Cifrado en reposo: Cifrado de los datos mientras están almacenados, por ejemplo en bases de datos, almacenamiento de archivos o copias de seguridad, para que la copia guardada sea ilegible sin las llaves correspondientes.
También conocido como: Cifrado de datos en reposo, Cifrado del almacenamiento, Encryption at rest
Puntos clave
- El cifrado en reposo protege lo almacenado; el cifrado en tránsito, lo que se mueve.
- Defiende frente a discos robados, copias filtradas y accesos no autorizados al almacenamiento.
- No impide que alguien con acceso legítimo a la aplicación lea los datos a través de ella.
- Su solidez real depende de la gestión de llaves: dónde están y quién puede usarlas.
- C Chat cifra los mensajes almacenados con AES-256 y una llave por organización.
Los datos pasan casi toda su vida quietos. Un mensaje viaja una fracción de segundo y luego se queda guardado meses o años. Por eso el cifrado en reposo importa tanto como proteger la conexión, y por eso a la pregunta “¿está cifrado?” siempre le sigue otra: “¿dónde, y con las llaves de quién?”.
Cifrado en reposo: definición sencilla
“En reposo” se refiere a los datos almacenados, frente a los que se mueven por la red (“en tránsito”) o los que se procesan en memoria (“en uso”). El cifrado en reposo revuelve lo almacenado para que los bytes del disco no signifiquen nada sin la llave.
Se puede aplicar en distintas capas:
| Capa | Qué se cifra | Protección típica |
|---|---|---|
| Disco o volumen | La unidad completa | Hardware robado o desechado |
| Base de datos o servicio de almacenamiento | Tablas, archivos, objetos | Bases copiadas, respaldos filtrados |
| Aplicación | Registros o campos concretos, muchas veces por cliente | Separación entre clientes, control más fino |
Muchos servicios combinan capas. La de aplicación es donde suele hacerse la separación por cliente, un tema que vemos en llave de cifrado por organización.
Cómo funciona
El servicio genera llaves de cifrado y usa un algoritmo simétrico, casi siempre AES-256, para cifrar los datos antes de escribirlos. Cuando una parte autorizada del sistema los necesita, usa la llave para descifrarlos.
Las llaves son el activo crítico. Si están junto a los datos cifrados y sin protección, el cifrado aporta poco. La buena práctica es guardarlas aparte, limitar qué sistemas pueden usarlas y registrar su uso. Esa disciplina se llama gestión de llaves.
El cifrado en reposo no es lo mismo que la criptografía de llave pública, que se usa sobre todo para intercambiar secretos y verificar identidades, no para cifrar grandes volúmenes almacenados.
Por qué importa en la mensajería empresarial
El historial de chat es un archivo denso: nombres, direcciones, fotos de instalaciones, quejas de clientes, detalles de incidentes. Las amenazas realistas contra lo almacenado incluyen un contenedor de almacenamiento mal configurado, un respaldo copiado donde no debía o un disco que sale de un centro de datos. Con cifrado en reposo, esos sucesos pasan de “datos expuestos” a “datos cifrados expuestos”, que es un resultado muy distinto.
Además, es de lo primero que pregunta un comprador. El cuestionario de seguridad para proveedores lo incluye, junto con preguntas sobre quién puede descifrar.
Qué tiene que ver con C Chat
C Chat cifra los mensajes almacenados con AES-256 usando una llave que pertenece a cada organización, y protege todas las conexiones con TLS. Los detalles están en cifrado AES-256 en reposo por organización y en cómo cifra C Chat tus mensajes.
Lo que el cifrado en reposo no decide es quién puede leer el contenido dentro del producto. En C Chat eso lo define el modelo de cifrado auditable:
- Los propietarios y administradores pueden auditar y exportar las conversaciones de grupo del equipo.
- Los mensajes directos entre personas son privados.
- La plataforma solo accede al contenido para moderar mensajes denunciados o por requerimientos legales, y ese acceso queda registrado.
Es distinto del cifrado de extremo a extremo, en el que solo los dispositivos tienen las llaves. Las diferencias están en cifrado auditable vs cifrado de extremo a extremo, y la parte de la conexión se describe en TLS en C Chat.
Términos relacionados y errores comunes
- “Cifrado en reposo significa que nadie puede leerlo.” Los sistemas autorizados descifran los datos para mostrarlos. La pregunta es quién está autorizado.
- “Con cifrar el disco basta.” Protege el hardware, pero un servidor encendido lee su disco con normalidad, así que sirve de poco ante una brecha en la aplicación.
- “Cifrado en reposo y E2EE son intercambiables.” Resuelven problemas distintos. Revisa las llaves por organización explicadas para ver cómo separa C Chat a cada organización.
Cómo empezar
Sacar el chat de tu equipo de las apps personales y llevarlo a un servicio con cifrado en reposo es una mejora rápida. Crea tu equipo en la app web en getcchat.com/c; por ahora es gratis, con hasta 50 miembros por equipo.
Preguntas frecuentes
¿Qué diferencia hay entre cifrado en reposo y en tránsito?
El cifrado en tránsito protege los datos mientras viajan por la red, por ejemplo con TLS. El cifrado en reposo los protege mientras están guardados. Un enfoque completo cubre ambos, porque los datos pasan tiempo en los dos estados.
¿El cifrado en reposo protege contra los hackers?
Protege contra quien consigue el almacenamiento en bruto, como una copia de la base de datos o un respaldo, sin las llaves. No protege contra alguien que entra con credenciales válidas y lee los datos desde la aplicación.
¿El cifrado de disco completo es lo mismo que el cifrado en reposo?
El cifrado de disco completo es una forma de cifrado en reposo que protege toda la unidad. Muchos servicios añaden además cifrado en la base de datos o en la aplicación, lo que permite separar los datos por cliente.
¿Cómo cifra C Chat los datos en reposo?
C Chat guarda los mensajes cifrados con AES-256 usando una llave propia de cada organización. Los mensajes además viajan por TLS. Los propietarios y administradores pueden auditar las conversaciones de grupo, y los directos entre personas siguen siendo privados.