Qué ocurre con sus palabras y sus archivos después de presionar “Cifrar y enviar” y quién puede leerlos.
Paso a paso
- Su navegador crea una clave nueva. Se genera una clave aleatoria en su dispositivo, solo para este envío.
- Todo se cierra con ella. Su texto, sus decisiones sobre la publicación, sus datos de contacto si los da, y cada archivo con su nombre se cifran en su navegador antes de salir de él.
- La clave se cierra para los editores. Después, la propia clave se cierra con la clave pública de los editores. Una clave pública solo puede cerrar. Para abrir hace falta la clave privada correspondiente, que solo tienen los editores.
- Nuestro servidor guarda lo que no puede leer. Verifica que el formulario lo envió una persona y no un bot de spam; luego guarda el texto cerrado en su base de datos y los archivos cerrados en un almacenamiento privado sin dirección pública. No tiene ninguna clave que pueda abrirlos.
- Usted recibe un código de recibo (guardarlo es opcional). El servidor genera un código aleatorio y se lo muestra una sola vez. Solo conserva una huella del código, suficiente para reconocerlo pero no para volver a mostrarlo. Guardar el código es opcional: con él puede agregar material al mismo envío más adelante. Una vez enviado, un envío no se puede retirar ni modificar.
Quién puede leerlo
Solo los editores de este sitio, que tienen la clave privada que abre los envíos. Esa clave nunca está en nuestro servidor: un editor la carga en su propio navegador solo mientras lee los envíos, y el navegador la olvida cuando el editor bloquea o cierra la página.
Nadie más puede leer lo que envía: ni nuestro proveedor de alojamiento; ni quien vigile su conexión a internet; ni quien logre entrar en nuestro servidor o en su base de datos.
Lo que nuestro servidor puede ver
El cifrado oculta lo que usted escribió, no el hecho de que se envió algo. El servidor puede ver:
- cuándo llegó su envío y cualquier cosa que agregue después;
- qué tipo eligió: su experiencia, un caso o pruebas;
- cuántos archivos envió y el tamaño de cada archivo y del texto cifrado, lo que indica aproximadamente su extensión;
- la huella de su código de recibo.
No guarda su dirección IP, y el registro de solicitudes está desactivado.
Qué significa aquí “anónimo”
- No necesita una cuenta ni tiene que dar su nombre.
- El único campo de contacto es opcional y se cifra junto con todo lo demás.
- No guardamos su dirección IP. Nuestro proveedor de alojamiento, que también gestiona la verificación antispam, la ve igualmente cuando usted se conecta, y nuestro servidor la usa por un momento para limitar la frecuencia con que una misma conexión puede enviar.
Antes de que se publique nada
- Nada de lo que envía se publica automáticamente. Primero los editores lo leen y lo verifican.
- Su testimonio solo se publica si usted lo autorizó, y nunca con más de su nombre de lo que eligió. Un testimonio publicado indica el mes en que se recibió.
- Las identidades de los sobrevivientes, sus familias y las fuentes anónimas se eliminan de los testimonios y se tachan en los documentos antes de su publicación. Lo que un documento muestra sobre abusos o encubrimientos no se tacha: para eso existe el registro.
- Todo archivo publicado se limpia de datos ocultos: ni autor, ni dispositivo, ni ubicación, ni software, ni historial de edición. Las fotos se vuelven a guardar a partir de sus píxeles. Los PDF se reconstruyen a partir de una imagen de cada página, de modo que no puede sobrevivir ningún texto oculto ni versiones anteriores.
- Las notas privadas de los editores, como fuentes y datos de contacto, nunca se publican.
Detalles técnicos
- La criptografía se ejecuta en su navegador con libsodium.
- Cada envío recibe una clave aleatoria de 256 bits. De ella se derivan subclaves distintas para el texto y para los archivos con crypto_kdf (BLAKE2b), de modo que nunca comparten clave.
- Texto: XChaCha20-Poly1305 (IETF AEAD) con un nonce aleatorio de 192 bits. El mensaje cifrado contiene los campos del formulario, las opciones de consentimiento, el contacto opcional y la lista de archivos (nombres, tipos, tamaños).
- Archivos: crypto_secretstream_xchacha20poly1305 en bloques autenticados de 64 KiB; una etiqueta final detecta el truncamiento.
- Envoltura de la clave: la clave del envío se sella para cada clave pública de editor con crypto_box_seal (X25519 con un par de claves desechable, XSalsa20-Poly1305). La clave pública de los editores está incorporada en esta página.
- Todo lo que se agregue después con un código de recibo se cifra del mismo modo con una clave nueva.
- Código de recibo: 26 caracteres (130 bits aleatorios) generados por el servidor; solo se guarda su hash SHA-256.
- Almacenamiento: una base de datos para el texto cifrado y un almacén privado de archivos para los archivos cifrados; ambos contienen únicamente texto cifrado. El límite de frecuencia se calcula sobre la IP de conexión dentro del limitador del proveedor de alojamiento y no se guarda; el token antispam se verifica sin enviar su IP.
- Integridad de los scripts: cada archivo de script que carga el formulario está fijado con un hash SHA-384 en un import map, de modo que los navegadores compatibles con la integridad de import maps rechazan los archivos alterados. La política de seguridad de contenido (Content Security Policy) solo permite scripts de este sitio y de la verificación antispam. Esto protege frente a archivos de script sustituidos, no frente a alguien que se apodere del sitio y modifique la propia página; por eso se publican los hashes: hashes de los scripts del formulario.