¿WeTransfer está cifrado? Lo que de verdad protege tus archivos (y lo que no) en 2026

Acabas de terminar una entrega para un cliente: una carpeta de contratos, una tanda de fotos en RAW, unos formularios médicos o el montaje final de un vídeo. Pesa demasiado para el correo, así que lo subes a WeTransfer, pegas el enlace en un mensaje y pasas a otra cosa. Ese pequeño gesto cotidiano es justo el momento en que muchos datos sensibles salen, sin hacer ruido, de tu control. Por eso vale la pena hacerse la pregunta antes de enviar el próximo archivo, y no después de una filtración: ¿WeTransfer está cifrado? ¿Y basta con eso para el tipo de trabajo que haces?

Respuesta rápida

Sí, WeTransfer usa cifrado, pero no del tipo que la mayoría imagina. Tus archivos van cifrados en tránsito (HTTPS/TLS) mientras se suben y se descargan, y WeTransfer afirma que están cifrados en reposo en su almacenamiento. Lo que NO es: cifrado de extremo a extremo ni de conocimiento cero (zero-knowledge). WeTransfer tiene las claves y técnicamente puede acceder a tus archivos, y cualquiera que tenga el enlace de descarga puede abrirlos (en las transferencias gratuitas no se pide contraseña). Para compartir cosas sin importancia, está bien. Para documentos confidenciales de clientes, historiales de pacientes, expedientes jurídicos o material de una fuente, «cifrado en tránsito y en reposo» no equivale a «solo el destinatario puede leerlo».

Por qué importa a quien envía archivos de verdad

Si eres freelance, fotógrafo, abogado, contable, terapeuta, periodista o llevas un pequeño negocio, es probable que WeTransfer forme parte de tu forma de trabajar precisamente porque no pone ninguna traba. Sin cuenta, con tamaños de archivo generosos, un solo enlace. Esa ausencia de fricción es la gracia, y también el riesgo.

Los archivos que envías por ahí casi nunca son neutros. Una agencia de diseño envía recursos de marca bajo un acuerdo de confidencialidad. Una gestora envía los estados financieros completos de un cliente. Un profesional sanitario envía pruebas de imagen o formularios de ingreso. Un periodista recibe documentos de una fuente. En todos los casos el contenido es confidencial por obligación, a veces por ley (secreto profesional, RGPD, cláusulas de confidencialidad). La herramienta de transferencia pasa a formar parte de tu forma de proteger los datos, lo hayas planeado o no.

La confusión de fondo es que «cifrado» suena a garantía cerrada. En la práctica, el cifrado describe disposiciones muy distintas, y esas diferencias deciden quién puede leer tu archivo si algo sale mal. Toda la cuestión está en esa distinción, y merece la pena tenerla clara. La explicamos a fondo en nuestra guía sobre cifrado en reposo, de extremo a extremo y de conocimiento cero, pero esto es lo que significa en concreto para WeTransfer.

Qué protege realmente WeTransfer (y qué no)

Imagina una transferencia de archivos como un viaje en tres etapas: el archivo que se mueve por la red, el archivo que reposa en un servidor y la cuestión de quién tiene, al final, la clave.

En tránsito. Cuando subes algo a WeTransfer y cuando tu destinatario lo descarga, la conexión está protegida por HTTPS/TLS. Eso impide que alguien en la misma red wifi, o situado entre tú y el servidor, lea el archivo mientras viaja. Es lo estándar y es realmente útil. También es lo mínimo que ofrece cualquier servicio web serio en 2026.

En reposo. La propia documentación de seguridad de WeTransfer indica que los archivos almacenados están cifrados en reposo en su infraestructura. Eso protege frente a un escenario muy concreto: quien roba físicamente un disco o un volumen de almacenamiento encuentra bytes revueltos, no tus documentos. No protege frente a WeTransfer, frente a la cuenta comprometida de un empleado de WeTransfer, frente a la solicitud de una autoridad ni frente a un atacante que entre en el servicio con un acceso legítimo, porque el servicio puede descifrar los archivos para entregárselos a tu destinatario.

