Confidencialidad absoluta
May·Secret está diseñado en torno a un principio fundamental: no podemos leer tus archivos. No por elección de política, sino por imposibilidad técnica.
Arquitectura de conocimiento cero
En una arquitectura de conocimiento cero, el servidor solo recibe datos que es matemáticamente incapaz de descifrar. Tus archivos se cifran en tu navegador, antes incluso de enviarse por la red. May Software no dispone de ninguna clave que permita acceder a tus datos. Incluso bajo una orden judicial, solo podemos entregar contenido cifrado ilegible.
Cómo funciona el cifrado
Generación de tu par de claves (al registrarte)
Al registrarte, tu navegador genera un par de claves asimétricas con
libsodium crypto_box_keypair
(Curve25519, 256 bits). La clave pública se envía al servidor para cifrar tus archivos.
La clave privada nunca sale de tu dispositivo en claro.
Protección de la clave privada con tu contraseña (Argon2id)
Tu clave privada se cifra con una clave derivada de tu contraseña mediante
crypto_pwhash (Argon2id).
Argon2id es el algoritmo de derivación recomendado por el NIST en 2022: es deliberadamente
lento en memoria y CPU para resistir ataques de fuerza bruta, incluso desde hardware especializado (GPU, ASIC).
El servidor solo almacena la clave privada cifrada, junto con la sal y el nonce — nunca la contraseña.
Cifrado de cada archivo (XChaCha20-Poly1305)
En cada subida, se genera una clave simétrica aleatoria única para el archivo.
El archivo se cifra en streaming con
crypto_secretstream_xchacha20poly1305:
un algoritmo AEAD (Authenticated Encryption with Associated Data) que garantiza a la vez la
confidencialidad (XChaCha20) y la integridad (Poly1305 MAC).
Cualquier alteración de los datos cifrados se detecta y se rechaza al descifrar.
Protección de la clave del archivo (cifrado asimétrico)
La clave simétrica del archivo se cifra a su vez con tu clave pública
mediante crypto_box_seal (X25519 + XSalsa20-Poly1305).
Solo tu clave privada — que únicamente tú posees — puede descifrarla.
El servidor almacena así la clave del archivo en forma cifrada, sin poder usarla nunca.
Descarga y descifrado en memoria
Al descargar, tu navegador obtiene el archivo cifrado, descifra la clave simétrica con tu clave privada (presente solo en la RAM) y luego descifra el archivo en memoria. El archivo en claro nunca transita por la red. Tu clave privada descifrada nunca se escribe en localStorage, sessionStorage, ni en una cookie — desaparece al cerrar la pestaña.
Qué ve y qué no ve May Software
✕ No vemos
- El contenido de tus archivos
- El nombre original de tus archivos
- El nombre de tus carpetas
- Tu clave privada
- Tu contraseña (ni su hash)
- Las claves de cifrado de tus archivos
✓ Solo vemos
- Tu dirección de email
- El tamaño de tus archivos
- La fecha de subida
- El tipo MIME (imagen, PDF…)
- Tu cuota de almacenamiento usada
- Tu plan de suscripción
Autenticación sin estado (JWT RS256)
La autenticación se basa en tokens JWT firmados con RSA de 256 bits (LexikJWTAuthenticationBundle). No se almacena ninguna sesión del lado del servidor: cada solicitud se autentica únicamente mediante el token, firmado con la clave privada RSA de la API. Un token comprometido no da acceso a los archivos — también sería necesaria la clave privada libsodium del usuario, que nunca se transmite al servidor.
El token se almacena en sessionStorage
(vida limitada a la pestaña) y no en localStorage,
para limitar la exposición a ataques XSS persistentes.
Bibliotecas criptográficas utilizadas
| Biblioteca | Uso | Algoritmo |
|---|---|---|
| libsodium-wrappers-sumo | Cifrado de archivos y claves | XChaCha20-Poly1305, Curve25519, Argon2id |
| sodium (PHP) | Generación de claves del lado del servidor (solo fixtures) | Curve25519 |
| symfony/password-hasher | Hash de la contraseña | Argon2id |
| lexik/jwt-authentication-bundle | Tokens de autenticación | RSA de 256 bits (RS256) |
Consecuencia importante: pérdida de la contraseña
La garantía de confidencialidad absoluta tiene un coste: si olvidas tu contraseña, tus archivos son irrecuperables. May Software no dispone de ningún mecanismo de recuperación de la clave privada — sería técnicamente incompatible con una arquitectura de conocimiento cero. Guarda tu contraseña en un lugar seguro (se recomienda un gestor de contraseñas).
Preguntas frecuentes sobre seguridad
¿De verdad no pueden leer mis archivos?
¿De verdad no pueden leer mis archivos?
Así es. El cifrado con libsodium se realiza en su navegador antes de subir nada: solo recibimos y almacenamos datos ya cifrados, y su clave privada nunca sale de su dispositivo.
¿Puedo acceder a mis archivos desde varios dispositivos (móvil, nuevo ordenador)?
¿Puedo acceder a mis archivos desde varios dispositivos (móvil, nuevo ordenador)?
Sí. Su clave privada, cifrada con su contraseña, se sincroniza con su cuenta. En un dispositivo nuevo, basta con iniciar sesión con su contraseña habitual: la clave se descifra entonces localmente, igual que en sus otros dispositivos.
¿Dónde se alojan mis datos?
¿Dónde se alojan mis datos?
En Francia, en o2switch (Clermont-Ferrand), conforme al RGPD.
¿Utilizan estándares de cifrado reconocidos?
¿Utilizan estándares de cifrado reconocidos?
Sí, libsodium, una biblioteca criptográfica de código abierto y ampliamente auditada, usada por numerosos servicios centrados en la privacidad.
¿Los nombres de mis archivos y carpetas también están cifrados?
¿Los nombres de mis archivos y carpetas también están cifrados?
Sí, al igual que el contenido de los archivos, los metadatos (nombres, estructura de carpetas) se cifran del lado del cliente antes de almacenarse.
¿Ofrecen autenticación de dos factores?
¿Ofrecen autenticación de dos factores?
Sí, hay disponible una verificación en dos pasos por correo electrónico para proteger el acceso a su cuenta.
¿Qué ocurre si olvido mi contraseña?
¿Qué ocurre si olvido mi contraseña?
Como el cifrado es de extremo a extremo, nadie —ni siquiera nosotros— puede descifrar sus archivos sin su contraseña. Guárdela bien o use un gestor de contraseñas.
¿Te preguntas quiénes somos o qué pasa si el servicio cierra? Consulta nuestra página «Por qué confiar en May·Secret». Para profundizar en la parte técnica, nuestro Blog: cifrado, RGPD, comparativas y guías por profesión.
¿Listo para guardar tus archivos con total confidencialidad?