9 Mejores Software de Cifrado para 2025: Un Análisis Técnico Profundo

El software de cifrado protege los datos sensibles transformándolos en un texto cifrado ilegible que solo puede revertirse con la clave criptográfica correcta. Ya sea que necesite cifrado de disco completo, protección a nivel de archivo, seguridad en almacenamiento en la nube o comunicaciones cifradas de extremo a extremo, la herramienta adecuada depende de su modelo de amenazas, entorno operativo y requisitos de gestión de claves.

Esta guía cubre las nueve soluciones de cifrado más capaces disponibles en 2025, evaluando cada una frente a escenarios de implementación del mundo real, incluidos casos extremos que las reseñas genéricas pasan por alto de manera sistemática.

Por qué la selección de software de cifrado es una decisión técnica, no solo una elección de producto

Antes de evaluar herramientas específicas, vale la pena entender qué separa las implementaciones de cifrado robustas de las superficialmente seguras. El cifrado subyacente (AES-256, ChaCha20, Serpent) importa mucho menos en la práctica que la calidad de implementación, la función de derivación de claves (KDF) y cómo la herramienta gestiona los metadatos, el almacenamiento de claves y la autenticación.

Una herramienta que usa AES-256 con una KDF débil como MD5 es dramáticamente menos segura que una que usa AES-128 con Argon2id. Del mismo modo, las afirmaciones de marketing de "conocimiento cero" deben verificarse frente a la arquitectura real, específicamente si el servidor recibe alguna vez claves en texto plano o si la derivación de claves ocurre exclusivamente del lado del cliente.

Si está ejecutando flujos de trabajo de cifrado en un entorno de servidor, por ejemplo, cifrando volúmenes de respaldo, exportaciones de bases de datos o datos de aplicaciones sensibles, la infraestructura del host importa. Un entorno de VPS Hosting con acceso root completo le brinda el control necesario para implementar y auditar el cifrado en cada capa del stack.

Las 9 mejores herramientas de software de cifrado para 2025

1. VeraCrypt

VeraCrypt es el sucesor de facto de TrueCrypt y sigue siendo el estándar de oro para el cifrado de volumen completo de código abierto y auditado. Se mantiene activamente y ha sido sometido a múltiples auditorías de seguridad independientes, la más reciente de las cuales no identificó vulnerabilidades críticas en la implementación criptográfica central.

Características técnicas clave:

• Cifrado sobre la marcha (OTFE): Los datos se cifran y descifran de forma transparente en RAM a medida que se leen o escriben en el disco. No se almacena ninguna copia descifrada en la unidad en ningún momento.
• Compatibilidad de cifrados: AES-256, Serpent-256, Twofish-256 y combinaciones en cascada (p. ej., AES-Twofish-Serpent). Los modos en cascada aumentan la seguridad teórica a un costo de rendimiento medible.
• Derivación de claves: PBKDF2-HMAC-SHA-512, PBKDF2-HMAC-Whirlpool, PBKDF2-HMAC-SHA-256 o PBKDF2-HMAC-RIPEMD-160 con un recuento de iteraciones configurable. El recuento de iteraciones predeterminado es deliberadamente alto para resistir ataques de fuerza bruta.
• Volúmenes ocultos: Un contenedor VeraCrypt puede contener dos volúmenes cifrados separados en diferentes desplazamientos: un volumen externo con datos de señuelo plausibles y un volumen interno oculto. Esto proporciona negación plausible bajo coerción.
• Cifrado del sistema con autenticación previa al arranque (PBA): Cifra la partición del sistema Windows y requiere una contraseña antes de que se cargue el sistema operativo, previniendo ataques de arranque en frío y ataques sin conexión.
• Multiplataforma: Windows, macOS (vía FUSE) y Linux.

Caso extremo crítico: La función de volumen oculto de VeraCrypt solo proporciona negación plausible si el volumen externo se usa activamente y contiene datos creíbles. Un volumen externo vacío señala inmediatamente la presencia de uno oculto a un examinador forense.

Ideal para: Personas conscientes de la seguridad, pentesters, periodistas y administradores de sistemas que necesitan cifrado de disco completo o de contenedor de código abierto y auditado con negación plausible.

2. BitLocker

BitLocker es el cifrado de volumen nativo de Microsoft, integrado en las ediciones Windows Pro, Enterprise y Education. Es la solución de cifrado de disco empresarial más ampliamente implementada en infraestructura Windows.