De extremo a extremo / conocimiento cero. Esto es lo que WeTransfer no hace. En un diseño de extremo a extremo o de conocimiento cero, los archivos se cifran antes de salir de tu dispositivo con una clave que el servidor nunca ve, de modo que el proveedor solo almacena bloques ilegibles y, literalmente, no puede abrirlos, ni siquiera si una autoridad se lo pide. WeTransfer no está construido así. La empresa puede acceder al contenido, y por eso funcionan con tanta fluidez cosas como las vistas previas de los enlaces, el análisis antivirus o los enlaces de «clic y descarga».

Este es el panorama, comparado:

Protección	WeTransfer (transferencia estándar)	De qué protege	De qué NO protege
En tránsito (TLS)	Sí	Escuchas en la red entre tú y el servidor	El servidor leyendo el archivo una vez recibido
En reposo (en el servidor)	Sí (según la documentación de WeTransfer)	Robo de discos o de almacenamiento	El proveedor, accesos internos, solicitudes de una autoridad, un atacante con la sesión iniciada
Contraseña en el enlace	Solo en planes de pago	Desconocidos que adivinen la URL	El proveedor sigue guardando el archivo en forma legible
De extremo a extremo / conocimiento cero	No	El proveedor, las brechas, las solicitudes de una autoridad	n/d (no se ofrece)

Hay dos matices más que conviene decir con franqueza. Primero, en las transferencias gratuitas el enlace de descarga ES el control de acceso: cualquiera que tenga la URL puede descargar los archivos, y los enlaces siempre se han podido reenviar; en al menos un incidente conocido de 2019, llegaron a destinatarios que no eran los previstos. La protección por contraseña y el control de la caducidad son funciones de pago. Segundo, a mediados de 2025 WeTransfer recibió críticas públicas por una actualización de sus condiciones de uso que parecía otorgarle amplios derechos sobre el contenido subido; la empresa aclaró después que no usa el contenido de los usuarios para entrenar IA y modificó la redacción. Tómalo como un recordatorio: cuando un proveedor puede leer tus archivos, las condiciones que rigen el servicio y sus cambios futuros forman parte de tu modelo de amenazas, no solo la criptografía.

Qué significa esto en la práctica

No tienes que abandonar WeTransfer para usarlo con responsabilidad. Tienes que ajustar la herramienta a la sensibilidad del archivo. Algunas prácticas concretas:

• Clasifica tus archivos según «a quién perjudica si se filtra». Maquetas de marketing y PDF públicos: WeTransfer está bien. Contratos, datos financieros, datos de salud, datos personales identificables, documentos de una fuente: sube el listón.
• Cifra antes de subir. La solución más limpia para cualquier herramienta de transferencia sin cifrado de extremo a extremo es cifrar tú mismo el archivo antes (un archivo comprimido con contraseña, o una herramienta que cifre en el cliente), para que el servicio solo guarde texto cifrado. Nuestra guía práctica sobre cómo cifrar tus notas y archivos repasa las ventajas e inconvenientes. Comparte la contraseña por otro canal, nunca en el mismo mensaje que el enlace.
• Usa contraseñas y caducidad corta cuando estén disponibles. Si pagas un plan que las incluye, una contraseña en el enlace y un plazo de caducidad corto reducen mucho la ventana de exposición. No convierten la transferencia en zero-knowledge, pero cierran el agujero de «cualquiera con el enlace».
• Prefiere un enlace cuya clave no esté en el servidor. El patrón más sólido para compartir es el cifrado de extremo a extremo en el que la clave de descifrado viaja en el fragmento de la URL (la parte que va detrás del #), que los navegadores nunca envían a los servidores. Es el diseño en el que se basa el uso compartido cifrado de Filarr, y es el listón que debes exigir a cualquier servicio de envío que se diga «seguro».
• Entiende qué expondría realmente una brecha. Con una transferencia clásica en la nube, una brecha puede exponer documentos legibles. Con cifrado en el cliente o local, la misma brecha solo expone ruido. Explicamos esa diferencia en detalle en qué cambia de verdad cuando se filtran tus datos.

