Cómo protege Moments los recuerdos de tu familia

1. La garantía fundamental

Moments está construido en torno a una promesa: nuestros servidores almacenan solo datos cifrados y nunca tienen una clave que pueda desbloquear tu contenido. Cada foto, video, descripción, comentario y reacción se cifra en tu dispositivo antes de salir de él, y solo puede descifrarse en los dispositivos de las personas que tú has elegido.

La consecuencia es contundente: una brecha total de nuestros sistemas revelaría quién comparte con quién, cuándo y cuánto — pero cero contenido. No hay una vista de administrador de tus fotos, ni una herramienta de soporte que pueda abrir un momento, ni nada utilizable que entregar en respuesta a una exigencia legal de contenido.

Nuestros servidores nunca ven, almacenan ni procesan un momento legible. Todo el cifrado y descifrado ocurre dentro de las apps, en los dispositivos de tu familia.

2. Nuestros principios de diseño

• Nunca se confía tu contenido al servidor. Almacena datos bloqueados y controla quién puede obtener qué — nunca es capaz de leer tus momentos ni de crear claves.
• El acceso es criptografía, no casillas de verificación. Siempre que es posible, "esta persona no puede ver esto" significa que no tiene ninguna clave que lo abra — no que un ajuste diga que no.
• Fallar en modo seguro. Siempre que hay alguna duda de que una clave siga siendo segura, la app se niega a publicar hasta que se resuelva — nunca asume el riesgo en tu nombre.
• Un archivo, no un chat. Moments es un registro familiar permanente: el contenido debe seguir siendo legible durante décadas y ser recuperable en dispositivos nuevos. Nuestro cifrado está diseñado para la durabilidad, no para mensajes que desaparecen.
• Honestidad sobre los límites. Allí donde aceptamos un compromiso (y todo sistema real los tiene), queda escrito en este documento, no oculto.

3. Cómo se protegen tus momentos

• Cifrado antes de subirlo. Cada momento se cifra en tu dispositivo con cifrado estándar del sector y ampliamente auditado — la misma familia AES-256 en la que confían la banca y los gobiernos para sus datos. Sin cifrados caseros, en ningún sitio.
• Las claves se quedan con tu familia. Las claves que desbloquean tus momentos existen solo en los dispositivos de tu familia. Lo que guardan nuestros servidores son cajas cerradas que no pueden abrir.
• Cada momento sellado por separado. Cada momento se protege individualmente, de modo que incluso en el peor caso imaginable, la exposición se limitaría a un solo momento — nunca a todo tu diario.
• La manipulación se detecta. Todos los datos almacenados están autenticados criptográficamente: cualquier cosa alterada, truncada o empalmada se detecta y se rechaza en lugar de mostrarse en silencio.

4. Quién puede ver qué

Un espacio es solo por invitación, y la invitación es la única puerta. A partir de ahí, el acceso lo impone el cifrado, no los ajustes:

• Eliminar a un miembro lo elimina de verdad. Desde el momento en que alguien es eliminado, los nuevos momentos se sellan con claves nuevas que esa persona nunca recibe. Aunque de algún modo obtuviera los datos almacenados, nada nuevo se abriría jamás para ella.
• "Solo a partir de ahora" va en serio. Un miembro invitado sin historial no puede leer los momentos anteriores — y nuestros servidores ni siquiera le entregan esos momentos, así que no puede ver cuántos existen, de cuándo son ni de quién.
• Las audiencias por grupo son muros reales. Restringir un momento a "solo abuelos" no es un indicador de visibilidad: solo los miembros de ese grupo reciben la clave para abrirlo. Para los demás, el momento es como si no existiera — está ausente, no oculto.
• Los administradores conservan la custodia. Los administradores de un espacio siempre mantienen la supervisión del espacio del que son responsables, incluidos los momentos restringidos.

5. Fotos, videos y la etiqueta Seguro

• Los archivos multimedia se cifran como todo lo demás. Las fotos y los videos — incluso los largos — se cifran en tu dispositivo antes de subirse y se almacenan en una forma a prueba de manipulaciones: cortar, reordenar o empalmar el archivo almacenado se detecta.
• Los videos nunca existen sin protección en el disco. Los videos se reproducen al instante mientras permanecen cifrados en reposo; solo se descifran en memoria en el dispositivo de quien los ve, y nunca se escriben como un archivo reproducible.
• La etiqueta Seguro. Un momento marcado como Seguro no puede ser guardado, compartido ni descargado por quienes lo ven, y sus archivos multimedia nunca existen sin cifrar en el almacenamiento del dispositivo de quien lo ve.
• La captura de pantalla está bloqueada en toda la app. En Android, las capturas de pantalla se rechazan y las grabaciones salen en negro. En Windows, la app aparece en negro en las capturas y al compartir pantalla. En iOS, usamos la misma protección en la que confía todo el sector — con una advertencia honesta: iOS no ofrece ninguna forma oficial de bloquear la captura, así que si una futura actualización de iOS la desactivara, la app simplemente perdería el bloqueo en lugar de arriesgarse a que tus fotos se mostraran en negro. Lo comprobamos en cada versión de iOS.

