica: en lugar de una conversación entre teléfonos, la clave viaja en el enlace de descarga, y por eso quien tiene el enlace completo puede abrir los archivos.
De qué te protege el cifrado de extremo a extremo
- Un ataque a los servidores del proveedor: los archivos robados son ilegibles sin las claves.
- El acceso interno: el personal del servicio no puede abrir tus archivos.
- Los requerimientos al proveedor: el servicio no puede entregar un contenido legible que nunca tuvo.
- Un almacenamiento mal configurado: aunque quedara expuesto, el contenido sería texto cifrado.
También tiene una ventaja normativa. Con el RGPD, una empresa no tiene que comunicar una violación de seguridad a los afectados si los datos se habían hecho ininteligibles para cualquier persona no autorizada, «como el cifrado» (artículo 34.3.a). El Comité Europeo de Protección de Datos añade que esto solo vale para datos bien cifrados cuya clave no se haya visto comprometida. Lo desarrollamos en nuestra guía sobre transferencia de archivos y RGPD.
De qué no te protege
- Un enlace filtrado: quien tiene el enlace completo tiene la clave.
- Un dispositivo comprometido: un malware o una extensión maliciosa del navegador en el equipo del remitente o del destinatario puede ver los archivos antes del cifrado o después del descifrado. La propia RFC 9110 advierte que los fragmentos siguen siendo visibles para los scripts de la página.
- Los metadatos: según el servicio, los nombres de archivo, los tamaños, las fechas y las direcciones de correo pueden seguir siendo visibles para él.
- Lo que haga después el destinatario: una vez descifrado y guardado, el archivo es un archivo normal.
Las contrapartidas en la práctica
Como el servicio no puede leer los archivos, tampoco puede hacer gran cosa con ellos. En Transfr, por ejemplo, activar el cifrado de extremo a extremo implica que:
- Los archivos se cifran en el navegador con AES-128-GCM y la clave se coloca en el fragmento del enlace. Por debajo se sigue aplicando el cifrado del almacenamiento (AES-256 en reposo).
- Las vistas previas se generan en el navegador del destinatario después de descifrar, para archivos de hasta 2 GB y solo cuando el enlace incluye la clave; los archivos más grandes hay que descargarlos.
- No se conserva la estructura de carpetas, una subida interrumpida no se puede reanudar tras recargar la página, y los archivos importados desde Drime no se pueden cifrar de extremo a extremo, porque Transfr los copia por ti.
- La clave nunca se guarda en los servidores de Transfr. Pero cada vez que Transfr envía un enlace por correo, a tus destinatarios o en el correo de confirmación que reciben los remitentes con sesión iniciada, tu navegador le pasa el enlace completo, clave incluida, para poder ponerlo en el correo; se usa solo para ese correo, y después el correo queda en los buzones. Para la configuración más estricta, copia tú el enlace y compártelo por un canal de confianza.
Nada de esto es un fallo: es la consecuencia directa de un servicio que no puede ver tu contenido. Para los envíos del día a día, una contraseña y una fecha de caducidad suelen bastar; para el material confidencial, la protección extra compensa estas contrapartidas.
Cifra tu próxima transferencia de extremo a extremo
Gratis en Transfr, combinable con contraseña y fecha de caducidad. Hasta 100 GB por transferencia.
Cifrado de extremo a extremo o contraseña: ¿qué diferencia hay?
Resuelven problemas distintos y funcionan bien juntos. Una contraseña controla quién puede abrir la página de descarga; la comprueba el servicio, así que el servicio podría seguir accediendo a los archivos. El cifrado de extremo a extremo controla quién puede leer el contenido, incluido el servicio. Si combinas los dos, un enlace filtrado no basta y el proveedor nunca ve el contenido. Nuestro artículo sobre enlaces con contraseña y caducidad explica cómo elegir contraseñas y plazos.
¿Cuándo conviene usar el cifrado de extremo a extremo?
| Situación | ¿Se recomienda el E2EE? |
|---|---|
| Fotos de las vacaciones para la familia | Opcional |
| Entregas a clientes (diseño, vídeo) | Útil para trabajos sin publicar |
| Contratos, nóminas, documentos de identidad | Sí |
| Historiales médicos, jurídicos o financieros | Sí, con contraseña y caducidad corta |
| Código fuente, planes de producto, documentos de fusiones y adquisiciones | Sí |
El cifrado de extremo a extremo en herramientas que ya usas
Probablemente lo usas a diario sin darte cuenta: además de WhatsApp, servicios como Proton Drive, Tresorit Send y Wormhole cifran los archivos en el navegador antes de subirlos. El almacenamiento en la nube más extendido, en cambio, suele cifrar los archivos en tránsito y en reposo con claves que gestiona el proveedor. Nuestra comparativa de las mejores páginas para enviar archivos pesados indica cuáles ofrecen cifrado de extremo a extremo gratis, y nuestra página para despachos de abogados muestra cómo lo combinan los profesionales con contraseñas y caducidades cortas.
Cómo comprobar que un servicio usa de verdad cifrado de extremo a extremo
- El cifrado debe hacerse antes de subir, en tu navegador o en la aplicación, no «en nuestros servidores seguros».
- El servicio debe decir que no guarda las claves; busca claves en el fragmento del enlace o derivadas de un secreto que solo tú conoces, y comprueba qué pasa cuando envía enlaces por correo por ti.
- Si el servicio puede mostrarte una vista previa generada en sus servidores, o analizar un archivo cifrado sin la clave, no es de extremo a extremo.
- Busca una descripción del algoritmo y del diseño, no solo «seguridad de nivel bancario».
Para un conjunto más amplio de hábitos, desde las contraseñas hasta quién debe recibir qué, consulta nuestra lista para enviar archivos de forma segura y la página de transferencia de archivos segura.
Envía archivos grandes gratis
- Hasta 100 GB por transferencia
- Sin crear una cuenta
- Cifrado y alojado en Europa