Política de privacidad

Cómo funciona el servicio

Encrypt.One es un servicio gratuito para compartir contraseñas, claves y archivos mediante enlaces de un solo uso. No hace falta registrarse. El servicio es desarrollado y gestionado por FINAL LEVEL.

Envías el enlace tú mismo por el medio que prefieras. Un mensaje de mensajería, correo electrónico o SMS puede ser interceptado; entonces, quien abra el enlace primero obtendrá el secreto. Para datos importantes, establece una contraseña de apertura y compártela por otro canal.

Secretos y archivos

El texto y el archivo adjunto se cifran en tu navegador con AES-256-GCM mediante la API Web Crypto integrada antes de enviarse. El nombre y el tipo del archivo se cifran junto con el contenido.

El servidor solo almacena:

• los datos cifrados;
• la fecha de caducidad;
• si hay un archivo adjunto;
• un hash de verificación de contraseña, si has definido una contraseña de apertura.

La clave de descifrado es la parte del enlace posterior al signo #. Los navegadores nunca envían esa parte al servidor, por lo que ni nosotros ni quien acceda al servidor podemos descifrar los datos. Por la misma razón, no podemos recuperar un secreto si se pierde el enlace.

Contraseña de apertura

La contraseña nunca sale de tu navegador. A partir de la contraseña y la clave del enlace, el navegador deriva dos valores independientes: la clave de cifrado y un hash de verificación (PBKDF2 con 600 000 iteraciones y después HKDF). Solo el hash se envía al servidor. El servidor lo usa para comprobar la contraseña, pero no puede conocer ni la contraseña ni la clave.

Después de tres intentos incorrectos se elimina el secreto. El contador de intentos se conserva en la memoria del servidor y está asociado al secreto, no al visitante.

Cuándo se eliminan los datos

• inmediatamente después de que el destinatario abra el secreto;
• cuando pulsas «Destruir ahora» en la página del enlace;
• después de la tercera contraseña incorrecta;
• cuando termina el plazo elegido, de una hora a siete días. Un secreto caducado deja de estar disponible de inmediato y sus datos se borran durante la limpieza diaria.

Un secreto eliminado no se puede recuperar. Los bots de mensajería que crean vistas previas de enlaces no consumen el secreto: los datos solo se entregan después de pulsar «Mostrar secreto».

Registros técnicos

El servidor de la aplicación solo registra solicitudes a la API: tipo de solicitud, resultado y tiempo de procesamiento. No se registran direcciones IP, identificadores de secretos, tokens, direcciones de páginas ni contenidos de solicitudes.

Para proteger el servicio contra ataques de fuerza bruta y abusos, el servidor limita la frecuencia de solicitudes por dirección IP. La dirección solo se utiliza en memoria y no se almacena.

Un servidor web situado delante de la aplicación puede mantener un registro de acceso estándar: dirección IP, hora y dirección de la página sin la parte posterior a #. Estos registros solo se usan para proteger contra ataques y se conservan durante un tiempo limitado.

Cookies y almacenamiento del navegador

No utilizamos cookies publicitarias ni de análisis. El sitio solo guarda en tu navegador lo necesario para funcionar:

• la cookie lang: tu idioma, si lo elegiste en el selector;
• en localStorage: el tema de color, una indicación de que cerraste el aviso de idioma y marcas de enlaces destruidos desde este navegador;
• en sessionStorage: una contraseña del generador mientras se transfiere al formulario de la página principal. Se elimina justo después de insertarla.

De estos datos, solo la cookie de idioma llega al servidor, que la utiliza para elegir la versión de la página. Puedes eliminarlos todos en la configuración del navegador.

Servicios de terceros

El sitio no carga scripts, fuentes, contadores ni publicidad de terceros: todo, incluidas las fuentes, se sirve desde nuestro servidor. No vendemos ni compartimos datos con terceros.

Los botones para enviar por Telegram, WhatsApp y correo electrónico, así como los enlaces a sitios de patrocinadores, son enlaces normales. Un servicio externo solo recibe datos cuando haces clic y, a partir de entonces, se aplica su propia política.

Generador de contraseñas

Las contraseñas, frases de contraseña y PIN se crean en tu navegador con un generador criptográfico de números aleatorios y nunca se envían al servidor.

Código abierto

El código fuente está abierto en GitHub: puedes comprobar cómo funciona el cifrado o ejecutar tu propia copia.

Tus derechos

No sabemos quién creó o abrió un secreto: el servicio no vincula los datos con personas, cuentas ni direcciones IP. Por eso no podemos encontrar, entregar o eliminar los datos de una persona concreta. Para eliminar tu secreto antes de que caduque, abre la página del enlace y pulsa «Destruir ahora».

Cambios en esta política

Si esta política cambia, publicaremos la nueva versión en esta página y actualizaremos la fecha de arriba.

Preguntas

Haz tus preguntas sobre privacidad en las incidencias de GitHub.