App de diario personal privado: qué protege una contraseña, qué protege el cifrado y qué revisar

Casi todas las apps de diario dicen ser privadas. Algunas quieren decir que la app tiene un código de bloqueo. Otras, que los datos se cifran en sus servidores. Unas pocas, que nadie más que tú puede leer lo que escribes, ni siquiera la empresa. Son tres promesas muy diferentes, y la página de la tienda rara vez dice cuál de ellas te están haciendo.

Esta guía explica la diferencia con palabras sencillas, lo que el cifrado no suele cubrir y lo que conviene preguntar antes de confiarle a una app las partes de tu vida que nunca le has contado a nadie.

Nivel 1: una contraseña, un código o Face ID en la app

El bloqueo de una app te pide una contraseña, un código o tu cara antes de mostrar nada. Es útil: impide que tu pareja, un hijo o un compañero de trabajo que toma tu teléfono desbloqueado se ponga a leer tus entradas.

Eso es todo lo que hace. Los datos en sí no cambian. Si la app guarda una copia en la nube, esa copia es exactamente igual de legible que antes de que pusieras el código. Un bloqueo es una cortina, no una caja fuerte.

Nivel 2: cifrado «en tránsito» y «en reposo»

La mayoría de los servicios serios cifran los datos en el camino hacia el servidor (el candado del navegador, TLS) y en los discos del servidor. Esto te protege de alguien que escuche en una red wifi pública y del robo de un disco duro.

Pero las claves las tiene el servicio. Su software necesita leer tus entradas para mostrártelas en un teléfono nuevo, así que también puede leerlas en otras situaciones: un técnico de soporte con demasiados permisos, una cuenta de administrador hackeada, un requerimiento judicial. «Ciframos tus datos» suele ser verdad y, aun así, significa que la empresa podría leerlos si quisiera o si se viera obligada a hacerlo.

Nivel 3: cifrado en tu dispositivo, con tu clave

El modelo más fuerte cifra tus palabras en tu teléfono, con una clave que sale de una contraseña que solo tú conoces, antes de subir nada. El servidor guarda un texto revuelto que no puede leer. Cuando está diseñado para que los datos solo se puedan leer en tu extremo, se llama cifrado de extremo a extremo: en palabras de la Electronic Frontier Foundation, el remitente convierte la información en un mensaje secreto que «solo descifra su destinatario final». En un diario, tú eres las dos cosas.

Esta protección tiene un precio, y una app honesta te lo dice desde el principio: si olvidas la contraseña y no tienes una clave de recuperación, nadie puede recuperar tus entradas. Ni el soporte ni los desarrolladores. Los servicios que lo hacen bien lo dicen con claridad: las preguntas frecuentes sobre cifrado de Day One indican que, si se pierde la clave, el diario cifrado «no se puede descifrar», y Apple advierte que, si activas su Protección de datos avanzada y pierdes el acceso a tu cuenta, «no tendrá las claves de cifrado para ayudarte a recuperarla». No es un defecto. Es lo que de verdad significa «no podemos leerlo», y por eso las buenas apps te dan una clave de recuperación o una copia de seguridad de la clave, y por eso deberías guardarla.

Lo que el cifrado suele dejar a la vista

Incluso con un cifrado fuerte, «todo está cifrado» rara vez es literalmente cierto. Pregunta por:

• Títulos y fechas. Muchas apps los dejan legibles para que la línea de tiempo y la búsqueda funcionen sin tu contraseña.
• Fotos, videos y notas de voz. Los archivos grandes suelen guardarse de otra forma que el texto, y no siempre se cifran igual.
• Etiquetas, estados de ánimo, lugares. Son campos pequeños, pero juntos pueden decir mucho.
• Metadatos. Cuándo escribes, con qué frecuencia, cuánto. El cifrado oculta el contenido, no el hecho de que ese contenido existe. La guía de la EFF lo dice sin rodeos: el cifrado de extremo a extremo «no protege tus metadatos».
• Notificaciones. Un recordatorio que muestra el título de una entrada en la pantalla de bloqueo se lo muestra a cualquiera que eche un vistazo a tu teléfono. Normalmente puedes ocultar las vistas previas de las notificaciones en los ajustes del teléfono.

Nada de esto hace que una app sea mala. Lo que hace es volver sospechosa una promesa vaga. Una app de confianza puede decirte exactamente qué campos están cifrados y cuáles no.

Si la app tiene IA

Las funciones de IA de un diario funcionan enviando tus palabras a un modelo de lenguaje, que casi siempre se ejecuta en los servidores de otra empresa. Un texto cifrado no se puede analizar, así que lo que llega a la IA es la versión legible. Eso no tiene por qué ser un problema, pero deberías saber:

• ¿La IA es opcional? ¿Se envía algo antes de que aceptes?
• ¿El modelo de qué empresa recibe el texto?
• ¿Puede esa empresa usar tu texto para entrenar sus modelos? (En muchas API de IA, depende de si el desarrollador paga por el servicio.)
• ¿Se puede desactivar cada función de IA por separado? ¿Qué pasa con las entradas bloqueadas?

