Mensajería segura: claves para elegir una app privada

La seguridad depende de cómo se cifra la conversación, qué información se conserva sobre ella, quién puede revisar el código y qué relación existe entre la cuenta y la identidad real del usuario.

La pregunta relevante no es únicamente si una aplicación utiliza cifrado de extremo a extremo. También hay que saber cuándo lo utiliza, qué ocurre con los mensajes que no se han entregado, cómo se gestionan las copias de seguridad y qué datos quedan visibles aunque nadie pueda leer el contenido. Para una conversación cotidiana, estas diferencias pueden parecer menores. Para una persona periodista, una organización social o una comunidad que trabaja en un contexto de vigilancia y presión política, no lo son.

El cifrado de extremo a extremo como estándar mínimo de protección

El cifrado de extremo a extremo —E2EE, por sus siglas en inglés— impide que el proveedor de la aplicación lea el contenido de una conversación mientras esta circula entre los dispositivos. Las claves necesarias para descifrar el mensaje deben permanecer bajo el control de los participantes. El servidor puede transportar datos, gestionar la entrega y coordinar la sesión, pero no debería tener la clave que permite convertir el texto cifrado en un mensaje legible.

Ese es el estándar mínimo. No el final del análisis.

Conviene distinguir entre tres situaciones que a menudo se presentan con el mismo lenguaje comercial:

• Cifrado de extremo a extremo activado por defecto. La conversación queda protegida sin que el usuario tenga que abrir un menú o escoger un modo especial. Signal y WhatsApp aplican este modelo a sus conversaciones ordinarias.
• Cifrado disponible solo en determinadas modalidades. La aplicación puede ofrecer E2EE, pero no necesariamente en todos los chats. En Telegram, por ejemplo, los chats normales se almacenan en la nube y no están cifrados de extremo a extremo; los chats secretos sí utilizan ese esquema, con limitaciones de compatibilidad y de uso.
• Cifrado entre el dispositivo y el servidor. Esta protección evita que terceros intercepten fácilmente la conexión, pero no impide que el proveedor pueda acceder al contenido desde su propia infraestructura. Es una diferencia técnica decisiva, aunque la interfaz no siempre la explique con claridad.

El problema del cifrado opcional es práctico, no académico. Si una persona tiene que activar manualmente una función para cada conversación, es probable que algunos intercambios queden fuera de ella. En un grupo, además, basta con que una parte de los participantes desconozca la configuración para que la protección real sea mucho más difícil de evaluar.

El cifrado de extremo a extremo protege el contenido del mensaje. No oculta necesariamente quién habla con quién, cuándo, desde dónde ni con qué frecuencia.

Otro concepto relevante es el secreto hacia adelante (forward secrecy). Las aplicaciones que lo implementan generan claves efímeras para las sesiones, de modo que la exposición de una clave no debería permitir descifrar automáticamente todo el historial. No es una garantía absoluta frente a un dispositivo comprometido, pero reduce el impacto de una filtración concreta.

También hay que observar cómo se protegen los grupos. En una conversación individual, la aplicación puede verificar con relativa claridad la identidad de dos interlocutores. En un grupo, la entrada y salida de participantes, la renovación de claves y la gestión de dispositivos complican el modelo. Una aplicación segura debe informar cuando cambia la identidad criptográfica de un contacto y ofrecer mecanismos para verificarla por otro canal.

Las copias de seguridad cambian el análisis

Una conversación puede estar cifrada de extremo a extremo durante el tránsito y, sin embargo, quedar expuesta en una copia de seguridad. El historial guardado en servicios externos —por ejemplo, en una cuenta de almacenamiento del teléfono— puede estar sujeto a un modelo de protección diferente al de los mensajes intercambiados dentro de la aplicación.

WhatsApp ofrece copias de seguridad cifradas de extremo a extremo como opción, pero el usuario debe activarlas y conservar correctamente la clave o contraseña asociada. Signal trata el historial de otra manera y no funciona como un archivo en la nube accesible desde cualquier dispositivo. Telegram, por su parte, basa buena parte de su experiencia en la sincronización de chats normales mediante sus servidores.

Por eso, el criterio de seguridad no termina al leer «cifrado de extremo a extremo». Hay que preguntar dónde se guarda el historial, qué dispositivos tienen una copia y qué sucede cuando se pierde el teléfono.

