Cómo HeirVault entrega lo que no puede leer

Una bóveda que se abre para tu familia cuando ya no estás suena a que debe tener una llave de repuesto bajo el tapete. Si HeirVault puede entregarle tus documentos a tu hermana algún día, seguramente HeirVault puede leerlos hoy.

La objeción es justa, y la respuesta es la decisión de diseño más importante del producto. Aquí va cómo funciona la entrega, modo por modo, incluido el único camino que no es de extremo a extremo y que te lo dice.

Tu bóveda activa está protegida por cifrado de extremo a extremo. Todo lo que guardas (documentos, contraseñas, datos bancarios, archivos) se cifra en tu navegador antes de subir. Eso significa que lo que llega a nuestros servidores es texto cifrado, y HeirVault no puede descifrar tu bóveda activa. Si alguien vulnerara nuestro almacenamiento, obtendría texto cifrado, no tu contenido.

La biblioteca del lado del cliente que hace esto es pública: TrueWear/heirvault-crypto en GitHub, @heirvault/crypto en npm, Apache-2.0. El producto completo no es de código abierto, y la biblioteca aún no tiene una auditoría de terceros. Pero el código exacto que cifra tu bóveda en el navegador está ahí para leerse.

Hasta aquí, esto es lo que promete cualquier herramienta seria de conocimiento cero. Lo interesante es lo que viene después.

El diseño ingenuo envolvería tu llave de bóveda para cada beneficiario. Nunca hacemos eso. La llave de la bóveda activa nunca se envuelve para nadie más que tú.

En cambio, cuando asignas elementos a un beneficiario, tu navegador construye una entrega separada para esa persona. Ocurre con tu bóveda desbloqueada, en tu propio dispositivo. Crea una llave de entrega específica del beneficiario y vuelve a cifrar solo sus elementos y archivos asignados bajo esa llave. La entrega de tu hermana contiene la carpeta de la casa. La de tu cofundador, los accesos de los dominios. A nadie se le entrega todo, y ninguna entrega puede abrir la bóveda activa.

La pregunta "¿puede HeirVault leer esto?" se vuelve entonces precisa: depende de quién tenga cada llave de entrega. Eso es exactamente lo que decide el modo de entrega.

Entrega asistida por HeirVault es el modo gratuito por defecto. Existe para el beneficiario que no va a instalar nada, ni crear una cuenta por adelantado, ni administrar una contraseña. Siendo realistas, eso describe a muchas de las personas a las que dejamos cosas. Para que eso funcione, HeirVault guarda una llave de entrega protegida y la transfiere a la cuenta del beneficiario después de una reclamación verificada. Hasta la liberación, esa llave queda en custodia con protecciones en capas. Pero la tenemos nosotros. Una entrega asistida no es de extremo a extremo hacia el beneficiario por sí solo, y la custodia de esa llave es una vía de acceso adicional que existe para que la entrega funcione sin preparación de su parte. La aplicación te lo dice en el momento exacto en que eliges el modo, no en una nota al pie.

Invitar ahora (Pro y Shield) nos saca del circuito mientras todos viven. Tu beneficiario se inscribe con su propia cuenta, y su cuenta guarda el material de llave de su entrega. La entrega es de extremo a extremo: transferimos texto cifrado que esa persona ya puede abrir. El precio es el silencio: hoy sabe que fue nombrada. Si su inscripción queda incompleta, la entrega necesita una reparación tuya; el panel lo muestra en lugar de degradarse en silencio.

Contraseña compartida de beneficiario (Pro y Shield) es de extremo a extremo sin inscripción anticipada. Tu navegador deriva la llave de entrega de una contraseña única generada para ese único beneficiario, y tú la compartes fuera de línea: un sobre sellado, una caja fuerte, un abogado. Nunca es tu contraseña de bóveda, y nunca la vemos. El precio es la custodia: si la contraseña se pierde, esa entrega no se puede abrir, por diseño.

Quién puede abrir una entrega es la criptografía de arriba. Cuándo puede abrirla es el sistema de confirmaciones, y ambos son deliberadamente independientes.

Confirmas que estás bien al ritmo que elijas. Nada se abre mientras sigas confirmando. Si dejas pasar suficientes confirmaciones, comienza un periodo de espera, con recordatorios durante todo el camino; una sola confirmación dentro de esa ventana lo cancela todo. En Pro y Shield puedes añadir testigos: personas que deben aprobar la liberación por mayoría cuando termina el periodo de espera. Los testigos nunca reciben contenido ni llaves de entrega, y no pueden reiniciar tu temporizador. Son un freno, no una llave.

Describimos esto como detectar confirmaciones perdidas, porque eso es lo que es. HeirVault no detecta la muerte; detecta la ausencia, en un calendario que tú defines, con cada protección contra falsos positivos apuntando en la dirección de no liberar.

Pudimos haber lanzado solo los modos de extremo a extremo y escrito una página de seguridad más presumible. Mantuvimos la entrega asistida como predeterminada porque la alternativa es peor en la práctica: los planes que dependen de que cada heredero haga trabajo de preparación por adelantado casi nunca sobreviven el contacto con familias reales. Una entrega que llega a tu gente por un camino del que somos honestos vale más que una perfecta que nunca podrán abrir.

Si tu modelo de amenaza dice que ningún servicio debería tener jamás una llave de entrega tuya, esa es una postura coherente: elige Invitar ahora o una contraseña compartida, y cada entrega que hagas será de extremo a extremo. El modo es por beneficiario, así que tu cofundador puede tener el camino de extremo a extremo mientras tu madre tiene el asistido.

Ese es todo el diseño: una bóveda que no podemos leer, entregas separadas por persona, y un límite de entrega que preferimos declarar con claridad antes de que lo descubras.

Si quieres verlo por dentro, el plan gratuito incluye la bóveda, tres beneficiarios y el mecanismo completo de confirmaciones. Si prefieres empezar sin cuenta, la lista de verificación del patrimonio digital funciona en tu navegador y es útil por sí sola.