# Nube cifrada: diferencias entre cifrado en tránsito, en reposo y de extremo a extremo

> Qué protege cada tipo de cifrado en Google Drive, OneDrive, Dropbox o Proton Drive, quién guarda la clave y cuándo compensa cifrar de extremo a extremo.

Una **nube cifrada** no protege siempre lo mismo. El cifrado en tránsito protege el archivo mientras viaja por internet; el cifrado en reposo, mientras está guardado en los servidores del proveedor; y el cifrado de extremo a extremo lo cifra en tu dispositivo con una clave que el proveedor no tiene. Google Drive, OneDrive y Dropbox aplican los dos primeros por defecto; el tercero exige un servicio diseñado para ello o una edición concreta, y cambia la forma de trabajar.

**En resumen**

1. Google Drive, OneDrive y Dropbox cifran los archivos en tránsito y en reposo con AES de 256 bits, pero las claves las gestiona el proveedor.
2. Con el cifrado de extremo a extremo, los archivos se cifran en el dispositivo y ni el proveedor ni quien acceda a sus servidores puede leerlos.
3. Ningún tipo de cifrado protege frente a una cuenta robada: quien inicia sesión con tu contraseña ve los archivos descifrados.


## Cifrado en la nube: en tránsito, en reposo y de extremo a extremo

Cuando un proveedor promete «cifrado», casi nunca miente, pero rara vez dice cuál. Esa palabra cubre tres protecciones distintas que actúan en tres momentos de la vida de un archivo, y distinguirlas es parte de [la protección de tus archivos en la nube](/guias/almacenamiento-en-la-nube/seguridad/). Google, por ejemplo, indica que los archivos de Drive [se cifran en tránsito y en reposo con AES de 256 bits](https://support.google.com/docs/answer/10519333?hl=es): son dos de las tres.

La respuesta corta: el cifrado **en tránsito** protege el viaje, el cifrado **en reposo** protege el almacén y el cifrado **de extremo a extremo** protege el archivo incluso frente al proveedor. Los dos primeros vienen incluidos en los grandes servicios sin que hagas nada. El tercero hay que buscarlo.

![Esquema de tres filas que muestra dónde está cifrado un archivo en tres momentos: en tu ordenador, por internet y en el servidor del proveedor. Con cifrado solo en tránsito, el archivo está legible en el ordenador, cifrado con TLS por internet y legible en el servidor. Con cifrado en tránsito y en reposo, lo habitual, está legible en el ordenador, cifrado por internet y cifrado en el servidor, con la clave en manos del proveedor. Con cifrado de extremo a extremo, el archivo se cifra en tu ordenador antes de salir, viaja cifrado y queda cifrado en un servidor que no tiene la clave.](/images/esquemas/almacenamiento-en-la-nube/seguridad-tres-cifrados.svg)

### En tránsito: el archivo viaja en un sobre cerrado

Cada vez que subes o descargas un archivo, viaja por redes que no controlas: la wifi de un coworking, el router de un hotel, los cables de tu operador. El cifrado en tránsito, normalmente con el protocolo TLS, convierte ese viaje en un sobre cerrado. Microsoft explica en su página sobre [cómo protege OneDrive los datos](https://support.microsoft.com/es-ES/onedrive/how-onedrive-safeguards-your-data-in-the-cloud) que usa TLS tanto hacia el servicio como entre sus centros de datos, y que redirige a HTTPS las conexiones que llegan sin cifrar.

Su límite es evidente: protege el trayecto, no el destino. Cuando el sobre llega, se abre.

### En reposo: guardado bajo llave, pero la llave es del proveedor

El cifrado en reposo protege los archivos mientras están almacenados en los discos del proveedor. Según Microsoft, en OneDrive cada archivo tiene su propia clave AES de 256 bits, protegida a su vez por claves maestras que gestiona la propia compañía. Dropbox anuncia también AES de 256 bits para los archivos en reposo y TLS para los que viajan.

Esto te protege si alguien se lleva un disco de un centro de datos: sin las claves, no verá nada útil. Pero las claves las administra el proveedor, y su servicio necesita leer tus archivos para mostrarte una vista previa, buscar dentro de un PDF o dejarte editar un documento en el navegador. Es un cifrado pensado para el almacén, no para guardar secretos frente a quien lo gestiona.