La trampa de los metadatos: por qué el contenido no es lo único que importa

El E2EE protege el contenido. Los metadatos describen la comunicación: quién utiliza el servicio, con qué contactos interactúa, en qué momentos se conecta, desde qué red lo hace y qué dispositivos están asociados a la cuenta. No todos esos datos se recopilan del mismo modo ni durante el mismo tiempo, pero todos pueden ser relevantes.

Con suficientes registros, es posible reconstruir relaciones y rutinas sin leer los mensajes. Una pauta de conexiones nocturnas puede revelar una reunión; la coincidencia de varias cuentas en una misma red puede mostrar una relación organizativa; un cambio brusco en los horarios puede convertirse en una señal para quien vigila. El contenido puede permanecer inaccesible y, aun así, la estructura social de una persona resultar visible.

Entre los datos que conviene considerar están:

• La dirección IP o información aproximada sobre la red desde la que se accede.
• Las fechas y horas de conexión o de envío de mensajes.
• Los números de teléfono, nombres de usuario e identificadores internos.
• La pertenencia a grupos, canales o listas de contactos.
• La información sobre dispositivos, sesiones abiertas y cambios de cuenta.
• Los datos asociados a copias de seguridad, pagos o servicios adicionales.

La política de privacidad ayuda, pero no sustituye al análisis técnico. Una frase general sobre «mejorar el servicio» puede abarcar procesos muy distintos. También es importante distinguir entre los datos que la aplicación necesita para funcionar, los que conserva por motivos de seguridad y los que puede compartir con empresas del mismo grupo o con autoridades cuando recibe una solicitud legal.

Qué ocurre con cada aplicación

Signal se ha construido alrededor de la minimización de datos. Su diseño procura que el servidor tenga que conocer la menor cantidad posible de información sobre las relaciones entre usuarios. La entrega de un mensaje no equivale a crear un archivo permanente de toda la conversación en sus servidores: el historial se mantiene principalmente en los dispositivos. Eso no significa que Signal sea invisible ni que pueda proteger un teléfono infectado, pero sí reduce la información que el proveedor puede entregar sobre la actividad de una cuenta.

WhatsApp utiliza E2EE para los mensajes y llamadas de sus conversaciones ordinarias, pero el cifrado del contenido no elimina la recopilación de información de uso. La aplicación forma parte de Meta y su política de privacidad contempla datos sobre la cuenta, el dispositivo, la conexión y la forma en que se utilizan sus servicios. El alcance exacto de esa recopilación y de sus posibles intercambios depende de la configuración, del país y de las políticas vigentes. Presentar WhatsApp como una aplicación «sin datos» sería tan incorrecto como afirmar que el cifrado no ofrece ninguna protección.

Respecto al almacenamiento, los mensajes entregados se conservan normalmente en los dispositivos de los participantes, no como un historial legible permanentemente por los servidores de Meta. Los mensajes que todavía no han podido entregarse pueden permanecer temporalmente en los servidores para completar la entrega. Las copias de seguridad y los mensajes enviados a cuentas empresariales requieren un análisis aparte: no deben mezclarse con la protección E2EE de una conversación ordinaria entre usuarios.

Telegram separa de forma clara sus chats normales y sus chats secretos. Los primeros se sincronizan a través de la nube de Telegram, lo que permite acceder al historial desde varios dispositivos, pero significa que no tienen el mismo modelo de protección que un chat E2EE. Los chats secretos sí están diseñados para permanecer vinculados a los dispositivos que participan en ellos. Esa arquitectura puede ser cómoda, pero no es equivalente a la de Signal o WhatsApp para la mensajería diaria.

La tabla no ofrece un ganador universal. Muestra qué se está comparando. La comodidad de recuperar un historial desde cualquier dispositivo implica una arquitectura distinta de la que prioriza que el proveedor no disponga de ese historial. La seguridad siempre se relaciona con el modelo de amenaza y con el tipo de información que se quiere proteger.

Auditoría y transparencia: la importancia del código abierto frente a las cajas negras

El código abierto no convierte automáticamente una aplicación en segura. Sí permite que investigadores, organizaciones de derechos digitales y especialistas independientes examinen cómo funciona, reproduzcan compilaciones, detecten vulnerabilidades y comparen la implementación con las promesas públicas.

