Compartir archivos temporalmente: enlaces autodestructivos

Un enlace de archivo autodestructivo es una URL que deja de funcionar tras un tiempo establecido o un número determinado de descargas. Una vez que el enlace expira, el archivo se borra del servidor y no puede recuperarse. HexaTransfer tiene 14 días por defecto con opción de borrado manual en cualquier momento. Firefox Send permitía caducidad tras una sola descarga (se cerró en 2020). La entrega al estilo Snapchat —una vez y se fue— es la forma más estricta. El principio es simple: los archivos que no necesitan existir para siempre no deberían hacerlo.

Cómo funciona la autodestrucción en el servidor

Cuando subes un archivo, el servicio lo almacena con un registro como este:

file_id: abc123
encrypted_blob: s3://bucket/abc123.bin
created_at: 2026-04-17T10:30:00Z
expires_at: 2026-05-01T10:30:00Z
max_downloads: null
download_count: 0

Un trabajo programado (a menudo un worker tipo cron o una política de ciclo de vida de objeto en S3/R2) borra cualquier blob que supere expires_at. Cuando alguien accede al endpoint de descarga, el servicio decrementa max_downloads o incrementa download_count y, si se supera el límite, deniega el servicio o activa el borrado. Las reglas de ciclo de vida del almacenamiento de objetos (AWS S3, Cloudflare R2, Backblaze B2) pueden automatizar esto sin código personalizado.

Tres estrategias de caducidad

Basada en tiempo: el enlace muere tras N días. Simple y predecible. Ideal para escenarios del tipo "puede que lo reenvíe mañana". Es el comportamiento por defecto de HexaTransfer.

Basada en recuento: el enlace muere tras N descargas. Útil cuando sabes exactamente cuántos destinatarios hay. Bloquea el sobreenvío: si alguien lo reenvía, el siguiente no puede descargar una vez superado el límite.

Una sola vez: una descarga y el blob se purga de inmediato. La más estricta. Apropiada para contraseñas, tokens, claves o material prereestrenado. Herramientas como PrivateBin (para texto) y Tresorit Send ofrecen esto.

Combínalas: "caducidad a los 7 días o 3 descargas, lo que ocurra primero" es un valor por defecto pragmático para material sensible.

Cuándo el compartir temporal realmente ayuda

• Enviar un contrato firmado durante una negociación: no hay razón para que el borrador siga en Google Drive después del cierre.
• Entregar credenciales o claves de API a un nuevo miembro del equipo sin que queden en el historial de Slack.
• Compartir una foto de producto prereestrenada bajo NDA: el enlace expira antes de que pase la fecha de embargo.
• Traspasar una imagen médica a un especialista para una segunda opinión, sin necesidad de copia permanente.
• Regalar un archivo de licencia comprado en nombre de otro.

Si el archivo no necesita existir una semana después, una carpeta de Drive permanente solo acumula riesgo.

Cuándo no ayuda

Los enlaces autodestructivos no protegen contra:

• Que el destinatario descargue y guarde el archivo. Una vez en su disco, tu caducidad no sirve de nada.
• Capturas de pantalla o resubidas. El contenido digital se copia con trivial facilidad.
• Descubrimiento legal. Si estás bajo una obligación de conservación, "el enlace expiró" no es una defensa.
• Que el propio servicio registre metadatos (nombre de archivo, tamaño, IP, marcas de tiempo) indefinidamente.

El compartir temporal reduce la exposición accidental de larga cola (enlaces olvidados, URLs indexadas, correos antiguos). No detiene a un adversario motivado que ya descargó el archivo.

Servicios gratuitos con caducidad integrada

| Servicio | Caducidad por defecto | Ajuste más corto | ¿Borrado manual? | |---|---|---|---| | HexaTransfer | 14 días | Borra cuando quieras | Sí | | WeTransfer | 3 días (gratuito) | 3 días | Solo de pago | | SwissTransfer | 30 días | 1 día | Sí | | Tresorit Send | 7 días | 1 día | Sí | | Dropbox Transfer | 7 días (gratuito) | 1 día (de pago) | Sí | | Proton Drive compartido | Configurable | Una sola descarga | Sí | | Send Anywhere | 48 horas | Compartición rápida 10 min | Sí |

Si 14 días es demasiado para tu caso, la mayoría de los servicios permiten acortar o borrar manualmente. Haz ambas cosas cuando el material sea sensible.

Estructura del enlace: qué hay en la URL

Una URL típica de archivo temporal tiene esta pinta:

https://hexatransfer.com/d/abc123def456#key=XyZ987...

La parte después de /d/ es el identificador del blob. La parte después de # es el fragmento de URL, que permanece en el navegador y no se envía al servidor. En los servicios con cifrado extremo a extremo, el fragmento lleva la clave de descifrado. El servidor puede entregar el blob cifrado; solo quien tenga la URL completa (incluido el fragmento) puede descifrarla.

Por eso registrar accidentalmente la URL en logs del servidor, historial de chat o analíticas es un problema. El fragmento es el secreto.

Protección por contraseña frente a caducidad

Resuelven problemas distintos. La contraseña añade un segundo factor: aunque el enlace se filtre, es inútil sin ella. La caducidad reduce la ventana de tiempo durante la que una filtración importa. Usa ambas para material de alto riesgo:

• Caducidad: 7 días, máximo 3 descargas
• Contraseña: 16 caracteres aleatorios, enviada por SMS por separado

Sin la contraseña, un enlace filtrado es un 404 para cualquiera que lo intente. Sin caducidad, un enlace olvidado permanece en un archivo de correo para siempre.

Autodestrucción para mensajes frente a archivos

Los mensajes que desaparecen de Signal, los chats secretos de Telegram y las fotos de vista única de Snap abordan el mismo problema en un contexto diferente. Se basan en que los clientes borran cooperativamente tras la visualización, lo que funciona ante descuidos casuales pero no ante un destinatario que hace capturas o graba. Los enlaces de archivos autodestructivos tienen la misma limitación: el objetivo es reducir la superficie de exposición, no impedir la copia deliberada.

Diseña tu propia política de retención

Para un equipo pequeño que gestiona transferencias sensibles, elige un estándar y mantenlo:

• Caducidad por defecto: 7 días.
• Límite de descargas: el número esperado de destinatarios (normalmente 1-5).
• Contraseña: obligatoria para cualquier cosa regulada (datos de salud, datos personales, registros financieros).
• Canal de envío: nunca el mismo que el de la contraseña.
• Hábito post-envío: borra manualmente en cuanto confirmes la recepción.

Conviértelo en una lista de comprobación. La memoria muscular es la diferencia entre una política que se sigue y una que solo existe en una página de wiki.

Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.