Cómo proteger un archivo ZIP con contraseña

Una contraseña no siempre es cifrado

La mayoría de las herramientas de archivado pondrán encantadas una contraseña a un ZIP, pero no todas lo protegen igual. El formato ZIP admite dos esquemas de cifrado: el cifrador heredado ZipCrypto, que es rápido y débil, y WinZip AES, que es lento de atacar y fuerte. Varias herramientas todavía usan ZipCrypto por defecto, así que la parte más importante de proteger un ZIP es elegir AES-256 a propósito.

Windows: el ZIP integrado no puede hacerlo

La función Comprimir en ZIP integrada en el Explorador de archivos de Windows no puede añadir una contraseña en absoluto. Crea archivos ordinarios, sin cifrar, y no ofrece ningún campo de contraseña en todo el proceso. Para cifrar un ZIP en Windows necesitas una herramienta aparte.

Windows: 7-Zip con AES-256

7-Zip es gratuito, de código abierto y la forma más fiable de crear un ZIP cifrado con AES en Windows. La única pega es que su método de cifrado predeterminado para el formato ZIP es el débil ZipCrypto, así que debes cambiarlo tú mismo.

1. Instala 7-Zip. Descárgalo del sitio oficial, 7-zip.org, y ejecuta el instalador.
2. Selecciona tus archivos. En el Explorador de archivos, selecciona el archivo o la carpeta, haz clic derecho y elige 7-Zip, luego Agregar al archivo comprimido.
3. Elige el formato ZIP. En el cuadro de diálogo, establece Formato del archivo comprimido en zip.
4. Configura AES-256. En la sección Cifrado, abre el menú Método de cifrado y cámbialo de ZipCrypto a AES-256.
5. Introduce una frase de contraseña fuerte. Escribe una frase de contraseña larga y única en los campos Ingresar contraseña y Reingresar contraseña.
6. Crea el archivo. Haz clic en Aceptar. El .zip resultante queda cifrado con AES-256.

Queda un límite. En el formato ZIP, los nombres de archivo de dentro del archivo no se cifran, así que permanecen visibles incluso después de establecer una contraseña. Si los propios nombres son sensibles, cambia Formato del archivo comprimido a 7z, que habilita la opción Cifrar nombres de archivo, o coloca primero los archivos dentro de un único contenedor.

Confirma el resultado. Abre el nuevo ZIP en 7-Zip (haz clic derecho sobre él, elige 7-Zip y luego Abrir archivo comprimido). Verás la lista de nombres de archivo, porque ZIP no los cifra, y la columna Método debería indicar AES-256 Deflate. Haz doble clic en uno de los archivos: 7-Zip debería pedirte la contraseña. Si un archivo se abre sin pedirla, o si el método empieza por ZipCrypto, crea el ZIP de nuevo con el Método de cifrado configurado en AES-256. El Explorador de archivos de Windows también muestra los nombres, pero no puede abrir entradas AES, así que en este punto un error del Explorador es lo esperado.

macOS: usa Keka o 7-Zip, no el zip integrado

macOS puede crear un ZIP cifrado desde la Terminal con zip -e comprimido.zip archivo, pero ese comando usa el débil cifrador ZipCrypto, así que no es una buena opción para datos sensibles. El propio comando Comprimir del Finder tiene la misma limitación que el Explorador de Windows: crea un archivo sin cifrar y sin ninguna opción de contraseña. Para una protección real, usa una herramienta que admita AES. Keka es una aplicación de Mac sencilla, pero sus ZIP usan el esquema heredado Zip 2.0 salvo que actives AES: keka.io indica que Keka aplica la "especificación de cifrado AES-256 para tus archivos 7z y la especificación de cifrado heredada Zip 2.0 para tus archivos Zip". Las versiones actuales de Keka tienen dos controles para ello: la casilla Encriptar utilizando AES-256 entre sus opciones avanzadas de compresión, y Utilizar AES-256 al encriptar ficheros ZIP (menos compatible) en sus ajustes. Marca uno antes de comprimir, o usa el formato 7z de Keka, que ya es AES-256. En cualquier caso, comprueba el resultado después en la Terminal: zipinfo -v comprimido.zip indica una entrada WinZip AES como compression method: unknown (99), así que una entrada cifrada que muestra un método como deflated no es WinZip AES. 7-Zip es otra opción, pero en macOS es un programa de consola: 7-zip.org solo ofrece para Mac una versión de consola, que se usa desde la Terminal.

Elegir una frase de contraseña que no perderás

El cifrado fuerte solo ayuda si la frase de contraseña es fuerte, así que usa algo largo y único en lugar de una palabra corta que reutilizas en otros sitios. Una cadena aleatoria de un gestor de contraseñas funciona bien, y también una frase de contraseña construida a partir de varias palabras no relacionadas; cualquiera es mucho más fuerte que una sola palabra de diccionario con un número añadido al final. AES-256, además, está hecho para no perdonar. Una frase de contraseña lo bastante fuerte para detener a un atacante es igualmente capaz de dejarte fuera para siempre, porque no hay puerta trasera ni reinicio. Guárdala en un gestor de contraseñas en el momento en que crees el archivo.

Sáltate el ZIP integrado, elige AES-256 en 7-Zip o Keka, y registra la frase de contraseña de forma segura. Si más adelante necesitas una copia sin proteger, quitar la contraseña de un ZIP consiste en extraerlo y volver a comprimirlo sin ella. Si quieres entender lo que estás activando, la introducción a los archivos ZIP cifrados y la nota sobre qué seguridad tienen los ZIP protegidos cubren el razonamiento detrás de cada elección.