El término viene de los trenes. Un interruptor de hombre muerto es un control que hay que mantener activamente. Si el operador lo suelta, ya sea a propósito o porque le ha pasado algo, el sistema hace algo. En un tren, frena.
Aplicado a la información, la lógica se invierte. En lugar de detenerse, se libera algo. Mantienes el interruptor demostrando que sigues ahí. Si dejas de hacerlo, lo que dejaste va a las personas que elegiste.
El concepto cabe en una frase. Toda implementación real vive o muere en cuatro decisiones de diseño.
Las cuatro decisiones
1. Qué cuenta como confirmación
El sistema necesita una señal que signifique «sigo aquí». Las opciones van desde hacer clic en un enlace de un correo, iniciar sesión o una llamada API desde un dispositivo o script.
Los enlaces por correo son los más accesibles y los menos fiables. Los correos acaban en spam, se leen por encima o llegan en una semana en la que no lees el correo. Las confirmaciones basadas en inicio de sesión son mejores porque están ligadas a algo que ya haces. Las confirmaciones automáticas del dispositivo son las más fiables y las más fáciles de falsear de forma que anula el propósito, ya que un script que sigue ejecutándose cuando tú no puedes es precisamente el fallo que intentabas evitar.
La mayoría de diseños sólidos usan un aviso programado con varios recordatorios, y tratan cualquier actividad real de la cuenta como confirmación.
2. Cuánto dura el intervalo
Es un intercambio directo y no hay una respuesta universalmente correcta.
Un intervalo corto, digamos semanal, significa que tu gente obtiene acceso rápido cuando importa. También significa cincuenta y dos oportunidades al año de activar el proceso por accidente, y cincuenta y dos correos recordatorio que acabarás ignorando.
Un intervalo largo, digamos anual, es casi imposible de activar por accidente y puede dejar a tu familia bloqueada meses justo cuando necesita ayuda.
Treinta días encaja con la mayoría. Lo bastante frecuente para ser ágil, lo bastante espaciado para que notes el correo.
3. Qué ocurre tras una confirmación fallida
Es la decisión más importante, y donde las implementaciones débiles se delatan.
Nada debería liberarse en el momento en que fallas una confirmación. Estabas en un avión. Se te rompió el teléfono. Estuviste en el hospital una semana y luego bien.
Un periodo de espera es la respuesta: un margen definido tras una confirmación fallida durante el cual el sistema escala e intenta alcanzarte con insistencia, y durante el cual una sola confirmación cancela todo. Cualquier diseño en el que un correo perdido lleve directamente a la divulgación es peligroso y conviene evitarlo.
Algunos diseños añaden confirmación humana encima. Los testigos, por ejemplo, son personas que designas a las que se pide confirmar si la liberación debe proceder una vez transcurrido el periodo de espera. Es una segunda señal difícil de falsear, y protege contra el escenario en el que todas las señales automáticas están equivocadas.
4. Quién puede descifrar realmente
La pregunta que separa lo real de lo teatral.
Si un servicio puede leer tu contenido en cualquier momento, un interruptor de hombre muerto es una función de programación sobre una base de datos a la que ya pueden acceder. Puede ser aceptable para ti. Deberías saber que es el caso.
El diseño más fuerte cifra en tu dispositivo antes de subir nada, de modo que el servicio almacena texto cifrado. El intercambio es que la gestión de claves se vuelve genuinamente más difícil, porque todo el punto es que una clave tiene que llegar a otra persona en un momento futuro en el que tú no estás para entregársela. Toda implementación honesta hace un intercambio en algún punto de esa entrega, y conviene leer con cuidado dónde.
Ausencia, no muerte
Conviene decirlo claro porque el nombre sugiere lo contrario: un interruptor de hombre muerto no detecta la muerte.
Detecta ausencia. Dejas de confirmar, o dejas de hacer la actividad que el sistema trata como prueba de que sigues ahí, y el proceso empieza. Sin certificado de defunción, sin forense, sin familiar presentando papeleo. El disparador es contacto perdido, no prueba de pérdida.