La dependencia: ¿puedes irte?

La privacidad también es control. Un diario que no puedes exportar es un diario que no te puedes llevar cuando la empresa cambia sus precios, añade funciones que no quieres o cierra. Comprueba si la exportación es gratuita, en qué formato se hace y si incluye las fotos y el audio o solo el texto.

Diez preguntas para hacerle a cualquier app de diario

1. ¿Tiene bloqueo de la app, y qué protege?
2. ¿Mi texto se cifra en mi dispositivo antes de subirse, o solo en el servidor?
3. ¿Quién tiene la clave? ¿Puede la empresa leer mis entradas?
4. ¿Qué pasa si olvido la contraseña? ¿Hay una clave de recuperación?
5. ¿Qué campos no están cifrados: títulos, fechas, estados de ánimo, fotos, audio?
6. ¿La app tiene IA? ¿Hay que activarla expresamente? ¿Qué proveedor recibe mi texto?
7. ¿Se usan mis entradas para entrenar algún modelo de IA?
8. ¿Qué muestran las notificaciones en la pantalla de bloqueo?
9. ¿Puedo exportarlo todo, con los archivos multimedia, gratis?
10. ¿Puedo eliminar mi cuenta y mis datos desde la propia app?

Cómo las responde Lifeline

Ya que te pedimos que exijas esto a las apps, aquí van nuestras propias respuestas, incluidas las partes menos impresionantes.

• Bloqueo. Puedes bloquear cualquier recuerdo con una contraseña maestra. Sus palabras (el texto, tus reflexiones, las preguntas de la IA y tus respuestas) se cifran en tu teléfono con AES-256-GCM, con una clave derivada de tu contraseña, antes de llegar a nuestro servidor. No podemos leerlas. Una vez creada la contraseña maestra, también puedes desbloquear con Face ID, con tu huella o con el código del teléfono.
• Lo que no se cifra. El título, la fecha, las emociones (incluida la palabra que elijas para lo que sentiste), las fotos, los videos, las notas de voz y sus nombres, y la canción asociada a un recuerdo no se cifran. Los recuerdos que no bloqueas están protegidos en tránsito y en los servidores de Google, como en la mayoría de las apps, pero no se cifran con tu clave.
• Contraseña olvidada. Cuando creas la contraseña, la app te da una clave de recuperación. Con ella puedes poner una contraseña nueva y conservarlo todo. Sin ella, nadie puede abrir los recuerdos bloqueados, tampoco nosotros.
• IA. Es opcional. No se envía nada hasta que das tu consentimiento una vez. Después, cada función envía solo lo que necesita, a través de nuestro servidor, al modelo Gemini de Google. Un solo interruptor lo desactiva todo, y hay interruptores propios para las preguntas, para los patrones del mes y para la Brújula de vida junto con «Qué siguió a momentos parecidos». Usamos Gemini con las condiciones de los servicios de pago de Google, según las cuales Google no usa las peticiones ni las respuestas para mejorar sus productos; guarda registros durante un tiempo limitado para prevenir abusos y por motivos legales. Las funciones en segundo plano nunca envían el texto de un recuerdo bloqueado; las preguntas sobre un recuerdo bloqueado se envían solo después de que lo confirmes. La app tiene una pantalla «Qué ve la IA» que describe lo que envía cada función.
• Notificaciones. Los recordatorios de «En este día» y el widget de la pantalla de inicio muestran el título de un recuerdo, pero nunca el de un recuerdo bloqueado. Si incluso eso es demasiado para tu pantalla de bloqueo, desactiva el recordatorio u oculta las vistas previas en los ajustes del teléfono.
• Estadísticas de uso. Como la mayoría de las apps, Lifeline usa Firebase Analytics y Crashlytics de Google para contar cómo se usan las funciones y recibir informes de fallos. No contienen el texto de tus recuerdos. También usamos App Events de Meta para ver cuáles de nuestros anuncios llevan a instalaciones y compras: recibe eventos como registrarse, empezar una prueba o comprar Premium, nunca nada de lo que escribes. En el iPhone, esto solo ocurre si permites que la app haga seguimiento.
• Exportación y eliminación. La exportación es gratuita: un ZIP con cada recuerdo en texto, junto con tus fotos, videos y notas de voz. Los recuerdos bloqueados se incluyen cuando introduces tu contraseña y, dentro del ZIP, ya no están cifrados, así que guarda el archivo en un lugar seguro. Tu cuenta y tus datos se pueden eliminar desde la propia app; nuestras copias de seguridad se borran en un plazo de 30 días.

Elijas la app que elijas, el hábito que más te protege es aburrido: un buen bloqueo en el propio teléfono y tu clave de recuperación anotada en un lugar seguro que no sea ese mismo teléfono.

Lifeline para iPhone y iPad · Lifeline para Android