Cómo configurar la sincronización con tu propio almacenamiento (S3) en Filarr

Respuesta rápida: con el plan Pro, o con un puesto en una organización Teams o Enterprise, Filarr puede sincronizar tus archivos a través de un bucket compatible con S3 que te pertenece y controlas tú, en lugar del almacenamiento de Filarr. Abre «Settings → Account & Sync» (Ajustes → Cuenta y sincronización), busca «Where synced files live» (Dónde viven los archivos sincronizados), haz clic en «Use my bucket» (Usar mi bucket), elige tu proveedor, rellena el endpoint, la región, el bucket, el direccionamiento, el Access key ID y el Secret access key, haz clic en «Test» (Probar) y después en «Save» (Guardar). A partir de ese momento, cada archivo se cifra en tu equipo con AES-256-GCM antes de salir, y el servidor de Filarr lo transmite a tu bucket, de modo que tu bucket solo guarda bloques opacos e ilegibles. Funciona con Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway, OVHcloud y cualquier otro servicio compatible con S3, como MinIO.

Por qué querrías tener tu propio bucket

La mayoría de la gente recurre a su propio almacenamiento (BYOS, bring-your-own-storage) por una de tres razones muy prácticas, y ninguna tiene que ver con la criptografía sobre el papel.

La primera es el control del coste. Si ya pagas Backblaze B2 o Wasabi, o tienes una cuenta de AWS para otros proyectos, pagas por gigabyte a precios que a menudo son mucho más baratos que la suscripción de una app. Apuntar Filarr a ese bucket significa que tus notas y tus archivos viajan sobre un almacenamiento que ya tienes presupuestado.

La segunda es la propiedad y la portabilidad. Cuando tus datos viven en un bucket con tu nombre en la cuenta, nadie puede cambiar las condiciones a escondidas, subirte el precio del plan ni dejarte fuera. Puedes descargar los objetos en bruto cuando quieras con las herramientas S3 estándar, cambiarte a otro proveedor o guardar una copia en un NAS con MinIO en tu propia casa.

La tercera es un requisito normativo o interno. Algunas personas necesitan de verdad que sus datos estén en una región concreta, con un proveedor concreto o en una infraestructura que puedan enseñar a un auditor. Un freelance que maneja archivos de clientes, un contable o cualquiera sujeto a una regla de residencia de datos a menudo no puede usar la nube genérica por defecto. Si te reconoces en esta situación, vale la pena leer junto a este artículo los dedicados a proteger los datos de tus clientes sin departamento de informática y, de forma más amplia, a las alternativas a Notion autoalojadas y cifradas de verdad.

El cifrado es la capa que te tranquiliza por debajo de las tres. Consigues el control que buscabas y, como Filarr lo cifra todo antes de subirlo, no sacrificas la privacidad para tenerlo. Te guío por toda la configuración, con honestidad, incluidas las partes un poco quisquillosas.

Qué hace realmente BYOS en Filarr (y qué no)

Antes de tocar ningún ajuste, conviene entender qué va a dónde, porque cambia la forma de pensar en el bucket.

En modo BYOS, solo tu sincronización personal pasa a tu bucket S3, como objetos cifrados guardados bajo claves internas opacas. Tu cuenta, el inicio de sesión, los dispositivos y la facturación siguen en Filarr, y las bóvedas compartidas, los enlaces para compartir, Filarr Send y las solicitudes de archivos se quedan siempre en Filarr Cloud, porque una bóveda pertenece a varias personas y no puede vivir en el bucket de un solo miembro. Así que el bucket es un almacén de contenido, no un espejo completo de la organización de tu espacio de trabajo. Es una decisión de diseño deliberada, y conviene saberla porque significa que tu bucket, por sí solo, no es una copia completa y navegable de tu espacio de trabajo. Es un montón de objetos cifrados identificados por ID internos.

Y lo más importante: cada objeto que llega a tu bucket ya está cifrado en tu dispositivo. Filarr cifra el contenido del archivo con AES-256-GCM antes de que se ejecute la llamada de subida, así que lo que recibe la API S3 es texto cifrado más la etiqueta de autenticación. Tu contraseña de cifrado y tus claves nunca viajan al bucket. Si quieres la versión detallada de la jerarquía de claves, el artículo sobre la KEK y la FEK explica la que usa Filarr. La versión corta: tus archivos se cifran con la clave de tu cuenta (la FEK), con un valor aleatorio nuevo para cada archivo, y la FEK está a su vez envuelta por una clave derivada de tu contraseña, así que nunca está en claro en ningún sitio.

