¿Son seguras las apps de bóveda de fotos?

«Bóveda» suena tranquilizador, pero la palabra no dice nada sobre cómo guarda realmente la app tus archivos. Algunas apps de bóveda lo cifran todo con una clave derivada de tu secreto. Otras guardan tus fotos en una carpeta normal y le ponen un teclado numérico delante. No puedes inspeccionar el código, pero puedes aprender mucho de lo que una app te cuenta y de lo que te pide.

Usa la lista siguiente con cualquier bóveda que estés valorando, también con la nuestra.

La lista de comprobación

1. ¿Explica su cifrado?

El cifrado en reposo significa que los archivos se guardan de forma ilegible y solo se pueden leer con la clave correcta. Una bóveda segura te dice, con un lenguaje claro, qué algoritmo usa (por ejemplo AES-256), cómo se deriva la clave a partir de tu PIN, contraseña o patrón, y dónde se guardan las claves.

Las frases vagas como «seguridad de nivel bancario» sin detalles son una señal de alarma. También lo es cualquier descripción que solo hable de la pantalla de bloqueo. Consulta el cifrado AES-256, explicado para ver cómo son las respuestas sólidas.

2. ¿El secreto es distinto del código del dispositivo?

Si la bóveda se abre con Face ID y recurre al código del iPhone, cualquiera que conozca ese código puede entrar, que es la misma limitación que el álbum Oculto integrado. Un PIN, una contraseña o un patrón aparte son una capa significativa.

3. ¿Qué dice la etiqueta de privacidad?

En la página de la app en el App Store, desplázate hasta Privacidad de la app. Apple agrupa lo que declara el desarrollador en datos usados para rastrearte, datos vinculados a ti y datos no vinculados a ti. En una bóveda, lo ideal sería ver Datos no recopilados o una lista corta y explicable. Las etiquetas las declara el propio desarrollador, pero una lista larga de identificadores, datos de uso y ubicación en una app de privacidad debería hacerte dudar.

4. ¿Exige una cuenta?

Una cuenta basada en el correo no es insegura en sí misma, y a menudo permite la copia de seguridad. Pero significa que la empresa sabe quién eres y que usas una bóveda, y añade una cuenta que puede sufrir una filtración o un phishing. Si no necesitas funciones en la nube, una bóveda sin cuenta lo evita.

5. ¿Algo va a la nube?

Averigua si tus fotos salen alguna vez del teléfono. Si hay copia en la nube, comprueba si tiene cifrado de extremo a extremo (solo tú tienes la clave) o si simplemente está cifrada en los servidores de la empresa. En nuestra guía sobre bóvedas sin cuenta describimos una prueba práctica sencilla: usa la app en modo Avión y fíjate en qué deja de funcionar.

6. ¿Se financia con anuncios?

Las apps con anuncios suelen incluir SDK publicitarios de terceros, que recopilan datos del dispositivo y hacen peticiones de red que tú no controlas. Eso no significa que se filtren tus fotos, pero amplía el número de partes implicadas. La etiqueta de privacidad suele reflejarlo en el apartado de rastreo.

7. ¿Qué pasa cuando la desinstalas?

En iOS, las apps guardan sus archivos en su propio contenedor privado. Cuando borras una app, iOS borra ese contenedor y, con él, cualquier contenido de la bóveda guardado solo en el dispositivo. Es bueno para la privacidad y peligroso para tus datos. Antes de desinstalar cualquier bóveda, exporta lo que quieras conservar y comprueba si la app tiene una copia en la nube que también debas borrar.

8. ¿Cómo funciona la recuperación?

Pregúntate qué pasa si olvidas tu secreto o pierdes el teléfono. Respuestas posibles:

• Recuperación por correo o cuenta: cómoda, pero significa que alguien que no eres tú puede conceder el acceso.
• Una clave de recuperación o una copia que controlas tú: sólida, si la guardas con cuidado.
• Sin recuperación: la opción más privada y la menos indulgente.

Ninguna es la adecuada para todo el mundo. Lo que importa es que la app te lo diga con honestidad. Consulta ¿olvidaste el patrón de tu bóveda? para ver cómo lo gestionamos nosotros.

9. ¿Qué hace con los originales?

La mayoría de las bóvedas copian la foto cuando la importas. El original sigue en Fotos, y quizá en iCloud, hasta que lo borras, y después permanece en Eliminado unos 30 días. Una buena app te lo recuerda; una descuidada te deja creer que la foto se ha movido. Nuestra guía para borrar los originales después de importar explica la limpieza.

Señales de alarma de un vistazo

Señal	Por qué importa
No menciona cómo se cifran los archivos	Puede que solo sea una pantalla de bloqueo
Se abre con el código del dispositivo como alternativa	Cualquiera con tu código entra
Etiqueta de privacidad larga con rastreo	Terceros implicados en una app de privacidad
Cuenta obligatoria para el uso básico	Tu identidad queda vinculada a tu bóveda
Copia en la nube sin cifrado de extremo a extremo	La empresa podría acceder a las copias
Promesas de seguridad absoluta e inquebrantable	Ningún producto de seguridad honesto promete eso

Lo que ninguna bóveda puede proteger

Incluso una bóveda bien hecha tiene límites, y una app honesta lo dice. No puede impedir que alguien te vea introducir tu secreto, el malware en un teléfono con jailbreak, a una persona a la que le das el teléfono con la bóveda abierta ni que alguien fotografíe tu pantalla. Y no puede llegar a las copias que existen en otros sitios: en Fotos, en iCloud, en un chat o en el teléfono de alguien a quien le enviaste la imagen.

Cómo responde Velcrypt a la lista

Por transparencia, así se mide nuestra propia app:

• Cifrado: AES-256-GCM mediante Apple CryptoKit. Las claves se obtienen de tu patrón mediante PBKDF2-HMAC-SHA512 con al menos 600.000 iteraciones, cada bóveda tiene su propia clave maestra aleatoria y además se aplica la protección de datos de iOS. Detalles en nuestra página de seguridad y en la página de la función de cifrado.
• Secreto: un patrón en una cuadrícula de 5×5, distinto del código del dispositivo; sin Face ID, por diseño.
• Cuenta y nube: ninguna. Sin registro, sin servidores, sin subidas (sin conexión, sin cuenta).
• Recuperación: ninguna en la primera versión. El contenido de la bóveda está excluido de las copias de seguridad de iCloud y del ordenador, así que perder el teléfono u olvidar el patrón significa que el contenido no se puede recuperar. Está prevista una opción de copia de seguridad cifrada.
• Originales: importar copia el elemento; el original lo eliminas tú.

Si una bóveda que estás valorando puede responder a estos puntos con la misma claridad, es buena señal. Para una comparación más amplia de opciones, consulta las mejores apps de bóveda de fotos para iPhone.