Caducidad de enlaces de transferencia: políticas comparadas

Las políticas de caducidad de enlaces oscilan entre tres días y permanente en los principales servicios de transferencia de archivos. WeTransfer elimina automáticamente los archivos del nivel gratuito a los 7 días; Smash dura 14 días por defecto y hasta 30 en planes de pago; SwissTransfer ofrece entre 1 y 30 días; Dropbox Transfer caduca a los 7 días salvo que se extienda a 90. Los límites de descarga también varían: WeTransfer gratuito permite descargas ilimitadas dentro del período, mientras que algunos servicios las limitan a un único destinatario. HexaTransfer establece 7 días por defecto sin límite de descargas y con eliminación segura automática a continuación.

Por qué la caducidad corta es una función de seguridad, no una limitación

Las ventanas de caducidad son una forma de minimización de datos automática en virtud del artículo 5(1)(e) del RGPD (principio de limitación del almacenamiento). Cuanto menos tiempo permanece un archivo en un servidor, menor es la ventana de exposición ante robos de credenciales, citaciones judiciales o incidentes de cubos mal configurados. La campaña APT ToddyCat de marzo de 2023 atacó específicamente URLs de recursos compartidos de larga duración recopiladas desde buzones comprometidos: un riesgo que desaparece cuando los enlaces se autodestruyen.

Para los sectores regulados, la caducidad también simplifica la gestión de registros. La Regla de Seguridad de la HIPAA no prescribe un período de retención para copias de transmisión de ePHI, pero la orientación de HHS trata las copias efímeras de forma diferente a los registros almacenados. Un enlace que muere en 7 días es mucho más fácil de defender como efímero que uno que vive durante un año.

WeTransfer: 7 días gratuito, 1 año Pro, portales permanentes

El nivel gratuito de WeTransfer conserva los archivos durante 7 días. El plan Pro extiende esto a 1 año, y el Premium ofrece retención indefinida para los enlaces de portal. No hay límite por descarga: cualquiera con la URL puede descargar el archivo tantas veces como quiera hasta que caduque. Los archivos tienen un tope de 2 GB gratis y 200 GB en Pro.

El inconveniente es que sus enlaces de portal "permanentes" crean un objetivo persistente. Si se compromete el buzón de un destinatario, ese enlace es una vulnerabilidad hasta que alguien lo revoque manualmente. WeTransfer añadió la opción de contraseña en 2019, pero es opcional y con frecuencia se omite.

Smash: de 1 a 30 días personalizables con controles granulares

Smash adopta el enfoque más flexible. Los usuarios gratuitos tienen 14 días; los planes Team permiten ventanas de 1 a 30 días configurables en el momento de la subida. Smash también ofrece seguimiento por destinatario: puedes ver quién descargó y cuándo, y revocar el acceso a mitad del proceso. Los archivos pueden ser de hasta 2 GB gratis o ilimitados en planes de pago.

Esta granularidad importa en las negociaciones de contratos. Envía un borrador el lunes con caducidad el viernes, y el enlace muere antes del fin de semana sin que tengas que acordarte de limpiarlo. El enfoque de protección de datos francés (alojamiento en OVH, alineado con SecNumCloud) no cambia la caducidad, pero añade minimización jurisdiccional a la temporal.

SwissTransfer: de 1 a 30 días, sin cuenta necesaria

SwissTransfer, gestionado por Infomaniak, te permite elegir 1, 7, 15 o 30 días en el momento de la subida. Sin cuenta. El límite de 50 GB es el mayor entre los servicios gratuitos. La caducidad es estricta: los archivos se eliminan permanentemente de los centros de datos suizos en el momento elegido, sin período de gracia.

El servicio añadió protección opcional con contraseña y notificaciones de descarga en 2023. Los enlaces caducados devuelven una respuesta 410 Gone, que es semánticamente correcta y evita revelar que alguna vez existió un archivo en esa URL.

Dropbox Transfer: 7 días gratuito, 90 días de pago

Dropbox Transfer (distinto del uso compartido de Dropbox) tiene por defecto 7 días y llega a un máximo de 90 días en los niveles de pago. Los límites de tamaño son de 2 GB gratis y 100 GB en Dropbox Professional. La caducidad se aplica por transferencia, no por archivo, de modo que no puedes establecer distintas duraciones para los elementos de un mismo paquete.