Es el mismo principio zero-knowledge que sigue la sincronización opcional de Filarr. Si tienes curiosidad por saber cómo el servidor (o, en este caso, tu bucket) se mantiene ciego a tu contenido, el análisis de cómo la sincronización en la nube de Filarr sigue siendo zero-knowledge se aplica casi tal cual a BYOS: los archivos se suben ya cifrados, y la capa de almacenamiento solo ve bloques opacos.

Una salvedad honesta desde el principio: BYOS necesita el plan Pro (8 € al mes), o un puesto en una organización Teams o Enterprise, y una dirección de correo verificada (Filarr sigue siendo gratis para siempre en uso puramente local). En Free y Solo, la sección muestra «Upgrade to Pro, Teams or Enterprise to use your own bucket.» (Pasa a Pro, Teams o Enterprise para usar tu propio bucket). Ese es el motivo. La cuota de almacenamiento de Filarr no se aplica a tu bucket: pagas a tu proveedor por el espacio que usas, y a Filarr por el plan que gestiona tu propio bucket.

Antes de empezar: lo que necesitas

Para completar esta guía necesitas tener tres cosas listas:

1. Una cuenta de almacenamiento compatible con S3. Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway y OVHcloud tienen su propia entrada en Filarr, y cualquier otro servicio que hable la API S3, como DigitalOcean Spaces o una instancia de MinIO autoalojada, va en «Autre (MinIO, Garage, NAS)» (Otro), una etiqueta que aparece en francés aunque la app esté en inglés.
2. Un bucket creado en esa cuenta, con su región.
3. Un par de claves de acceso para ese bucket: un Access Key ID y un Secret Access Key.

De verdad, eso es todo. El resto es rellenar un formulario corto dentro de Filarr. Empiezo por la preparación del bucket, porque ahí es donde está casi todo el trabajo real y donde se cometen casi todos los errores.

Paso 1: crea y prepara tu bucket

Los clics exactos cambian según el proveedor, pero la forma es siempre la misma: crear un bucket privado, anotar su región y generar un par de claves limitado a él.

Crea el bucket como privado. Nunca lo hagas público. Filarr no necesita acceso público de lectura y, como tus objetos están cifrados, el contenido del bucket no le serviría de nada a nadie, pero dejar un bucket público es una mala costumbre que invita a exponer por accidente listados de objetos y metadatos. Mantenlo privado.

Elige una región que vayas a recordar. Tendrás que escribirla en Filarr y, en algunos proveedores, también forma parte de la URL del endpoint. Elige una región cercana para reducir la latencia, o una que cumpla los requisitos de residencia de datos que tengas.

Genera un par de claves limitado. Crea una clave de acceso que pueda leer, escribir, listar y borrar objetos en ese único bucket. En AWS, eso significa un usuario o un rol IAM con una política que conceda s3:GetObject, s3:PutObject, s3:DeleteObject y s3:ListBucket sobre el bucket y su contenido. En Backblaze, Wasabi o DigitalOcean, genera la clave de aplicación equivalente y limítala al bucket si el proveedor lo permite. Limitar la clave a un solo bucket significa que, en el peor de los casos, una clave filtrada no puede tocar el resto de tu cuenta.

Opcional pero recomendable: activa el control de versiones. Activar el versionado del bucket te da una red de seguridad. Si un archivo se sobrescribe o se borra, la versión anterior sigue siendo recuperable en la capa de almacenamiento. Combina bien con una rutina de copias de seguridad más amplia, de la que hablo en la sección de errores frecuentes y en la guía sobre cómo hacer copias de seguridad de notas cifradas sin romper el zero-knowledge.

Si prefieres la línea de comandos y usas AWS en concreto, el repositorio incluye un script de ayuda en scripts/setup-s3.sh que valida tus credenciales de AWS, crea el bucket, activa el versionado y el cifrado del lado del servidor, define una política de ciclo de vida y hace por ti una prueba de subida y descarga. También sabe lanzar un contenedor local de MinIO para hacer pruebas. Es una comodidad, no un requisito, y el procedimiento dentro de la app que viene a continuación no depende de él.