Características técnicas clave:

• XTS-AES-128 o XTS-AES-256: El modo XTS (modo de libro de códigos ajustado basado en XEX con robo de texto cifrado) está diseñado específicamente para el cifrado de disco y previene ciertos ataques de manipulación de bloques a los que el modo CBC es vulnerable.
• Integración con TPM 2.0: La Clave Maestra de Volumen (VMK) está sellada a los Registros de Configuración de Plataforma (PCR) del TPM. Si la cadena de arranque es manipulada (p. ej., un cargador de arranque modificado), el TPM se niega a desbloquear la clave, bloqueando los ataques sin conexión.
• Desbloqueo de red de BitLocker: En entornos de dominio, las máquinas pueden desbloquearse automáticamente durante el arranque si están conectadas a una red corporativa de confianza, eliminando la necesidad de un PIN en estaciones de trabajo administradas.
• BitLocker To Go: Extiende el cifrado a medios extraíbles (unidades USB, HDD externos) usando una contraseña o tarjeta inteligente.
• Custodia de clave de recuperación: En entornos de Active Directory o Azure AD, las claves de recuperación pueden custodiarse automáticamente, lo cual es fundamental para la gestión de claves empresariales.

Problema crítico: BitLocker en modo solo TPM (sin PIN) proporciona protección contra ataques sin conexión, pero no contra un sistema en ejecución. Un atacante con acceso físico a una máquina con sesión iniciada puede acceder a todos los datos. Para entornos de alta seguridad, combine siempre el TPM con un PIN previo al arranque.

Ideal para: Entornos empresariales centrados en Windows, flotas administradas y organizaciones que requieren integración con Active Directory, Microsoft Intune o Azure AD para la gestión centralizada de claves.

3. AxCrypt

AxCrypt está orientado a usuarios individuales y equipos pequeños que necesitan cifrado a nivel de archivo sin la complejidad de la gestión de volúmenes. Se integra directamente en el Explorador de Windows y en el Finder de macOS.

Características técnicas clave:

• AES-256 en modo CBC con HMAC-SHA-512 para cifrado autenticado, previniendo la manipulación silenciosa de datos.
• Encapsulado de claves: Las claves de cifrado de archivos se encapsulan con la clave de cuenta del usuario, lo que significa que un único cambio de contraseña se propaga a todos los archivos cifrados sin volver a cifrar los datos subyacentes.
• Carpetas seguras: Cualquier archivo colocado en una carpeta designada se cifra automáticamente al guardar y se descifra al abrir, similar a OTFE pero a nivel de archivo.
• Compartición de claves: Los archivos cifrados pueden compartirse con otros usuarios de AxCrypt añadiendo su clave pública a la lista de claves del archivo. El destinatario descifra con su propia clave privada.
• Integración con almacenamiento en la nube: Funciona de forma transparente con Dropbox, Google Drive y OneDrive cifrando los archivos antes de que se sincronicen.

Limitación crítica: El nivel gratuito de AxCrypt está significativamente restringido. La suscripción premium es necesaria para la compartición de claves, el acceso móvil y las carpetas seguras. Además, la arquitectura de AxCrypt requiere una cuenta, lo que significa que su gestión de claves está parcialmente vinculada a su servicio, una consideración para implementaciones con espacio de aire o de alta seguridad.

Ideal para: Equipos pequeños e individuos que necesitan cifrado de archivos sencillo con una interfaz gráfica, especialmente aquellos que ya usan almacenamiento en la nube.

4. NordLocker

NordLocker es desarrollado por Nord Security (la empresa detrás de NordVPN) y se posiciona como una plataforma de almacenamiento cifrado de conocimiento cero en lugar de una herramienta de cifrado local tradicional.

Características técnicas clave:

• AES-256-GCM para el cifrado simétrico de archivos, proporcionando tanto confidencialidad como integridad (cifrado autenticado).
• XChaCha20-Poly1305: Usado como cifrado alternativo, especialmente en plataformas donde la aceleración de hardware AES no está disponible, ofreciendo seguridad equivalente con mejor rendimiento de software.
• Intercambio de claves mediante Curva Elíptica Diffie-Hellman (ECDH) para el intercambio seguro de archivos entre usuarios.
• Arquitectura de conocimiento cero: La derivación de claves ocurre del lado del cliente usando Argon2id. Los servidores de NordLocker nunca reciben la clave maestra en texto plano. Esto es verificable en su documento técnico de seguridad publicado.
• Casilleros cifrados: Los archivos se organizan en "casilleros", contenedores cifrados que pueden almacenarse localmente o sincronizarse con la nube de NordLocker.

