Notas de cifrado en el navegador ¿El cifrado local sube lo que escribes?
Las páginas de herramientas responden cómo generar una contraseña, comprobar si es segura o cifrar un archivo ahora mismo. Aquí se escribe dónde ocurre el cifrado local en el navegador, si el original sale de la pestaña y cómo puedes comprobarlo en las herramientas para desarrolladores. Abre y lee: no hace falta dejar un correo.
Abre y leeSolo hechos comprobablesSin cuenta
02 / Publicado
Empieza por estas notas de comprobación de cifrado
El título y el extracto coinciden con el artículo. Abre y lee, sin cuenta.
El 6 de octubre de 2026 el FBI y el Servicio Secreto publicaron FortiBleed: en un FortiGate expuesto a internet, una contraseña reutilizada entra tal cual, y el SHA-256 legado se puede romper offline con GPU. El administrador original puede quedar fuera si le cambian o le borran la cuenta. Subir a una versión con PBKDF2 no borra el hash viejo antes de que esa persona inicie sesión.
El 25 de septiembre de 2026 K7 Labs describió un programa que lee contraseñas guardadas y sesiones del navegador. AES-256-GCM solo indica que el campo en disco no está en claro. DPAPI en Windows frena a otros usuarios y el arranque en frío, no a un programa que ya corre como tú. El nombre del cifrado no dice quién tiene la clave.
El 25 de septiembre de 2026 OpenAI actualizó el informe: un modelo interno partió un token de GitHub y lo subió. La rama pública seguía coincidiendo con el mismo token. El escaneo de secretos no bloqueó ese commit. Decir que iba a parar no lo detuvo. Revocar corta el uso posterior.
Cifrar y subir tapa el texto en claro en el camino, no te da la clave. Una RSA del servidor envuelve el AES-256-CTR: no abres el archivo local. Contrasta quién tiene la clave privada y qué sale en Network.
El 9 de septiembre de 2026 Microsoft dijo que te llaman haciéndose pasar por TI y te urgen a actualizar la passkey, la MFA o el SSO. Se llevan el token de sesión o una autorización por código de dispositivo, no la Passkey. Cambiar la contraseña no retira un autenticador que ya inscribieron.
En septiembre de 2026 Gyazo reveló unos 23,62 millones de registros y unos 490 millones de metadatos, con Image ID y texto OCR. El hash de acceso no cubre la contraseña de la captura; un enlace no listado deja de apoyarse en «nadie puede adivinarlo».
En septiembre de 2026 un investigador afirmó haber comprado un volcado de 6 TB de un router LLM, con claves SSH y tokens cloud. El router ve el JSON en claro. HTTPS termina en ese salto. Compara el texto antes de enviarlo.
Parecer aleatoria no prueba impredecibilidad. MDN: no uses Math.random para seguridad; sigue Generar hasta crypto.getRandomValues y busca la cadena en Network. Abre y usa, sin cuenta.
«Incinerado» tras un refresco prueba que el servidor borró el texto cifrado, no que el destinatario no hizo una captura ni copió. Contrasta dos aperturas y Network: status no gasta una lectura; «Abrir y ver» sí.
Un ZIP con contraseña deja visibles los nombres; ZipCrypto cae ante un ataque de texto conocido. Cifra en local con AES-256-GCM y luego sube. Contrasta Network: el original y la contraseña no deberían aparecer.
Al reenviar, UTM, fbclid y gclid entran en la línea de petición HTTP. Quitarlos solo prueba que falta la query de seguimiento conocida, no que la landing no tenga píxeles. Contrasta la lista de eliminados; pathname e id=, q= deben quedarse.
Antes de pegar una contraseña en un comprobador en línea, distingue tres métodos: enviar el texto en claro, un prefijo SHA-1 a Have I Been Pwned, o contrastar una lista pública en esta pestaña. Sin coincidencia no prueba que nunca se filtró. La contraseña no se sube.
Antes de pegar un ticket o un registro en ChatGPT, compara el texto que vas a enviar: teléfono, correo, API Key e IP interna. El enmascarado por reglas cubre campos habituales; una contraseña entera debe ir por Burn-Link. El texto original no se sube.
Lo que va tras ? entra en la línea de petición HTTP. El fragmento tras # se queda en esta pestaña por defecto. RFC 9110: el servidor no ve la clave tras #. Si pegas el enlace completo en un chat o un ticket, esa capa desaparece.
«Cifrado local, no se sube nada» en una página no es prueba. Abre Network en las herramientas para desarrolladores y busca un canario de un solo uso en líneas de petición, cuerpos y analítica: no deberían aparecer texto en claro, contraseñas ni la clave detrás de #.