Paso 2: añade el proveedor en Filarr

Ahora, la parte fácil. Abre Filarr, ve a «Settings → Account & Sync» y busca la sección «Where synced files live». Funciona igual en la app de escritorio y en app.filarr.com.

Elige primero el ámbito: «Account (all profiles)» (Cuenta, todos los perfiles), o «Profile» (Perfil) seguido del nombre del perfil actual, para definir un bucket solo para ese perfil. Después haz clic en «Use my bucket». Verás un formulario corto con estos campos:

• «Provider» (Proveedor). Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway, OVHcloud o «Autre (MinIO, Garage, NAS)» para cualquier otro.
• «Endpoint». El endpoint de la API S3, no la web del proveedor. Tiene que ser una dirección HTTPS pública sin nada después del host, por ejemplo https://s3.eu-west-1.amazonaws.com. Filarr rechaza http://, localhost y las direcciones privadas.
• «Region» (Región). La región que elegiste al crear el bucket, por ejemplo us-east-1 o eu-west-1.
• «Bucket». El nombre exacto del bucket.
• «Addressing» (Direccionamiento). «Path-style» o «Virtual-hosted».
• «Access key ID». La parte pública de tu par de claves.
• «Secret access key». La parte secreta. Esta es la sensible.

Mientras lo rellenas, Filarr muestra una tarjeta, «The access key to create at your provider» (La clave de acceso que debes crear en tu proveedor), con las reglas exactas que hay que pegar para Amazon S3, Wasabi, Backblaze B2 y «Autre», y lo que hay que elegir en la consola para Cloudflare R2, Scaleway y OVHcloud.

Un detalle que importa para que funcione: el campo «Addressing» decide si las peticiones van a endpoint/bucket/key («Path-style») o a bucket.endpoint/key («Virtual-hosted»). Cloudflare R2 pide path-style, con el endpoint https://YOUR_ACCOUNT_ID.r2.cloudflarestorage.com y la región auto; Amazon S3 pide virtual-hosted. Si dudas, consulta la documentación de tu proveedor.

Unas palabras sobre adónde va tu secreto, porque es la pregunta que siempre hacen los usuarios atentos a la privacidad. Es el servidor de Filarr el que transmite tus archivos, ya cifrados, a tu bucket, así que Filarr guarda el Secret access key, cifrado, y no vuelve a mostrarlo una vez guardado. Por eso tu bucket tampoco necesita ninguna configuración CORS: ni la app de escritorio ni el navegador hablan directamente con él. Lo que abre esa clave es un bucket de texto cifrado; la clave de tus archivos nunca llega en claro al servidor.

Paso 3: prueba la conexión

No te lo saltes. Antes de guardar, haz clic en «Test». Filarr comprueba que puede llegar al bucket con tus claves; tarda unos segundos y no sube nada. «Bucket reachable.» (Bucket accesible) significa que Filarr puede comunicarse con tu bucket.

Si la prueba falla, el noventa por ciento de las veces es por una de estas causas, más o menos por orden de probabilidad:

• Una errata en el nombre del bucket o en la región. Hay que escribirlos exactamente, mayúsculas y caracteres incluidos.
• Un endpoint incorrecto: la web del proveedor en lugar de su dirección de API S3, o una dirección que no es HTTPS pública. Comprueba el host exacto que te da tu proveedor.
• Un par de claves sin permisos sobre el bucket, o limitado a otro bucket.
• Una región que no coincide: el bucket está en una región y tú has escrito otra.

Corrige el campo y vuelve a probar. Es normal necesitar uno o dos intentos con tu primer proveedor.

Paso 4: guarda y empieza a sincronizar

Cuando la prueba sea correcta, haz clic en «Save». A partir de la siguiente sincronización, los archivos nuevos van a tu bucket: el contenido que añades a tu espacio de trabajo se cifra en local y se transmite a tu bucket, y al leer un archivo se descarga el bloque cifrado y se descifra en tu equipo.

Lo que ya está en Filarr Cloud se traslada con el panel «Bring your data into this bucket» (Trae tus datos a este bucket), y la sincronización queda en pausa hasta que termina la copia. Haz clic en «Copy now» (Copiar ahora): la copia se hace de servidor a servidor, los archivos cifrados se mueven tal cual, puedes detenerla y reanudarla, y un objeto que ya esté en tu bucket nunca se sobrescribe. Cuando haya terminado, «Delete Filarr Cloud copy» (Eliminar la copia de Filarr Cloud) libera el espacio en Filarr Cloud. Ese paso es irreversible, así que hazlo solo cuando la copia haya acabado.

