Nube cifrada: diferencias entre cifrado en tránsito, en reposo y de extremo a extremo
Una nube cifrada no protege siempre lo mismo. El cifrado en tránsito protege el archivo mientras viaja por internet; el cifrado en reposo, mientras está guardado en los servidores del proveedor; y el cifrado de extremo a extremo lo cifra en tu dispositivo con una clave que el proveedor no tiene. Google Drive, OneDrive y Dropbox aplican los dos primeros por defecto; el tercero exige un servicio diseñado para ello o una edición concreta, y cambia la forma de trabajar.
Cifrado en la nube: en tránsito, en reposo y de extremo a extremo
Cuando un proveedor promete «cifrado», casi nunca miente, pero rara vez dice cuál. Esa palabra cubre tres protecciones distintas que actúan en tres momentos de la vida de un archivo, y distinguirlas es parte de la protección de tus archivos en la nube. Google, por ejemplo, indica que los archivos de Drive se cifran en tránsito y en reposo con AES de 256 bits: son dos de las tres.
La respuesta corta: el cifrado en tránsito protege el viaje, el cifrado en reposo protege el almacén y el cifrado de extremo a extremo protege el archivo incluso frente al proveedor. Los dos primeros vienen incluidos en los grandes servicios sin que hagas nada. El tercero hay que buscarlo.
En tránsito: el archivo viaja en un sobre cerrado
Cada vez que subes o descargas un archivo, viaja por redes que no controlas: la wifi de un coworking, el router de un hotel, los cables de tu operador. El cifrado en tránsito, normalmente con el protocolo TLS, convierte ese viaje en un sobre cerrado. Microsoft explica en su página sobre cómo protege OneDrive los datos que usa TLS tanto hacia el servicio como entre sus centros de datos, y que redirige a HTTPS las conexiones que llegan sin cifrar.
Su límite es evidente: protege el trayecto, no el destino. Cuando el sobre llega, se abre.
En reposo: guardado bajo llave, pero la llave es del proveedor
El cifrado en reposo protege los archivos mientras están almacenados en los discos del proveedor. Según Microsoft, en OneDrive cada archivo tiene su propia clave AES de 256 bits, protegida a su vez por claves maestras que gestiona la propia compañía. Dropbox anuncia también AES de 256 bits para los archivos en reposo y TLS para los que viajan.
Esto te protege si alguien se lleva un disco de un centro de datos: sin las claves, no verá nada útil. Pero las claves las administra el proveedor, y su servicio necesita leer tus archivos para mostrarte una vista previa, buscar dentro de un PDF o dejarte editar un documento en el navegador. Es un cifrado pensado para el almacén, no para guardar secretos frente a quien lo gestiona.
De extremo a extremo: la clave se queda contigo
En el cifrado de extremo a extremo, el archivo se cifra en tu dispositivo antes de salir y solo se descifra en un dispositivo autorizado por ti. Proton, por ejemplo, afirma en su página de seguridad de Proton Drive que nadie, ni siquiera la propia empresa, puede acceder a tus archivos ni ver sus nombres sin tu permiso.
Google ofrece algo parecido dentro de Workspace, el cifrado del lado del cliente, pero solo en algunas ediciones: según su documentación para administradores, Enterprise Plus, Frontline Plus, Education Standard y Education Plus, con un servicio de claves externo. El precio funcional es claro en la propia ayuda de Google: en un archivo cifrado así no pueden editar dos personas a la vez, y desaparecen la vista previa, los comentarios en archivos de Drive y la edición desde la aplicación móvil.
Hay otro precio, menos visible. Si la clave depende de tu contraseña y la pierdes, el proveedor no puede rescatarte. Proton advierte de que, sin métodos de recuperación configurados de antemano (una frase o un archivo de recuperación, por ejemplo), puedes perder el acceso a tus datos de forma permanente.
Qué protege cada tipo de cifrado
Esta tabla resume lo anterior con datos de los proveedores consultados en octubre de 2026:
| En tránsito | En reposo | De extremo a extremo | |
|---|---|---|---|
| Cuándo actúa | Mientras el archivo viaja | Mientras está guardado en el servidor | Desde que sale de tu dispositivo |
| Quién gestiona la clave | El servicio, durante la conexión | El proveedor | Tú o tu empresa |
| Te protege de | Quien espía la red | El robo de un disco del centro de datos | También del proveedor y de quien entre en sus servidores |
| No te protege de | Lo que ocurra en el servidor | Que el proveedor pueda leer los archivos | Una cuenta robada o un dispositivo infectado |
| Qué pierdes | Nada | Nada | Coedición, vista previa o búsqueda, según el servicio |
| Ejemplos | Todos los grandes servicios | Google Drive, OneDrive, Dropbox | Proton Drive; cifrado del lado del cliente de Google Workspace en algunas ediciones |
Cuándo compensa cifrar de extremo a extremo
La pregunta no es si el cifrado de extremo a extremo es mejor, sino si tus archivos lo justifican frente a lo que cuesta en comodidad.
- Compensa si guardas información cuya filtración sería grave aunque viniera del propio proveedor: informes clínicos, expedientes de un despacho, documentación de identidad de clientes, secretos de un producto.
- Compensa a medias si solo una parte de los archivos es delicada. Puedes mantener la nube habitual para el trabajo diario y cifrar aparte una carpeta.
- No compensa si el equipo coedita documentos varias veces al día y los archivos no contienen nada especialmente sensible: perderías funciones para protegerte de un riesgo pequeño.
Una psicóloga que trabaja sola en Santiago de Chile, con informes clínicos de sus pacientes, encaja en el primer caso. Una agencia de contenidos de seis personas en Monterrey, que reescribe a varias manos los textos de sus clientes, encaja en el tercero.
Una alternativa sin cambiar de proveedor
Si tu nube actual te sirve pero una carpeta concreta te preocupa, no hace falta mudarse. Una herramienta instalada en tu ordenador (computadora) puede cifrar por tu cuenta lo más delicado antes de que salga, de modo que el proveedor solo reciba archivos ilegibles.
La puerta que ningún cifrado cierra
Todo lo anterior protege los archivos frente a quien no tiene acceso a tu cuenta. Si alguien inicia sesión con tu contraseña, el servicio le mostrará los archivos descifrados, como a ti. Por eso, antes de pensar en cifrados avanzados, conviene exigir un segundo factor al iniciar sesión en todas las cuentas del negocio.