Cifrar un archivo ZIP es solo tan fuerte como las decisiones a su alrededor: el esquema que eliges, la frase de contraseña que escoges y cómo la guardas y la compartes. Acierta en eso y un ZIP es una forma perfectamente razonable de proteger archivos. Los valores predeterminados, sin embargo, juegan en tu contra: muchos compresores todavía eligen el esquema heredado, y la forma más fácil de enviar un secreto es el mismo correo que el archivo. Un gestor de contraseñas elimina el tercer punto débil, tener que recordar la frase de contraseña, y hace que los otros dos sean más fáciles de acertar.

Elige AES, no ZipCrypto

Esta es la decisión más importante. Muchas herramientas aún usan de forma predeterminada el esquema heredado por compatibilidad, así que a menudo tienes que seleccionar el cifrado fuerte explícitamente.

  • En 7-Zip, mantén el formato del archivo como zip y elige AES-256 como método de cifrado, o usa el formato 7z, que siempre usa AES.
  • En WinZip, Keka y herramientas similares, busca una opción de AES o de “cifrado fuerte” en lugar de la heredada.
  • Ten cuidado con cualquier compresor cuya opción de contraseña ZIP solo ofrezca el esquema antiguo (7-Zip usa ZipCrypto por defecto para .zip hasta que cambies el método), porque eso produce el formato débil. Las opciones de compresión del Explorador de archivos y del Finder no pueden añadir contraseña; zip -e en el Terminal de macOS sí puede, pero solo con el débil ZipCrypto.

Nuestra descripción general del cifrado AES para archivos ZIP explica qué lo hace fuerte.

Elige una frase de contraseña, no una contraseña

La longitud es el factor dominante. La derivación de clave de AES ya es fuerte, así que a un atacante que no puede romper el algoritmo solo le queda adivinar, y el paso PBKDF2 del formato ralentiza cada intento. Lo que decide el resultado es cuántos intentos hacen falta, y ese número crece rápidamente con la longitud y la imprevisibilidad.

  • Prefiere una frase de contraseña de varias palabras no relacionadas antes que una cadena corta y compleja. La longitud añade mucha más resistencia que cambiar una a por una @.
  • Evita nombres, fechas y cualquier cosa vinculada al contenido del archivo o a su destinatario.
  • No reutilices una frase de contraseña que uses en cualquier otro sitio.

Deja que un gestor de contraseñas haga la parte difícil

Un gestor de contraseñas es la verdadera solución al lado humano del problema. Genera frases de contraseña largas y aleatorias que nunca tienes que memorizar, y las guarda de forma segura, vinculadas al nombre del archivo o al proyecto, para que puedas encontrarlas de nuevo más tarde. Rellenarlas cuando hacen falta y mantener un registro cifrado y respaldado viene incluido.

El gestor solo ayuda si la entrada se puede encontrar y si compartir pasa por él:

  • Guarda la frase de contraseña del archivo como su propia entrada, con el nombre del archivo en el título y una nota que describa qué protege.
  • Cuando otra persona necesite la frase de contraseña, usa la función de compartir seguro del gestor en lugar del chat o el correo.
  • Protege el gestor en sí con una frase de contraseña maestra fuerte y un segundo factor, porque ahora guarda la llave de todos los archivos que has creado.

Opciones más débiles frente a más fuertes de un vistazo

Elección Más débil Más fuerte
Esquema ZipCrypto WinZip AES-256
Secreto Contraseña corta y reutilizada Frase de contraseña larga y única
Almacenamiento Memoria o una nota adhesiva Entrada en el gestor de contraseñas
Compartir El mismo correo que el archivo Fuera de banda o compartir seguro

Protege más que el contenido

Una contraseña de ZIP cubre menos de lo que la gente supone. Protege el contenido de cada entrada, y no hace nada por los nombres de archivo, por el canal por el que viaja la frase de contraseña ni por la supervivencia del propio archivo.

  • El ZIP estándar deja legible el directorio, así que los nombres y tamaños son visibles incluso cuando el contenido está cifrado. Si los nombres en sí son sensibles, usa un contenedor que cifre la cabecera, como el formato 7z con el cifrado de cabecera activado, o coloca el archivo dentro de un volumen cifrado.
  • Nunca envíes la frase de contraseña junto con el archivo. Compártela por un canal completamente distinto, de modo que interceptar uno no revele el otro.
  • Un archivo cifrado sigue siendo solo un archivo, y una copia perdida son datos perdidos. Mantén una copia de seguridad.

Confirma que se abre antes de depender de él

Haz una prueba en seco. Después de crear el archivo, cierra tus herramientas y ábrelo de nuevo usando la frase de contraseña guardada, idealmente en el mismo dispositivo que realmente la necesitará. Esto detecta pronto dos errores comunes: una frase de contraseña que se escribió mal al configurarla, y un destinatario cuyo software no admite la variante AES que elegiste. Una comprobación breve ahora evita un archivo bloqueado más tarde, cuando los datos de origen originales quizá ya no estén a mano.

Si alguna vez pierdes el acceso

Incluso con buenos hábitos, una frase de contraseña ocasionalmente se extravía. Si es tu propio archivo, empieza con el enfoque tranquilo y metódico de nuestra guía sobre qué hacer cuando olvidas una contraseña de ZIP, y recuerda que la recuperación es realista principalmente cuando puedes estrechar la búsqueda con algo que recuerdes. La recuperación en el dispositivo está disponible en la página de recuperación, y nunca sube tu archivo.

Esto se aplica solo a archivos que te pertenezcan o que estés autorizado a acceder.

Nuestra descripción general de seguridad explica los principios detrás de estos hábitos, y por qué mantener el trabajo sensible en tu propio dispositivo es el valor predeterminado más seguro.

Fuentes