Dropbox registra los eventos de caducidad en el registro de auditoría del administrador, lo que ayuda a los clientes empresariales a demostrar los controles del artículo 32 del RGPD. Los enlaces de compartición ordinaria de Dropbox, en cambio, nunca caducan salvo que se revoquen manualmente: una fuente frecuente de exposición accidental a largo plazo cuando los empleados se van.

Pixeldrain, Wormhole y otros jugadores especializados

Pixeldrain, un servicio holandés, conserva los archivos durante 180 días por defecto, lo que es inusualmente largo para un nivel gratuito. Wormhole, construido sobre los principios del protocolo magic-wormhole, ofrece caducidad de 24 horas y cifrado del lado del cliente: filosofía opuesta, ventana mucho más corta.

Firefox Send (descontinuado en 2020) fue pionero en combinar caducidad corta (hasta 7 días), límites de descarga (hasta 100) y cifrado del lado del cliente. Su ADN pervive en forks de código abierto y servicios como HexaTransfer que adoptaron los mismos principios.

HexaTransfer: 7 días por defecto, eliminado significa eliminado

HexaTransfer establece una caducidad de 7 días, tras los cuales los archivos se borran criptográficamente (la clave de descifrado nunca estuvo en el servidor para empezar, pero el texto cifrado se sobreescribe de forma segura). No hay límite de descargas en el nivel gratuito actual: los destinatarios pueden descargar tantas veces como necesiten dentro de la ventana. Sin cuenta, límite de 10 GB.

La arquitectura utiliza AES-256-GCM para el cifrado, con la clave integrada en el fragmento de URL (después del #), lo que significa que el servidor nunca la ve. La eliminación por caducidad implica destruir el texto cifrado; el texto en claro nunca fue reconstructible desde el servidor de todas formas.

Comparativa de un vistazo

| Servicio | Caducidad por defecto | Caducidad máxima | Límite de tamaño | Límite de descargas | |---------|---------------|------------|---------------|-----------------| | WeTransfer gratuito | 7 días | 7 días | 2 GB | Ilimitado | | WeTransfer Pro | 7 días | 1 año | 200 GB | Ilimitado | | Smash gratuito | 14 días | 14 días | 2 GB | Ilimitado | | Smash Team | 14 días | 30 días | Ilimitado | Con seguimiento | | SwissTransfer | 30 días | 30 días | 50 GB | Configurable | | Dropbox Transfer | 7 días | 90 días | 100 GB | Ilimitado | | HexaTransfer | 7 días | 7 días | 10 GB | Ilimitado |

Adaptar la caducidad al caso de uso

Para una factura que quieres que el destinatario pague en una semana, 7 días es perfecto: crea un plazo natural. Para un contrato en negociación que puede necesitar tres rondas de revisiones, 30 días es más práctico. Para un intercambio de fotos puntual con un cliente, 24 horas es más que suficiente.

Evita la tentación de elegir siempre la ventana más larga "por si acaso". Cuanto más tiempo vive un enlace, más lugares aparece: correos reenviados, canales de Slack, capturas de pantalla, gestores de contraseñas. La caducidad corta obliga a los destinatarios a actuar con rapidez y reduce el radio de explosión de cualquier brecha futura. Si realmente necesitas acceso persistente, usa una solución de almacenamiento en la nube con control de acceso basado en identidad, no un enlace de transferencia efímero.

Contadores de descarga como segunda línea de defensa

Algunos servicios combinan caducidad con contadores de descarga. Configura un archivo para que caduque en 7 días O después de 3 descargas, lo que ocurra primero. Esto mitiga el escenario en el que un destinatario legítimo descarga una vez, el enlace acaba en una página de phishing y los atacantes obtienen una cuarta copia. Si el contador llega a cero, el enlace está muerto.

HexaTransfer usa actualmente caducidad solo por tiempo, que es lo que hace la mayoría del mercado. Para la aplicación de límites de descarga, Smash Team y Dropbox Transfer Professional son las principales opciones.

Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.