El correo es el lugar donde las credenciales se quedan para siempre. Una contraseña enviada el lunes sigue en la bandeja de salida de quien la envió, en la bandeja de entrada de quien la recibió, en cada teléfono y portátil que sincroniza cualquiera de las dos cuentas y en las copias de seguridad de dos proveedores de correo. Reenvíala una vez y el número de copias se duplica.
Compartir credenciales de forma segura sin correo significa elegir un canal que no deje copias, o al menos ninguna que no controles. Hay cuatro buenas opciones. Cuál encaja depende de si el destinatario necesita la credencial una vez o de forma permanente, y de si forma parte de tu organización.
Cuatro formas de compartir credenciales sin correo
| Método | Ideal para | Lo que no hace |
|---|---|---|
| Compartir desde un gestor de contraseñas | Compañeros que necesitan acceso continuo | Ayudarte con un destinatario puntual que no está en tu bóveda |
| Enlace secreto de un solo uso | Una entrega única a cualquiera, de dentro o de fuera | Controlar lo que pasa después de mostrarse |
| Mensajería cifrada con mensajes temporales | Entregas rápidas entre personas que ya usan la aplicación | Impedir capturas de pantalla o la sincronización con otros dispositivos |
| Llamada o en persona | Secretos de muchísimo valor, cadenas cortas | Escalar, o dejar constancia de la entrega |
Un gestor de contraseñas es el sitio adecuado para una credencial que un equipo reutiliza. Las bóvedas compartidas de 1Password, Bitwarden y similares dan acceso nominal, revocación y rotación. El hueco es la persona que no está en tu bóveda: un colaborador externo, un cliente, una nueva incorporación en su primer día, el ingeniero de soporte de un proveedor. Invitarla por una sola contraseña es pesado, y muchos de los enlaces públicos para compartir de los gestores son simples páginas sin cifrar con límite de tiempo.
Un enlace secreto de un solo uso está pensado para esa entrega única. El secreto se cifra antes de almacenarse, el mensaje que envías solo contiene un enlace y la copia almacenada se destruye la primera vez que se abre el enlace. No queda nada en el chat ni en el ticket, y si nadie lo abre, el enlace deja de funcionar al expirar. La guía enlaces secretos frente a gestores de contraseñas explica cuándo gana cada uno.
Los mensajes temporales de Signal o WhatsApp protegen el mensaje en tránsito y lo quitan de la conversación pasado un tiempo. No impiden una captura de pantalla, y la mayoría de la gente tiene los chats con copia de seguridad o sincronizados en un segundo dispositivo. Úsalos para entregas de poco riesgo entre personas que ya usan la aplicación.
Una llamada sigue sirviendo para una cadena corta dirigida a una persona a la que reconoces por la voz. No escala, y el destinatario la apuntará en algún sitio, así que funciona mejor para la frase de contraseña que protege un enlace que para la credencial en sí.
Cómo crear un enlace temporal para compartir datos de acceso
La vía del enlace de un solo uso lleva alrededor de un minuto. Los pasos siguientes usan la herramienta gratis de enlaces secretos de LinkPilot, que no pide cuenta para textos de hasta 10.000 caracteres. Con sesión iniciada tienes además opciones predefinidas de expiración, límites de visualizaciones y archivos adjuntos.
- Comprueba primero el destinatario. Confirma la persona y la dirección o el usuario por un canal que ya uses con ella. La mayoría de las credenciales que llegan a quien no debían se deben a que el autocompletado eligió el nombre equivocado.
- Pega solo la contraseña. El nombre de usuario, la URL donde se inicia sesión y cualquier instrucción van en otro mensaje. Un enlace que se filtre debe dar al atacante un enlace inservible o un contexto inútil, nunca las dos mitades.
- Ajusta la expiración al plazo real. Una hora si está esperando, 24 horas si está en otra zona horaria, siete días solo con un motivo. El enlace también se destruye la primera vez que se abre, así que la expiración es el recurso para un enlace que nadie abre.
- Limita las visualizaciones a una, salvo que de verdad dos personas necesiten abrirlo. Los enlaces de varias visualizaciones existen para ese caso, pero lo normal para unos datos de acceso es mostrarlos una sola vez.
- Añade una frase de contraseña con el plan Pro para todo lo que no querrías ver en un canal público, y envíala por otra vía, por ejemplo por SMS o en una llamada.
- Envía el enlace con una línea de contexto: para qué es y cuándo expira. Después envía el nombre de usuario y la URL de inicio de sesión en un segundo mensaje.
- Confirma la apertura. Si el enlace indica que ya se ha visto y el destinatario dice que no lo abrió, cambia la contraseña de inmediato. Las cuentas Pro pueden consultar en el historial de auditoría la hora exacta en que se mostró.
El cifrado se hace en tu navegador, antes de enviar nada a LinkPilot. La clave de descifrado viaja en la parte de la URL que los navegadores se guardan para sí, así que el servicio nunca tiene el texto sin cifrar, y tampoco quien vea el enlace en tránsito. Los detalles están en cifrado en el cliente para compartir secretos.
Prepara la credencial además del canal
Un canal seguro no arregla una credencial mal planteada. Antes de compartir nada:
- Da al destinatario su propio usuario cuando el sistema lo permita. Una cuenta independiente se puede limitar y eliminar; una compartida, no.
- Usa una contraseña única. Si la misma cadena abre otra cosa, también estás compartiendo eso.
- Quita todo lo que el destinatario no necesite. Nada de códigos de recuperación, datos de una segunda cuenta ni extras «ya que estoy».
- Decide ahora la fecha de fin. Si el acceso debe terminar cuando termine el trabajo, anota la fecha en tu calendario antes de enviar el enlace.
Después de la entrega
Una vez que el destinatario ha iniciado sesión, la credencial está en su lado y fuera de tu control. Te quedan tres tareas:
- Revoca el enlace si nadie lo abrió y ya no hace falta, en lugar de esperar a que expire.
- Cambia la contraseña o elimina el usuario cuando termine el trabajo. La expiración del enlace no afecta en nada a la cuenta.
- Vigila el historial de inicios de sesión de la propia cuenta durante uno o dos días. Un acceso desde un lugar inesperado merece una pregunta.
Las credenciales seguirán teniendo que pasar de unas personas a otras. Lo que importa es que ese paso no deje rastro, para que más adelante no haya nada que encontrar en la bandeja de entrada de nadie.