Ese es todo el ciclo. Tu espacio de trabajo se siente igual que en el uso solo local, pero tus archivos viven ahora en un almacenamiento que es tuyo.

Notas según el proveedor

Los campos son los mismos en todas partes, pero el formato del endpoint confunde a mucha gente, así que aquí van los patrones habituales. Confirma siempre el host exacto en el panel de tu proveedor, porque las regiones y los formatos cambian.

AWS S3. Introduce el endpoint regional, por ejemplo https://s3.eu-west-1.amazonaws.com, la región del bucket (aquí eu-west-1), el bucket y el direccionamiento «Virtual-hosted». Crea una clave IAM limitada al bucket.

Backblaze B2. Usa el endpoint compatible con S3 que aparece en los detalles de tu bucket, con una forma como https://s3.us-west-004.backblazeb2.com. La región es el valor correspondiente, como us-west-004. Genera una clave de aplicación limitada al bucket.

Wasabi. El endpoint tiene una forma como https://s3.eu-central-1.wasabisys.com (el segmento de la región varía). Los precios planos por terabyte de Wasabi lo hacen muy popular justo para este uso.

DigitalOcean Spaces. Elige «Autre (MinIO, Garage, NAS)». El endpoint tiene una forma como https://nyc3.digitaloceanspaces.com, donde nyc3 es la región. Genera las claves de acceso de Spaces en la sección API de tu panel de DigitalOcean.

MinIO autoalojado. Elige «Autre (MinIO, Garage, NAS)» y apunta el endpoint a tu propio servidor mediante una URL HTTPS pública, por ejemplo MinIO detrás de un proxy inverso: el servidor de Filarr es el que transmite a tu bucket, así que tiene que poder llegar a él. En la app de escritorio, «Where the storage lives» (Dónde está el almacenamiento) ofrece además «On my network (NAS, MinIO, Garage)» (En mi red), que acepta una dirección como http://192.168.1.50:9000 en una red doméstica. Los servidores de Filarr no pueden llegar a ese almacenamiento, así que no se comprueba su estado y tus archivos existentes no se copian: empieza vacío y se va llenando con tus siguientes sincronizaciones, y con http:// tus claves de almacenamiento viajan sin cifrar por esa red. Usa la clave de acceso y el secreto que configuraste en MinIO. Es la opción más privada de todas, porque el almacenamiento nunca sale de un hardware que controlas físicamente. Si quieres probar MinIO rápidamente, el script incluido scripts/setup-s3.sh puede lanzar un contenedor local de MinIO por ti.

Errores frecuentes y buenas prácticas

Algunas cosas que te ahorrarán disgustos, aprendidas por las malas.

Tu frase de recuperación lo es todo. Como los archivos se cifran antes de subirse, tu bucket no le sirve de nada a un atacante, pero tampoco te sirve a ti si pierdes tu contraseña y tu frase de recuperación BIP-39 de 24 palabras. No existe un «restablecer contraseña» capaz de leer tus datos, porque Filarr nunca tiene tu clave en una forma utilizable. Apunta la frase de recuperación y guárdala en un lugar seguro y fuera de línea. Es la contrapartida directa del cifrado zero-knowledge real, y es la misma que asume cualquier herramienta cifrada seria. La guía más amplia sobre cómo cifrar tus notas profundiza en por qué importan las claves de recuperación.

BYOS es sincronización, no copia de seguridad. Un bucket sincronizado y una copia de seguridad son cosas distintas. Si borras un archivo y el borrado se propaga, desaparece también del bucket. Activa el versionado del bucket (paso 1) para que la capa de almacenamiento conserve las versiones antiguas, y guarda al menos una copia independiente. La sincronización te protege si se muere el portátil. No te protege si borras lo que no debías.

Limita tus claves al máximo y renuévalas. Usa una clave limitada al único bucket. Si alguna vez sospechas que una clave está comprometida, genera un par nuevo en el proveedor, actualízalo en Filarr con «Edit bucket» (Editar el bucket) y borra la clave antigua. Sustituir las claves con el mismo endpoint y el mismo bucket no cuenta como un cambio de destino de almacenamiento, así que la renovación es cosa de dos minutos.

Ten en cuenta la región por la latencia y la normativa. Un bucket en la otra punta del mundo irá lento con los archivos grandes. Elige una región cercana, salvo que una regla de residencia te obligue a otra cosa.

