Por qué el cifrado de extremo a extremo importa para la edición de PDFs

Necesitas redactar (eliminación permanente de contenido) un número de seguridad social de un formulario escaneado. O firmar un documento de admisión de paciente antes de enviarlo a un especialista. O eliminar una cifra salarial de un archivo de RR. HH. antes de reenviarlo a alguien fuera de tu empresa. Abres un navegador, buscas un editor de PDF online y subes el archivo.

Lo que le ocurre a ese documento a continuación es algo en lo que la mayoría de la gente nunca piensa.

Cómo manejan tus archivos la mayoría de herramientas online de PDF

Cuando subes un archivo a un editor de PDF web típico, el archivo viaja a un servidor remoto propiedad de esa empresa. El servidor lo abre, lo procesa — rotando páginas, aplicando redacciones, aplanando campos de formulario — y luego o te envía el resultado de vuelta o almacena una copia temporalmente.

Durante todo ese proceso, el PDF es legible en su infraestructura. Un empleado con acceso al servidor podría abrirlo. Un requerimiento judicial o solicitud gubernamental podría obligar a la empresa a entregarlo. Un bucket de S3 mal configurado, una brecha en su base de datos o una copia de seguridad comprometida podría exponerlo.

La mayoría de proveedores son transparentes sobre almacenar archivos durante una ventana corta — unas horas o un día — antes de eliminarlos. Eso es una mejora significativa sobre el almacenamiento indefinido, pero "eliminado eventualmente" no es lo mismo que "nunca legible". El archivo existió en texto en claro en sus sistemas, y esa ventana es la superficie de ataque.

El modelo de confianza es: confías en la empresa, en sus empleados, en su infraestructura, en sus prácticas de seguridad y en su jurisdicción legal. Para un documento casual está bien. Para cualquier cosa sensible, es un salto significativo.

Qué significa realmente el cifrado de extremo a extremo

El cifrado de extremo a extremo (E2EE) cambia el modelo de confianza fundamentalmente.

Con E2EE, el cifrado ocurre en tu navegador antes de que el archivo salga de tu dispositivo. Para cuando algún byte llega a un servidor, ya está mezclado en texto cifrado — indistinguible de datos aleatorios sin la clave. El servidor almacena ese texto cifrado, pero no puede leerlo. El descifrado ocurre en tu navegador cuando vuelves a abrir el documento.

La parte de "extremo a extremo" se refiere a los dos extremos: tu dispositivo es un extremo, y el destinatario (o tu yo futuro abriendo el archivo) es el otro. El servidor se sitúa en medio y se mantiene deliberadamente ciego.

Este es el mismo modelo usado por apps de mensajería cifrada como Signal. La diferencia es que aplicarlo al almacenamiento y edición de archivos — donde necesitas guardar, recargar y modificar documentos — requiere un enfoque más estratificado que un simple intercambio de mensajes.

Cómo funciona el cifrado de RedaktPDF

RedaktPDF usa una jerarquía de claves diseñada para que al servidor se le impida criptográficamente acceder a tus documentos — no solo comprometido contractualmente con la privacidad, sino técnicamente incapaz.

Cuando activas el cifrado, tu contraseña pasa por PBKDF2 (600.000 iteraciones) para derivar una clave maestra. Esa clave maestra nunca sale de tu navegador. Se usa para envolver una clave de cifrado de claves (KEK), que a su vez envuelve una clave de archivo (FK) por documento. Las versiones envueltas de estas claves — que son inútiles sin tu contraseña — se almacenan en el servidor. Las versiones en texto en claro existen solo en memoria en la pestaña de tu navegador.

Cuando subes un documento, el navegador cifra los bytes del PDF, las imágenes de página y el texto extraído usando AES-256-GCM con la clave de archivo antes de enviar dato alguno. Lo que recibe el servidor son blobs cifrados. Cuando vuelves a abrir el documento, el navegador descarga esos blobs, deriva las claves de tu contraseña y descifra localmente. El servidor nunca participa en el paso de descifrado.

Cuando exportas desde el editor de PDF seguro, el documento editado se ensambla y descarga directamente desde tu navegador — nunca se vuelve a subir al servidor en forma descifrada.

