El ciclo de vida criptográfico completo

Cuando pulsas Cifrar, el navegador obtiene una nueva clave de contenido de 256 bits del WebCrypto CSPRNG y cifra tus datos con AES-256-GCM. GCM es autenticado: cada fragmento lleva una etiqueta de 128 bits, así que cualquier manipulación posterior se detecta en lugar de descifrarse sin avisar.

El texto y los archivos se tratan igual: ambos se convierten en un único bloque binario opaco, rellenado hasta un tamaño estándar para que una contraseña corta y un archivo pequeño parezcan iguales. El texto sin cifrar nunca toca la red ni sale de la memoria de la pestaña.

Tu enlace lleva una semilla aleatoria de 256 bits en el fragmento de la URL, es decir, todo lo que va después del #. Según la especificación de URL, el navegador elimina el fragmento y nunca lo incluye en la solicitud que envía a nuestros servidores. A partir de esa semilla, el navegador deriva con HKDF un valor de búsqueda para encontrar el secreto y la clave que desenvuelve la clave de contenido. El servidor solo llega a ver un hash del valor de búsqueda.

El navegador del destinatario lee la semilla del fragmento y hace la misma derivación en local. Esto es lo que significa aquí “conocimiento cero”: tener el texto cifrado no sirve de nada sin el enlace.

Si pones una frase de contraseña, se refuerza con Argon2id, una función de derivación de claves de uso intensivo de memoria, y se combina con la semilla para obtener la clave que envuelve la clave de contenido. La frase de contraseña en sí nunca se transmite ni se almacena; solo la conocen tú y el destinatario. Los intentos fallidos se repiten en el navegador del destinatario con datos que ya tiene, así que el servidor no puede contarlos.

El uso intensivo de memoria encarece los intentos masivos sin conexión, incluso con GPU y ASIC. Comparte la frase de contraseña por un canal distinto al del enlace y los dos factores nunca coincidirán en un mismo lugar. El módulo Argon2 se descarga en cada creación y en cada visualización, así que la red no puede saber qué secretos usan una.

El bloque se sube a través de TLS y se almacena en reposo como texto cifrado, junto con credenciales con hash, su duración y una hora de caducidad redondeada. A propósito, no guardamos la identidad del remitente, el destinatario, registros de IP, la hora de creación ni el historial de accesos. No hay un sistema de cuentas que vincule un secreto a una persona. La limitación de frecuencia funciona con un HMAC de la dirección y una sal que rota, así que nada de antes de una rotación puede vincularse con nada de después.

Como el objeto almacenado no significa nada sin la semilla del fragmento, si el servidor se ve comprometido o recibe una orden judicial, solo se obtienen bytes opacos y hashes que no pueden convertirse de nuevo en nada.

No se descarga nada al cargar la página para mostrar el secreto: la solicitud solo sale con un clic o una pulsación de tecla reales, así que los escáneres de enlaces y las vistas previas de los chats no pueden consumir un secreto. En un secreto de un solo uso, el servidor reclama la fila con una única actualización condicional (exactamente una solicitud gana) y el secreto cuenta como consumido desde ese momento. El mismo navegador puede volver a descargarlo durante 15 minutos si se corta la conexión; nadie más puede, y una reclamación sin confirmar se destruye, nunca se revierte. Los secretos con tiempo limitado son una lectura normal hasta que caducan.

Cada secreto tiene además un enlace de destrucción privado. Abrirlo no destruye nada por sí solo; al confirmar, el texto cifrado se borra de inmediato, antes de que ningún destinatario pueda leerlo.