Consideración crítica: El "conocimiento cero" se aplica a las claves de cifrado, no a los metadatos. NordLocker (y servicios similares) pueden seguir registrando marcas de tiempo de acceso, recuentos de archivos y actividad de la cuenta. Para modelos de amenazas que involucran análisis de metadatos, esta distinción es significativa.

Ideal para: Individuos y pequeñas empresas que desean una experiencia de cifrado en la nube de conocimiento cero pulida sin gestionar manualmente la infraestructura criptográfica.

5. Cryptomator

Cryptomator es una herramienta de cifrado del lado del cliente gratuita y de código abierto diseñada específicamente para proteger bóvedas de almacenamiento en la nube. Es la opción más técnicamente transparente para el cifrado centrado en la nube.

Características técnicas clave:

• AES-256-SIV (IV Sintético) para el cifrado del contenido de archivos, que es resistente al uso incorrecto de nonce, una propiedad crítica cuando el mismo archivo se cifra múltiples veces.
• AES-256-CTR con HMAC-SHA-256 para el cifrado de nombres de archivos, evitando que los proveedores de nube infieran la estructura de directorios o los nombres de archivos.
• Archivo de clave maestra: La clave maestra de la bóveda se almacena cifrada en un archivo masterkey.cryptomator usando encapsulado de claves RFC 3394 con una clave derivada de la contraseña del usuario mediante scrypt.
• Sin componente de servidor: Cryptomator es puramente del lado del cliente. La estructura de la bóveda es un conjunto de archivos cifrados que pueden almacenarse en cualquier directorio, incluida una carpeta de Dropbox o Google Drive.
• Auditoría de seguridad: Cryptomator ha sido auditado de forma independiente por Cure53, con el informe completo de auditoría disponible públicamente.

Caso extremo crítico: Debido a que Cryptomator cifra los nombres de archivos y la estructura de directorios, genera una gran cantidad de archivos pequeños en el almacenamiento del proveedor de nube. Esto puede causar problemas de rendimiento de sincronización con proveedores que limitan las llamadas a la API para cuentas con muchos archivos pequeños (especialmente Google Drive con límites de velocidad del nivel gratuito).

Ideal para: Usuarios preocupados por la privacidad que desean cifrado del lado del cliente auditado y de código abierto para cualquier proveedor de almacenamiento en la nube sin dependencia de un proveedor específico.

6. GNU Privacy Guard (GPG / GnuPG)

GnuPG es una implementación completa y gratuita del estándar OpenPGP (RFC 4880) y es la herramienta de cifrado fundamental para el correo electrónico seguro, la firma de software y el cifrado de archivos en entornos similares a Unix.

Características técnicas clave:

• Cifrado asimétrico: Usa RSA (hasta 4096 bits), DSA o algoritmos modernos de curva elíptica (Ed25519 para firma, Curve25519 para cifrado) para operaciones de clave pública.
• Cifrado simétrico: Admite AES-256, Camellia-256 y otros cifrados para el cifrado de archivos basado en contraseña.
• Red de Confianza (WoT): El modelo de confianza descentralizado de GPG permite a los usuarios firmar las claves públicas de los demás, construyendo una red de identidades verificadas sin una autoridad de certificación central.
• Gestión de claves: Gestión completa de llaveros que incluye generación de claves, certificados de revocación, rotación de subclaves y publicación en servidores de claves.
• Integración de correo electrónico: Funciona con Thunderbird (vía Enigmail o soporte nativo de OpenPGP en Thunderbird 78+), Evolution y muchos otros clientes de correo.
• Firmas separadas: GPG puede generar un archivo .sig separado para verificar la integridad de cualquier archivo sin modificarlo, esencial para la distribución de software.

Caso de uso práctico en servidor: En un VPS Linux, GPG es la herramienta estándar para cifrar copias de seguridad de bases de datos antes de la transferencia remota:

# Encrypt a database dump with a recipient's public key
gpg --recipient admin@example.com --encrypt --armor database_backup.sql.gz

# Decrypt on the receiving end
gpg --decrypt database_backup.sql.gz.asc > database_backup.sql.gz

Para el cifrado automatizado de copias de seguridad en un Servidor Dedicado, GPG con una subclave de cifrado dedicada (sin expiración, almacenada sin conexión) es un patrón de nivel de producción utilizado por equipos de seguridad en todo el mundo.

