Hay una frase que repetimos a menudo cuando hablamos de Cashfulness.
"No vemos tus documentos."
Es una frase fácil de decir. Muchas aplicaciones la dicen.
La cuestión es qué hay debajo de esa frase. Porque "no los miramos" y "no podemos mirarlos" son dos promesas muy distintas.
La primera es una promesa de buena voluntad: fíate de que no lo hacemos.
La segunda es una promesa de imposibilidad: aunque quisiéramos, no podemos.
En Cashfulness, con los documentos que subes, vale la segunda. Y la palabra técnica que la hace verdadera se llama cifrado de extremo a extremo.
En inglés lo encuentras abreviado como E2EE, de end-to-end encryption: cifrado "de un extremo al otro".
Sé que suena a cosa de informáticos. Te lo prometo: al final de este artículo lo habrás entendido aunque no hayas escrito una línea de código en tu vida. Y habrás entendido por qué, para una aplicación donde guardas los números de casa, es una elección que lo cambia todo.
Primero, las palabras correctas
Partamos del verbo. Cifrar un archivo significa transformarlo en una secuencia ilegible.
No esconderlo detrás de una contraseña que pide "déjame entrar". Transformarlo de verdad: coger el texto, los números, las imágenes, y reducirlos a un bloque de caracteres que no quieren decir nada para quien no tiene la clave correcta.
Lo que devuelve ese bloque a su forma legible se llama clave. Es un trozo de información —piénsala como una contraseña muy, muy larga y generada por el ordenador— sin la cual el archivo se queda en ruido.
Cifras con la clave. Descifras con la clave. Sin clave, es un muro.
Ten presentes estas dos palabras —cifrar y clave— porque todo lo demás gira en torno a dónde vive la clave.
La caja de seguridad del banco
Hago el ejemplo que, en mi opinión, lo aclara todo.
¿Sabes esas cajas de seguridad de los bancos? Esas donde la gente mete documentos importantes, alguna joya, las cosas que no quiere tener en casa.
Funcionan así.
El banco te da una cámara acorazada, vigilada, a prueba de ladrones. Ahí dentro está tu caja.
Pero la llave de tu caja la tienes tú. Solo tú.
El banco custodia la cámara. No puede abrir tu caja. No tiene la llave. Si mañana un empleado deshonesto quisiera curiosear, no podría: la cerradura no se abre sin tu llave. Si entraran los ladrones y se llevaran la cámara entera, se encontrarían en las manos una caja de metal cerrada que no saben abrir.
El banco te ofrece un servicio —la seguridad de la cámara— sin exigir acceso a lo que metes dentro.
El cifrado de extremo a extremo es exactamente esto, aplicado a los archivos digitales.
Cashfulness es el banco: te ofrece la cámara acorazada, es decir, nuestros servidores donde se custodian tus documentos.
Tú eres el único que tiene la llave de la caja.
Y nosotros, como el banco, custodiamos sin poder abrir.
Qué pasa, en la práctica, cuando subes un documento
Pongamos que quieres guardar dentro de Cashfulness el extracto bancario, una factura de la luz, el contrato de alquiler, una póliza.
Son los documentos que puedes subir a Cashfulness: extractos, facturas, contratos, pólizas. Cosas llenas de datos tuyos: nombre completo, dirección, IBAN, importes, contrapartes.
Esta es la secuencia.
Tú eliges el archivo desde el teléfono o desde el ordenador.
Antes de que salga, todavía en tu dispositivo, el documento se cifra. Se convierte en ese bloque de ruido del que hablaba.
Solo después, ya cifrado, viaja hacia nuestros servidores.
Al servidor llega ruido. En el servidor se queda ruido.
Cuando eres tú quien quiere volver a leerlo, el documento vuelve a tu dispositivo todavía cifrado, y allí —solo allí, con tu clave— vuelve a ser legible.
El momento del cifrado es la parte importante: ocurre en tu casa, antes de la salida. No "una vez que llega al servidor, nosotros lo cerramos con llave por ti". Eso sería el banco guardando una copia de tu llave en el cajón del director.
No. La clave no la tenemos nunca. Nace en tu lado y se queda en tu lado.
Dónde vive tu clave
Pregunta justa, llegados a este punto: ¿y si pierdo esta dichosa clave? ¿Dónde la guardo?
La clave de tus documentos nace de dos cosas tuyas.
La primera es tu contraseña, esa con la que entras en Cashfulness.
La segunda es una secuencia de 24 palabras que recibes cuando activas esta protección. Es un sistema usado también en otros ámbitos para custodiar las claves más delicadas: son veinticuatro palabras corrientes, en un cierto orden, que juntas valen como una clave maestra de recuperación.
A partir de estas dos cosas, en tu dispositivo, se construye la clave que cifra y descifra tus documentos.
Y aquí está el punto que vale por todo el artículo: esa clave no sale nunca de tu dispositivo.
No pasa por nuestros servidores. No la guardamos en ninguna parte. No la vemos pasar.
Es como si la llave de la caja se forjara dentro de tu casa, por ti, y no saliera nunca de allí. El banco no la ha visto jamás, ni por un instante.
Para nuestros servidores, lo repito, cada documento tuyo es y sigue siendo un bloque de ruido digital.
Quién no puede leer tus documentos (es decir: todos menos tú)
Intento ser explícito, porque normalmente es aquí donde una promesa de privacidad o aguanta o se deshincha.
Tus documentos subidos no los podemos leer nosotros, los que hemos construido Cashfulness. No hay un panel en alguna parte donde un técnico nuestro abre tu póliza. Técnicamente no existe, porque no tenemos la clave.
No los puede leer quien gestiona los servidores en los que corren los datos.
