Cifrado en reposo y en tránsito: qué protege cada uno

La respuesta corta: el cifrado en tránsito protege tu información mientras viaja entre tu dispositivo y los servidores; el cifrado en reposo la protege cuando ya está guardada en un disco o una base de datos. Ninguno sustituye al otro: son dos capas complementarias e indispensables para que nadie lea tus correos, citas o tareas sin autorización.

En las fichas técnicas y en las políticas de seguridad de cualquier aplicación actual verás menciones constantes a estos dos conceptos. Aunque ambos utilizan algoritmos matemáticos para transformar datos legibles en un galimatías indescifrable, actúan en momentos completamente distintos del ciclo de vida de la información.

En tránsito: el túnel cerrado por la red

Cada vez que abres tu bandeja de entrada, consultas tu calendario o marcas una tarea como hecha, tu dispositivo intercambia información con uno o varios servidores a través de internet. Esa información pasa por cables, antenas, centros de conmutación de operadores y routers públicos o domésticos.

El cifrado en tránsito (habitualmente mediante protocolos como TLS o HTTPS) asegura que los datos viajen en un túnel sellado:

• Impide la escucha no autorizada: si te conectas a la red wifi de un hotel, una cafetería o un aeropuerto, nadie conectado a esa misma red puede capturar tus credenciales ni leer el texto de tus mensajes mientras se transmiten.
• Garantiza la integridad: certifica que los datos que envía tu móvil o tu ordenador llegan exactamente iguales al servidor, sin que ningún intermediario haya podido modificarlos por el camino.
• Autentica el destino: permite a tu equipo confirmar que se está comunicando con el servidor legítimo del servicio y no con un impostor.

Una vez que el paquete de datos llega a su destino y entra en el servidor, este lo descifra para poder procesarlo. Ahí termina la labor del cifrado en tránsito.

En reposo: la caja fuerte de los servidores y discos

Cuando los datos ya han llegado al servidor —o cuando se almacenan de forma local en tu ordenador o tu móvil—, pasan a estar guardados en soportes físicos: discos duros, memorias de estado sólido (SSD) o copias de seguridad.

El cifrado en reposo actúa precisamente sobre esos soportes apagados o archivos almacenados:

• Protege frente al robo físico: si alguien sustrae un disco del centro de datos o se lleva un ordenador de la oficina, no podrá leer la información extrayendo la memoria, porque los archivos están bloqueados con una clave criptográfica.
• Asegura las copias de seguridad: los respaldos de bases de datos que se archivan para recuperación ante desastres permanecen cifrados ante posibles filtraciones o descuidos.
• Separa entornos: ayuda a que los datos de diferentes clientes o servicios en la nube no sean legibles entre sí a nivel de almacenamiento físico.

Qué peligros no cubre ninguno de los dos

Tener cifrado en tránsito y en reposo es el estándar básico que exige el RGPD para tratar información de forma diligente. Sin embargo, no solucionan todos los riesgos:

• Credenciales robadas: si un atacante obtiene tu contraseña mediante una filtración previa o un engaño, el sistema lo identificará como un usuario legítimo y le mostrará los datos ya descifrados.
• Permisos desmedidos: si autorizas a una app de terceros a acceder a tu cuenta, esa app leerá la información por la vía oficial. En nuestra sección de privacidad solemos insistir en revisar qué permisos pide una app que lee tu correo antes de aceptar.
• Dispositivos comprometidos: si tu propio móvil o portátil tiene programas maliciosos que registran la pantalla o el teclado, el atacante verá los datos justo en el momento en que tú los estás viendo.

Dónde se guardan y quién descifra los datos

Para que un servicio te organice la agenda, filtre tu correo o genere un resumen diario, necesita descifrar temporalmente la información en memoria para poder interpretarla. La clave aquí está en las garantías técnicas y organizativas de ese tratamiento.

En Madrugo, por ejemplo, tanto los servidores como la base de datos están alojados dentro de la Unión Europea. La información viaja siempre cifrada y se almacena cifrada en reposo. Para las funciones automáticas de síntesis, el resumen del día se apoya en modelos de IA que pueden tratar el texto fuera de la UE; no obstante, esa IA se puede apagar por completo desde los ajustes si se prefiere que el resumen se elabore únicamente en el servidor interno. Todos los detalles sobre la retención y el destino de cada dato están especificados con claridad en la política de privacidad.