Apps de Mensajería Encriptada: Una Comparación Exhaustiva

El cifrado en la mensajería ya no es solo cosa de periodistas o informantes. Con gobiernos, corporaciones y actores maliciosos de todo tipo empeñados en monitorear conversaciones digitales, saber qué aplicaciones realmente protegen tus mensajes —y cuáles solo lo aparentan— es algo relevante para cualquier persona con un smartphone.

Qué significa realmente el cifrado de extremo a extremo

El cifrado de extremo a extremo (E2EE, por sus siglas en inglés) significa que solo tú y la persona con quien te comunicas pueden leer lo que se envía. La empresa detrás de la app, tu proveedor de internet, quien intercepte el tráfico: todos ven datos ininteligibles. Esto es fundamentalmente distinto al cifrado en tránsito básico, donde el servicio cifra los datos mientras viajan pero puede leerlos perfectamente en sus servidores.

La base matemática descansa en la criptografía de clave pública. Cada usuario tiene un par de claves: una clave pública que tus contactos pueden ver, y una clave privada que nunca abandona tu dispositivo. Cuando alguien te escribe, su app cifra el mensaje con tu clave pública. Solo tu clave privada puede abrirlo. Las implementaciones modernas añaden secreto hacia adelante (forward secrecy), que genera claves de cifrado nuevas para cada sesión, de modo que si alguien llega a comprometer una clave, no podrá leer conversaciones anteriores.

Ahora bien, no todo cifrado es igual. El Signal Protocol, desarrollado por Open Whisper Systems, se ha convertido en el estándar de oro porque lleva años siendo analizado a fondo por criptógrafos y ha resistido el escrutinio. Combina el algoritmo Double Ratchet con el protocolo de acuerdo de claves X3DH. Signal, WhatsApp y las Conversaciones Secretas de Facebook Messenger lo utilizan.

Signal: la referencia a superar

Signal es el punto de referencia. Lo gestiona una organización sin ánimo de lucro, es completamente de código abierto y auditado por investigadores de seguridad de todo el mundo que buscan puertas traseras o vulnerabilidades. Los metadatos que recopila son genuinamente mínimos: solo tu número de teléfono y la última vez que te conectaste.

Mensajes, llamadas de voz y videollamadas están cifrados de extremo a extremo por defecto. Los mensajes temporales permiten configurar la autodestrucción tras un período elegido. Los grupos cifrados admiten hasta 1.000 miembros. Hay incluso una función llamada Sealed Sender que elimina los metadatos del mensaje antes de que llegue a los servidores de Signal, de manera que ni la propia Signal puede saber quién le escribe a quién.

La crítica histórica a Signal ha sido su dependencia del número de teléfono como identificador. Tu número es esencialmente tu identidad, lo que te expone a ataques de SIM swapping y supone compartir ese dato con cada persona con quien te comunicas. Signal lo resolvió en 2024 con la introducción de nombres de usuario, así que ahora puedes compartir un alias en lugar de tu número real.

WhatsApp: cifrado sólido, todo lo demás con fugas

El cifrado de mensajes de WhatsApp es genuinamente robusto —usa Signal Protocol, así que la base criptográfica es sólida. Con más de 2.000 millones de usuarios, además tiene algo que Signal no puede igualar: prácticamente todo el mundo que conoces ya lo tiene instalado.

El problema es otro. La empresa matriz de WhatsApp es Meta, y el modelo de negocio de Meta son los datos. Aunque Meta no puede leer el contenido de tus mensajes, recopila metadatos de forma masiva: tu lista de contactos completa, identificadores del dispositivo, dirección IP, horarios de conexión, patrones de uso y con qué frecuencia interactúas con cada persona. Esos metadatos revelan con quién hablas, cuándo y con qué frecuencia. Para investigadores, eso resulta igual de útil que leer los mensajes directamente. Las fuerzas del orden acceden regularmente a estos datos mediante requerimientos legales.

Las copias de seguridad en la nube son otro punto débil. Por defecto, los usuarios de Android hacen copia en Google Drive y los de iOS en iCloud, y esas copias históricamente no estaban cifradas de extremo a extremo. WhatsApp añadió la opción de copias E2EE en 2021, pero hay que activarla manualmente. Si no lo haces, todo tu historial de mensajes queda en un servidor en la nube al que un investigador puede solicitar acceso legal.

¿Para hablar con amigos sobre planes del fin de semana? WhatsApp está bien. Para cualquier cosa sensible, el rastro de metadatos y la propiedad corporativa son preocupaciones reales.