6. Tus dispositivos y la recuperación

• Un dispositivo nuevo debe ser aprobado. Un teléfono nuevo no puede simplemente iniciar sesión y leer tus espacios. Uno de tus dispositivos existentes debe aprobarlo, con ambas pantallas mostrando un código de verificación coincidente — lo que también significa que nadie, ni siquiera nuestros propios servidores, puede colar un dispositivo impostor en tu cuenta.
• Perderlo todo es una decisión humana, no automática. Quien pierde todos sus dispositivos empieza de cero, sin contenido. Un administrador del espacio debe confirmar personalmente la restauración de su acceso — recuperar la entrada tras una pérdida total se trata como una nueva admisión.
• Los propietarios tienen una frase de recuperación. Los propietarios de un espacio guardan una frase de recuperación de 12 palabras que puede restaurar sus espacios sin que quede ningún dispositivo. La app verifica que realmente la has guardado antes de confiar en ella, y nosotros nunca la vemos.

7. Inicio de sesión

• Sin contraseñas, en ningún sitio. Inicias sesión con un enlace de un solo uso enviado a tu correo electrónico. Los enlaces caducan en minutos y funcionan exactamente una vez — no hay nada que reutilizar, suplantar ni filtrar en una brecha.
• Las sesiones son de corta duración y rotan automáticamente. Cerrar sesión termina la sesión en nuestros servidores, no solo en tu dispositivo.
• Iniciar sesión no es lo mismo que leer. Incluso alguien que controlara tu correo electrónico solo podría iniciar sesión como tú — no podría descifrar nada, porque su dispositivo seguiría necesitando la aprobación de uno de los tuyos.

8. Traducción y cifrado

Las familias escriben en distintos idiomas, y Moments puede traducir publicaciones y comentarios al idioma de cada lector. Siempre que la plataforma lo permite, esto ahora ocurre en el propio dispositivo; la traducción con IA en la nube es la excepción sujeta a consentimiento, no la norma:

• La traducción en el dispositivo (hoy en Android) traduce localmente, tras una pequeña descarga única del idioma. El texto nunca sale del sobre de extremo a extremo, y no interviene ningún tercero.
• La traducción con IA en la nube cubre las plataformas que aún no tienen un motor en el dispositivo, además del paso opcional "Mejorar con IA" sobre cualquier resultado traducido en el dispositivo. Tu dispositivo descifra el texto localmente y solo entonces lo retransmite, a través de una conexión cifrada que pasa por nuestros servidores, a un servicio de traducción con IA de terceros. Nunca registramos ni almacenamos el texto, y no se usa para entrenar modelos.
• Las traducciones se guardan solo en tu dispositivo, protegidas en reposo, y se borran cuando cierras sesión.
• Ni siquiera los idiomas que habla tu familia son algo que nuestros servidores puedan leer.

9. Límites, con honestidad

Protegido contra

• Una brecha total de nuestros servidores o de nuestro almacenamiento — tu contenido está cifrado en todo momento.
• Un proveedor de alojamiento curioso u obligado legalmente: no hay contenido que ver ni clave utilizable que entregar.
• Que un miembro eliminado lea momentos futuros, incluso con acceso a los datos almacenados.
• Que un miembro invitado sin historial acceda a momentos pasados — o siquiera sepa que existen.
• La manipulación del contenido o los archivos multimedia almacenados — las alteraciones se detectan y se rechazan.
• Brechas del tipo "base de datos de contraseñas" — no hay contraseñas.

Compromisos aceptados, por escrito

• Cuándo ocurrió un momento es visible para nuestros servidores. Este es el compromiso deliberado que hace funcionar el filtro por edad y la línea de tiempo. La fecha de nacimiento de tu hijo permanece cifrada, así que una fecha nunca se convierte en una edad en ningún sitio que no sean los dispositivos de tu familia.
• Comentarios añadidos a momentos antiguos. Un miembro eliminado que conservara su dispositivo podría — solo si además se vulneraran nuestros datos almacenados — leer los comentarios añadidos más tarde a momentos que ya tenía. Nuestros servidores se los niegan en el instante en que deja de ser miembro; esta excepción requiere además una brecha.
• La propia etiqueta Seguro es visible — la app debe saber que un momento es Seguro antes de desbloquearlo. Revela exactamente ese único hecho y ningún contenido.
• La traducción con IA en la nube viaja en claro durante la llamada — opcional y declarada (sección 8); la traducción en el dispositivo no se ve afectada.

No protegido contra

• El dispositivo comprometido de un miembro. Un dispositivo que puede mostrarte una foto necesariamente tiene lo que necesita para descifrarla. Esto es inherente a todo sistema cifrado de extremo a extremo.
• Metadatos. Quién comparte con quién, cuándo, con qué frecuencia y cuántos datos — visibles para nuestros servidores, como en prácticamente todos los sistemas reales.
• Una segunda cámara apuntando a una pantalla.

10. Lo que viene

• Traducción en el dispositivo en más plataformas — ya disponible en Android, donde el texto nunca sale del sobre cifrado; estamos llevando la misma traducción local a nuestras otras plataformas, para que el compromiso descrito en la sección 8 desaparezca en todas partes.
• Refuerzo continuo — seguimos fortaleciendo la forma en que los dispositivos y las claves se verifican entre sí, y revisamos estas protecciones con cada versión de las plataformas.

Este whitepaper se actualiza cada vez que cambian nuestras protecciones. Si crees que has encontrado una vulnerabilidad en Moments, queremos saberlo: security@momentsapp.eu.