Cómo enviar archivos de forma segura: lista de 15 buenas prácticas

Enviar archivos de forma segura se reduce a unos pocos hábitos: manda solo lo necesario, a la persona correcta, con un servicio cifrado, con contraseña y fecha de caducidad, y retira el acceso cuando ya no haga falta. El cifrado protege los archivos por el camino; el resto de esta lista los protege de los riesgos mucho más habituales, como un destinatario equivocado, un enlace reenviado o un archivo compartido hace años que nadie recuerda.

Úsala como rutina para documentos confidenciales, como referencia para tu equipo o como auditoría rápida de cómo compartes hoy. Cada punto es breve y enlaza a los detalles cuando los necesitas.

Antes de enviar: prepara los archivos

1. Clasifica los archivos. ¿Son públicos, internos, confidenciales o contienen datos personales? La respuesta decide cuántos de los pasos siguientes necesitas.
2. Envía lo mínimo. Quita las páginas, columnas o fotos que el destinatario no necesita. Lo que no envías no se puede filtrar.
3. Comprueba el destinatario. Revisa la dirección de correo letra por letra, sobre todo cuando la sugiere el autocompletado. Una errata en el destinatario es una de las causas más frecuentes de incidentes con datos.
4. Elimina los datos ocultos. Quita control de cambios, comentarios y propiedades del documento en los archivos de Office, y la ubicación GPS de las fotos si revela una dirección privada.
5. Elige el canal adecuado. Los archivos grandes o sensibles deben ir por un servicio de transferencia con cifrado, no como adjuntos que se quedan indefinidamente en los buzones.

Al enviar: cómo enviar archivos grandes de forma segura

1. Exige cifrado en tránsito y en reposo. Cualquier servicio serio usa TLS para la conexión y cifra los archivos almacenados.
2. Activa el cifrado de extremo a extremo para el material confidencial, de modo que los archivos se cifren en tu navegador y el servicio no pueda leerlos. Te lo explicamos en qué significa el cifrado de extremo a extremo.
3. Añade una contraseña y envíala por separado, por SMS, WhatsApp o teléfono si el enlace va por correo. La guía del NIST estadounidense de 2025 prioriza la longitud: al menos 15 caracteres para una contraseña que se usa sola.
4. Pon una caducidad corta. Días, no meses, para los archivos sensibles. Nuestra guía sobre enlaces con contraseña y caducidad propone plazos según la situación.
5. Limita las descargas al número de destinatarios, para que un enlace reenviado deje de funcionar.

Después de enviar: cierra la puerta

1. Confirma la recepción. Las notificaciones de descarga, o un mensaje rápido, te confirman que los archivos llegaron a quien debían.
2. Retira el acceso al terminar. Borra la transferencia o deja que caduque, y elimina los enlaces antiguos de tu nube.
3. No dejes copias por todas partes. Limpia la carpeta de enviados, los historiales de chat y la copia del escritorio que hiciste para enviar.
4. Guarda un registro si manejas datos regulados. Anota qué enviaste, a quién y cuándo, si tus obligaciones lo exigen.
5. Revisa lo que compartes con regularidad. Una vez por trimestre, repasa los enlaces y carpetas compartidas que siguen abiertos.

Qué debe ofrecer una transferencia de archivos segura

Más detalles sobre cómo funciona todo esto en nuestra página de transferencia de archivos segura y, para profesiones reguladas, en envío seguro de documentos para despachos de abogados.

Señales de alerta: correos falsos de «te han compartido un archivo»

Los avisos de archivos compartidos son uno de los disfraces favoritos del phishing. INCIBE, el Instituto Nacional de Ciberseguridad de España, contó en 2020, en su blog para empresas, un caso real: un mensaje de SharePoint, en apariencia de un socio conocido, superó los filtros antispam y antivirus porque la mayoría de filtros consideran legítimos los enlaces de SharePoint; dentro del documento compartido había un enlace a una página falsa que imitaba la del socio y pedía las credenciales. Con ellas, los atacantes usaron las cuentas de la víctima para seguir enviando phishing. Agencias como la CISA estadounidense o el NCSC británico han documentado campañas parecidas, con enlaces que imitan mensajes seguros o páginas de inicio de sesión de servicios de alojamiento de archivos. Desconfía cuando:

• No esperabas archivos de ese remitente, o el mensaje es especialmente urgente.
• La página de descarga te pide iniciar sesión con la contraseña de tu correo o con tu cuenta de Microsoft o Google para ver un archivo.
• El dominio del enlace no coincide con el del servicio que nombra el correo.
• El «documento» es un ejecutable, un script o un archivo comprimido con contraseña que no pediste.