La diferencia entre el cliente y el servidor es fundamental. Que una aplicación publique el código de sus versiones para Android, iOS o escritorio no significa que también publique el código que procesa los datos en sus servidores. El usuario puede revisar qué hace la aplicación instalada, pero seguirá necesitando confiar en una parte de la infraestructura que queda fuera de su alcance.

Signal publica el código de sus clientes y de buena parte de su infraestructura de servidor. Su protocolo de cifrado también ha sido estudiado y utilizado como referencia por otros servicios, incluido WhatsApp. Eso no elimina la necesidad de auditorías ni permite asumir que cada versión está libre de fallos, pero ofrece una base de revisión mucho más sólida que una caja negra completa.

WhatsApp utiliza el Signal Protocol para el cifrado de extremo a extremo, pero no ofrece el mismo grado de transparencia sobre el conjunto de su código de cliente y servidor. Que el protocolo sea conocido no permite verificar por sí solo toda la aplicación: quedan fuera aspectos como la gestión de contactos, las copias de seguridad, las notificaciones, la telemetría y la forma en que se aplican las políticas de datos.

Telegram publica el código de sus clientes, mientras que la parte central de su infraestructura no está disponible para una auditoría pública equivalente. Además, su protocolo MTProto es propio y su análisis debe separar la descripción del diseño de la verificación de cómo se aplica en producción. Un cliente abierto no permite inspeccionar automáticamente lo que sucede en los servidores que sostienen los chats normales.

Una auditoría independiente no es una promesa de seguridad perfecta; es la posibilidad de comprobar, discutir y corregir una promesa.

En la práctica, hay que buscar informes de auditoría, historial de correcciones, documentación técnica y mecanismos para comunicar vulnerabilidades. También conviene observar si las versiones distribuidas corresponden al código publicado. La transparencia útil no consiste en colocar un repositorio en internet y abandonarlo: requiere documentación, mantenimiento y capacidad de respuesta.

Identidad y anonimato: el riesgo de vincular números de teléfono a perfiles

El número de teléfono sigue siendo una pieza central en muchas aplicaciones de mensajería. Puede servir para verificar que una cuenta controla una línea, pero también conecta esa cuenta con un operador móvil, con registros de identidad y con otros servicios en los que el mismo número se haya utilizado.

En una situación de bajo riesgo, compartir el número con un contacto conocido puede no plantear un problema relevante. En una organización social, una red de periodistas o un grupo que trabaja con fuentes sensibles, la exposición del número puede facilitar acoso, suplantación, campañas de spam o correlaciones con otras bases de datos.

Signal ha evolucionado hacia un modelo en el que el número de teléfono deja de ser el dato que identifica al usuario en cada interacción. La aplicación permite registrar la cuenta y comunicarse mediante un nombre de usuario, sin necesidad de compartir el número de teléfono con los demás participantes. El número puede aparecer como dato interno de la cuenta, pero no tiene por qué funcionar como una etiqueta pública para los contactos. Conviene revisar también las opciones de privacidad para decidir quién puede localizar la cuenta mediante el número.

Telegram permite utilizar nombres de usuario y contactar sin mostrar el número en determinadas configuraciones. Sin embargo, los chats normales siguen dependiendo de una cuenta vinculada a un número y de una infraestructura en la nube. El alias reduce la exposición frente a otros usuarios; no equivale a anonimato frente al proveedor ni frente a una investigación sobre el dispositivo o la cuenta.

WhatsApp mantiene el número como elemento principal de identificación y no ofrece un sistema de alias equivalente para sustituirlo en la comunicación ordinaria. Las comunidades y los grupos pueden limitar parcialmente quién ve determinados datos, pero esa protección no debe confundirse con una separación completa entre la cuenta y la identidad telefónica.

Qué revisar en una cuenta expuesta

Para una persona activista, una fuente periodística o alguien que gestiona información sensible, los criterios de seguridad para aplicaciones de mensajería deben incluir al menos estas preguntas:

1. ¿Es necesario revelar el número al interlocutor? El registro y la visibilidad ante otros usuarios son cuestiones distintas. Una aplicación puede estar diseñada para que el número no forme parte de la interacción, incluso cuando figure como dato interno de la cuenta.

2. ¿Se puede verificar la identidad del contacto? Las huellas de seguridad, los códigos de verificación y las alertas ante cambios de clave ayudan a detectar una cuenta sustituida o un dispositivo nuevo.

3. ¿Dónde se guarda el historial? Un chat sincronizado en la nube deja una huella diferente de un historial que permanece solo en los dispositivos.