Problema crítico: La interfaz de línea de comandos de GPG tiene una curva de aprendizaje notoriamente pronunciada, y los errores de gestión de claves (perder la clave privada, no crear un certificado de revocación, usar claves caducadas) son los modos de fallo más comunes. Siempre genere y almacene un certificado de revocación inmediatamente después de la creación de la clave.

Ideal para: Desarrolladores, administradores de sistemas y profesionales de seguridad que necesitan cifrado scriptable y conforme a estándares para correo electrónico, firma de archivos y pipelines de copias de seguridad automatizadas en sistemas Linux/Unix.

7. FileVault 2

FileVault 2 es la implementación de cifrado de disco completo de Apple para macOS, introducida en OS X Lion y significativamente rediseñada respecto al FileVault original (que solo cifraba el directorio de inicio).

Características técnicas clave:

• XTS-AES-128: Usa el mismo modo XTS que BitLocker, aplicado a todo el volumen APFS o HFS+.
• Integración con Secure Enclave (Apple Silicon): En los Mac con chips de la serie M, la clave de cifrado del volumen está protegida por el Secure Enclave, proporcionando aislamiento de claves respaldado por hardware equivalente al TPM en Windows.
• Opciones de clave de recuperación: Los usuarios pueden almacenar una clave de recuperación personal localmente o custodiarla con Apple (para cuentas vinculadas a iCloud). En implementaciones empresariales, las claves de recuperación pueden custodiarse a través de soluciones MDM (Gestión de Dispositivos Móviles) como Jamf o Microsoft Intune.
• Borrado instantáneo: Dado que todo el volumen está cifrado, un borrado criptográfico (destruir la clave) hace que todos los datos sean irrecuperables en segundos, fundamental para la retirada de hardware.
• FileVault en entornos empresariales: Cuando se gestiona a través de MDM, FileVault puede aplicarse como política de cumplimiento, con claves de recuperación rotadas y custodiadas automáticamente después de cada uso.

Consideración crítica: La seguridad de FileVault en los Mac Intel sin contraseña de firmware es más débil que en Apple Silicon. Un atacante con acceso físico a un Mac Intel puede arrancar desde medios externos y potencialmente acceder a la clave de recuperación de FileVault en la NVRAM si el firmware no está protegido con contraseña.

Ideal para: Usuarios de macOS tanto en contextos personales como empresariales, especialmente aquellos con Apple Silicon donde el Secure Enclave proporciona protección de claves de nivel hardware.

8. Boxcryptor

Boxcryptor fue adquirido por Dropbox a finales de 2022. A partir de 2025, el servicio independiente de Boxcryptor para nuevos clientes ha sido descontinuado, con su tecnología integrada en las funciones de cifrado nativas de Dropbox. Los clientes existentes de Boxcryptor fueron migrados a planes de Dropbox Business.

Lo que esto significa en la práctica:

• Si era usuario de Boxcryptor, su flujo de trabajo de cifrado ahora depende de la implementación de Dropbox, que usa AES-256 para datos en reposo y TLS para datos en tránsito, pero no es de conocimiento cero de forma predeterminada.
• Para usuarios que necesitan verdadero cifrado en la nube de conocimiento cero en múltiples proveedores (Google Drive, OneDrive, SharePoint), Cryptomator o NordLocker son las alternativas recomendadas actualmente.
• Para el cifrado de conocimiento cero específico de Dropbox, la función nativa "Vault" de Dropbox proporciona una capa adicional protegida por PIN, aunque no proporciona cifrado del lado del cliente en el sentido criptográfico.

Ideal para: Organizaciones ya comprometidas con el ecosistema Dropbox. Para cifrado de conocimiento cero multinube, migre a Cryptomator o NordLocker.

9. Kruptos 2

Kruptos 2 es una herramienta de cifrado de archivos comercial dirigida a usuarios de Windows y macOS que desean una solución autónoma que combine cifrado de archivos, eliminación segura y gestión de credenciales.

Características técnicas clave:

• AES-256-CBC con derivación de claves PBKDF2 para el cifrado de archivos.
• Eliminación segura de archivos: Implementa patrones de sobreescritura estándar DoD 5220.22-M (sobreescritura de múltiples pasadas) para prevenir la recuperación forense de archivos eliminados. Nota: en SSD con nivelación de desgaste, la sobreescritura de múltiples pasadas no es confiablemente efectiva, un punto que la documentación de Kruptos 2 no siempre enfatiza claramente.
• Ejecutables autodescifrados: Los archivos cifrados pueden empaquetarse como archivos .exe autodescifrados para compartirlos con destinatarios que no tienen Kruptos 2 instalado.
• Gestor de contraseñas integrado: Almacena credenciales en una bóveda cifrada con AES-256, aunque esta es una implementación básica comparada con gestores de contraseñas dedicados como Bitwarden o 1Password.
• Modo portátil: Puede ejecutarse desde una unidad USB sin instalación.

