La única pregunta que importa
Cifrar es convertir algo legible en algo ilegible, de forma que solo se pueda revertir con una llave.
Entonces la pregunta no es «¿está cifrado?». Prácticamente todo lo está. La pregunta es: ¿quién tiene la llave?
Si la tiene la empresa que te da el servicio, tus archivos están protegidos de un extraño, pero no de ella, ni de quien consiga entrar a sus sistemas, ni de quien se lo ordene por la vía legal. Si la llave solo la tienes tú, nadie más puede abrirlos. Ni siquiera ellos, aunque quieran.
Las tres etapas, y cuál te están contando
Un archivo pasa por tres momentos: mientras viaja por internet, mientras está guardado en un servidor, y mientras lo usas.
«Cifrado en tránsito» significa que nadie puede espiarlo en el camino. Es lo mínimo y lo tiene cualquier sitio con candado en la barra del navegador.
«Cifrado en reposo» significa que en el disco del servidor está cifrado. Suena bien, pero normalmente la llave está en ese mismo servidor, porque el servicio necesita poder mostrarte una vista previa o buscar dentro de tus documentos. Protege contra el robo físico del disco, no contra el servicio.
«De punta a punta» significa que se cifra en tu dispositivo, antes de salir, y solo se descifra en el tuyo. El servidor nunca ve el contenido ni la llave. Esto es lo que casi nadie ofrece, porque cuesta funciones.
Pruébalo aquí mismo
Cifrado real con AES-256-GCM, el mismo de L-CRYPT. La llave se creó en tu navegador hace unos segundos, nunca salió de tu equipo y desaparece al cerrar esta pestaña.
Cómo saber cuál te están dando
Hay una prueba que no falla, y no requiere entender nada de criptografía: pregúntate si pueden recuperar tu cuenta si olvidas la contraseña.
Si pueden mandarte un correo de «restablecer contraseña» y después tus archivos siguen ahí, es porque ellos tienen la llave. No hay otra explicación posible.
Si el servicio te advierte que si pierdes tu llave pierdes el acceso, y te obliga a guardar una copia de respaldo, es porque de verdad no la tiene. Esa incomodidad es la prueba.
Lo que pierdes a cambio
Un servicio que no puede leer tus archivos tampoco puede hacer varias cosas cómodas. No puede buscar dentro de tus documentos desde su servidor. No puede generar vistas previas en la nube. No puede recuperarte la cuenta si pierdes la llave.
Esas limitaciones no son defectos del producto: son la consecuencia directa de la promesa. Un servicio que promete cifrado de punta a punta y además te recupera la cuenta por correo, está incumpliendo una de las dos cosas.
AES-256 y por qué el número no es el punto
Vas a ver «AES-256» en todas partes, incluido nuestro sitio. Es un buen algoritmo y nadie sabe cómo romperlo por la fuerza.
Pero el algoritmo casi nunca es el eslabón débil. Lo que falla es todo lo de alrededor: dónde se guarda la llave, cómo se deriva de tu contraseña, quién puede pedirla y qué pasa cuando compartes algo.
Cuando compares servicios, no compares números de bits. Compara quién tiene la llave.