Una nota sobre cumplimiento normativo, porque la pregunta siempre sale: «WeTransfer cifra los archivos» no es lo mismo que «WeTransfer te hace cumplir el RGPD». El cifrado en tránsito y en reposo es una medida técnica entre muchas. Si tratas datos personales o regulados, tus obligaciones abarcan toda la cadena de tratamiento (dónde se almacenan los datos, quién es el encargado del tratamiento, dónde están los servidores, la conservación y tus contratos), no una sola casilla. Este artículo no es asesoramiento jurídico; cuando los datos estén regulados, confirma tu configuración con un profesional cualificado.

Dónde encaja Filarr (con franqueza)

Filarr no es un sustituto directo de WeTransfer para mandarle un vídeo de 5 GB a un desconocido, y sería deshonesto fingir lo contrario. Filarr es un espacio de trabajo cifrado local-first (primero en local): tus notas y tus archivos viven cifrados en tu propio disco con AES-256-GCM, con la clave de tu cuenta (FEK) y un valor aleatorio nuevo para cada archivo, con una sincronización en la nube opcional que sigue siendo de conocimiento cero. Tu clave es aleatoria, está protegida por una clave derivada de tu contraseña y nunca se entrega en claro a un servidor. Su centro de gravedad es distinto del de un servicio de transferencia.

Donde sí se cruza con la pregunta sobre WeTransfer es en dos puntos. Primero, la función de compartir de Filarr te permite enviar un archivo como un enlace cifrado de extremo a extremo cuya clave de descifrado vive en el fragmento de la URL, así que el servidor guarda un bloque opaco y no puede leer su contenido. Eso se acerca más a lo que debería significar «enviar archivos de forma segura» que un enlace estándar de WeTransfer. Segundo, y es lo más importante, buena parte del uso de WeTransfer es en realidad «necesito mis archivos en un sitio donde pueda ordenarlos, encontrarlos y, de vez en cuando, pasárselos a alguien». Mantener esos archivos cifrados en reposo en tu propio equipo, con una búsqueda de verdad y un grafo que enlaza documentos y notas, quita de raíz el reflejo de volcar material sensible en un tercero.

Lo que Filarr NO hace: no es una certificación, no es un cumplimiento jurídico o normativo, y no protegerá por arte de magia un archivo que ya hayas subido a otro sitio. Reduce las veces que tus archivos confidenciales pasan por un servidor capaz de leerlos. Ese es su alcance real.

Preguntas frecuentes

¿WeTransfer tiene cifrado de extremo a extremo? No. WeTransfer cifra los archivos en tránsito y afirma que están cifrados en reposo, pero tiene las claves y puede acceder al contenido. No existe un modo de conocimiento cero ni de extremo a extremo, así que no puede afirmar que solo tu destinatario pueda leer los archivos.

¿Pueden los empleados de WeTransfer o un hacker leer mis archivos? Como el servicio puede descifrar los archivos para entregarlos, el contenido es técnicamente accesible para WeTransfer, para cualquiera que consiga un acceso legítimo a través de una cuenta comprometida y, potencialmente, para una solicitud válida de una autoridad. El cifrado en reposo protege sobre todo frente al robo del almacenamiento físico, no frente al acceso a través del propio servicio.

¿Es seguro enviar documentos confidenciales de clientes por WeTransfer? Para archivos poco sensibles, sí. Para datos confidenciales o regulados (contratos, datos financieros, documentos médicos o jurídicos), cifra tú mismo el archivo antes de subirlo, usa una contraseña en el enlace y una caducidad corta si tu plan lo permite, y envía la contraseña por otro canal. Mejor aún: usa una herramienta en la que la clave nunca llegue al servidor.

¿Usar WeTransfer me hace cumplir el RGPD? No. El cifrado es una medida técnica. El cumplimiento del RGPD depende de toda tu cadena de tratamiento: dónde se almacenan los datos, la relación con el encargado del tratamiento, la conservación y tus acuerdos documentados. Esto no es asesoramiento jurídico; verifica con un profesional los flujos con datos regulados.

¿Qué alternativa más privada hay para enviar archivos sensibles? Busca cifrado de extremo a extremo en el que la clave de descifrado esté en el fragmento de la URL (y nunca se envíe al servidor), o cifra los archivos en el cliente antes de subirlos a cualquier sitio. Mantener tus archivos cifrados en tu propio dispositivo y compartirlos de forma selectiva, en lugar de subirlo todo a una nube que puede leerlos, es la opción por defecto más sólida.