Seguridad
Cómo protegemos los datos de tus clientes
ContaVault es de conocimiento cero: la información se cifra en tu equipo con una llave que solo tú controlas. Aquí te explicamos cómo funciona, sin letras chiquitas.
Se cifra en tu equipo
Todo se cifra dentro de tu navegador antes de guardarse. Nada viaja sin cifrar.
Solo tú tienes la llave
Tu contraseña maestra nunca se guarda ni sale de tu equipo. Sin ella, los datos son ilegibles.
Estándares probados
AES-256-GCM y Argon2id: algoritmos abiertos, auditados y recomendados por la industria.
A prueba de alteraciones
Si alguien modifica un dato cifrado, ContaVault lo detecta y se niega a abrirlo.
El modelo
Dos llaves: una que recuerdas y otra que protege todo
ContaVault usa cifrado en sobre, el mismo esquema que emplean los servicios de seguridad profesionales. Tu contraseña maestra no cifra los datos directamente: abre una llave aleatoria que es la que realmente los protege.
- Tú la recuerdas Contraseña maestra Nunca se guarda
- Se deriva al desbloquear Llave de acceso Solo en memoria
- Aleatoria, 256 bits Llave de la bóveda Se guarda cifrada
- Cada uno por separado Datos de tus clientes CIEC, contraseñas, e.firma
¿Por qué dos llaves?
- Tu contraseña no se puede adivinar rápido. Argon2id está diseñado para ser lento y consumir mucha memoria a propósito: probar millones de contraseñas se vuelve impráctico, incluso con equipo especializado.
- La llave que cifra es totalmente aleatoria. Aunque tu contraseña sea una frase, los datos quedan protegidos por 256 bits de azar puro.
- Cambiar tu contraseña es instantáneo. Solo se vuelve a envolver la llave de la bóveda; tus datos no tienen que cifrarse de nuevo.
Paso a paso
Qué pasa con tus llaves en cada momento
Al crear tu bóveda
ContaVault genera al azar una llave de la bóveda de 256 bits con el generador criptográfico del navegador. Luego la guarda envuelta (cifrada) con una llave que se deriva de tu contraseña maestra. Tu contraseña no se guarda en ningún lado.
Al desbloquear
Escribes tu contraseña maestra y el navegador vuelve a derivar la llave de acceso. Si es correcta, desenvuelve la llave de la bóveda; si no, el descifrado simplemente falla. No existe una «copia» de tu contraseña con la cual compararla.
Mientras trabajas
Cada cliente y cada archivo de e.firma se cifran por separado. Las llaves se cargan como no extraíbles: el propio navegador impide que el código las lea en bruto. Mientras la bóveda está abierta, la llave vive solo en la memoria de sesión del navegador, nunca en disco.
Al bloquear
Cuando bloqueas la bóveda, se cumple el tiempo de inactividad o cierras el navegador, la llave se borra de la memoria. Para volver a entrar se necesita otra vez tu contraseña maestra.
Integridad
No solo oculto: también a prueba de manipulación
AES-GCM es un cifrado autenticado: además de ocultar la información, añade un sello que comprueba que nadie la haya tocado. Si un solo bit cambia, el descifrado falla en lugar de entregar datos alterados.
Además, cada registro queda ligado a su lugar en la bóveda. Si alguien intentara intercambiar el registro de un cliente por el de otro, o hacer pasar un archivo de e.firma por otro dato, ContaVault lo rechazaría. Lo mismo ocurre con la llave de la bóveda: está ligada a tu bóveda en particular y no sirve si se copia a otra.
Respaldos
Un respaldo cifrado con su propia contraseña
Al exportar tu bóveda se genera un archivo .cvault cifrado con AES-256-GCM y una llave derivada con Argon2id de la contraseña del respaldo, que puede ser distinta de tu contraseña maestra. El archivo incluye a tus clientes y sus archivos de e.firma.
Sin esa contraseña, el archivo no revela nada: puedes guardarlo en una memoria USB o en tu nube de confianza. Al restaurarlo, ContaVault verifica que esté completo e intacto antes de reemplazar tu bóveda.
En el día a día
Protecciones mientras usas la extensión
Autollenado con previo aviso
En sitios https:// de gob.mx, como el SAT o el IMSS, autollena directo. En cualquier otro, primero te avisa y te pide confirmar.
Portapapeles que se limpia solo
Cuando copias una contraseña, ContaVault borra el portapapeles a los pocos segundos para que no quede a la vista de otras aplicaciones.
Secretos ocultos por defecto
Las contraseñas y claves se muestran enmascaradas y solo se revelan cuando tú lo pides.
Bloqueo automático
Tras un rato sin actividad, la bóveda se bloquea y la llave se borra de la memoria. Tú eliges el tiempo.
Ficha técnica
Para quien quiere los detalles
- Cifrado de datos
- AES-256-GCM (cifrado autenticado)
- Derivación de la llave
- Argon2id, con un costo alto de memoria para frenar ataques de fuerza bruta
- Esquema de llaves
- Cifrado en sobre: la contraseña protege la llave de la bóveda, y esa llave protege los datos
- Generación de llaves
- Aleatorias de 256 bits, con el generador criptográfico del navegador
- Integridad
- Cada registro está autenticado y ligado a su lugar en la bóveda
- Implementación
- Web Crypto API nativa del navegador, con llaves no extraíbles
- Dónde se guarda
- En el almacenamiento local de tu navegador, siempre cifrado
Transparencia
Lo que el cifrado no puede hacer por ti
Ningún sistema es infalible. Preferimos que sepas exactamente dónde están los límites:
- Si olvidas tu contraseña maestra, nadie puede recuperarla. Es la otra cara del conocimiento cero. Guarda un respaldo y anota tu contraseña en un lugar físico seguro.
- Un equipo infectado sigue siendo un riesgo. Si tu computadora tiene malware mientras la bóveda está abierta, el cifrado no puede protegerte. Mantén tu sistema y tu navegador actualizados.
- Una contraseña débil debilita todo. Argon2id frena los ataques, pero una contraseña corta o reutilizada sigue siendo fácil de adivinar. Usa una frase larga y única.
- Autollenar en un sitio que no es seguro expone tus datos. Si confirmas el aviso en una página falsa o de dudosa procedencia, esa página recibe lo que se llene. ContaVault no se hace responsable de los sitios en los que decidas autollenar: revisa siempre la dirección antes de aceptar (ver Términos y Condiciones).
- Los archivos que descargas ya no están cifrados. Al descargar un
.cero.key, queda sin cifrar en tu equipo. Bórralo cuando termines el trámite.
ContaVault puede enviar estadísticas de uso anónimas que nunca incluyen datos de la bóveda, y puedes desactivarlas en Ajustes. Los detalles están en la política de privacidad.
¿Encontraste una vulnerabilidad?
Agradecemos los reportes responsables. Escríbenos con los pasos para reproducirla y te pedimos no publicarla hasta que la hayamos corregido.