Cifrado de texto AES-256

Qué contiene realmente esa cadena cifrada

El resultado parece un bloque sólido de Base64, pero en realidad son tres cosas viajando juntas: la sal aleatoria usada para convertir tu contraseña en una clave, el IV aleatorio usado para este cifrado en concreto, y el propio texto cifrado. Nada de ese empaquetado es secreto — la sal y el IV pueden ser públicos, que es precisamente por lo que toda la cadena se puede publicar en un correo, un chat o un ticket sin debilitar nada. Eso también explica algo que sorprende a la gente: cifra el mismo texto con la misma contraseña dos veces y obtendrás dos cadenas completamente distintas. Ambas se descifran bien. Se generan una sal y un IV nuevos cada vez, así que ningún observador puede siquiera saber que dos mensajes contienen el mismo texto — eso es una característica cumpliendo su función, no una inconsistencia.

La manipulación se manifiesta como fallo, no como texto basura

AES-GCM es un modo autenticado, y eso cambia el aspecto que tiene un fallo. Si un solo carácter de la cadena cifrada se altera durante el trayecto — por un copiar y pegar mal hecho, una app de mensajería demasiado servicial, o alguien manipulándola de verdad — el descifrado no produce texto corrupto. Se niega en redondo. Una contraseña equivocada falla de la misma manera. Así que un descifrado exitoso certifica en silencio dos cosas a la vez: que la contraseña era correcta, y que la cadena llegó exactamente como se creó. Esa propiedad vale más de lo que parece a primera vista — con el cifrado antiguo y no autenticado, un mensaje sutilmente corrompido podía descifrarse en un texto sutilmente corrompido, y nadie se daría cuenta hasta que el número equivocado ya estuviera en el contrato equivocado. Si una cadena que debería funcionar sigue fallando aquí, sospecha primero de la copia — un último carácter que falta o un salto de línea añadido por una app de chat es mucho más habitual que una contraseña olvidada, y volver a copiar la cadena original lo arregla en segundos.

La contraseña es toda la fortaleza

Las matemáticas aquí no son el punto débil y nunca lo serán — la contraseña sí lo es. Las 250,000 rondas de estiramiento de clave hacen que cada intento sea costoso, pero ninguna cantidad de estiramiento salva algo como verano2026, y los atacantes adivinan primero lo obvio. La longitud vence al ingenio: cuatro palabras sin relación entre sí son más fuertes que ocho símbolos, y mucho más fáciles de decir por teléfono, que es exactamente cómo debería viajar una buena contraseña — por una ruta distinta a la del texto cifrado. Sé igual de realista sobre la otra cara de esa fortaleza: no hay recuperación posible. Pierde la contraseña y el texto se pierde para siempre, sin enlace para restablecerla y sin puerta trasera, ni siquiera para nosotros — nada salió jamás de tu navegador como para que hubiera una copia.

Lo que el cifrado no oculta

Sinceridad sobre los límites: cifrar el texto oculta su contenido, no su existencia. Cualquiera que esté observando el canal sigue viendo que enviaste algo, más o menos cuánto mide, y cuándo. Tampoco puede proteger un mensaje de la persona a la que se lo envías — el cifrado protege el trayecto, no el criterio del destinatario, así que comparte la contraseña solo con alguien a quien le confiarías el propio texto plano. Y en el momento en que tu contacto lo descifra, el resultado vuelve a ser texto plano corriente — sin ninguna protección en cuanto se pega en un documento o se reenvía. Así que trátalo como un sobre resistente para el trayecto, no como una caja fuerte permanente. Dos compañeros naturales redondean el flujo de trabajo: el generador de contraseñas produce el tipo de frase de contraseña larga y aleatoria que esto merece, y cuando lo que necesitas proteger es todo un documento en lugar de un fragmento de texto, la herramienta de bloqueo de PDF lo sella en un PDF protegido con PIN.

Cómo mantiene esto el texto privado

Tu contraseña nunca viaja a ningún sitio — de ella se deriva localmente una clave de cifrado única (PBKDF2, 250,000 iteraciones) con una sal aleatoria, y luego AES-256-GCM cifra el texto con un IV aleatorio. La sal y el IV se incluyen en la cadena de salida, así que para descifrar solo hace falta la contraseña, sin ningún valor extra que llevar la cuenta.