### De extremo a extremo: la clave se queda contigo

En el cifrado de extremo a extremo, el archivo se cifra en tu dispositivo antes de salir y solo se descifra en un dispositivo autorizado por ti. Proton, por ejemplo, afirma en su [página de seguridad de Proton Drive](https://proton.me/es/drive/security) que nadie, ni siquiera la propia empresa, puede acceder a tus archivos ni ver sus nombres sin tu permiso.

Google ofrece algo parecido dentro de Workspace, el cifrado del lado del cliente, pero solo en algunas ediciones: según su [documentación para administradores](https://knowledge.workspace.google.com/admin/security/about-client-side-encryption?hl=es), Enterprise Plus, Frontline Plus, Education Standard y Education Plus, con un servicio de claves externo. El precio funcional es claro en la propia ayuda de Google: en un archivo cifrado así no pueden editar dos personas a la vez, y desaparecen la vista previa, los comentarios en archivos de Drive y la edición desde la aplicación móvil.

Hay otro precio, menos visible. Si la clave depende de tu contraseña y la pierdes, el proveedor no puede rescatarte. Proton advierte de que, sin métodos de recuperación configurados de antemano (una frase o un archivo de recuperación, por ejemplo), [puedes perder el acceso a tus datos de forma permanente](https://proton.me/support/recover-encrypted-messages-files).

### Qué protege cada tipo de cifrado

Esta tabla resume lo anterior con datos de los proveedores consultados en octubre de 2026:

| | En tránsito | En reposo | De extremo a extremo |
|---|---|---|---|
| Cuándo actúa | Mientras el archivo viaja | Mientras está guardado en el servidor | Desde que sale de tu dispositivo |
| Quién gestiona la clave | El servicio, durante la conexión | El proveedor | Tú o tu empresa |
| Te protege de | Quien espía la red | El robo de un disco del centro de datos | También del proveedor y de quien entre en sus servidores |
| No te protege de | Lo que ocurra en el servidor | Que el proveedor pueda leer los archivos | Una cuenta robada o un dispositivo infectado |
| Qué pierdes | Nada | Nada | Coedición, vista previa o búsqueda, según el servicio |
| Ejemplos | Todos los grandes servicios | Google Drive, OneDrive, Dropbox | Proton Drive; cifrado del lado del cliente de Google Workspace en algunas ediciones |

### Cuándo compensa cifrar de extremo a extremo

La pregunta no es si el cifrado de extremo a extremo es mejor, sino si tus archivos lo justifican frente a lo que cuesta en comodidad.

- **Compensa** si guardas información cuya filtración sería grave aunque viniera del propio proveedor: informes clínicos, expedientes de un despacho, documentación de identidad de clientes, secretos de un producto.
- **Compensa a medias** si solo una parte de los archivos es delicada. Puedes mantener la nube habitual para el trabajo diario y cifrar aparte una carpeta.
- **No compensa** si el equipo coedita documentos varias veces al día y los archivos no contienen nada especialmente sensible: perderías funciones para protegerte de un riesgo pequeño.

Una psicóloga que trabaja sola en Santiago de Chile, con informes clínicos de sus pacientes, encaja en el primer caso. Una agencia de contenidos de seis personas en Monterrey, que reescribe a varias manos los textos de sus clientes, encaja en el tercero.

### Una alternativa sin cambiar de proveedor

Si tu nube actual te sirve pero una carpeta concreta te preocupa, no hace falta mudarse. Una herramienta instalada en tu ordenador (computadora) puede [cifrar por tu cuenta lo más delicado antes de que salga](/guias/almacenamiento-en-la-nube/seguridad/cifrar-antes-de-subir/), de modo que el proveedor solo reciba archivos ilegibles.

### La puerta que ningún cifrado cierra

Todo lo anterior protege los archivos frente a quien no tiene acceso a tu cuenta. Si alguien inicia sesión con tu contraseña, el servicio le mostrará los archivos descifrados, como a ti. Por eso, antes de pensar en cifrados avanzados, conviene [exigir un segundo factor al iniciar sesión](/guias/almacenamiento-en-la-nube/seguridad/verificacion-en-dos-pasos/) en todas las cuentas del negocio.