Limitación crítica: La efectividad de la función de eliminación segura en SSD modernos está fundamentalmente limitada por el funcionamiento del almacenamiento flash NAND. La nivelación de desgaste, el sobreaprovisionamiento y la reasignación del controlador de la unidad significan que los bloques lógicos sobreescritos pueden no corresponder a las mismas celdas físicas. Para SSD, el borrado criptográfico (destruir la clave de cifrado) es el único método confiable, que es exactamente cómo lo gestionan FileVault y BitLocker.

Ideal para: Usuarios de Windows que desean una herramienta de cifrado de archivos y eliminación segura portátil y todo en uno para sistemas basados en HDD, y que no requieren gestión de claves de nivel empresarial.

Tabla comparativa de software de cifrado

Cifrado en entornos de servidor y alojamiento

El software de cifrado no se limita al uso en escritorio. En entornos de servidor, el cifrado opera en múltiples capas simultáneamente:

El cifrado en la capa de almacenamiento (equivalente a BitLocker/FileVault) se gestiona a nivel de dispositivo de bloque usando dm-crypt/LUKS de Linux (Linux Unified Key Setup). LUKS es el estándar para cifrar volúmenes en servidores Linux y admite múltiples ranuras de clave, permitiendo que varios administradores desbloqueen el mismo volumen con diferentes frases de contraseña.

# Initialize a LUKS-encrypted volume
cryptsetup luksFormat /dev/sdb

# Open the encrypted volume
cryptsetup luksOpen /dev/sdb encrypted_data

# Create a filesystem on the mapped device
mkfs.ext4 /dev/mapper/encrypted_data

# Mount it
mount /dev/mapper/encrypted_data /mnt/secure

El cifrado en la capa de aplicación gestiona campos sensibles en bases de datos (p. ej., PII, datos de pago) usando bibliotecas como OpenSSL o módulos criptográficos nativos del lenguaje, independientemente del cifrado de disco.

El cifrado en la capa de transporte protege los datos en movimiento. Para cualquier servicio orientado a la web, esto significa un certificado TLS correctamente configurado. Combinar su servidor con un Certificado SSL válido garantiza que los datos transmitidos entre los clientes y su servidor estén cifrados en tránsito, complementando el cifrado en reposo proporcionado por herramientas como LUKS o VeraCrypt.

Para equipos que ejecutan VPS con cPanel, el cifrado de datos de correo electrónico en reposo y en tránsito es configurable directamente a través del panel de control, cubriendo tanto Dovecot (IMAP/POP3) como Exim (SMTP) con aplicación de TLS.

Alineación con el modelo de amenazas: elegir la herramienta adecuada

El error más común en la selección de herramientas de cifrado es elegir basándose en listas de características en lugar de la alineación con el modelo de amenazas. El siguiente marco mapea escenarios de amenazas a herramientas apropiadas:

Amenaza: Robo de portátil o incautación física del dispositivo

Use cifrado de disco completo. BitLocker (Windows con TPM+PIN), FileVault 2 (macOS) o cifrado del sistema VeraCrypt (multiplataforma). Sin FDE, cualquier dato en la unidad es accesible arrancando desde medios externos.

Amenaza: Brecha de datos del proveedor de nube o amenaza interna

Use cifrado del lado del cliente antes de subir. Cryptomator o NordLocker garantizan que incluso si la infraestructura del proveedor de nube se ve comprometida, sus datos permanecen como texto cifrado. El proveedor nunca tiene sus claves.

Amenaza: Interceptación de correo electrónico o vigilancia

Use GnuPG con OpenPGP o S/MIME. Cifrar el correo electrónico en la capa de aplicación significa que incluso si los servidores de su proveedor de correo electrónico se ven comprometidos, el contenido del mensaje permanece protegido. Combínelo con un proveedor de Alojamiento de Correo Electrónico seguro que aplique TLS para la retransmisión SMTP.

Amenaza: Análisis forense de archivos eliminados

Use borrado criptográfico (destruir la clave de cifrado) en lugar de eliminación basada en sobreescritura. Esto es confiable tanto en HDD como en SSD. Las herramientas que dependen únicamente de la sobreescritura de múltiples pasadas (como la eliminación segura de Kruptos 2 en SSD) proporcionan una falsa sensación de seguridad en hardware de almacenamiento moderno.

