Compartir de forma segura
Comparte activos digitales certificados con cualquier persona, sin comprometer tu cifrado. Otorga acceso de solo lectura a versiones específicas de tus archivos manteniendo el control total.
Beta: La función de Compartir de forma segura está actualmente en beta. El cifrado y el control de acceso están completamente operativos, pero algunas funcionalidades (compartir con múltiples destinatarios, compartir en lote, registros de auditoría anclados a blockchain) aún están en desarrollo.
Cuándo usar la función de Compartir de forma segura
Comparte contenido certificado con terceros sin entregar tu cuenta ni perder el control de tus archivos.
Procedimientos legales
Comparte una revisión certificada con la parte contraria o un tribunal. Adjunta términos y condiciones que deben aceptar antes de ver el contenido.
Due diligence
Permite que un auditor, inversor o socio revise documentos certificados con un registro de auditoría completo de quién accedió a qué y cuándo.
Entrega al cliente
Envía los entregables finales a un cliente con prueba del sello de tiempo de certificación.
Reclamaciones de seguros
Divulga pruebas certificadas a un proveedor de seguros con acceso controlado y de tiempo limitado.
Revisión colaborativa
Da a un colega o revisor externo acceso de solo lectura a una versión específica, sin compartir las credenciales de tu bóveda.
Elige tu modo de compartir
Ambos modos utilizan el mismo cifrado de extremo a extremo. La única diferencia es cómo la clave de descifrado llega al destinatario.
Keycard (Zero-Knowledge)
La opción más segura. Bernstein genera un PDF keycard que contiene una clave de acceso única. Tú lo entregas al destinatario personalmente, a través de cualquier canal en el que confíes. La clave de descifrado nunca pasa por los servidores de Bernstein.
Cómo funciona para el destinatario:
- 1Le envías el keycard (fuera de Bernstein) junto con la URL de compartición.
- 2El destinatario abre la URL de compartición en su navegador.
- 3Solicita un código de verificación enviado a su correo electrónico.
- 4Introduce el código de 6 dígitos para demostrar su identidad.
- 5Introduce la clave de acceso del keycard.
- 6Si hay términos adjuntos, los revisa y acepta.
- 7El contenido se descifra en su navegador — los archivos se pueden ver y descargar.
Compartición Directa
La opción más cómoda. Bernstein envía al destinatario un correo electrónico con un enlace seguro. La clave de descifrado está incorporada en el fragmento de la URL, que por diseño nunca se almacena en el servidor — permanece completamente en el navegador.
Cómo funciona para el destinatario:
- 1Recibe un correo electrónico con un enlace.
- 2Hace clic en el enlace y solicita un código de verificación.
- 3Introduce el código de 6 dígitos para demostrar su identidad.
- 4Si hay términos adjuntos, los revisa y acepta.
- 5El contenido se descifra en su navegador — los archivos se pueden ver y descargar.
Cómo elegir entre los dos modos
Ambos modos utilizan cifrado de extremo a extremo. Elige según tus requisitos de seguridad y necesidades de comodidad.
| Keycard (Zero-Knowledge) | Compartición Directa | |
|---|---|---|
| Entrega de la clave | Tú la entregas personalmente (PDF keycard) | Incorporada en el enlace del correo |
| Comodidad | Requiere un paso de entrega separado | Un solo clic desde el correo |
| Exposición del servidor | La clave nunca pasa por ningún servidor | La clave pasa por el correo pero nunca es almacenada por Bernstein |
| Ideal para | Contenido altamente sensible, industrias reguladas, máximo control | Compartición diaria, destinatarios no técnicos, rapidez |
Rule of thumb: Usa Keycard cuando el contenido es altamente sensible y quieres controlar cada paso de la entrega de la clave. Usa Compartición Directa cuando la comodidad importa y la entrega por correo electrónico es aceptable.
Cómo funciona el cifrado
Bernstein utiliza un modelo de claves de dos capas para la compartición, basado en cifrado AES-256-GCM a través de la Web Crypto API.
DEK (Data Encryption Key)
La clave simétrica (AES-256-GCM) que cifra el contenido de tu revisión. Es la misma clave utilizada cuando certificaste originalmente tus archivos. Reside en la bóveda cifrada de tu navegador y nunca se envía al servidor en texto plano.
