Album Shield — Seguridad
Actualizado el 31 de octubre de 2026
Esta página describe cómo Album Shield protege tus fotos y videos y, lo que es igual de importante, dónde termina esa protección. Está escrita para que un lector con conocimientos técnicos pueda juzgar el diseño en lugar de aceptar por confianza una afirmación publicitaria.
Cifrado
Todos los archivos que Album Shield escribe están cifrados con AES-256-GCM, mediante la implementación de CryptoKit de Apple. GCM es un modo autenticado: detecta manipulaciones además de impedir la lectura. Cada archivo cifrado guarda juntos su propio nonce, texto cifrado y etiqueta de autenticación, de modo que ningún archivo depende de un registro aparte para descifrarse.
Esto abarca más que las propias imágenes. Los archivos multimedia a resolución completa, las miniaturas generadas y el índice de la bóveda están todos cifrados. El índice es lo que contiene los nombres de tus archivos, las carpetas, las etiquetas, las ediciones y cualquier dato de ubicación leído de los metadatos de una foto. Eso importa: una lista de nombres de carpetas puede revelar tanto sobre alguien como las imágenes que contienen.
La clave de la bóveda
Se genera una clave de 256 bits en tu dispositivo la primera vez que configuras la bóveda. Se guarda en el llavero de iOS con dos propiedades que definen el producto:
- El control de acceso exige tu presencia. La clave solo se libera después de que Face ID, Touch ID o el código de tu dispositivo se verifiquen correctamente.
- Está marcada como exclusiva del dispositivo. La clave queda excluida de iCloud y de las copias de seguridad cifradas en el ordenador, y no se puede migrar a otro dispositivo.
La clave nunca se transmite a ningún sitio. No hay ningún servidor al que enviarla.
Desbloqueo
La bóveda se abre con Face ID, Touch ID o el código de tu dispositivo. Opcionalmente se puede activar un PIN como vía de acceso adicional.
Desbloqueo por PIN, PIN de coacción y bóveda señuelo
Cuando estableces un PIN, la clave de la bóveda se envuelve con una clave derivada de ese PIN y 32 bytes de sal aleatoria, estirada a lo largo de 100 000 iteraciones de SHA-256. El paquete envuelto se guarda en el llavero y también está marcado como exclusivo del dispositivo, por lo que queda excluido de las copias de seguridad.
El PIN de coacción abre una bóveda separada, con su propia clave generada de forma independiente, no una vista filtrada de la real. Los dos paquetes envueltos se escriben de forma idéntica y no llevan ninguna marca que indique cuál es cuál. Lo único que los distingue es que el descifrado funciona con un PIN y falla la autenticación con el otro. Quien examine el dispositivo no puede deducir de los datos almacenados qué PIN lleva a la bóveda real, ni que exista siquiera una segunda bóveda.
Siendo precisos sobre el papel del PIN: el número de iteraciones encarece los intentos de adivinarlo, pero un PIN numérico tiene una entropía limitada por mucho que se estire. El PIN es una capa adicional, no el cimiento. El cimiento es la protección exclusiva del dispositivo que ofrece el llavero, impuesta por el propio hardware del dispositivo, que exige vulnerar la protección de datos de iOS antes de poder siquiera leer este material.
Registro de intentos y bloqueos
Introducir el PIN incorrecto de forma repetida activa retardos de bloqueo progresivos. Tras un intento fallido, Album Shield puede capturar una foto con la cámara frontal junto con la fecha y la hora y guardarla —cifrada, en la bóveda— para que puedas ver quién lo intentó.
Archivos temporales
Algunas operaciones no pueden realizarse únicamente en memoria. La reproducción de video requiere un archivo que el reproductor del sistema pueda leer, y exportar o compartir produce por definición una copia descifrada. Album Shield los gestiona así: los archivos temporales se escriben dentro del contenedor propio de la aplicación con la protección completa de archivos de iOS, se excluyen de las copias de seguridad del dispositivo, se eliminan en cuanto termina la operación y se borran de nuevo cuando la bóveda se bloquea y cuando la aplicación se inicia la próxima vez, de modo que una sesión interrumpida no pueda dejar atrás un archivo legible.
Lo que Album Shield nunca hace
- Sin cuenta, sin inicio de sesión, sin identificador de usuario.
- Ningún servidor recibe tus archivos, tu clave ni información sobre lo que guardas.
- Sin análisis, sin seguimiento y sin marcos publicitarios.
- Sin custodia de claves ni puerta trasera del desarrollador. No hay ninguna clave de recuperación en manos de nadie.
Límites de esta protección
No hay copia de seguridad en la nube ni restauración entre dispositivos. Es una decisión de diseño deliberada —es la razón por la que ningún servidor puede ser requerido judicialmente ni sufrir una filtración—, pero la consecuencia es real. Si tu dispositivo se pierde, se destruye, se borra o se sustituye, la bóveda se va con él. Exporta todo aquello que no puedas permitirte perder. Restaurar una compra restaura solo la compra, nunca tus archivos.
Las copias exportadas salen por completo de esta protección. Una foto guardada en Fotos de Apple o en Archivos, o compartida con otra aplicación, es desde ese momento un archivo normal sin cifrar, y se incluye en las copias de seguridad que use ese destino.
La protección en el dispositivo presupone que el propio dispositivo es íntegro. Album Shield depende de la protección de datos de iOS y del llavero. Un dispositivo con jailbreak, infectado por malware, o desbloqueado y entregado a otra persona, socava premisas que ninguna aplicación puede restituir. Usa un código de acceso y mantén iOS actualizado.
No se ha realizado ninguna auditoría de seguridad externa. El diseño descrito en esta página no ha sido revisado de forma independiente ni sometido a pruebas de penetración. Aquí se describe con suficiente detalle para que un lector con conocimientos pueda evaluarlo, que es lo más honesto que un desarrollador independiente puede ofrecer en lugar de una auditoría que no ha pagado.
Cómo informar de un problema de seguridad
Si crees que has encontrado una vulnerabilidad, comunícala a Support@bstonemedia.com con detalles suficientes para reproducirla. Los informes los lee directamente el desarrollador. Concede un plazo razonable para una corrección antes de hacerla pública.