4. ¿Qué protección tiene la copia de seguridad? Si el respaldo se almacena fuera del sistema E2EE, puede convertirse en el punto más débil de toda la conversación.

5. ¿Qué sucede cuando entra o sale alguien de un grupo? En grupos sensibles, la gestión de participantes es tan importante como el cifrado del mensaje.

6. ¿Qué pasa si se pierde el teléfono? El bloqueo de pantalla, el borrado remoto cuando exista y la revocación de sesiones abiertas reducen el daño, pero no recuperan un dispositivo que ya haya sido comprometido.

7. ¿Los mensajes temporizados se borran de manera verificable? Configurar un plazo no siempre equivale a un borrado real en los dispositivos del interlocutor. Conviene revisar la documentación sobre cuándo se eliminan los archivos locales y qué queda en las carpetas de caché del sistema.

8. ¿Qué aplicaciones auxiliares tienen acceso a los contactos? Cuando una aplicación sincroniza la agenda del teléfono, puede asociar identidad real a perfiles que de otro modo permanecerían separados.

Elegir no es descartar el resto

Una de las trampas más frecuentes al evaluar aplicaciones de mensajería es tratarlas como opciones enfrentadas. En la práctica, una misma persona puede usar Signal para coordinaciones sensibles, WhatsApp para grupos familiares donde el número ya está compartido y Telegram para canales de difusión donde la audiencia es amplia y la identidad de quien escribe interesa menos que el contenido.

La elección no consiste en encontrar una aplicación perfecta, sino en identificar qué modelo de amenaza se aplica a cada conversación y qué nivel de exposición se está dispuesto a asumir. Una comunicación que coordina una salida de campo en una zona de riesgo no admite la misma arquitectura que un chat de coordinación logística entre varias personas que ya se conocen y comparten información profesional.

Análisis comparativo: Signal, WhatsApp y Telegram ante el escrutinio técnico

Después de revisar cifrado, metadatos, código y modelo de identidad, conviene volver a las tres aplicaciones más utilizadas para observar qué combinación de compromisos ofrece cada una.

Signal representa la apuesta más coherente por la minimización: cifrado activado por defecto, diseño de servidor orientado a no almacenar historiales, publicación amplia del código y posibilidad de comunicarse mediante alias. Sus compromisos más evidentes son la dependencia de un número para el registro inicial y la menor integración con servicios empresariales o con flujos de trabajo que ya pasan por otros ecosistemas.

WhatsApp aporta la base de usuarios más grande y un cifrado de extremo a extremo serio para los mensajes y las llamadas. Su punto débil no está tanto en la conversación cifrada como en los metadatos que rodean la cuenta, en la opacidad de partes relevantes de su código y en las copias de seguridad, que requieren configuración específica para mantener el mismo nivel de protección. Para conversaciones cotidianas entre personas que ya comparten número, sigue siendo una protección muy superior a la de servicios sin E2EE.

Telegram ocupa un lugar distinto. Su arquitectura privilegia la comodidad y la sincronización entre dispositivos, lo que la convierte en una herramienta útil para canales, comunidades amplias y grupos donde la identidad pública no es un problema. Los chats secretos añaden una capa E2EE cuando se necesita, pero no sustituyen a un sistema pensado desde el inicio para conversaciones sensibles.

Ninguna de las tres opciones elimina por completo la necesidad de criterio propio. Una aplicación que cumple los criterios de seguridad para aplicaciones de mensajería puede seguir siendo una mala elección si se instala sin revisar permisos, si el dispositivo está infectado, si se mezcla con cuentas personales y profesionales, o si no se complementa con otras prácticas: contraseñas robustas, autenticación en dos pasos, navegadores y correos electrónicos igualmente cuidados, y formación continua de las personas que participan en la conversación.

La herramienta adecuada es la que se entiende. La seguridad real llega cuando conviene saber por qué se ha elegido esa aplicación y qué limitaciones se han aceptado al hacerlo.

La decisión final rara vez es técnica. Suele ser el resultado de combinar el modelo de amenaza, el contexto del grupo, la comodidad necesaria y los recursos disponibles para mantener las prácticas a lo largo del tiempo. Ahí es donde las diferencias entre Signal, WhatsApp y Telegram dejan de ser una cuestión de marca y se convierten en una cuestión de criterio.