KEK (Key Encryption Key)
Una nueva clave simétrica (AES-256-GCM) generada en tu navegador cuando creas una compartición. La KEK cifra (envuelve) la DEK, produciendo una DEK envuelta que solo puede ser desenvuelta por quien posea la KEK.
Cuando creas una compartición
Generación de claves
Tu navegador genera una Key Encryption Key (KEK) aleatoria y carga la Data Encryption Key (DEK) de tu revisión desde tu bóveda cifrada.
Envolvimiento de DEK
La DEK se cifra con la KEK, produciendo una DEK envuelta que se almacena en el servidor.
Entrega de KEK
En modo Compartición Directa, la KEK se incorpora en el fragmento del enlace del correo. En modo Keycard, se incorpora en un PDF generado en tu navegador — nunca se envía al servidor.
Cuando el destinatario abre una compartición
Recuperación de DEK envuelta
El navegador del destinatario obtiene la DEK envuelta cifrada del servidor.
Desenvolvimiento de DEK
Usando la KEK (del fragmento de la URL o del keycard), el navegador desenvuelve la DEK.
Descifrado del contenido
La DEK descifra los metadatos de la revisión y el contenido de los archivos. Todo el descifrado ocurre del lado del cliente — el servidor nunca tiene acceso al contenido en texto plano.
Verificación de identidad
Antes de que se entregue cualquier contenido, el destinatario debe demostrar que controla la dirección de correo electrónico especificada en la compartición.
Controles de acceso
Configura exactamente cómo y cuándo se puede acceder a tu contenido compartido.
Fecha de expiración
La compartición se vuelve inaccesible después de esta fecha. Déjalo vacío para que no tenga expiración.
Términos y condiciones
Añade términos legales que el destinatario debe aceptar explícitamente antes de ver el contenido.
Revocación inmediata
Revoca cualquier compartición activa en cualquier momento. El destinatario pierde inmediatamente el acceso, incluso si su sesión sigue siendo válida.
Aperturas máximas
Limita cuántas veces se puede ver el contenido.
Descargas máximas
Limita cuántas descargas de archivos están permitidas.
Marca de agua en vistas previas
Muestra una marca de agua en los archivos previsualizados para mayor protección.
Registro de auditoría completo
Cada compartición genera un registro de eventos completo. Para comparticiones con auditoría verificable habilitada, los eventos se encadenan mediante hashes SHA-256, creando un registro a prueba de manipulaciones.
Cada evento registra la dirección IP y el agente de usuario del destinatario. Puedes exportar el registro de auditoría completo en formato JSON.
Preguntas frecuentes
La compartición está vinculada a la dirección de correo del destinatario. Incluso si otra persona obtiene el enlace, no puede pasar el paso de verificación OTP porque el código se envía al correo del destinatario original. En modo Keycard, también necesitarían el keycard.
No. El servidor almacena solo la DEK envuelta cifrada y los blobs de archivos cifrados. Sin la KEK (que el servidor nunca retiene), el contenido no puede ser descifrado. En modo Keycard, la KEK ni siquiera llega al servidor.
Su sesión actual se invalida inmediatamente. Cualquier solicitud posterior de contenido o descarga será denegada. El contenido ya descifrado en su navegador permanece accesible hasta que cierre la pestaña, pero no se pueden obtener nuevos datos.
Actualmente, cada compartición se dirige a un solo destinatario. Para compartir con varias personas, crea una compartición separada para cada una. La compartición con múltiples destinatarios está en la hoja de ruta.
Tendrás que crear una nueva compartición y generar un nuevo keycard. Cada keycard contiene una clave única vinculada a una compartición específica — no hay forma de recuperar o regenerar un keycard perdido.
Una vez que el destinatario verifica su OTP, su sesión es válida durante 24 horas. Después, necesitará verificarse nuevamente con un nuevo OTP para seguir accediendo al contenido.
AES-256-GCM para generación de claves y envolvimiento de DEK (vía Web Crypto API), AES-256-GCM con vectores de inicialización por parte para cifrado de archivos, códigos OTP aleatorios criptográficamente seguros de 6 dígitos y encadenamiento de hashes SHA-256 para cadenas de auditoría verificables.
No. La compartición está vinculada a una revisión específica — una instantánea certificada de tu proyecto. Debes tener al menos una revisión certificada para crear una compartición.