Protege el equipo de todos modos. Los ajustes de tu bucket viven con tu cuenta de Filarr, no en un archivo de tu ordenador, pero tus archivos se descifran y se abren en tu equipo. El cifrado de disco completo sigue mereciendo la pena como segunda capa, por las razones que se explican en la comparación entre el cifrado local y la nube clásica cuando se filtran los datos.

Prueba después de cualquier cambio. ¿Has cambiado una clave, de región o el nombre de un bucket? Vuelve a hacer clic en «Test». Tarda unos segundos y te dice al instante si las transferencias van a funcionar. Ten en cuenta que puedes cambiar el destino de almacenamiento dos veces cada 7 días, o una vez con «Autre (MinIO, Garage, NAS)».

Preguntas frecuentes

¿Filarr ve mis archivos cuando uso mi propio bucket? No. Los archivos se cifran con AES-256-GCM en tu dispositivo antes de subirse. El servidor de Filarr transmite los objetos cifrados a tu bucket, y ni él ni tu bucket tienen nunca otra cosa que bloques cifrados opacos. La clave de tus archivos nunca llega en claro al servidor.

¿Qué proveedores son compatibles? Cualquier almacenamiento compatible con S3. Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway y OVHcloud tienen su propia entrada; cualquier otro servicio compatible con S3, como DigitalOcean Spaces o un MinIO autoalojado, va en «Autre (MinIO, Garage, NAS)». El endpoint siempre es obligatorio, como dirección HTTPS pública (la app de escritorio también acepta un almacenamiento en tu propia red).

¿BYOS es gratis? Filarr es gratis para siempre en uso solo local. BYOS necesita el plan Pro (8 € al mes), o un puesto en una organización Teams o Enterprise. La cuota de almacenamiento de Filarr no se aplica a tu bucket, y el bucket en sí lo pagas aparte a tu proveedor de almacenamiento. Si el plan termina, Filarr deja de escribir en tu bucket, sigue leyéndolo durante unos 30 días y después deja de usarlo; tus archivos se quedan en tu proveedor.

¿Qué pasa si pierdo mi contraseña? Tus archivos cifrados en el bucket se vuelven irrecuperables, porque nadie, ni siquiera Filarr, tiene una copia utilizable de tu clave. Esa es la gracia del cifrado zero-knowledge. Tu frase de recuperación de 24 palabras es la única alternativa, así que guárdala fuera de línea y a salvo.

¿También se sube la estructura de mis carpetas? En modo BYOS, solo tu sincronización personal va a tu bucket, como objetos cifrados bajo claves internas opacas. Las bóvedas compartidas, los enlaces para compartir, Send y las solicitudes de archivos se quedan en Filarr Cloud. El bucket es un almacén de contenido, no un espejo navegable de tu espacio de trabajo.

¿Puedo cambiar de proveedor más adelante o usar más de uno? Sí, con límites. Defines un bucket para tu cuenta y, si quieres, otro distinto para un perfil concreto. Para cambiar, usa «Edit bucket», prueba el nuevo y guarda; puedes cambiar el destino de almacenamiento dos veces cada 7 días, o una vez con «Autre (MinIO, Garage, NAS)». «Switch back to Filarr Cloud» (Volver a Filarr Cloud) te devuelve a la nube de Filarr, copiando antes todo de vuelta o cambiando sin copiar. En ambos casos, Filarr no vacía tu bucket.

Para terminar

Configurar BYOS en Filarr se reduce a cuatro pasos: preparar un bucket privado con un par de claves limitado, introducirlo en «Settings → Account & Sync → Where synced files live», probarlo y guardar. Hazlo una vez y tu espacio de trabajo se sincronizará a través de un almacenamiento que es tuyo, al precio que ya negociaste con tu proveedor además de tu plan Pro, sin que ningún proveedor tenga tus datos como rehenes.

El cifrado es lo que te permite hacer todo eso sin renunciar a nada en privacidad. Tus archivos quedan sellados con AES-256-GCM antes de llegar al bucket, así que la propiedad y la confidencialidad dejan de estar reñidas. Crea el bucket, pega las claves, haz la prueba y listo. Si todavía estás decidiendo si la propiedad local-first encaja con tu forma de trabajar, el repaso de las mejores apps local-first en 2026 es una buena siguiente parada.