Cómo cifrar tus notas: guía práctica de privacidad

Tus notas son lo más sincero que tienes. Guardan ideas a medio formar, datos de clientes, contraseñas apuntadas a las dos de la madrugada, el borrador de una carta de renuncia, el nombre del médico al que querías llamar. La mayoría de la gente escribe todo eso en apps que lo guardan en texto plano en el servidor de otro. Esta guía explica cómo cifrar de verdad tus notas, de qué te protege cada método y dónde las herramientas habituales dejan huecos sin decirlo.

Respuesta rápida: Para cifrar bien tus notas necesitas tres cosas: un cifrado robusto (AES-256 es el estándar), una clave que solo controles tú (desbloqueada por tu contraseña y que ninguna empresa guarde nunca en forma legible) y un plan de recuperación para cuando olvides esa contraseña. Notion cifra tus notas en reposo, pero con claves que controla Notion, no con una clave tuya, y Obsidian no tiene cifrado nativo (dependes de un plugin). Herramientas como Filarr, Standard Notes o Cryptee cifran en tu dispositivo antes de que nada llegue al disco o a la nube, así que el servidor solo guarda contenido que no puede leer. Lo práctico es elegir una herramienta que cifre en local por defecto, usar una frase de contraseña larga y única, y guardar tu frase de recuperación en algún lugar fuera de línea.

¿Por qué cifrar tus notas importa más de lo que crees?

El cifrado suena a problema del departamento de TI. No lo es. Se trata de quién puede leer tu día a día. Cuando tus notas viven sin cifrar en un servicio en la nube, varias personas pueden llegar a verlas: empleados de la empresa (el equipo de soporte, ingenieros que depuran un fallo), cualquiera que vulnere los servidores de la empresa, las autoridades mediante una solicitud que la empresa está obligada a atender, y cualquier socio con el que el servicio comparta datos. Confías en todos ellos por defecto, en silencio, para siempre.

El objetivo de cifrar tus notas es sencillo: que el contenido sea ilegible para todos menos para ti. Bien hecho, aunque alguien robe el disco duro, vulnere el bucket en la nube u obligue a la empresa a entregar tus archivos, lo único que obtiene es ruido. Esa es la diferencia entre «mis datos se guardan de forma segura» (una promesa) y «mis datos son matemáticamente ilegibles sin mi clave» (una propiedad).

Esta guía es para cualquiera que tenga un segundo cerebro en una app de notas: desarrolladores con claves de API en su bloc de notas, freelance con contratos de clientes, periodistas, personas que gestionan asuntos de salud o legales, o cualquiera a quien no le guste la idea de que sus pensamientos privados estén legibles en un servidor de otro país.

¿De qué te estás protegiendo exactamente?

Antes de elegir un método, ponle nombre a tu amenaza. El cifrado no es una sola cosa, y la configuración adecuada depende de lo que te preocupe.

Alguien te roba el portátil o el teléfono. Es la amenaza más común en la vida real. Aquí, el cifrado de disco completo (FileVault en macOS, BitLocker en Windows, LUKS en Linux) ya ayuda mucho, porque un dispositivo apagado con el disco cifrado es difícil de leer. Pero el cifrado de disco completo deja de protegerte en cuanto el dispositivo está desbloqueado y en marcha. Si tu app de notas no tiene un bloqueo propio, cualquiera con tu portátil desbloqueado lo lee todo.

El servicio en la nube sufre una brecha o lee tus datos. Aquí el cifrado de disco completo no sirve de nada, porque tus notas salieron de tu disco en forma legible y quedaron guardadas en su servidor. Aquí es donde importa el cifrado de extremo a extremo o del lado del cliente: el contenido se cifra antes de salir de tu equipo, así que el servidor solo guarda bloques revueltos.

Una empresa se ve obligada a entregar tus datos. La misma respuesta. Si el proveedor nunca tuvo tu clave, solo puede entregar texto cifrado. Ese es el significado real de «conocimiento cero» (zero-knowledge): el servicio, literalmente, no puede leer lo que almacena.

Cuando sabes cuál de estas amenazas te importa, elegir herramienta es más fácil. La mayoría de la gente quiere protegerse de las tres, y eso apunta al cifrado del lado del cliente con una clave que controlas tú.

Método 1: cifrado de disco completo (la base que todo el mundo debería tener)

Empieza por aquí, uses la app de notas que uses. El cifrado de disco completo protege todo lo que hay en el equipo cuando está apagado o bloqueado.

En macOS, abre Ajustes del Sistema, ve a Privacidad y seguridad y activa FileVault. Guarda la clave de recuperación en un sitio que no sea ese mismo equipo. En las ediciones Pro de Windows, busca «Administrar BitLocker» y actívalo en la unidad del sistema; las ediciones Home tienen un «Cifrado de dispositivo» más ligero en Configuración, si tu hardware lo admite. En Linux, LUKS suele ofrecerse durante la instalación como «cifrar el disco», y activarlo al instalar es mucho menos doloroso que añadirlo después.

