Cómo hacer una copia de seguridad de tus notas cifradas sin romper el zero-knowledge

Perder tres años de notas es de esas cosas que pasan una sola vez y cambian para siempre tu forma de trabajar. Un SSD que muere, un portátil robado, una sincronización que sobrescribió en silencio la versión buena con una vacía. Si tus notas te importan de verdad, necesitas copias. El problema: en cuanto copias tus notas cifradas a otro sitio, la mayoría de la gente deshace sin querer la privacidad que había ido a buscar. Hacen una captura de pantalla de una página que acaba en la galería de fotos, arrastran una exportación sin cifrar a Google Drive o se envían un documento por correo. Y ahora hay una copia legible de su vida privada en el servidor de otro, sin ninguna protección.

Esta guía explica cómo tener copias de seguridad reales de tus notas y tus archivos sin que pase eso. El objetivo es sencillo: acabar con copias a partir de las cuales puedas restaurar, que sobrevivan a un fallo de disco o a un incendio en casa, y cuyo contenido nadie más que tú pueda leer jamás. Usaré Filarr para los pasos concretos porque es lo que desarrollo, pero los principios valen para cualquier herramienta.

Respuesta rápida. Para hacer una copia de seguridad de tus notas cifradas sin romper el zero-knowledge, mantén los datos cifrados durante todo el trayecto, desde tu disco hasta donde acaben. En la práctica, eso supone tres cosas. Primero, usa una exportación cifrada (en Filarr, « Settings » (Ajustes) ofrece una exportación de la bóveda que lo empaqueta todo en un único ZIP cifrado con AES-256-GCM y protegido por una contraseña que eliges tú). Segundo, guarda ese archivo cifrado donde quieras, incluso en un servicio de nube corriente, porque para ese servicio ya es ruido ilegible. Tercero, guarda tu frase de recuperación y tu contraseña de recuperación fuera de línea y separadas de la copia, porque una copia que no puedes descifrar no es una copia. No confíes nunca en capturas de pantalla ni en exportaciones en texto plano, y no dejes nunca que un servicio guarde a la vez tus datos y tus claves.

¿Por qué la copia de seguridad de notas cifradas es un problema aparte?

Hacer una copia de seguridad de archivos corrientes es fácil, porque te da igual quién pueda leerlos. Con notas cifradas es más difícil, porque la idea era precisamente que nadie pudiera leerlas, y una copia de seguridad es, por definición, otra copia en un lugar menos controlado que tu dispositivo principal.

Hay dos maneras de fallar, y tiran en direcciones opuestas. La primera es perder los datos: ninguna copia, un solo disco, a un accidente de desaparecer. La segunda es filtrarlos: copias por todas partes, pero en un formato que otra persona puede abrir. Una buena estrategia de copia de seguridad tiene que resolver las dos a la vez. Quieres más copias y más privacidad, no cambiar una cosa por la otra.

La trampa en la que cae casi todo el mundo es resolver el primer problema de la forma más perezosa. Activan « sincronizar mi carpeta de notas con Dropbox » o pegan el texto en un documento en la nube. Parece una copia de seguridad, y técnicamente lo es, pero acaban de entregar una copia legible a una empresa que puede sufrir un ataque, recibir una solicitud de una autoridad o, simplemente, sentir curiosidad. Si quieres la versión detallada de por qué importa, escribí un análisis completo de lo que cambia de verdad cuando tus datos se filtran desde una nube convencional o desde un almacenamiento cifrado en local. La versión corta: en una brecha, la primera filtra tus documentos legibles y el segundo filtra basura ilegible.

Así que la regla que recorre todo lo que sigue es esta: los datos tienen que estar cifrados antes de salir de tu control, y las claves no deben viajar nunca con ellos. Ese es todo el juego.

Los tres tipos de copia de seguridad, y cuáles mantienen el zero-knowledge

Antes de los pasos, conviene ver el panorama. Hay, a grandes rasgos, tres formas de hacer copias de seguridad de las notas, y no valen lo mismo.