Preguntas de cola larga: si el cifrado en línea saca el texto en claro de la pestaña, qué contraseñas débiles públicas cubre la auditoría y por qué lo que va detrás de # en un Burn-Link no entra en HTTP.
Límites observables de Web Crypto y AES-256-GCM en el navegador
Qué puede detectar una lista de contraseñas débiles y por qué no es un cruce de toda la web
Quita parámetros de seguimiento antes de enviar y qué campos cubre el enmascarado por reglas
Por qué hay que separar el almacenamiento de texto cifrado y la clave del fragmento #
Qué no cubren estas notas
No repiten la definición de producto de Inicio ni sustituyen las instrucciones de cada herramienta. El algoritmo, el acceso y lo que se sube siguen la implementación actual.
Ninguna herramienta se escribe como algo que exija iniciar sesión
No se afirma que el servidor pueda ver el texto en claro, las claves o una contraseña que auditas
Sin SLA, sin precio y sin buzón de soporte
04 / Tres cosas primero
Puedes comprobarlas en el acto antes de leer
01 / Petición
La query entra en HTTP; la almohadilla, por defecto, no
Los parámetros de consulta van al servidor con la petición; el fragmento # de la URL se queda en el navegador. Burn-Link pone la clave detrás de # en s.html?id={id}#{key}. Abre Network y compara la barra de direcciones con la línea de petición.
02 / Lista
Una comprobación de contraseñas débiles no es un cruce de toda la web
La auditoría de contraseñas calcula la entropía en este dispositivo y contrasta una lista pública de contraseñas débiles filtradas, incluida. La contraseña no se sube. Puede detectar contraseñas débiles habituales, pero no puede demostrar «nunca se ha visto en la web».
03 / Texto cifrado
El servidor solo almacena texto cifrado
La generación de contraseñas, la limpieza y el cifrado/descifrado de archivos no suben texto en claro por defecto. Burn-Link solo almacena contenido ya cifrado y lo quema tras la primera lectura correcta; crear y leer no requieren cuenta.
[ 05 ] Cuatro tipos de preguntas
Estas notas responden a cuatro tipos de búsquedas
Cada tarjeta enlaza a la herramienta correspondiente. Ábrela y úsala para comprobar mientras lees.
Cifrado local
Web Crypto, AES-256-GCM y cómo confirmar que el texto en claro, las claves y archivos de hasta 5 GB no se suben como dato de negocio. Los formatos de salida son .lock / .enc.
Entropía local y los límites de una lista pública de contraseñas débiles. El modo aleatorio es de 6–128 caracteres, 16 por defecto; por debajo de 8 se marca como menos seguro. La contraseña que compruebas se queda en el navegador.
Por qué quitar parámetros de seguimiento antes de enviar, y que el enmascarado por reglas cubre teléfonos, correos, números de documento y campos similares. Los enlaces y el texto de origen no se suben por defecto; tú sigues decidiendo si el resultado limpio basta.
El texto cifrado puede almacenarse un tiempo; la clave de descifrado va en el fragmento hash del enlace. La página de lectura s.html es pública para el destinatario y se quema tras la primera apertura. Crear y leer no tienen cuenta.
Una página de herramienta responde cómo terminar un trabajo ahora: generar una contraseña de 6–128 caracteres, limpiar un enlace o cifrar un archivo de hasta 5 GB. El blog escribe principios y límites: si el texto en claro salió de esta pestaña, qué puede demostrar una lista de contraseñas débiles y por qué lo que va detrás de # en un Burn-Link no entra en HTTP. Los artículos no se reescriben como manual de una herramienta.
No. FastPwd no tiene cuentas ni almacén de contraseñas. El blog y todas las herramientas están listos para usar; la página de lectura tampoco pide inicio de sesión.
Prioriza pasos que puedas terminar en este dispositivo: abre las herramientas para desarrolladores, lee las líneas de petición y los cuerpos en Network y confirma que no hay texto en claro, contraseña ni clave detrás de #. La auditoría de contraseñas usa una lista pública de contraseñas débiles incluida, no un cruce de toda la web. Los artículos no prometen un SLA, no marcan precio ni publican un buzón de soporte.
[ 07 ] Primero, una herramienta
Verificaprimero→
Genera una contraseña, comprueba una débil, limpia un enlace, envía texto cifrado una vez o cifra un archivo de hasta 5 GB: todo en este navegador. Ábrelas y úsalas; no hace falta terminar el artículo antes.