crxptx

Cómo se utiliza

crxptx cifra un texto que escribes aquí o un archivo, siempre en modo Privado (solo para ti), con la llave que elijas: Contraseña, Huella, ambas (2FA) o Archivo llave.

Privado — solo para ti

Elige Texto o Archivo y deja el uso en Privado.
Elige la llave: Contraseña (introdúcela o genera una clave hex), Huella (verificación biométrica, sin contraseña) o ambas (cifra con huella y añade una copia portátil .bck.crpt cifrada con tu contraseña).
Escribe/selecciona el contenido y pulsa Cifrar o Guardar. Se genera un .crpt.

Enviar como mensaje (sin fichero)

En Texto / nota, además de guardar un .crpt puedes copiar la nota cifrada como texto y pegarla en un chat o correo:

Escribe la nota (modo Contraseña).
Pulsa Copiar cifrado: se copia al portapapeles un mensaje crpt:… de una sola línea. Pégalo donde quieras enviarlo.
Quien lo reciba lo pega en crxptx con Pegar cifrado y, con la contraseña o su identidad, lo descifra en el editor.

El modo Privado + Huella no permite copiar cifrado: ese paquete solo lo abriría este equipo, así que no sirve para enviarlo a nadie.

Descifrar

En Archivo, selecciona o arrastra el .crpt: se detecta el modo automáticamente.
En Texto, pulsa Abrir .crpt para editarlo tras descifrar, o Pegar cifrado si recibiste un mensaje crpt:….

Llaves y modos

Contraseña: Argon2id (memory-hard) → AES-GCM-256. Cualquiera con la contraseña abre el archivo. Úsala larga (16+).
Clave hexadecimal: 64 caracteres aleatorios (256 bits). Máxima entropía; guárdala, no se memoriza.
2FA (segundo factor, modo Contraseña): puedes exigir un segundo secreto. La clave se deriva de ambos combinados (un solo Argon2id); sin los dos, no se descifra. Quien reciba el .crpt necesitará la contraseña y el segundo factor.
Huella (WebAuthn PRF): la clave se ancla al chip del equipo (HKDF-SHA256). Solo este dispositivo descifra; irrecuperable si lo pierdes. Selecciona también Contraseña para añadir una copia portátil .bck.crpt como red de seguridad.

Integración con aplicaciones externas

crxptx puede funcionar como plugin dentro de gestores de archivos y otras aplicaciones (por ejemplo, Commander). En ese modo:

Los archivos se cargan y guardan a través de la aplicación anfitriona; no hace falta seleccionarlos desde el disco local.
Toda la criptografía se ejecuta íntegramente en tu navegador. Ni la clave, ni la contraseña, ni el contenido descifrado salen nunca de esta ventana.
La aplicación anfitriona solo ve el archivo cifrado (.crpt) de entrada y de salida; no tiene acceso al contenido en claro ni a la contraseña.
Todos los modos (Contraseña, Huella, 2FA, Archivo llave) están disponibles igual que en la versión independiente.

Si necesitas funciones que solo están disponibles en la versión completa (guardar como, abrir archivos desde el disco, pantalla completa), pulsa «Abrir crxptx» en la barra superior para abrir la aplicación independiente en una nueva pestaña.

El propio plugin genera contraseñas aleatorias y frases en local (botón junto al campo de contraseña).

Arquitectura técnica

Volumen cifrado siempre con AES-GCM-256; el nombre y tipo del contenido viajan dentro del texto cifrado (prefijo de longitud + JSON), no en la cabecera. La cabecera canónica se autentica como additional authenticated data (AAD): alterar los metadatos hace fallar el descifrado.

{
  "format": "crpt", "v": 1,
  "mode": "password" | "device",
  "cipher": "AES-GCM-256",
  "kdf": { … },          // Argon2id (password) o HKDF (device/ecdh)
  "iv": "… (12 bytes b64)",
  "cipherText": "… (b64)"
  // password añade opcional: "mf": true (exige 2.º factor)
}

El formato .crpt incluye el campo "v": 1, validado por readContainer.

Mensaje cifrado (crpt:…): es ese mismo contenedor .crpt serializado a JSON minificado, codificado en base64 y precedido de crpt:. Es una sola línea apta para mensajería (solo base64, no se rompe en chats) y no usa ninguna criptografía distinta: el cifrado, la autenticación de la cabecera (AAD) y los tres modos son idénticos a los del fichero.

Parámetros criptográficos

IV: 12 bytes aleatorios (96 bits), estándar para AES-GCM.
Tag GCM: 16 bytes (128 bits), autenticación integrada.
Argon2id: 64 MiB y 3 pasadas (Balanceado) o 256 MiB y 4 pasadas (Alta seguridad), paralelismo 1 (memory-hard; resiste mejor a GPU/ASIC que PBKDF2). Salt aleatorio de 16 bytes por archivo; el perfil usado va en el primer byte, autenticado.

Modelo de amenazas · qué protege y qué no

Protege contra

Lectura del contenido sin la clave/identidad correcta.
Manipulación: el tag GCM detectan cualquier alteración.
Fuerza bruta sobre la contraseña: Argon2id (memory-hard, 64 MiB o 256 MiB por intento según el perfil).

No protege contra

Pérdida de la clave/identidad o del dispositivo: sin ellos el contenido es irrecuperable. No hay puerta trasera.
Compromiso del equipo: malware o keyloggers pueden robar el contenido antes de cifrarlo o mientras está abierto.

Seguridad

Todo ocurre en tu equipo: la CSP bloquea conexiones salientes (connect-src 'none', default-src 'none'). El cifrado usa la Web Crypto API nativa y la derivación por contraseña usa Argon2id (biblioteca local hash-wasm en WebAssembly); las únicas dependencias son esa y la librería QR, ambas locales y sin acceso a red. El CSP habilita 'wasm-unsafe-eval', imprescindible para ejecutar WebAssembly, que no permite eval de JavaScript. Los búferes descifrados se sobrescriben con ceros tras su uso. La identidad privada se borra de memoria al cerrar la página y se purga la sesión del dispositivo a los 2 minutos en segundo plano.