¿Son seguras las apps para ocultar fotos? Qué comprobar antes de confiar en una

La gente guarda sus archivos más privados en apps para ocultar fotos: imágenes íntimas, escaneos del pasaporte, informes médicos, fotos que no quieren que encuentre su pareja o un niño curioso. Por eso es lógico preguntarse si las apps para ocultar fotos son seguras antes de confiarles esos archivos. Esta guía explica cómo revisar cualquier app de bóveda con herramientas que ya tienes en el iPhone, qué buscar que esas herramientas no pueden mostrarte y qué errores dejan expuestos los archivos "ocultos". Es para cualquiera que esté eligiendo una bóveda o que se pregunte si la que ya usa merece su confianza.

¿Son seguras las apps para ocultar fotos? La respuesta sincera

Algunas sí y otras no, y el icono no te dirá cuál es cuál. Una app de bóveda puede hacer dos cosas muy distintas:

• Ocultar archivos. La app pone una pantalla con PIN o patrón delante de una galería. Los archivos en sí pueden estar guardados de forma legible en el almacenamiento de la app. Cualquiera que supere la pantalla de bloqueo, o que acceda directamente al almacenamiento, puede verlos.
• Cifrar archivos. La app codifica cada archivo con una clave que se desbloquea con tu patrón o código. Sin ese secreto, los datos guardados son ilegibles, aunque alguien los copie.

No es solo teoría. En 2014 y 2015, investigadores independientes analizaron versiones antiguas de apps de bóveda populares para iPhone y encontraron fotos guardadas sin cifrar, PIN almacenados en texto plano y pantallas de bloqueo que se podían saltar. Esos hallazgos describen versiones de hace aproximadamente una década, no las apps actuales. Los estudios sobre Android cuentan algo parecido. Un estudio de 2017 sobre 18 apps de bóveda para Android descubrió que muchas no cifraban las fotos guardadas y que siete almacenaban las contraseñas en texto sin cifrar. Un estudio de 2022 sobre 20 apps de bóveda para Android descubrió que la mayoría de sus disfraces podían descubrirse con conocimientos básicos del sistema.

La lección no es que las apps de bóveda sean malas. Es que "bóveda" es una palabra de marketing, y la única forma de saber lo que te llevas es comprobarlo.

Paso 1: Revisa una app de bóveda con herramientas que ya tienes en el iPhone

Tu iPhone puede decirte bastante sobre una app antes y después de instalarla.

Lee la etiqueta de privacidad de la App Store

1. Abre la App Store y ve a la página de la app de bóveda.
2. Desplázate hasta Privacidad de la app y toca Ver detalles.
3. Fíjate en qué secciones aparecen:
   • Datos utilizados para rastrearte: datos que se comparten con otras empresas para seguirte a través de apps y sitios web. Una bóveda no necesita esto.
   • Datos vinculados a ti: datos asociados a tu identidad, como una dirección de correo electrónico o un ID de usuario.
   • Datos no vinculados a ti: datos recopilados sin asociarlos a tu identidad, a menudo analíticas o informes de fallos.
   • Datos no recopilados: el desarrollador afirma que no recopila nada.
4. Busca Fotos o vídeos en cualquier categoría de datos recopilados. En una app de bóveda, eso indica que tu contenido podría salir del dispositivo de una forma que gestiona el desarrollador.

Ten en cuenta una cosa: los desarrolladores rellenan estas etiquetas ellos mismos. La propia redacción de Apple en cada ficha indica que Apple no las verifica. Toma la etiqueta como un indicio, no como una prueba.

Comprueba qué acceso a Fotos tiene la app

1. Ve a Ajustes → Privacidad y seguridad → Fotos.
2. Toca la app de bóveda.
3. Verás opciones como Acceso total, Acceso limitado o Ninguno.

Una bóveda necesita algo de acceso para importar desde tu fototeca. Con Acceso limitado, solo ve las fotos que elijas. Es una opción razonable si solo vas a mover unas pocas fotos. Puedes cambiar este ajuste en cualquier momento.

Activa el informe de privacidad de apps

1. Ve a Ajustes → Privacidad y seguridad → Informe de privacidad de apps.
2. Toca Activar el informe de privacidad de apps.
3. Usa la bóveda durante unos días, vuelve y toca la app en Actividad de red de apps.