La limitación, dicha con franqueza: esto protege el disco, no la app. Es necesario pero no suficiente. En cuanto escribes tu contraseña de inicio de sesión y el equipo está en marcha, tus notas están descifradas y son legibles para cualquier proceso o persona con acceso a esa sesión. Trata el cifrado de disco completo como el suelo, no como el techo.

Método 2: cifrar notas sueltas o la bóveda entera dentro de una app de notas generalista

Si ya vives en una herramienta como Obsidian o Notion, puedes añadirle cifrado, pero tienes que entender exactamente qué obtienes.

Obsidian guarda tus notas como archivos Markdown en texto plano en el disco. No hay cifrado nativo. Tus opciones son: meter toda la bóveda dentro de un contenedor cifrado (un volumen de VeraCrypt, o una bóveda de Cryptomator sincronizada con tu nube), o usar un plugin de la comunidad, por ejemplo uno que cifre notas sueltas. El contenedor es sólido y está muy probado, pero resulta engorroso en el día a día: montas el volumen, trabajas, lo desmontas. El plugin es cómodo pero frágil, porque depende de que un único desarrollador mantenga un fragmento de código que se interpone entre tú y tus datos. Si el plugin se rompe tras una actualización de Obsidian, puedes quedarte sin acceso a tus propias notas hasta que lo arreglen. Es un riesgo real que conviene sopesar.

Notion no ofrece cifrado de extremo a extremo. Tus páginas se cifran en tránsito y en reposo en la infraestructura de Notion con claves que controla Notion, lo que significa que Notion puede leer tu contenido. No hay ninguna opción para el usuario que cambie eso. Si tu modelo de amenazas incluye «ni la empresa ni nadie que llegue a sus servidores debería leer esto», Notion no es la herramienta adecuada para esas notas en concreto, y ningún ajuste lo arregla. Úsalo para lo que no te importaría que fuera legible y guarda el material sensible en otro sitio.

La conclusión del método 2: añadir cifrado a una herramienta que no se diseñó para ello funciona, pero siempre es un apaño, y los apaños tienen aristas con las que acabarás tropezando.

Método 3: una app de notas que cifra en local por defecto

La opción más limpia es una herramienta en la que el cifrado no es una función que activas, sino la forma en que funciona la app. Aquí el contenido se cifra en tu dispositivo con una clave que solo tu contraseña desbloquea, antes de escribir nada en el disco o de enviarlo a un servidor. Standard Notes, Cryptee, las herramientas de Proton y Filarr están en esta categoría, con compromisos distintos.

Trabajo en Filarr, así que lo usaré como ejemplo práctico, y diré sin rodeos qué hacen otras herramientas que Filarr no hace.

Con una app cifrada local-first (primero en local), el flujo es así. Defines una contraseña de bóveda la primera vez que abres la app. Esa contraseña pasa por una función de derivación de claves lenta para producir la clave que bloquea tu clave maestra. En Filarr, la derivación es PBKDF2 con SHA-512 a 600 000 iteraciones, muy por encima de las 210 000 que recomienda OWASP para PBKDF2-SHA512. Lo «lento» es justo la idea: hace que forzar tu contraseña probando miles de millones de combinaciones resulte costoso en cálculo.

Tu clave maestra es una clave aleatoria de 256 bits, la clave de tu cuenta (la FEK), y es lo que se cifra (se envuelve) con la clave derivada de tu contraseña. Cada archivo y cada nota se cifra con AES-256-GCM, un cifrado autenticado estándar, bajo esa clave de tu cuenta, con un valor aleatorio (IV) nuevo para cada uno; solo los archivos grandes importados en el escritorio y los bloques sincronizados derivan además una clave propia. Cada archivo se guarda en tu disco como un bloque cifrado independiente. Como la app es local-first, todo esto ocurre actives o no la sincronización en la nube. Sin conexión, tus notas ya están cifradas en reposo en tu propio equipo.

En la práctica, esto te da lo siguiente: si alguien copia los archivos de tu disco, obtiene bloques cifrados opacos y ninguna clave. La clave solo existe cuando desbloqueas la app con tu contraseña. La empresa que gestiona el servicio (en el caso de Filarr, la sincronización opcional en la nube) nunca recibe tu clave en claro, solo los bloques ya cifrados y una copia envuelta de la clave. Desde el 16 de octubre de 2026, al iniciar sesión en una cuenta de Filarr se envía una clave derivada en tu dispositivo, no tu contraseña. Una salvedad honesta sobre la transición: durante unos dos meses, una cuenta que aún no ha vuelto a iniciar sesión, o una versión antigua de la app, todavía envía la contraseña por HTTPS para cotejarla con un hash bcrypt, y un servidor comprometido podría capturarla en ese momento.

