Cómo cifrar archivos en Windows: todas las opciones prácticas, comparadas

«¿Cómo cifro un archivo en Windows?» tiene al menos seis respuestas correctas, y protegen frente a cosas completamente distintas. Cifrar el disco del portátil no hace nada por la copia que sube a Google Drive; un zip protegido con contraseña no hace nada por los archivos que siguen en su carpeta Documentos. Así que, en lugar de una receta, aquí tiene el mapa honesto: qué protege realmente cada opción de cifrado de Windows y cuál encaja con el trabajo que tiene delante.

Primero decida de qué se está protegiendo

• Portátil robado o perdido → cifrado de disco completo (BitLocker).
• Alguien con acceso a su PC o a su cuenta de usuario → cifrado por archivo con su propia contraseña.
• Archivos que salen de su máquina - subidas, almacenamiento en la nube, adjuntos de correo, servidores FTP → cifrado por archivo en el lado del cliente, para que solo viaje texto cifrado.
• Enviar un paquete a una persona → un archivo comprimido y cifrado que pueda abrir con una contraseña compartida.

Opción 1: BitLocker, protege todo el disco, y solo el disco

BitLocker (Windows Pro en adelante; «Cifrado de dispositivo» en muchos equipos Home) cifra el disco entero. Si le roban el portátil, los datos son ilegibles: ese es su trabajo, y lo hace bien. Actívelo en Configuración → Privacidad & seguridad → Cifrado de dispositivo, o busque «Administrar BitLocker».

Lo que no hace: proteger archivos frente a quien use su sesión iniciada, ni proteger nada que salga del disco. En cuanto un archivo se copia a un USB, se adjunta a un correo o se sincroniza con una nube, sale del disco cifrado en claro.

Opción 2: EFS, por archivo, pero atado a su cuenta de Windows

EFS (Sistema de cifrado de archivos, solo Windows Pro) cifra archivos sueltos de forma transparente: clic derecho → Propiedades → Opciones avanzadas → «Cifrar contenido para proteger datos». Los archivos se descifran solos cuando usted ha iniciado sesión y son ilegibles para otras cuentas.

Esa transparencia es también su debilidad: cualquier cosa que se ejecute con su usuario lee los archivos sin problema, y las copias que salen de su perfil (incluida la sincronización con la nube) salen descifradas. EFS está bien para un PC familiar compartido; no es una herramienta para proteger subidas.

Opción 3: archivos comprimidos con contraseña, el AES-256 de 7-Zip

La respuesta clásica a «mandar estos archivos de forma segura a una persona»: empaquetarlos en un archivo comprimido con contraseña. Tenga en cuenta que el zip integrado de Windows no puede hacerlo : la opción «Comprimir en archivo ZIP» del Explorador no ofrece contraseña alguna. Necesita 7-Zip (gratuito): seleccione los archivos → 7-Zip → Añadir al archivo → ponga una contraseña y elija AES-256 (no el débil ZipCrypto heredado). El recorrido completo, incluido cómo hacerlo en almacenamiento remoto, está en nuestra guía para comprimir y cifrar.

Los archivos comprimidos son estupendos para compartir una vez y torpes para una protección continua: cada edición implica extraer → cambiar → volver a comprimir → volver a escribir la contraseña.

Opción 4: contraseñas de documento, el cifrado integrado de Office

Word, Excel y PowerPoint pueden cifrar un documento suelto: Archivo → Información → Proteger documento → Cifrar con contraseña. El Office actual usa AES y es realmente sólido con una buena contraseña. Perfectamente razonable para un contrato o una hoja de cálculo; inmanejable como sistema, porque solo cubre formatos de Office y cada archivo lleva su propia contraseña.

Opción 5: cifrado por archivo en el lado del cliente, pensado para archivos que viajan

Todo lo anterior protege archivos en casa. El hueco son los archivos que se van: copias de seguridad en un servidor FTP, documentos en Google Drive o Dropbox, carpetas en un NAS al que llega toda la familia. Para esos, quiere el archivo cifrado antes de que vaya a ningún sitio, con una clave que nunca sale de su máquina, de modo que el almacenamiento solo llegue a tener texto cifrado.

Eso es lo que hace el cifrado de archivos de FTPie : clic derecho en cualquier archivo o carpeta → Cifrado → Cifrar, ponga una contraseña y queda sellado con AES-256 (CBC con comprobaciones de integridad HMAC-SHA256, y la clave derivada en su PC con PBKDF2). Funciona igual con archivos locales y remotos, y Cifrar en… puede cifrar directamente hacia cualquier almacenamiento conectado en un solo paso, incluso de nube a nube, transmitiendo y cifrando al vuelo sin descargar antes. Descifrar es gratis para todo el mundo: quien lo reciba instala FTPie gratis, escribe la contraseña y listo.

Una limitación honesta que comparten las herramientas por archivo: los nombres siguen a la vista (el archivo pasa a llamarse nombre.ftpie.ext). Si los nombres son sensibles, comprima primero y cifre el archivo comprimido.

La comparación, en una tabla

Combinaciones sensatas

No compiten entre sí: un montaje sólido usa varias a la vez: BitLocker activado para el dispositivo, cifrado por archivo para todo lo que salga (subidas, carpetas en la nube, copias fuera de sus instalaciones), y un archivo comprimido y cifrado cuando entregue un paquete a otra persona. Si sus archivos acaban en Google Drive o en Dropbox en concreto, hemos escrito guías paso a paso para cifrarlos antes de subirlos a Google Drive y Dropbox - y, para una protección automática, las copias de seguridad programadas pueden comprimir y cifrar en cada ejecución.