Eso es una ventaja, no un fallo. La prueba de muerte puede tardar. La gente suele necesitar contexto de cuentas en la primera semana, mientras facturas y recuperaciones siguen en marcha. Un sistema que solo espera prueba legal puede dejarlos sin mapa cuando la claridad ayudaría más.
También significa que el diseño debe asumir que puedes estar vivo e inalcanzable. Estancia hospitalaria sin tu teléfono. Un mes en un lugar sin señal. Una cuenta de correo que dejó de reenviar. Toda implementación seria construye un periodo de espera y recordatorios escalados precisamente porque la ausencia no es lo mismo que desaparecer para siempre.
Al evaluar cualquier servicio de esta categoría, pregunta qué señal observa realmente. Si la respuesta es «esperamos a que alguien nos diga que has muerto», es un producto distinto con un calendario distinto.
Los modos de fallo que conviene conocer
El falso positivo. El interruptor se activa mientras estás vivo y bien. Se evita con periodos de espera, recordatorios escalados por varios canales y una cancelación fácil.
El falso negativo. Ya no estás y nunca se activa, normalmente porque algo automatizado seguía confirmando por ti, o porque la notificación fue a un sitio que nadie leyó.
El destinatario olvidado. Todo funciona perfectamente, y quien recibe el aviso cree que es spam. Solo evitable contándoselo con antelación.
El plan obsoleto. Se activa correctamente tres años después y la mitad de las cuentas están cerradas, el beneficiario se mudó y las instrucciones mencionan un banco que dejaste. Cualquier cosa así necesita revisión anual.
El desbloqueo bajo coacción. Más raro, y importa enormemente a quienes les importa. Si alguien puede obligarte a abrir la bóveda, el cifrado no hace su trabajo. Algunos sistemas responden con una segunda contraseña que se comporta distinto bajo coacción.
Cómo lo implementa HeirVault
Como este es nuestro sitio, aquí va nuestra respuesta a las cuatro decisiones.
Las confirmaciones ocurren según un calendario que tú configuras, con 30 días como valor habitual por defecto. Si fallas una, empieza un periodo de espera, con avisos para ti durante todo el proceso. El plan gratuito usa un periodo de espera de 14 días; Pro y Shield te permiten elegir una ventana más corta. Confirmar en cualquier punto del periodo de espera cancela todo.
En Pro y Shield puedes designar testigos, a quienes se pide confirmar la liberación tras el periodo de espera. Una mayoría debe aprobar. Los testigos no reinician tu temporizador ni reciben tu contenido.
Tu bóveda activa está protegida con cifrado de extremo a extremo y se cifra en tu navegador antes de subirla. Eso significa que HeirVault almacena texto cifrado y no puede descifrar tu bóveda activa. Para la entrega en sí eliges el modo de entrega, y somos explícitos sobre el intercambio: la entrega asistida por HeirVault almacena una clave de entrega protegida y la transfiere a la cuenta del beneficiario tras la reclamación, así que ese camino no es de extremo a extremo solo hacia el beneficiario. Invitar ya a tu beneficiario, o compartir una contraseña de beneficiario única fuera de banda, mantiene esa clave de entrega fuera de nuestros servidores. La página de seguridad cubre cada modo.
Para coacción, el plan Shield incluye una contraseña de coacción: una segunda contraseña para cuando te obligan a desbloquear.
Empieza gratis, o lee cómo funciona de principio a fin.
Si lo construyes tú mismo
La gente lo hace, y es un proyecto razonable para un fin de semana. Si vas por ahí, acierta esto: haz que cancelar sea trivialmente fácil y disponible desde cualquier sitio, envía recordatorios por al menos dos canales, nunca dejes que una sola señal perdida dispare la divulgación, cuéntales con antelación a tus destinatarios que existe, y pon un recordatorio en el calendario para revisarlo una vez al año.
El mecanismo no es la parte difícil. No activarse cuando no debe, y activarse cuando debe, es lo difícil.
Esto es información general, no consejo legal. Las reglas cambian según el país y la jurisdicción. Habla con un profesional calificado sobre tu situación.