Amenaza: Coerción para revelar datos cifrados

Use los volúmenes ocultos de VeraCrypt con un volumen externo creíble. Esta es la única herramienta ampliamente disponible que proporciona negación plausible criptográficamente aplicada.

Lista de verificación de decisiones técnicas

Antes de implementar cualquier solución de cifrado, verifique lo siguiente:

• Cifrado y modo: ¿Está la herramienta usando un modo de cifrado autenticado (GCM, SIV, XTS, Poly1305)? Los modos no autenticados (CBC sin HMAC) son vulnerables a ataques de oráculo de relleno y de inversión de bits.
• Función de derivación de claves: ¿Es la KDF resistente a la memoria (Argon2id, scrypt, bcrypt) o rápida (PBKDF2, MD5)? Las KDF rápidas son significativamente más vulnerables a la fuerza bruta acelerada por GPU.
• Almacenamiento de claves: ¿Dónde se almacena la clave de cifrado en reposo? TPM, Secure Enclave o una clave derivada de contraseña son aceptables. Una clave almacenada en un archivo de configuración en texto plano no lo es.
• Estado de auditoría: ¿Ha sido la herramienta auditada de forma independiente? VeraCrypt, Cryptomator y GnuPG tienen informes de auditoría publicados. Las herramientas de código cerrado no auditadas conllevan un riesgo de confianza inherente.
• Protección de metadatos: ¿Cifra la herramienta los nombres de archivos, la estructura de directorios y las marcas de tiempo de acceso, o solo el contenido de los archivos? La filtración de metadatos puede ser significativa en contextos adversariales.
• Compatibilidad con SSD: Si usa funciones de eliminación segura, verifique el comportamiento de la herramienta en SSD. Prefiera el borrado criptográfico sobre la eliminación basada en sobreescritura en cualquier almacenamiento flash.
• Planificación de recuperación: ¿Existe un procedimiento de recuperación documentado si se pierde la clave principal? El cifrado sin una ruta de recuperación es un riesgo de pérdida de datos, no solo un control de seguridad.

Preguntas frecuentes

¿Cuál es el software de cifrado de código abierto más seguro en 2025?

VeraCrypt y Cryptomator son las opciones de código abierto más sólidas, ambas habiendo sido sometidas a auditorías de seguridad independientes con resultados publicados. VeraCrypt destaca para el cifrado de disco completo y de contenedor; Cryptomator está diseñado específicamente para bóvedas de almacenamiento en la nube con cifrados resistentes al uso incorrecto de nonce.

¿El cifrado de disco completo protege los datos en un sistema en ejecución?

No. El cifrado de disco completo (BitLocker, FileVault, VeraCrypt) protege los datos cuando el sistema está apagado o el volumen está bloqueado. En un sistema en ejecución con sesión iniciada, el volumen está descifrado y es accesible para cualquier proceso con privilegios suficientes. Complemente FDE con cifrado en la capa de aplicación y controles de acceso sólidos para una defensa en profundidad.

¿Es seguro BitLocker sin un PIN de TPM?

El modo solo TPM protege contra ataques sin conexión (extraer la unidad y leerla en otra máquina), pero no contra ataques en un sistema en ejecución o en suspensión. Para entornos de alta seguridad, configure siempre BitLocker con TPM y un PIN previo al arranque para requerir autenticación activa al inicio.

¿Puede Cryptomator usarse con cualquier proveedor de almacenamiento en la nube?

Sí. Cryptomator crea una bóveda cifrada como una carpeta de archivos de texto cifrado que puede almacenarse en cualquier lugar: Dropbox, Google Drive, OneDrive, un recurso compartido de red o incluso un directorio local sincronizado por cualquier herramienta. Es completamente independiente del proveedor.

¿Cómo interactúa el cifrado con las estrategias de copia de seguridad del servidor?

Cifrar los archivos de copia de seguridad antes de la transferencia (usando GPG u OpenSSL) garantiza que los datos de copia de seguridad estén protegidos tanto en tránsito como en el destino de almacenamiento. En servidores Linux, combinar LUKS para el cifrado de volúmenes con archivos de copia de seguridad cifrados con GPG proporciona dos capas independientes de protección. Asegúrese de que las claves de recuperación y las claves privadas de GPG se almacenen en una ubicación separada y segura de los datos que protegen: almacenar ambas en el mismo volumen cifrado crea un único punto de fallo.