Copias sin cifrar. Capturas de pantalla, exportaciones en Markdown o en PDF, pegar el texto en otra app. Son cómodas y completamente legibles. Rompen el zero-knowledge en el instante en que salen de tu disco. Solo sirven para cosas que no te importaría que leyera un desconocido.

Copias en un archivo cifrado. Un único archivo que contiene toda tu bóveda, cifrado con una contraseña que solo tú conoces. Puedes dejarlo en cualquier sitio y sigue siendo privado. Es el caballo de batalla de una estrategia de copia de seguridad privada, y lo que te recomiendo como base.

Sincronización en la nube zero-knowledge. Una copia continua en la que cada archivo se cifra en tu equipo antes de subirse, y el servidor solo almacena bloques opacos. Te da una protección fuera de casa sin mover un dedo, siempre que la sincronización sea de verdad zero-knowledge y no simple marketing de « cifrado en reposo ». Si no tienes clara la diferencia, vale la pena entender qué significa de verdad el cifrado de conocimiento cero antes de fiarte de lo que promete un proveedor.

Una configuración sólida suele combinar las dos últimas: la sincronización para la copia diaria, siempre activa y fuera de casa, más un archivo cifrado periódico que controlas de principio a fin. Vamos con cada una.

Paso 1: crea una copia en un archivo cifrado que controlas por completo

Es la copia en la que más confío, porque para ella no tengo que fiarme de nadie más. En Filarr se hace desde « Settings ».

Abre « Settings » y busca la opción de exportación de la bóveda. Te ofrecerá dos modos: sin cifrar y cifrado. Elige cifrado. Por debajo, esto genera un ZIP de toda tu bóveda (tus archivos, devueltos a su estructura real de carpetas; tus notas, exportadas a la vez en Markdown legible con frontmatter y en un JSON fiel al original que permite restaurarlas tal cual; y un manifiesto que registra tus etiquetas, tus carpetas y los enlaces del grafo entre notas), y después cifra todo ese archivo con AES-256-GCM usando una contraseña que escribes tú. El manifiesto registra incluso el algoritmo de cifrado, para que tu yo del futuro sepa qué tiene delante.

Cuando te pida una contraseña, elige una robusta y no reutilices la de inicio de sesión de tu equipo. Esa contraseña es lo único que se interpone entre la copia y cualquiera que la encuentre. Si quieres entender por qué AES-256-GCM en concreto es una elección sólida y no una palabra de moda, expliqué en otro artículo qué significa cada parte de AES-256-GCM y por qué importa el modo GCM. La versión en una línea: cifra y autentica a la vez, así que una copia manipulada no se abre, en lugar de devolverte en silencio datos corruptos.

El archivo que obtienes se llama algo así como filarr-export-encrypted-2026-08-28.zip. Y esta es la propiedad importante: sin la contraseña, ese archivo es ilegible, así que dónde lo guardes apenas importa para tu privacidad. Puedes:

Copiarlo a un disco externo que vive en un cajón.
Subirlo a Google Drive, iCloud o Dropbox. Almacenan texto cifrado. No pueden leerlo.
Guardar una copia en casa y enviar otra a casa de un familiar, como protección contra incendios y robos.

Ese último punto es el superpoder discreto de los archivos cifrados. Como el archivo ya es ruido para todos menos para ti, puedes usar un almacenamiento barato, cómodo y en el que no confías, sin renunciar a la privacidad. Tomas prestados sus discos, no su confianza.

Hazlo con una frecuencia acorde a cuánto trabajo odiarías tener que rehacer. Para la mayoría, una vez al mes basta; una vez a la semana si escribes mucho. Conserva las últimas copias en lugar de sobrescribir siempre la misma, para que una exportación corrupta o a medio escribir no se convierta nunca en tu única copia.