Telegram: popular, pero no lo que parece

Telegram ha construido una reputación de mensajero seguro que, francamente, no se merece. Los chats normales de Telegram usan cifrado cliente-servidor, lo que significa que los servidores de Telegram pueden leer tus mensajes. El cifrado de extremo a extremo solo se activa en los "Chats Secretos", un modo separado que la mayoría de los usuarios nunca usa. Los Chats Secretos además no sincronizan entre dispositivos ni admiten conversaciones en grupo, lo que limita bastante su utilidad práctica.

La criptografía subyacente también levanta señales de alerta. Telegram desarrolló su propio protocolo, MTProto, en lugar de adoptar Signal Protocol. Los criptógrafos han criticado MTProto por carecer de demostraciones formales de seguridad y tener fundamentos teóricos más débiles. Cuando se construye criptografía propia en lugar de usar estándares ampliamente auditados, eso suele ser una señal de advertencia.

“Arguing that you don't care about the right to privacy because you have nothing to hide is no different from saying you don't care about free speech because you have nothing to say.”

— Edward Snowden

Donde Telegram realmente destaca es en sus funcionalidades. Los grupos pueden tener hasta 200.000 miembros, los canales de difusión no tienen límite de suscriptores, y el ecosistema de bots es muy extenso. Si esas capacidades son lo que necesitas, Telegram tiene sentido. Solo que no lo confundas con una herramienta de privacidad. Si quieres conversaciones privadas en Telegram, usa exclusivamente los Chats Secretos, y sé consciente de que estás confiando en una criptografía que no ha ganado la misma confianza que Signal Protocol.

Tabla comparativa: características principales

Element y la opción descentralizada

Element usa el protocolo Matrix, que adopta un enfoque arquitectónico completamente diferente. Matrix es descentralizado: cualquiera puede montar su propio servidor, y esos servidores se federan entre sí, de forma similar a como funciona el correo electrónico. No hay una sola empresa controlando la infraestructura, lo que significa que no existe un único punto de vigilancia o control.

El cifrado usa Olm para chats individuales y Megolm para grupos, ambos construidos sobre el algoritmo Double Ratchet. NCC Group auditó el protocolo, encontró vulnerabilidades, y fueron corregidas. Ese ciclo de auditoría independiente y parcheo es una buena señal para la confianza en su seguridad a largo plazo.

Si quieres montar tu propio servidor Matrix, el proceso es el siguiente:

# Instalar Synapse (servidor Matrix basado en Python)
sudo apt install -y matrix-synapse

# Configurar los ajustes básicos
sudo nano /etc/matrix-synapse/homeserver.yaml

# Opciones de configuración clave:
# server_name: "tudominio.com"
# enable_registration: false
# registration_shared_secret: "tu_clave_secreta"

# Iniciar el servidor
sudo systemctl start matrix-synapse
sudo systemctl enable matrix-synapse

Combínalo con DNS over HTTPS para evitar que tus consultas DNS filtren a qué servidores te conectas:

# Configurar systemd-resolved para DoH (Ubuntu/Debian)
sudo nano /etc/systemd/resolved.conf

# Añadir estas líneas:
[Resolve]
DNS=1.1.1.1 1.0.0.1
DNSOverTLS=yes

# Reiniciar el servicio
sudo systemctl restart systemd-resolved

Element tiene una curva de aprendizaje más pronunciada y una base de usuarios mucho menor que Signal o WhatsApp. Pero para organizaciones que necesitan control total sobre su infraestructura de comunicaciones, no hay nada comparable.

Elegir la herramienta según tu amenaza real

Escoger una app de mensajería implica ser honesto sobre quién podría estar interesado en tus datos. Los distintos adversarios tienen capacidades distintas, y la herramienta adecuada depende de quién te preocupa.

Si tu preocupación es la recopilación masiva de datos por parte de empresas publicitarias, WhatsApp es suficiente. Meta recopila metadatos, pero no se los va a entregar a cualquiera que quiera espiarte.

Si te preocupa la vigilancia dirigida —un acosador, un empleador hostil o las fuerzas del orden— Signal es la opción correcta. La recopilación mínima de metadatos y la función Sealed Sender hacen que el análisis de tráfico sea genuinamente difícil.

Frente a actores estatales, Signal sigue siendo tu mejor opción, aunque la app por sí sola no es suficiente. Usa nombres de usuario en lugar de números de teléfono, activa el bloqueo de registro y verifica los números de seguridad con tus contactos en persona o por llamada telefónica. Considera enrutar el registro y la conectividad a través de Tor. Los estados pueden presionar legalmente a las empresas, por lo que la arquitectura de Signal importa más que sus promesas: al ser de código abierto, no tienes que fiarte de su palabra.

Una cosa que ninguna app puede proteger: que alguien te engañe para que le des acceso. Un atacante que te convence de compartir tu pantalla, reenviar un código de verificación o instalar un malware ha eludido tu cifrado por completo. La ingeniería social supera a la criptografía casi siempre.

Prácticas que realmente vale la pena