Ante la duda, contacta con el remitente por otro canal antes de abrir nada. INCIBE recomienda además no introducir datos en páginas abiertas desde un enlace recibido por correo y, si ya lo hiciste, cambiar las contraseñas y activar la autenticación multifactor. Un enlace de transferencia legítimo te deja descargar sin iniciar sesión en nada.

Lista para quien recibe los archivos

Si eres tú quien recibe archivos sensibles, unos pocos hábitos te protegen a ti y al remitente:

• Descarga pronto, antes de que caduque el enlace, y confirma la recepción al remitente.
• Guarda los archivos en un lugar seguro, no en un ordenador o una computadora compartidos o públicos.
• No reenvíes el enlace: pide al remitente que envíe uno nuevo a quien más los necesite.
• Borra los archivos cuando ya no los necesites, sobre todo si contienen datos personales.
• Avisa enseguida al remitente de cualquier cosa inesperada, como archivos que no debías recibir.

Pasos extra para equipos y empresas

• Elige una única herramienta aprobada para que nadie recurra a cuentas personales.
• Escribe una regla corta: qué datos necesitan contraseña, cuáles cifrado de extremo a extremo y cuáles no deben salir nunca de la empresa.
• Firma un contrato de encargado del tratamiento con tu proveedor si compartes datos personales de residentes en la UE; lo explicamos en transferencia de archivos y RGPD.
• Activa la verificación en dos pasos en todas las cuentas que pueden enviar archivos.
• Personaliza las páginas de descarga para que los destinatarios reconozcan los enlaces auténticos de tu equipo; consulta la personalización con tu marca.

¿Cuánta protección necesita cada tipo de archivo?

Poner esta tabla por escrito para tu equipo, con tus propios ejemplos, suele ser la medida de seguridad más eficaz: la gente deja de improvisar y aplica la misma protección al mismo tipo de archivo.

Errores frecuentes que anulan la seguridad

• Poner la contraseña en el mismo correo que el enlace. Un solo mensaje reenviado entrega las dos cosas.
• Compartir una carpeta entera cuando el destinatario necesitaba un solo archivo.
• Usar enlaces de la nube abiertos a «cualquier persona con el enlace» sin fecha de fin para datos personales.
• Enviar archivos confidenciales grandes en varios correos con adjuntos, multiplicando las copias en servidores y buzones.
• Comprimir en ZIP con un cifrado antiguo y débil y darlo por seguro; consulta ¿conviene comprimir archivos para enviar?.
• Olvidar el lado del destinatario: un archivo descargado en el ordenador familiar o en un equipo público ya no está bajo tu control, así que explica a tus destinatarios cómo tratar los archivos sensibles.

Para ver todas las formas de enviar archivos pesados y sus ventajas e inconvenientes, lee cómo enviar archivos grandes.

Recibir archivos de forma segura

La seguridad funciona en los dos sentidos. Cuando tus clientes te envían documentos, dales un enlace de solicitud de archivos con contraseña y caducidad en lugar de pedirles adjuntos por correo, y descarga los archivos cuanto antes en tus propios sistemas. Nuestra guía para recibir archivos de clientes explica cómo hacerlo.

La lista en una línea por fase

• Clasificar · minimizar · comprobar el destinatario · eliminar datos ocultos · elegir un servicio cifrado.
• Cifrar de extremo a extremo si es confidencial · contraseña por otro canal · caducidad corta · límite de descargas.
• Confirmar la recepción · retirar el acceso · limpiar copias · guardar registro · revisar lo compartido.