En el artículo sobre el fin del «end-to-end» encriptación En Instagram, para facilitar una comunicación más fluida, recomendé cambiar a Señal o WhatsApp. Para la mayoría de la gente, esa es la respuesta correcta, pero no es completa. Y es que hay un grupo de usuarios para los que ni siquiera Signal va lo suficientemente lejos: aunque Signal protege el contenido de los mensajes de forma excelente, sigue exigiendo un número de teléfono al registrarse y metadatos No oculta quién se comunica con quién ni cuándo. WhatsApp va aún más allá en este sentido, ya que, además, los metadatos pertenecen a Meta. El intento más conocido de abordar también esta capa es mensajero Session. Sin embargo, merece la pena hablar de él precisamente ahora, ya que su futuro es hoy una incógnita.
Qué pretende resolver Session
En un artículo publicado anteriormente sobre los metadatos, distinguí entre el contenido de la comunicación y la información o comunicación. El cifrado de Signal resuelve el primer aspecto de forma totalmente fiable, pero no cubre el segundo: quién, cuándo, con qué frecuencia, desde qué direcciones y con qué cuentas se comunica. Aunque el operador no conoce el contenido, sabe mucho sobre la estructura de la red de comunicación del usuario.
Session pretende resolver precisamente esta diferencia. En lugar de un número de teléfono o una dirección de correo electrónico, utiliza un «Account ID», que es una cadena alfanumérica de 66 caracteres generada localmente en el dispositivo del usuario. No existe ningún registro central que vincule el ID de cuenta con una identidad real. En lugar de los servidores centrales del operador, Session utiliza la denominada «Session Network», una red descentralizada de miles de nodos (Session Nodes) que entregan y almacenan temporalmente los mensajes. En lugar de una conexión directa entre el cliente y el servidor, entrega los mensajes a través de su propia enrutamiento por cebolla denominado «Onion Requests», en el que cada mensaje suele recorrer una ruta de tres saltos y ningún nodo sabe al mismo tiempo de dónde proviene el mensaje ni hacia dónde se dirige.
Desde el punto de vista técnico, se trata de un modelo más ambicioso que el de Signal. Session se basa en una bifurcación de Signal, pero ha rediseñado por completo la capa de transporte precisamente para proteger también los metadatos. Los mensajes se almacenan en los denominados «swarms», pequeños grupos de entre 5 y 7 nodos responsables del rango del ID de cuenta del destinatario. Hasta que el destinatario recoge el mensaje, este permanece en el swarm con un tiempo de vida (TTL) definido según la configuración del usuario y el tipo de mensaje. Quarkslab llevó a cabo en 2021 un análisis independiente auditoría de seguridad clientes de Session para Android, iOS y ordenador. Session reconoce abiertamente las limitaciones documentadas.
Otro aspecto a destacar es el alejamiento de la exposición jurisdiccional. Session fue desarrollado inicialmente por la fundación australiana Oxen Privacy Tech Foundation, pero a medida que se endurecía la normativa sobre cifrado en Australia, el desarrollo pasó a manos de la nueva fundación suiza Session Technology Foundation. Suiza es hoy sede de numerosos proyectos centrados en Privacidad, entre otros, Proton o Threema, lo que situó a Session en una categoría similar de infraestructura europea independiente.
Qué puede hacer Session hoy en día
En la práctica, esto implica varias cosas para los usuarios. El registro se realiza sin ningún identificador personal: la aplicación genera un ID de cuenta y una frase de recuperación (recovery seed), que el usuario debe guardar de forma segura, ya que es la única forma de recuperar la cuenta. La comunicación se realiza exclusivamente a través del ID de cuenta, por lo que, si quieres escribir a alguien, necesitas obtener su ID por cualquier medio (se puede compartir incluso por un canal no cifrado, ya que el ID en sí no revela ninguna información personal).
Session funciona en Android, iOS, Windows, macOS y Linux, y en Android también está disponible fuera de Google Play a través de su propio repositorio F-Droid. Admite conversaciones grupales privadas con un máximo de 100 participantes y comunidades más grandes para debates más abiertos. Sin embargo, las comunidades abiertas no siguen el mismo modelo de seguridad que las privadas. E2EE grupos: los mensajes de los grupos abiertos no se cifran en el servidor, lo cual es importante a la hora de decidir dónde escribir cada cosa. Session admite mensajes, notas de voz, fotos y archivos adjuntos con un límite de 10 MB.
Las llamadas de voz y las videollamadas en Session están cifradas de extremo a extremo, pero técnicamente quedan fuera del enrutamiento «onion». Utilizan un sistema peer-to-peer WebRTC con servidores STUN/TURN, por lo que durante una llamada se puede revelar la dirección IP de la otra parte. La documentación de Session indica que las llamadas con enrutamiento «onion» están previstas, pero aún no existen, y las llamadas están desactivadas por defecto. Por el momento, Session no admite llamadas grupales.
Desde el punto de vista criptográfico, Session tiene una deuda importante: la plena implementación de la Perfect Forward Secrecy (PFS). En una versión anterior del protocolo, la PFS estaba implementada, pero Session la eliminó en 2021 debido a problemas de sincronización entre varios dispositivos. El regreso de la PFS, junto con la criptografía poscuántica, es una parte fundamental del Protocolo Session V2, anunciado a finales de noviembre y principios de diciembre de 2025. Por lo tanto, para situaciones de alto riesgo, Signal sigue siendo la opción más madura desde el punto de vista criptográfico. Session destaca en otra disciplina: la protección del propio patrón de comunicación.