Aquí se muestran los dominios con los que ha contactado la app. Si una app dice que no tiene servidores ni analíticas pero sigue contactando con dominios de publicidad o analítica, pregúntate por qué.

Piensa si de verdad necesitas una bóveda

Para algunas personas, las herramientas integradas bastan. En iOS 16 y posteriores, el álbum Oculto de Fotos se bloquea con Face ID, Touch ID o tu código. El ajuste está en Ajustes → Apps → Fotos → Usar Face ID en iOS 18 y posteriores, y en Ajustes → Fotos en iOS 16 y 17. En iOS 18 también puedes mantener pulsado el icono de una app y elegir Requerir Face ID. Las ventajas e inconvenientes se explican en El álbum Oculto del iPhone frente a una bóveda de fotos cifrada.

Hasta dónde llegan las comprobaciones integradas

La etiqueta de privacidad, los permisos y el informe de red te dicen qué recopila una app y con quién se comunica. No pueden decirte:

• si los archivos están realmente cifrados en el dispositivo o solo están detrás de una pantalla de bloqueo
• lo robusta que es la clave, o si alguien que copie los datos de la app podría adivinarla sin conexión
• si las miniaturas y los nombres de archivo están protegidos junto con las fotos
• qué pasa tras muchos intentos fallidos
• si la empresa puede restablecer tu acceso, y qué implica eso sobre quién más podría hacerlo

Para esto, tienes que leer la documentación de seguridad de la propia app. Si una app no lo explica en ninguna parte, eso también dice algo.

El álbum Oculto integrado tiene su propio límite. Se abre con el Face ID o el código de tu iPhone. Si alguien conoce tu código, algo habitual en parejas y familiares, el álbum Oculto no es ninguna barrera.

Qué comprobar antes de confiar en una app de bóveda

Repasa esta lista con la web de la app, su página de seguridad, su política de privacidad y su ficha en la App Store.

1. Indica qué cifrado usa. Busca detalles concretos, como AES-256 en modo GCM. Desconfía de afirmaciones grandilocuentes sobre el cifrado sin ningún detalle detrás. Las palabras rimbombantes no demuestran debilidad, pero tampoco son prueba de solidez.
2. La clave sale de tu secreto, y adivinarla es lento. Las buenas apps convierten tu patrón o código en una clave mediante una función deliberadamente lenta, como PBKDF2 o Argon2id. Lo ideal es que la clave esté además vinculada al hardware del dispositivo, para que quien copie los archivos no pueda probar contraseñas en un ordenador.
3. Todo está cifrado, no solo las fotos. Las miniaturas, los nombres de archivo, las carpetas y el índice pueden revelar mucho. Comprueba si están protegidos.
4. Gestiona los intentos fallidos. Debería haber esperas cada vez más largas tras los intentos fallidos y, idealmente, un contador que no se pueda reiniciar reinstalando la app ni cambiando la hora del teléfono.
5. Sabes quién tiene tus archivos. ¿Necesita una cuenta con tu correo electrónico? ¿Las copias de seguridad están en los servidores de la empresa o en tu propio iCloud? ¿Se cifran antes de subirse, para que el proveedor de almacenamiento no pueda leerlas?
6. La recuperación se explica con honestidad. Algunas apps restablecen un PIN olvidado enviando un código a tu correo electrónico. Es cómodo, pero significa que el acceso depende de tu cuenta de correo. Otras apps usan una frase de recuperación que solo tienes tú, así que nadie puede devolverte el acceso, ni siquiera la empresa. Ninguno de los dos enfoques es incorrecto. Solo debes saber cuál eliges. (Más información en qué es una frase de recuperación y cómo guardarla.)
7. No comprime a escondidas. Algunas apps reducen las fotos para ahorrar espacio y guardan los originales en otro sitio. Si te importa la calidad, comprueba que los originales se mantienen a resolución completa en tu dispositivo.
8. Los anuncios y las analíticas son mínimos o inexistentes. Las bóvedas financiadas con anuncios suelen incluir código publicitario de terceros. Algunas apps sin anuncios siguen enviando analíticas o informes de fallos por defecto. Comprueba si puedes desactivarlos y qué podrían incluir.
9. El modelo de seguridad está publicado y los límites están claros. Busca una página que explique el diseño y reconozca lo que la app no puede hacer. Una auditoría independiente es una señal sólida, pero la mayoría de las apps de bóveda, incluidas las pequeñas y más nuevas, no la han tenido. Si no hay auditoría, la app debería decirlo.
10. El disfraz es un extra, no una protección. Un icono con aspecto de calculadora puede frenar una mirada casual. No es cifrado, y los estudios en Android demostraron que los disfraces a menudo fallan. Juzga la app por los puntos 1–9.