Método 4: ¿cómo sincronizar tus notas sin renunciar al cifrado?

Lo difícil de las notas cifradas siempre ha sido la sincronización. Quieres tus notas en el portátil, en el teléfono y con una copia de seguridad en algún sitio, pero sincronizar suele implicar entregar datos legibles a un servidor. El cifrado del lado del cliente lo resuelve sincronizando solo el texto cifrado.

En una app cifrada bien diseñada, la sincronización sube los mismos bloques cifrados que ya están en tu disco. No se descifra nada para el servidor. En Filarr, la sincronización en la nube es opcional y guarda bloques cifrados opacos en Cloudflare R2; el servidor tiene texto cifrado que no puede leer y, si prefieres no guardar tus archivos en el almacenamiento de Filarr, puedes usar tu propio bucket compatible con S3. El modelo mental que debes exigir a cualquier herramienta: el servidor debería ser una caja tonta que guarda datos revueltos, no un servicio que procesa tu contenido.

Cuando evalúes la sincronización de una herramienta, hazte una sola pregunta: ¿el servidor tiene alguna vez mis notas en una forma que pueda leer? Si la respuesta es sí (Notion, Google Keep, la mayoría de las apps populares), la comodidad de la sincronización te está costando privacidad. Si es no, tienes las dos cosas.

El paso que todo el mundo se salta: la recuperación

Un cifrado fuerte tiene un filo cortante. Si solo tú tienes la clave y la pierdes, tus notas desaparecen. De verdad. No existe un correo de «olvidé mi contraseña» que recupere datos cifrados de extremo a extremo, porque un sistema que la empresa puede recuperar es, por definición, uno en el que la empresa tiene una clave.

Por eso planificar la recuperación no es opcional: es la otra mitad de cifrar tus notas. Las buenas herramientas te dan una frase de recuperación: una lista de palabras (Filarr usa una frase BIP-39 de 24 palabras, el mismo estándar que usan los monederos de criptomonedas) que puede regenerar tu acceso. Escríbela en papel. Guárdala en un lugar físicamente seguro y separado de tu dispositivo, por ejemplo una caja fuerte en casa o un sobre cerrado junto a tus documentos importantes. No guardes tu frase de recuperación en la misma app de notas que desbloquea, y no te la envíes por correo.

Una segunda capa de seguridad son tus propias copias de seguridad cifradas. Exporta o copia tu bóveda cifrada a un disco externo de vez en cuando. Como los archivos ya están cifrados, la copia puede vivir en un disco que no esté cifrado, aunque una precaución de más nunca sobra. Se trata de redundancia: el cifrado te protege de los demás; las copias de seguridad, de ti mismo.

Errores frecuentes y buenas prácticas

Una contraseña débil lo deshace todo. AES-256 es irrompible en la práctica, pero protege una puerta cuya llave es tu contraseña. Si tu contraseña es «verano2024», ninguna criptografía te salva. Usa una frase de contraseña larga (cuatro o cinco palabras al azar son más robustas y más fáciles de recordar que una cadena corta y críptica) y no la reutilices nunca de otra cuenta.

Desconfía de las apps que ofrecen «restablecer contraseña» para datos cifrados. Si un servicio puede restablecer tu contraseña y seguir mostrándote tus notas antiguas, significa que el servicio tiene tu clave. Eso no es cifrado de extremo a extremo, diga lo que diga el marketing. Un cifrado del lado del cliente de verdad te obliga a tener una frase de recuperación precisamente porque no puede devolverte el acceso con un restablecimiento.

No confundas «cifrado en tránsito» con «cifrado para ti». Casi todas las apps usan HTTPS, que cifra los datos mientras viajan. Es lo mínimo exigible y no dice nada sobre si la empresa puede leer tus notas una vez que llegan. Busca específicamente cifrado «de extremo a extremo», «del lado del cliente» o «de conocimiento cero».

Las capturas de pantalla, el portapapeles y las exportaciones filtran. El cifrado protege el almacenamiento, no lo que haces con el contenido descifrado. Una nota que pegas en un chat sin cifrar, o que exportas a un PDF sin protección en tu escritorio, ya no está protegida. Ten claro dónde acaban las copias descifradas.

Ajusta la herramienta a la madurez que necesitas. Sé sincero contigo mismo sobre los compromisos. Obsidian tiene un enorme ecosistema de plugins y una gran comunidad; una app cifrada más joven como Filarr tiene menos plugins y una comunidad más pequeña (es un proyecto de 2026, con una app de Android joven y sin app para iPhone). Si para un uso concreto la extensibilidad profunda importa más que el cifrado nativo, es una elección legítima. Cifra las notas que lo necesitan y no obligues a una sola herramienta a serlo todo.