Paso 2: activa la sincronización zero-knowledge para tener una copia siempre al día

Las copias manuales están muy bien, pero te olvidarás de hacerlas. Es humano. Ahí es donde la sincronización continua se gana su sitio: te da una copia fuera de casa que se actualiza sola, así que, aunque tu última copia manual tenga tres semanas, la nube tiene lo de ayer.

El requisito innegociable es que la sincronización sea zero-knowledge. En Filarr, los archivos se cifran en tu dispositivo con la clave de tu cuenta (FEK), con un valor aleatorio nuevo para cada archivo, antes de subir nada, y el backend (Cloudflare R2) solo recibe bloques ya cifrados. Tu clave solo llega al servidor envuelta por una clave derivada de tu contraseña, así que el servidor no puede usarla por sí solo. Sobre la contraseña de tu cuenta: desde el 16 de octubre de 2026, el inicio de sesión envía una clave derivada en tu dispositivo, y las cuentas nuevas o las que han vuelto a iniciar sesión ya no envían la contraseña. Durante una transición de unos dos meses, una cuenta que aún no ha vuelto a iniciar sesión, o una versión antigua de la app, todavía la envía al servidor (por HTTPS, comparada con un hash bcrypt); en ese caso, un servidor comprometido podría capturarla. Repasé el código real que hace que todo esto sea cierto en un análisis aparte sobre cómo la sincronización opcional en la nube de Filarr sigue siendo zero-knowledge, incluido exactamente lo que el servidor puede y no puede ver (que es casi nada: tamaños y momentos, no el contenido).

Un detalle que vale la pena entender: lo que haría inofensiva una filtración de ese almacenamiento en la nube es la jerarquía de claves. Tus archivos se cifran con la clave de tu cuenta (FEK), con un valor aleatorio nuevo para cada archivo, y la FEK está a su vez envuelta por una clave derivada de tu contraseña; nunca se guarda en claro en el servidor. Sin tu contraseña, esa copia envuelta de la FEK no sirve de nada, así que una filtración del almacenamiento solo entrega datos cifrados. Desgloso todo el modelo de claves en dos capas, KEK y FEK si quieres ver cómo encajan las piezas.

Si prefieres no usar en absoluto el almacenamiento que aloja Filarr, existe una opción de almacenamiento propio: apunta la sincronización a cualquier bucket compatible con S3 que sea tuyo. El cifrado se hace igual en tu lado, así que el bucket solo contiene texto cifrado. Es el punto ideal para quienes autoalojan y quieren a la vez una copia fuera de casa y el control total del almacenamiento físico.

Una advertencia honesta: la sincronización es una copia de seguridad contra los fallos de hardware y los robos, pero no contra ti mismo. Si borras una nota y el borrado se sincroniza, también desaparece de la nube. Por eso el paso 1 sigue importando. Las copias en archivo son instantáneas congeladas en el tiempo; la sincronización es un espejo. Necesitas las dos.

Paso 3: protege las claves, porque esa es la verdadera copia de seguridad

Esta es la parte que la gente se salta, y es la que de verdad te salva. Una copia cifrada solo vale lo que tu capacidad de abrirla más adelante. Si pierdes la contraseña o el método de recuperación, tu copia es un ladrillo, criptográficamente indistinguible de datos aleatorios, incluso para ti.

Filarr te da dos cosas que proteger, y no son lo mismo.

Tu frase de recuperación. Al crear una cuenta de Filarr, recibes una frase de recuperación BIP-39 de 24 palabras (un perfil local tiene su propia frase de 12 palabras). Es el último recurso para tu cuenta y tus claves. Escríbela en papel. No en una captura de pantalla, ni en una nota dentro de la misma bóveda que intentas proteger (piensa un segundo en ese círculo vicioso), ni en un correo a ti mismo. Papel o una placa metálica, guardados en un lugar físico y seguro. Dos copias en dos lugares no es paranoia: es proporcional a lo irrecuperable que resulta si se pierde.