No los podría leer un atacante que el día de mañana violara nuestros sistemas y se lo llevara todo: se encontraría en las manos ruido, archivos inutilizables.
Y no los podríamos entregar legibles ni siquiera si una autoridad nos los pidiera formalmente, porque no los tenemos en claro. Solo podemos entregar el ruido que custodiamos.
La frase "no vemos tus documentos", llegados a este punto, deja de ser una amable tranquilización.
Se convierte en la descripción técnica de un hecho.
No los vemos porque no podemos. Es distinto.
El reverso de la moneda (y quiero decírtelo yo, antes)
Una protección tan estrecha tiene un precio, y sería deshonesto esconderlo.
Si pierdes tu contraseña y pierdes también tus 24 palabras de recuperación, tus documentos se vuelven ilegibles. Para siempre. También para nosotros.
No hay un botón de "lo he olvidado todo, reenviadme los archivos". No existe un técnico nuestro que pueda entrar por la ventana y recuperártelos.
Volvamos a la caja del banco: si pierdes tu llave y nadie más tiene una copia, dentro de la caja se queda todo, pero ya no lo abre nadie.
Entiendo que, dicho así, pueda dar un poco de ansiedad. Pero míralo desde el otro lado, que es el motivo por el que lo elegimos.
Si existiera en alguna parte una "copia de seguridad" de tu clave —en nuestro servidor, en el cajón del director—, esa copia sería el punto débil de todo el sistema. Sería lo primero que buscaría un atacante. Sería la puerta que una autoridad podría pedirnos que abriéramos. Sería el archivo que un empleado deshonesto podría copiarse.
Una clave que existe solo en tu dispositivo, esa puerta, simplemente, no la abre.
Elegimos darte el control entero —con el peso que conlleva— en lugar de quedarnos un atajo que, antes o después, se habría convertido en el agujero de la presa.
El gesto práctico que te pedimos a cambio es uno solo: custodia tus 24 palabras como custodiarías la escritura de tu casa. Escritas, en un sitio seguro, lejos de miradas ajenas. No dentro de un correo a ti mismo, no en una nota del teléfono. Esas 24 palabras son la copia de reserva de tu clave. Guárdalas como guardas las cosas que cuentan.
Una precisión honesta: aquí el E2EE cubre los documentos
No quiero venderte más de lo que hay, porque sería lo contrario de todo este artículo.
El cifrado de extremo a extremo del que te he hablado protege los documentos que subes: extractos, facturas, contratos, pólizas. Esos son el nivel más delicado, y es ahí donde hemos puesto la cerradura más estrecha.
Tus datos contables propiamente dichos —las cuentas, los saldos, los movimientos que forman tu punto de situación, es decir, tu patrimonio neto— siguen en cambio una lógica distinta.
Viven en una base de datos nuestra, en servidores europeos, y están en claro del lado del servidor. Es una elección técnica necesaria: hacen falta para mantener alineada tu contabilidad entre el teléfono y el ordenador, y para calcular en tiempo real las métricas que te mostramos. Cifrarlos exactamente igual que los documentos haría la aplicación lentísima y, de hecho, inutilizable.
Pero —y aquí está la parte que muchos no se esperan— esos números viajan sin tu biografía pegada detrás.
Cuando te registras te pedimos un nombre de usuario (el que quieras, incluso inventado), un correo y una contraseña. No te pedimos nombre, apellidos, DNI, fecha de nacimiento, dirección ni teléfono.
Así, incluso quien tuviera acceso a la base de datos vería un cierto nombre de usuario con unas cuentas, unos saldos, unos movimientos, pero sin una manera de atar esos números a la persona real que eres tú.
Sobre cómo funciona esta segunda capa, y sobre por qué la hemos construido en dos niveles en lugar de uno, hay un artículo dedicado: Privacidad radical: dos niveles, una sola promesa. Aquí me paro, porque el tema de hoy es la llave de la caja.
El punto que me importaba fijar es este: cuando decimos que el cifrado de extremo a extremo te vuelve ilegibles los documentos, hablamos de los documentos. Sobre lo demás vale una protección distinta, igual de seria. Y prefiero decírtelo yo con precisión, antes que dejarte creer en un cifrado mágico que lo cubre todo.
Por qué nos importaba, hasta este punto
Podría cerrar aquí con la parte técnica. Pero la técnica, por sí sola, no es el motivo.
El motivo es que las finanzas personales son el sitio donde guardas las cosas de las que no hablas a gusto ni siquiera con los amigos. Cuánto ganas de verdad. Cuánto has apartado, o qué poco. Una deuda que pesa.
Si nada más abrir una aplicación así te queda en el fondo la duda de que alguien, en alguna parte, pueda echar un vistazo, esa aplicación no te dará nunca aquello para lo que existe.
Nosotros a eso lo llamamos calma. The calm side of money, el lado tranquilo del dinero. Y la calma, si tus números no están seguros de verdad, es solo una palabra en una web.
El cifrado de extremo a extremo sobre los documentos no es un trofeo técnico para poner en el escaparate. Es el suelo sobre el que se apoya todo lo demás: sin él, las métricas y el punto de situación son muebles apoyados sobre el vacío.
Por eso lo escribimos en los cimientos, no lo añadimos después como un interruptor más.
En una línea
Te la dejo en la forma más corta que tengo.
Tus documentos los cierras en una caja. La llave de la caja la tienes solo tú, y no sale nunca de tu dispositivo. Nosotros custodiamos la caja cerrada, y no podemos abrirla.
No porque hayamos prometido ser buenos.
Porque nos hemos quitado, a propósito, la posibilidad de no serlo.
— Vittorio