Para ver cómo se comportan apps concretas, consulta las mejores apps de bóveda de fotos para iPhone, comparadas con imparcialidad.

Cómo responde VaultCave a esa lista

VaultCave es un ejemplo de bóveda diseñada en torno a esta lista. Guarda fotos, vídeos y documentos (pasaportes, documentos de identidad, informes médicos, contratos, cualquier archivo), y los PDF se abren dentro de la bóveda. Así encaja con los puntos anteriores:

• Cifrado: AES-256-GCM. Los archivos se cifran por fragmentos, y cada fragmento se autentica con su posición, de modo que se detecta cualquier manipulación, reordenación o truncamiento. Cada bóveda tiene una clave maestra aleatoria y cada archivo tiene su propia clave.
• Derivación de claves: PBKDF2-HMAC-SHA256 con 600.000 iteraciones, vinculada a un secreto del dispositivo en el Secure Enclave. Los archivos copiados fuera del teléfono no se pueden atacar en otro lugar.
• Todo cifrado: también las miniaturas, los nombres de archivo, las carpetas y el índice.
• Intentos fallidos: nada en los intentos 1–4. Después, 30 segundos, 1 minuto, 5 minutos y 15 minutos en cada uno de los intentos 8 y 9. En el intento 10, el patrón o código se desactiva y se requiere la frase de recuperación. El contador se aplica a todas las bóvedas, se mantiene aunque reinstales la app e ignora los cambios de hora.
• Cuenta y datos: sin cuenta, sin registro, sin ningún servidor de VaultCave que guarde tus archivos y sin analíticas, anuncios ni rastreadores. La etiqueta de privacidad de la App Store es "Datos no recopilados".
• Copia de seguridad: copia de seguridad cifrada opcional en tu propio iCloud (base de datos privada de CloudKit), activada por defecto y gratuita. Los archivos se cifran antes de subirse, así que ni Apple ni VaultCave pueden leerlos. Usa tu almacenamiento de iCloud, y la app te avisa cuando una bóveda no tiene copia porque iCloud está lleno.
• Recuperación: una frase de recuperación de 12 palabras, que se muestra una sola vez. VaultCave no puede restablecerla ni recuperarla.
• Calidad: los originales se conservan con calidad completa por defecto.
• Modelo de seguridad: documentado en /security.

Configurarla es así:

1. Crea una bóveda y elige cómo se abre: un patrón en una cuadrícula de 5×5 puntos (al menos 6 puntos) o un código (al menos 6 caracteres). No reutilices el código de tu iPhone.
2. Apunta la frase de recuperación de 12 palabras cuando aparezca. Tendrás que escribir 3 de las palabras para confirmar que la has guardado.
3. Elige si mantienes activada la copia de seguridad cifrada en iCloud.
4. Importa desde Fotos, Archivos o la hoja de compartir. Al importar desde Fotos, puedes elegir eliminar los originales una vez verificadas las copias cifradas.
5. Abre el álbum Eliminado en Fotos y elimina allí también los originales. Si no, se quedan unos 30 días.
6. Elige cuándo se bloquea la app al salir de ella: inmediatamente (la opción por defecto) o tras 30 segundos, 1 minuto o 5 minutos. Al bloquearse, las claves se borran de la memoria.

VaultCave también tiene límites, y los reconoce:

• Solo está disponible para iPhone y iPad (iOS 17 o posterior).
• No tiene Face ID ni Touch ID, por diseño.
• Las bóvedas aún no se sincronizan entre dispositivos, aunque una copia de seguridad puede restaurar una bóveda en un dispositivo nuevo.
• Todavía no ha pasado una auditoría de seguridad independiente.
• Es una app nueva, aún no está en la App Store, así que no tiene valoraciones ni reseñas.