Tu archivo de clave de recuperación. Por otro lado, Filarr te permite generar una clave de recuperación desde « Settings », protegida por su propia contraseña de recuperación (distinta, a propósito, de la contraseña de tu bóveda), con una pista opcional en texto plano, como « caja fuerte de la oficina », para refrescarte la memoria. Así obtienes un archivo que descargas y guardas en un lugar seguro, separado de tu dispositivo. Existe precisamente para que olvidar la contraseña de tu bóveda no signifique perder tus datos.

El principio que une ambas cosas es la separación. Tu copia de seguridad y lo que la desbloquea no deberían vivir nunca en el mismo sitio. Si lo hacen, quien robe el disco se lleva las dos cosas, y vuelves a tener copias en texto plano con pasos de más. Guarda la copia cifrada en la nube y la frase de recuperación en papel, en casa. Guarda el disco externo en un cajón y el archivo de clave de recuperación en un gestor de contraseñas. Crúzalos, nunca los apiles.

Si todo esto de las frases de recuperación, los modelos de amenaza y la sincronización segura es nuevo para ti, mi guía práctica para cifrar tus notas, más general, cubre los fundamentos sobre los que se apoya este flujo de copia de seguridad.

Paso 4: prueba una restauración antes de necesitarla

Una copia de seguridad que nunca has probado es una esperanza, no un plan. La cantidad de gente que descubre que sus copias estaban vacías, corruptas o no se podían abrir justo en el momento en que las necesitaba es deprimentemente alta.

Así que haz lo aburrido. Cuando tengas una copia cifrada, restáurala de verdad. En Filarr, usa la opción de importación de la bóveda y dale el ZIP cifrado y su contraseña. Descifrará el archivo con AES-256-GCM, leerá el JSON completo de las notas, reconstruirá tus carpetas y tus etiquetas a partir del manifiesto y devolverá tus archivos a su sitio. Comprueba que tus notas vuelven con su formato, que las notas enlazadas siguen enlazadas y que unos cuantos archivos reales se abren bien.

Hazlo en un perfil de prueba o en otra máquina si te da miedo sobrescribir tu bóveda en uso. Se trata de demostrar que el ciclo completo funciona: cifrar, guardar, recuperar, descifrar, leer. Si algún eslabón de esa cadena está roto, más vale descubrirlo un martes tranquilo que el día en que se muere tu portátil.

Vuelve a probar después de cada actualización importante o después de cambiar tu contraseña o tu método de recuperación. Las copias hechas con una clave antigua solo sirven si todavía puedes llegar a esa clave.

Errores comunes y buenas prácticas

El reflejo de la captura de pantalla. Hacer una captura de una nota para « guardarla en algún sitio » es la forma más habitual de filtrar notas privadas. Esa imagen acaba en tu galería de fotos, que se sincroniza sin cifrar con una nube que no controlas. Si una nota merece una copia privada, haz una copia privada, no una foto.

Una sola copia es como ninguna. Una copia que solo existe en tu equipo principal no es una copia de seguridad: es el original. La regla clásica sigue vigente: tres copias, en dos soportes distintos, una de ellas fuera de casa. Una copia cifrada en un disco externo más la sincronización zero-knowledge te dejan casi ahí, prácticamente gratis.

Sobrescribir la única copia. Si tu script o tu costumbre escribe siempre en el mismo archivo, una exportación fallida o truncada puede destruir tu única copia. Conserva las últimas, con fecha. El almacenamiento es barato; el arrepentimiento, no.

Claves guardadas junto a los datos. Poner la contraseña de la copia en un archivo de texto al lado de la copia, o la frase de recuperación dentro de la bóveda, echa todo por tierra. Separa físicamente el candado de la llave.

