Cómo protege Firedown tus datos

De un vistazo

• Sin cuenta. Sin correo, sin contraseña. Un código de recuperación generado en tu teléfono es la única clave, y nunca sale del teléfono.
• Nada en medio. Las descargas van directamente del sitio a tu teléfono. Ningún servidor nuestro las ve.
• Tu almacenamiento, nuestro cifrado. Los respaldos van al almacenamiento que tú eliges: una carpeta en Google Drive, Dropbox, Nextcloud, una tarjeta SD o el propio teléfono, un servidor WebDAV o un bucket S3. Se cifran en tu teléfono antes de escribirse allí.
• Lo que puede ver el proveedor. Cuántos archivos hay, de qué tamaño y cuándo se escribieron. Nunca los nombres ni el contenido.

01 En toda la app

• Navegación. Firedown está construido sobre el motor GeckoView de Firefox, con uBlock Origin integrado, así que los anuncios y los rastreadores se bloquean antes de cargarse. No se nos envía nada sobre lo que navegas.
• Descargas. Los archivos llegan directamente del sitio a tu teléfono, sin ningún servidor nuestro en medio, así que no hay nada que podamos registrar.
• Enviar a otro teléfono. Una descarga terminada puede ir directamente a otro teléfono, cifrada de extremo a extremo mediante WebRTC, sin que se almacene nada en un servidor. Cuando los dos teléfonos no pueden conectarse directamente, el flujo cifrado pasa por nuestro servidor de retransmisión, que no puede leerlo.
• Carpeta segura. Los archivos que mueves allí quedan protegidos por tu PIN o tu huella dactilar, invisibles para cualquier otra app. Permanece en tu teléfono y nunca se respalda.
• Sincronización de marcadores. Gratuita y desactivada de forma predeterminada. Los marcadores se cifran en tu teléfono con tu código de recuperación antes de subirse.
• Actualizaciones. Cada versión se firma con la misma clave y puede comprobarse con las versiones publicadas en nuestro GitHub. Una vez al día la app pregunta si existe una versión más reciente; esa solicitud incluye la versión de la app y un token que cambia cada mes, y solo se usa para contar las instalaciones activas.

02 El respaldo vive en el almacenamiento que tú eliges

El respaldo guarda una copia cifrada de las descargas que eliges. Eliges dónde una sola vez: una carpeta con el propio selector de carpetas de Android (en Google Drive, Dropbox o Nextcloud, una tarjeta SD o el almacenamiento del teléfono), un servidor WebDAV en el que inicias sesión (Nextcloud, ownCloud, un NAS) o un bucket S3 cuyas claves le das a Firedown (Backblaze B2, Cloudflare R2, Wasabi, MinIO). En una carpeta, Firedown escribe los archivos cifrados y la app del proveedor los sincroniza igual que sincroniza cualquier otra cosa. A un servidor o a un bucket, Firedown los sube él mismo.

En ese camino no hay ningún servidor de Firedown, y no se nos envía nada sobre lo que respaldas ni dónde. En una carpeta, Firedown solo puede acceder a la carpeta que elegiste, a nada más de tu Drive ni de tu tarjeta. En un servidor o un bucket, puede acceder a todo lo que permitan la sesión o las claves; por eso pide una clave limitada a un solo bucket. Las credenciales se quedan en tu teléfono, cifradas, y nunca se respaldan. Elegir otro lugar olvida el anterior y deja sus archivos donde están.

Está diseñado como si el proveedor pudiera leer todo lo que almacena, o entregárselo a otra persona. En ambos casos tus archivos siguen siendo ilegibles, porque la carpeta nunca contiene nada que pueda descifrarlos.

03 Tu código de recuperación es toda la clave

No hay cuenta, ni correo, ni contraseña. Tu teléfono genera un código de recuperación y deriva de él todas las claves.

El código nunca se envía a ninguna parte y nunca se escribe en la carpeta. Para leer tu respaldo en otro teléfono, introduce allí el mismo código y elige la misma carpeta, servidor o bucket. No tenemos copia y no podemos producir una.

04 Qué ocurre al respaldar un archivo

1. Se genera una clave nueva solo para ese archivo. Ninguna clave única abre todo el respaldo.
2. El archivo se cifra en tu teléfono con AES-256-GCM, en piezas. Cada pieza queda ligada a su posición en ese archivo: no se pueden intercambiar, reordenar ni mover entre archivos.
3. La clave del archivo se bloquea con otra derivada de tu código de recuperación. Se guarda en un pequeño archivo acompañante, cifrada junto con el nombre, el tipo, las fechas y la vista previa.
4. Ambos archivos se escriben con nombres aleatorios en tu carpeta, servidor o bucket.

Restaurar sigue los mismos pasos a la inversa, en tu teléfono. No existe ninguna clave en ningún otro lugar.

05 Qué puede ver el proveedor y qué no

Quien tiene tu respaldo ve archivos, no lo que son. El cifrado oculta qué es un archivo, no que exista.

Esos dos archivos son todo lo que la carpeta contiene del archivo de 18.9 MB de arriba: un nombre aleatorio, sin tipo. Los tamaños y los tiempos son señales reales, y el cifrado no los elimina.

06 La sincronización de marcadores y nuestro servidor

La sincronización de marcadores es la única función que almacena datos en un servidor nuestro. Tus marcadores se cifran en tu teléfono en un único bloque, con una clave derivada de tu código de recuperación. El servidor almacena ese bloque y lo devuelve; no puede abrirlo.

Cada solicitud se firma con una clave derivada del mismo código, así que solo tus teléfonos pueden reemplazar tus marcadores. El servidor ve un número de cuenta derivado del código, el tamaño del bloque, cuándo cambia y la dirección IP desde la que llega cada solicitud.

07 Contra qué no protege

• Un teléfono comprometido. El cifrado ocurre en tu dispositivo, así que un dispositivo comprometido tiene los archivos en claro. Nada en la carpeta lo arregla.
• Un código de recuperación perdido. Irrecuperable, para cualquiera.
• Los metadatos. El tamaño, el número y las fechas de tus respaldos son visibles para quien tenga tu respaldo, y no podrían ocultarse sin un diseño mucho más costoso.
• La vinculación. Si usas la sincronización de marcadores, el nombre de la carpeta de respaldo es el mismo número de cuenta que conoce nuestro servidor de marcadores. Alguien que tuviera ambos podría saber que pertenecen a una misma persona, y aun así no podría leer ninguno de los dos.
• Perder la carpeta, el servidor o el bucket. El proveedor mantiene tu respaldo disponible, no secreto. Si borra los archivos o cierra tu cuenta, o si la carpeta estaba en un teléfono o una tarjeta que se pierde, el respaldo se pierde con ella.
• Archivos que nunca respaldaste. El respaldo cubre solo lo que respaldas. La Carpeta segura permanece en tu teléfono y nunca se incluye.

08 Compruébalo tú mismo

El cifrado y la derivación de claves corren en la app, no en un servidor. Toda afirmación de esta página puede comprobarse solo con el código fuente de la app.

Auditorías. Firedown no ha tenido ninguna auditoría de seguridad independiente. El código se revisa internamente, incluida una revisión asistida por IA, y cada afirmación de esta página corresponde a un archivo del código fuente público indicado arriba.

Informa de problemas de seguridad en privado a [email protected]. El archivo SECURITY.md del repositorio de la app tiene los detalles.