La versión gratuita te da una bóveda con hasta 100 elementos. Las bóvedas ocultas múltiples, los elementos ilimitados, el modo de coacción y los iconos disfrazados son funciones Pro.

Comparativa de opciones

	Álbum Oculto (Fotos)	Requerir Face ID en una app	App de bóveda cifrada	App de bóveda que solo disfraza
Secreto distinto del código del iPhone	No	No (el código es la alternativa)	Sí	Depende de la app
Archivos cifrados con tu propia clave	No (cifrado estándar del dispositivo y de iCloud)	No	Sí, si la app lo hace bien	Depende; a menudo se desconoce
Admite documentos y PDF	No	Depende de la app	Algunas sí	Depende
Frena a quien conoce tu código	No	No	Sí	Depende
Copia de seguridad	Fotos en iCloud	Depende de la app	Depende: tu iCloud, la nube del proveedor o ninguna	Depende
Coste	Gratis, integrado	Gratis, integrado (iOS 18)	Versión gratuita o de pago	Depende

De qué no puede protegerte ninguna app de bóveda

Incluso una bóveda bien hecha tiene límites. Conócelos antes de confiar en ella.

• Capturas de pantalla y cámaras. Las apps de iPhone no pueden bloquear las capturas de pantalla ni que alguien grabe la pantalla.
• Alguien que te ve desbloquear. Si ve tu patrón o código, puede abrir esa bóveda.
• Un teléfono comprometido o con jailbreak. El malware puede ver lo que hay en pantalla mientras una bóveda está abierta.
• Copias fuera de la bóveda. Los archivos exportados, los originales que quedan en Eliminado y las fotos ya enviadas por chat son legibles.
• Una situación de riesgo. Si tu pareja o un familiar vigila tu teléfono, puede notar una app nueva o un cambio repentino, y eso puede empeorar las cosas. Una bóveda no puede resolver eso. Una línea de atención local contra la violencia doméstica puede ayudarte a planificar con seguridad. Si alguien amenaza con compartir imágenes íntimas tuyas, StopNCII.org puede ayudar a frenar su difusión en las plataformas participantes.

Errores que debes evitar

• Fiarte del marketing. "Seguro", "privado" y las afirmaciones grandilocuentes sobre cifrado no equivalen a detalles de cifrado publicados.
• Olvidarte de Eliminado. Mover fotos a una bóveda y borrarlas de Fotos sigue dejando copias en Eliminado durante unos 30 días.
• Reutilizar el código del iPhone. Cualquiera que conozca el código de tu teléfono lo probaría primero.
• Perder el método de recuperación. En las apps basadas en frases, perder a la vez el código y la frase suele significar que los archivos se pierden. Guarda la frase sin conexión, en un lugar seguro.
• Dar por hecho que hay copia de seguridad. Comprueba que la copia está activada y que tu almacenamiento de iCloud o del proveedor no está lleno.
• Confiar en el disfraz. Un icono falso de calculadora solo retrasa una mirada casual.
• Eliminar la app para "hacer limpieza". En el iPhone, eso elimina también los archivos de la bóveda. Asegúrate antes de tener una copia de seguridad que puedas restaurar.

En resumen

• Algunas apps para ocultar fotos cifran bien tus archivos. Otras solo ponen una pantalla de bloqueo delante. Compruébalo antes de confiar en una.
• Usa las herramientas de tu iPhone: la etiqueta de privacidad de la App Store, Ajustes → Privacidad y seguridad → Fotos y el informe de privacidad de apps.
• Después, lee la página de seguridad de la app. Busca un cifrado concreto, una derivación de claves lenta, límites a los intentos fallidos, miniaturas y nombres cifrados, y respuestas claras sobre cuentas, copias de seguridad y recuperación.
• Considera los iconos disfrazados un extra, y recuerda que ninguna bóveda puede bloquear las capturas de pantalla ni proteger un teléfono que ya está comprometido.
• Vacía Eliminado después de importar y guarda tu método de recuperación en un lugar seguro.