Fiarte de « cifrado » sin comprobar quién tiene la clave. Muchos servicios cifran tus datos y también guardan la clave, lo que significa que pueden leerlos, igual que cualquiera que logre entrar en sus sistemas. Eso no es lo mismo que zero-knowledge. La diferencia es sutil y vale la pena interiorizarla; expliqué la diferencia exacta entre el cifrado de extremo a extremo y el cifrado zero-knowledge para que sepas distinguir la privacidad real del marketing.

Olvidarte del móvil y de los demás dispositivos. Puede que tus notas vivan en más de una máquina. Asegúrate de que tu copia captura la versión de referencia, y de que un segundo dispositivo con la sincronización atrasada no pueda resucitar contenido borrado ni sobrescribir ediciones más recientes.

Preguntas frecuentes

¿Una exportación sin cifrar rompe el zero-knowledge? Sí, en cuanto sale de tu dispositivo. Un ZIP, un archivo Markdown o un PDF sin cifrar lo puede leer cualquiera que lo consiga, incluida la nube donde lo guardes. Úsala solo para contenido que no te importaría que fuera público. Para las copias privadas, elige siempre la exportación cifrada.

¿Dónde es seguro guardar mi copia cifrada? Casi en cualquier parte, y eso es lo bonito. Como una copia cifrada de Filarr es texto cifrado con AES-256-GCM y protegido por tu contraseña, servicios como Google Drive o Dropbox solo guardan ruido ilegible. Guárdala en discos externos, en la nube o en ambos. Solo tienes que mantener la contraseña en otro sitio.

¿Qué pasa si pierdo la contraseña de mi copia o mi frase de recuperación? Los datos son irrecuperables. No es una decisión de política, son matemáticas: sin la clave, el texto cifrado con AES-256-GCM es indistinguible de datos aleatorios. Por eso guardas la frase de recuperación de 24 palabras en papel y generas aparte un archivo de clave de recuperación, ambos fuera de línea y lejos de la propia copia.

¿Basta con la sincronización en la nube o sigo necesitando copias en archivo? Sigues necesitándolas. La sincronización protege contra la pérdida y el robo del hardware, pero también replica fielmente tus errores: borras una nota y el borrado se propaga. Las copias cifradas periódicas son instantáneas congeladas que te permiten volver atrás en el tiempo. Usa la sincronización para la continuidad y las copias para el historial.

¿Puedo hacer la copia en mi propio almacenamiento en lugar de en los servidores de Filarr? Sí. Filarr admite almacenamiento propio en cualquier bucket compatible con S3. El cifrado sigue haciéndose en tu dispositivo antes de subir nada, así que tu bucket solo contiene texto cifrado. Encaja bien si quieres una copia fuera de casa y el control total del almacenamiento físico.

¿Cada cuánto debería hacer una copia cifrada? Según cuánto trabajo odiarías perder. Cada semana si escribes a diario; cada mes si lo usas menos. Conserva varias copias fechadas en lugar de sobrescribir una sola, y prueba una restauración al menos una vez para saber que el ciclo completo funciona.

Conclusión: haz copias como si los datos fueran tuyos, porque lo son

Una copia de seguridad privada no es complicada si mantienes firme una sola idea: los datos tienen que estar cifrados desde el momento en que salen de tu disco, y las claves tienen que estar en un sitio al que los datos no van nunca. Lo demás es logística. Haz una exportación cifrada desde « Settings » y reparte copias donde te resulte cómodo, porque para todos menos para ti son ruido. Activa la sincronización zero-knowledge para tener siempre una copia reciente fuera de casa sin pensar en ello. Escribe tu frase de recuperación en papel y guarda tu archivo de clave de recuperación lejos de todo lo demás. Y luego, esta misma semana, restaura de verdad una copia y mira cómo vuelven tus notas intactas.

Haz eso y tendrás lo que la gente cree tener pero casi nunca tiene: notas que sobreviven al peor día, que nadie más que tú puede leer jamás y que siempre puedes recuperar. Eso es lo que te da de verdad hacer copias de seguridad de tus notas cifradas sin romper el zero-knowledge: una tranquilidad que no te cuesta la privacidad.