Una configuración concreta que puedes copiar

Esta configuración cubre las tres amenazas sin mucha fricción. Activa el cifrado de disco completo en todos tus dispositivos (la base contra el robo). Guarda el material realmente sensible en una app cifrada local-first con una frase de contraseña robusta y única, para que el contenido sea ilegible en reposo y en la nube. Activa la sincronización cifrada si necesitas varios dispositivos, comprobando que el servidor solo tiene texto cifrado. Escribe tu frase de recuperación en papel y guárdala fuera de línea, separada de tus dispositivos. Haz periódicamente una copia de seguridad cifrada en un disco externo.

Con esa combinación, un portátil robado no revela nada, una nube vulnerada no revela nada y una contraseña olvidada no te cuesta tus notas. Se configura en unos veinte minutos y después funciona prácticamente sola.

Preguntas frecuentes

¿Basta el cifrado de disco completo para proteger mis notas? No. El cifrado de disco completo protege tus notas cuando el dispositivo está apagado o bloqueado, pero en cuanto inicias sesión y el equipo está en marcha, tus notas están descifradas y son legibles para cualquiera con acceso a esa sesión o al servicio en la nube que guarda una copia en claro. Es una base necesaria, no una solución completa. Combínalo con una app de notas que cifre el contenido en tu dispositivo.

¿Notion cifra mis notas? Notion cifra los datos en tránsito y en reposo en sus servidores con claves que controla Notion, lo que significa que el propio Notion puede leer tu contenido, igual que cualquiera que vulnere sus sistemas o una autoridad que se lo solicite. Notion no ofrece cifrado de extremo a extremo y no hay ningún ajuste para activarlo. Para las notas que deben quedar fuera del alcance del proveedor, usa en su lugar una herramienta con cifrado del lado del cliente.

¿Qué diferencia hay entre el cifrado en tránsito y el cifrado de extremo a extremo? El cifrado en tránsito (HTTPS) protege los datos solo mientras viajan entre tu dispositivo y el servidor; el servidor puede leerlos igualmente cuando llegan. El cifrado de extremo a extremo o del lado del cliente cifra el contenido en tu dispositivo antes de enviarlo, así que el servidor solo guarda datos revueltos que no puede leer. Para notas privadas, lo que quieres es lo segundo.

¿Qué pasa si olvido mi contraseña? Con un cifrado de extremo a extremo real, la empresa no puede recuperar tus notas, porque nunca tuvo tu clave. Por eso estas herramientas te dan una frase de recuperación (Filarr usa una frase BIP-39 de 24 palabras) cuando configuras tu bóveda. Escríbela y guárdala fuera de línea. Si pierdes a la vez la contraseña y la frase de recuperación, nadie podrá recuperar las notas cifradas.

¿El cifrado AES-256 es realmente seguro? AES-256 es un estándar de amplia confianza que usan gobiernos y bancos, y no se conoce ningún ataque práctico contra él. El punto débil casi nunca es el algoritmo; es la contraseña que protege la clave. Una contraseña corta o reutilizada puede forzarse sea cual sea el algoritmo, así que usa una frase de contraseña larga y única y deja que la función de derivación de claves de la app (como PBKDF2 con 600 000 iteraciones, o Argon2id) haga su trabajo.

¿Puedo seguir sincronizando mis notas entre dispositivos si están cifradas? Sí, si la herramienta está hecha para ello. Las apps con cifrado del lado del cliente sincronizan los bloques ya cifrados, así que el servidor guarda texto cifrado que no puede leer mientras tus dispositivos siguen sincronizados. Filarr, por ejemplo, ofrece una sincronización opcional que sube bloques cifrados a Cloudflare R2, o a tu propio bucket compatible con S3. Comprueba que el servidor nunca tiene una copia legible.

Conclusión

Cifrar tus notas no es un solo interruptor, es una pequeña pila: el cifrado de disco completo como suelo, una app con cifrado del lado del cliente para las notas que importan, la sincronización cifrada si la necesitas y una frase de recuperación guardada fuera de línea, para que una contraseña perdida no se convierta en una década de ideas perdida. Las herramientas se encargan de la mecánica; tu trabajo es elegir una que cifre en local por defecto, escoger una frase de contraseña robusta y guardar la frase de recuperación antes de necesitarla. Hazlo una vez, y el registro más sincero de tu vida pasa a ser legible solo para ti.

Si quieres una herramienta en la que esto sea lo predeterminado y no un apaño, Filarr cifra cada archivo en local con AES-256-GCM antes de que llegue al disco, deja la sincronización como opción y es gratis para siempre en uso local. Pero el principio sobrevive a cualquier app: sé dueño de tus claves, planifica tu recuperación y deja de confiar en servidores para guardar secretos que pueden leer.