Cifrar y descifrar archivos (con contraseña)

Cómo funciona

Elija su archivo, escriba su contraseña y pulse Aplicar. Al cifrar nomina.pdf, por ejemplo, descarga un archivo nuevo llamado nomina.pdf.enc; puede mandarlo por correo o subirlo a la nube con tranquilidad, porque su contenido no se abre sin la contraseña. El destinatario (o usted mismo más adelante) vuelve a esta misma página, pone el sentido en «Descifrar», escribe la misma contraseña y recupera el archivo original tal cual era — como el nombre viaja cifrado por dentro, el archivo descifrado vuelve con su propio nombre. El cifrado se hace por completo dentro de su navegador, en su equipo; ni el archivo ni la contraseña se envían a ningún servidor. El campo de la contraseña se muestra a la vista en pantalla: tenga cuidado si alguien puede ver su pantalla. Si necesita comunicar la contraseña, no la mande por el mismo canal que el archivo — use otro canal, por ejemplo diciéndola por teléfono.

Esta herramienta también se busca como cifrar archivo, cifrado aes 256, enviar archivo cifrado, encriptar archivos online.

¿Qué es AES-256?

AES es el estándar de cifrado simétrico publicado en 2001 por el organismo de normalización de Estados Unidos; 256 es la longitud de la clave en bits. Simétrico significa que la misma clave cifra y descifra — aquí esa clave se deriva de su contraseña. Una clave de 256 bits admite 2 elevado a 256 valores posibles; ninguna capacidad de cálculo conocida puede recorrer ese espacio. Esta herramienta usa el modo GCM de AES: GCM no se limita a ocultar el contenido, añade a la salida una etiqueta de verificación — si un solo byte cambia por el camino, el descifrado da un error claro en lugar de producir datos corruptos.

¿Qué es PBKDF2 (derivar la clave de la contraseña)?

Las contraseñas que escribe la gente son demasiado cortas y predecibles para usarse directamente como clave de cifrado. PBKDF2 combina la contraseña con un valor aleatorio llamado sal y la pasa cientos de miles de veces por una función de resumen para derivar de ella una clave de longitud fija. Esta herramienta usa 600.000 iteraciones: ese cálculo, que en su equipo se paga una sola vez y dura medio segundo, frena en la misma proporción cada intento de un atacante que quiera probar contraseñas una por una. Como la sal se genera de nuevo para cada archivo, dos archivos cifrados con la misma contraseña ni siquiera se parecen.

¿Cuál es la diferencia entre cifrado y hash (resumen)?

Los dos son operaciones criptográficas, pero apuntan en direcciones distintas. El cifrado es de ida y vuelta: quien conoce la contraseña correcta recupera el contenido original tal cual — el objetivo es esconder el contenido de ojos no autorizados. El hash es de ida solamente: saca del archivo una huella de longitud fija, pero de esa huella jamás se reconstruye el archivo — el objetivo es probar que el contenido no cambió. Si quiere hacer llegar un archivo a alguien de forma confidencial, la herramienta correcta es el cifrado; si quiere que cualquiera verifique que un archivo publicado no se alteró, es el hash; en este sitio cada uno tiene su propia página.

Si pierde la contraseña, el archivo no vuelve

Esta herramienta no tiene puerta trasera, ni pregunta de recuperación, ni enlace de «olvidé mi contraseña» — y que no los tenga es una decisión de diseño: una vía de recuperación a nuestro alcance sería también una debilidad al alcance de un atacante. No se conoce ningún método práctico para abrir un archivo cifrado con AES-256 sin su contraseña; si la olvida, el contenido está matemáticamente perdido. Si cifra un archivo importante, guarde la contraseña en un gestor de contraseñas o anótela en un lugar físico de confianza.

La segunda trampa es la fuerza de la contraseña: por sólido que sea el cifrado, si un atacante puede adivinarla probando, la puerta se abre. Las 600.000 iteraciones de PBKDF2 frenan cada intento, pero no salvan una contraseña corta y predecible (una fecha de nacimiento, una sola palabra). Use una contraseña aleatoria de al menos 12 a 16 caracteres; el generador de contraseñas de este sitio existe justo para eso.

¿En qué situación y cómo conviene usarlo?

La salida es un único archivo con extensión .enc, en el formato propio de esta herramienta: una firma que identifica el archivo, la sal de derivación de la clave y el cuerpo cifrado. El descifrado se hace en esta misma página; basta con pasar al destinatario la dirección de la página y la contraseña, por canales separados. Puede cambiar el nombre visible del .enc como quiera — el nombre original se guarda cifrado por dentro y vuelve al descifrar; si el propio nombre revela información (por ejemplo «carta-de-renuncia.docx»), póngale al .enc un nombre neutro antes de enviarlo.

• Antes de un correo o una copia en la nube → cifre el archivo y pase la contraseña por otro canal
• Documentos que viajan en una memoria USB → si se pierde, el contenido no se abre sin contraseña
• Archivo de larga duración → guarde la contraseña en un gestor; un archivo sin contraseña es un archivo perdido
• Varios archivos → selecciónelos todos; cada uno se cifra por separado con su propia sal

Preguntas frecuentes

¿Pueden recuperar mi archivo si olvido la contraseña?

No. El cifrado ocurre en su equipo, su contraseña nunca nos llega y el formato no tiene puerta trasera. No se conoce ningún método práctico para abrir un archivo AES-256 sin su contraseña; contraseña perdida, contenido perdido. Guárdela en un gestor de contraseñas.

¿Mi archivo o mi contraseña se envían a un servidor?

No. El cifrado y el descifrado se hacen por completo dentro de su navegador, con su motor criptográfico integrado (crypto.subtle). Ni el archivo, ni su nombre, ni la contraseña salen a la red; las cabeceras de seguridad de este sitio impiden de todos modos que la página envíe datos a otras direcciones.

¿Puedo abrir el archivo .enc con WinRAR o 7-Zip?

No; .enc es el formato propio de esta herramienta, no un formato de archivo comprimido. Para descifrarlo, abra esta página, ponga el sentido en «Descifrar» y escriba la misma contraseña. Pase también la dirección de esta página a su destinatario — no hace falta registro ni instalación.

Si cambio el nombre del archivo .enc, ¿todavía se descifra?

Sí. El nombre original se guarda cifrado dentro del archivo .enc; aunque borre o cambie por completo el nombre visible, al descifrarlo con la contraseña correcta el archivo vuelve con su propio nombre. Si el nombre también es confidencial, póngale al .enc un nombre neutro antes de enviarlo.