La fragilidad de las infraestructuras independientes
Y ahora, la otra cara de la moneda. El 9 de abril de 2026, la Session Technology Foundation anunció que, si no conseguía recaudar aproximadamente un millón de dólares antes del 8 de julio de 2026, cesaría su actividad. Todos los empleados y desarrolladores remunerados tuvieron su último día de trabajo el 9 de abril, y el funcionamiento posterior continúa únicamente de forma voluntaria. Actualmente, la fundación cuenta con más de 1,7 millones de usuarios activos al mes, pero en el momento del anuncio disponía en su cuenta de unos 65 000 dólares de los aproximadamente 1 millón que necesita para continuar con el desarrollo a pleno rendimiento.
Esto tiene tres consecuencias prácticas para cualquier usuario potencial. En primer lugar, el desarrollo está prácticamente paralizado. Cualquier vulnerabilidad crítica que se detecte a partir del 9 de abril no se corregirá al mismo ritmo que hasta ahora. En segundo lugar, la implementación prevista de Session Protocol V2 con PFS y criptografía poscuántica está en grave peligro sin financiación —y eran precisamente estas características las que debían equiparar criptográficamente a Session con Signal. En tercer lugar, si la fundación realmente dejara de existir el 8 de julio de 2026, la infraestructura de Session Network podría, en teoría, seguir funcionando de forma comunitaria, pero las aplicaciones en la App Store y Google Play, así como el servidor de notificaciones push Notificación y los archivos dependen de la propia fundación.
La fundación también ha anunciado que las donaciones restantes que no puedan destinarse legalmente a su fin se transferirán a la Electronic Frontier Foundation. Es una medida justa, pero para los usuarios actuales de Session supone un escaso consuelo.
¿Qué se puede hacer al respecto en la práctica?
Desde el punto de vista de un usuario informado, hoy en día no se puede considerar Session como un servicio definitivo al que se pueda trasladar sin reparos toda la comunicación confidencial. Sin embargo, sería injusto decir que „ya no se debe usar Session“. Para un grupo reducido de personas —especialmente periodistas, activistas, abogados que trabajan con clientes de riesgo o, en general, usuarios en regímenes represivos— es protección de metadatos una característica tan fundamental que la combinación de „funciona ahora, aunque quizá no dentro de dos meses“ sigue significando dos meses de mayor protección que cualquier otra cosa del mercado.
Para la mayoría de los demás, este razonamiento tiene sentido. Si aún no utilizas Session y buscas una aplicación de mensajería principal para comunicaciones confidenciales, opta por Signal. Si ya utilizas Session y te gusta, no te dejes asustar por los titulares, pero empieza a preparar un plan B: exporta las conversaciones importantes, pide a tus contactos su identidad en Signal o Threema, y sigue las noticias de la fundación. Si el proyecto sobrevive, solo perderás unos minutos. Si no, te ahorrarás el caos en julio.
Una lección más amplia
Desde el punto de vista del ecosistema de la privacidad en su conjunto, esta situación es más importante de lo que parece a primera vista. Session no es un proyecto marginal: cuenta con 1,7 millones de usuarios mensuales, posee una red descentralizada operativa, una fundación suiza, auditorías independientes y un plan con criptografía poscuántica. Y, sin embargo, se ha visto al borde de la supervivencia debido a un presupuesto anual de alrededor de 1 millón de dólares. Se trata de un presupuesto que, en las grandes empresas tecnológicas, no superaría la remuneración de dos altos directivos.
Esto pone de manifiesto un problema estructural preocupante. Las grandes plataformas con un modelo publicitario no pueden permitirse ofrecer la privacidad como producto, ya que su lógica empresarial se basa en lo contrario. Por el contrario, los servicios diseñados para no disponer de datos sobre sus usuarios tienen, por la misma razón, una capacidad muy limitada para monetizarse. WhatsApp puede permitirse ofrecer E2EE de forma gratuita porque lo subvenciona el resto del ecosistema de Meta. Signal se sustenta en la Fundación Signal y en grandes subvenciones. Session probó una combinación de una capa de incentivos basada en criptomonedas, donaciones y la próxima tarifa de pago Pro, y llegó a un punto en el que eso no es suficiente sin un mayor impulso de capital.
Si queremos que la infraestructura privada independiente siga existiendo, debe contar con recursos. Donaciones, subvenciones, tarifas de pago o, en su caso, fondos del sector público: el modelo es una cuestión abierta, pero el hecho de que hoy en día no exista una vía estable para mantener económicamente un servicio verdaderamente privado es algo ante lo que, como usuarios, deberíamos reaccionar. No necesariamente cambiando a Session, sino dándonos cuenta de que la privacidad en la comunicación digital no debe ser gratuita. Si la queremos, alguien debe estar dispuesto a pagarla: o bien nosotros como usuarios, o bien el operador a través de intereses que no necesariamente están en consonancia con nuestra privacidad.
En este sentido, el caso «Session» nos ofrece una doble lección. Desde el punto de vista técnico, muestra cómo es un modelo más ambicioso de protección de las comunicaciones, que no se limita al contenido de los mensajes. Desde el punto de vista económico, pone de manifiesto lo frágil que es ese modelo si no existe una forma sostenible de financiación a su alrededor. Ambos aspectos merecen nuestra atención, independientemente de cómo termine el 8 de julio.
La información y las valoraciones que figuran en este artículo se basan en fuentes de acceso público disponibles en la fecha de publicación y pueden cambiar con el tiempo. Recomiendo verificar el estado actual del proyecto Session y de la Session Technology Foundation directamente en la página web oficial del operador antes de tomar una decisión.
Čeština
English
Deutsch
Español
Français