«Te he pasado la contraseña del cortafuegos por WhatsApp, míralo». A partir de ese momento, esa contraseña ya no es tuya: está en tu teléfono, en el de la otra persona, en las copias de seguridad en la nube de ambos y en cualquier ordenador donde haya un WhatsApp Web abierto. Para siempre.
No es ninguna hipótesis. Buena parte de las credenciales que acaban en manos equivocadas en una empresa pequeña no se han robado: se han enviado. Por correo, por chat, en un documento compartido que nadie ha vuelto a cerrar. Lo veíamos lo bastante a menudo como para hacer algo, y como la herramienta no nos costaba nada compartirla, la hemos publicado gratis para todo el mundo: Cynderlab Secrets.
¿Por qué el correo y el chat son el peor sitio para una contraseña?
Porque los mensajes no caducan. Cuando escribes una contraseña dentro de un correo, estás fabricando copias que ni controlas ni puedes borrar:
- En tu servidor de correo y en el del destinatario, indexadas y buscables.
- En las copias de seguridad de ambos, a menudo durante años.
- En el móvil del destinatario, que quizá ni siquiera tiene código de bloqueo.
- Y si dentro de dieciocho meses alguien entra en el correo de esa persona —cosa que pasa—, la contraseña seguirá ahí, esperándole. Bajo el asunto «Credenciales VPN», bien visible.
El problema no es el canal: es la permanencia. Un secreto que debe durar cinco minutos no debería vivir para siempre.
¿Cómo funciona Cynderlab Secrets?
No hace falta registrarse ni instalar nada (la herramienta está en inglés, pero no tiene más pantallas que esta):
- Entra en secret.cynderlab.com y pega el texto: una contraseña, una clave de API, un número de cuenta.
- Elige cuándo caduca —por defecto un día, como máximo treinta— y, si quieres, ponle una contraseña de acceso como segundo factor.
- Pulsa el botón de cifrar y obtendrás un enlace.
- Envía el enlace por el canal que te venga bien. Sí, también por WhatsApp: cuando el destinatario lo abra verá el secreto una sola vez y el mensaje se borrará del servidor.
Un truco que vale la pena adoptar: envía el enlace por un canal y la contraseña de acceso por otro —el enlace por correo, la contraseña por teléfono. Así ninguno de los dos canales sirve de nada por sí solo.
Y si el enlace no llega a abrirse nunca, se autodestruye igualmente al caducar. Un secreto olvidado deja de ser un problema pendiente.
¿Qué pasa por dentro cuando creas un secreto?
Esta es la parte que nos importa como empresa de seguridad: no tienes que creernos a ciegas. El código es abierto y se puede revisar en GitHub.
El resumen técnico:
- El cifrado ocurre en tu navegador, antes de que nada salga de tu ordenador, con AES-256-GCM: el estándar que usa todo el mundo, de la banca a tu móvil.
- La clave viaja detrás del
#de la dirección. El fragmento de una URL es la única parte que los navegadores, por diseño, no envían nunca al servidor. La clave existe en tu portapapeles y en el del destinatario; en nuestro servidor, jamás. - El servidor solo guarda texto cifrado. Ni claves, ni contenido en claro, ni direcciones IP. Si nos lo reclamaran, no tendríamos nada que entregar.
- Una lectura y basta. El registro se borra con una operación atómica en el mismo instante en que se lee: una segunda visita al mismo enlace da un 404, aunque llegue medio segundo más tarde.
- Si le pones contraseña de acceso, no la guardamos en ningún sitio: se deriva material de clave con PBKDF2-HMAC-SHA256 y 310.000 iteraciones, y el servidor solo conserva una prueba para verificarla. Cinco intentos fallidos bloquean el secreto cinco minutos —y un intento equivocado no lo quema.
Nada de esto es magia: es criptografía estándar, bien aplicada y sin servicios de terceros de por medio.
Cuándo no basta
Vale la pena ser honesto con la herramienta: Secrets resuelve el tránsito de un secreto, no su vida. Si la contraseña que envías la comparten ocho personas, no caduca nunca y no tiene segundo factor, la habrás enviado bien pero seguirás teniendo el mismo problema. Para el uso diario, un gestor de contraseñas de equipo; para los accesos críticos, doble factor siempre.
Úsala para lo que es buena: entregas puntuales, credenciales iniciales que luego se cambian, claves de API que se rotan, datos sensibles hacia un cliente o un proveedor.
Es gratuita y no pide registro: te la dejamos a mano para que la uses. Y si quieres que miremos cómo se mueven las credenciales dentro de tu empresa —suele ser una conversación corta y reveladora—, escríbenos a hola@cynderlab.com.