El resultado práctico: incluso si la base de datos del servidor se viera comprometida mañana, el atacante tendría un montón de datos cifrados y claves envueltas que no puede desenvolver sin tu contraseña.

Cuándo importa más el cifrado E2E

No todo PDF necesita cifrado. Una receta que escaneaste, una entrada de concierto, un folleto — no son sensibles. Pero una parte sorprendentemente grande de los documentos que la gente edita online son sensibles, incluso cuando quien los sube no se detiene a pensarlo:

Las historias clínicas son el caso más claro. HIPAA exige a las entidades cubiertas proteger la información sanitaria de los pacientes, y la definición de "protegida" se extiende a cualquier proveedor que uses para procesar esa información. Subir un historial de paciente a una herramienta online estándar puede violar tus obligaciones de cumplimiento independientemente de la política de privacidad del proveedor.

Los documentos legales — contratos, acuerdos de conciliación, documentos de planificación patrimonial — a menudo contienen términos o cifras financieras que una parte tiene fuertes razones para mantener confidenciales. Encaminarlos a través de un servidor de terceros crea un riesgo de discovery que quizá no habías considerado.

Los estados financieros — declaraciones de impuestos, exportaciones de cuentas de corretaje, solicitudes de préstamo — contienen exactamente los datos que buscan los ladrones de identidad. Números de seguridad social, números de cuenta, cifras de ingresos. Antes de compartir cualquiera de estos, primero redacta los campos sensibles, luego cifra el documento para el envío.

Los documentos de RR. HH. — ofertas de trabajo, evaluaciones de desempeño, datos de compensación, acuerdos de despido — pueden exponer a individuos y crear responsabilidad legal si se divulgan.

Cualquier documento con PII — nombres combinados con direcciones, fechas de nacimiento, números de identificación gubernamental o información médica — conlleva riesgo bajo las leyes de privacidad en la mayoría de jurisdicciones.

Si estás editando cualquiera de estos, la pregunta no es si el cifrado importa. Es si la herramienta que estás usando lo proporciona.

Contra qué no protege el cifrado E2E

Vale la pena ser claro sobre los límites, porque sobrevender la seguridad de cualquier sistema es su propia forma de engañar.

E2EE no impide capturas de pantalla. Alguien con acceso a tu pantalla — vía compartir pantalla, malware o proximidad física — puede capturar lo que se muestra. El cifrado protege los datos en tránsito y en reposo, no los datos que se están renderizando en pantalla.

E2EE no protege contra un dispositivo comprometido. Si tu navegador, sistema operativo o dispositivo ha sido comprometido por malware, un atacante puede interceptar los datos descifrados antes de que ocurra el cifrado o después de que se complete el descifrado. El cifrado no sustituye a la seguridad del dispositivo.

E2EE no significa zero-knowledge si compartes. Si envías un documento cifrado a un colaborador, recibe una copia. Esa copia se descifra en su dispositivo. Lo que le pase después está fuera de tu control. E2EE protege el documento de la infraestructura, no de las personas con quienes lo compartes.

E2EE no protege los metadatos de tu cuenta. Tu dirección de correo, los nombres de documentos, marcas de tiempo y patrones de acceso no están cifrados. El servidor sabe que has subido un documento y cuándo — solo que no puede leer qué contiene.

Estas no son razones para evitar el cifrado. Son razones para entender qué problema resuelve el cifrado y qué problemas requieren soluciones distintas.

El comportamiento por defecto debería ser mejor

La mayoría de herramientas online están por defecto en procesamiento en servidor con texto en claro porque es más sencillo de construir y más sencillo de explicar. El cifrado requiere más ingeniería — gestión de claves, criptografía del lado del navegador, manejo cuidadoso de cambios de contraseña y recuperación.

Pero "más sencillo de construir" no es una buena razón para exponer tus documentos. Para las categorías de archivos que importan — médicos, legales, financieros, cualquier cosa con información personal — el comportamiento por defecto debería ser que el proveedor del servicio no pueda leer tus datos aunque quisiera.

Eso es lo que proporciona el cifrado de extremo a extremo, y es alrededor de lo que está construido el editor de PDF seguro en RedaktPDF.