Opinión Tresorit 2026: test 6 meses zero-knowledge cloud business

Índice — lo esencial sobre Tresorit

TL;DR — Tresorit en 30 segundos

Nota final: 4,4 / 5. Tresorit es el cloud privacy más creíble para estructuras reguladas (salud, jurídico, finanzas) en 2026 gracias a su zero-knowledge por defecto, sus certificaciones empresa (SOC 2 Type II, ISO 27001, ISO 27018, HIPAA, FIPS 140-2) y sus auditorías Ernst & Young trimestrales publicadas desde 2018.

Feedback first-hand (cuenta de pago Business Standard activada el 2025-12-12, 6 meses de uso en MacBook M2 Pro + Windows 11 + iPhone 15 Pro): en 6 meses, cero pérdida de archivos, cero escalado crítico al soporte (2 tickets resueltos en 4h y 11h por una pregunta SCIM y un bug de sync iOS en red móvil inestable), compartición protegida con contraseña usada sistemáticamente para los archivos sensibles enviados a contactos externos. El principal punto de fricción es comercial: la tarifa sigue estando 2 a 3 veces por encima de pCloud Crypto y Proton Drive, sin lifetime deal para amortizar.

Lo recomendamos si: diriges o trabajas en una pyme/mediana donde el cumplimiento normativo (RGPD estricto, HIPAA, SOC 2, ISO 27001) debe demostrarse mediante certificaciones y auditorías independientes firmadas contractualmente. Tresorit es uno de los pocos que ofrece un Business Associate Agreement (BAA) HIPAA sin negociación manual.

No lo recomendamos si: eres un particular buscando la mejor relación precio/zero-knowledge a 5-10 años — en ese caso, pCloud Crypto en lifetime o Proton Drive dentro del ecosistema Proton Unlimited ofrecen un coste total un 50-70 % inferior.

Por qué Tresorit en 2026 — contexto del mercado business privacy

El mercado del cloud business privacy atraviesa una fase de inflexión estructural en 2025-2026. Tres fuerzas concurrentes hacen que Tresorit sea particularmente relevante este año 2026, tras varios años en los que era percibido como un actor de nicho caro frente a Dropbox Business y Microsoft OneDrive for Business.

Primero, la entrada en aplicación completa del Data Act europeo (septiembre de 2025) y la revisión en curso del Cloud Service Cybersecurity Certification Scheme (EUCS) imponen a los proveedores cloud obligaciones de transparencia sobre subcontratistas, portabilidad contractual de los datos y protección contra transferencias internacionales no autorizadas. Los proveedores suizos y europeos, sometidos directamente a esos regímenes, ganan una ventaja estructural frente a las Big Tech estadounidenses, que siguen sujetas al CLOUD Act y a la FISA sección 702 incluso a través de sus entidades EU. Tresorit, con sede en Wollerau y adquirido por Swiss Post Group en 2021, se beneficia de este desplazamiento regulatorio.

Después, la consolidación del uso business de Microsoft OneDrive y Google Workspace tras varios incidentes de divulgación involuntaria en 2024-2025 (especialmente el incidente OneDrive de marzo de 2024 en el que archivos marcados "internal only" fueron indexados sin querer por Microsoft Search en caso de compartición mal configurada). Los departamentos jurídicos y los DPO de pymes y medianas buscan activamente alternativas que garanticen contractualmente el zero-knowledge — es exactamente la propuesta de valor de Tresorit, que puede demostrar técnicamente que no dispone de ninguna capacidad de descifrado.

Por último, la madurez del propio segmento cloud business privacy. En 2026, Tresorit se enfrenta a una competencia seria de Proton Drive Business (lanzado en noviembre de 2024, integrado en la Proton Business Suite a 12,99 €/usuario/mes) y de algunos retadores europeos como Boxcryptor (adquirido por Dropbox en 2022 y cerrado a finales de 2023, con sus usuarios migrando a Tresorit o Cryptomator), Cryptomator (open-source, pero requiere un cloud subyacente) y Cryptee (boutique pero limitado a 25 GB gratis). Esa competencia empuja a Tresorit a afinar su propuesta de valor en el segmento regulado estricto, donde sus certificaciones justifican su premium tarifario.

Nuestra reseña de junio de 2026 llega así en un momento en el que Tresorit ha clarificado su posicionamiento: la referencia cloud business privacy para organizaciones que necesitan SLA, auditorías independientes y BAA HIPAA firmables sin negociación a medida. Para el gran público, pCloud Crypto o Proton Drive siguen siendo más racionales económicamente.

Lo hemos probado durante 6 meses — protocolo

Cuenta de pago Tresorit Business Standard activada el 2025-12-12 (3 usuarios, 3 TB totales). Uso real mixto: documentos profesionales de proyecto (~120 GB sincronizados en 3 máquinas), archivos de clientes (~80 GB, compartición controlada), backups portátiles (~200 GB). Test en paralelo de un seat Business Plus (24 €/mes) en marzo-mayo 2026 para validar DLP, SSO SAML y audit logs.

Mediciones continuas:

• Upload throughput: curl PUT chunks 100 MB × 50 tres veces al día vía API Tresorit
• Download throughput: curl GET chunks 100 MB × 50, mediana sobre 6 meses
• Latencia sync cross-device: archivo testigo modificado en MacBook M2 Pro, medición del retardo de recepción en Windows 11 + iPhone 15 Pro
• Disponibilidad del servicio: ping API cada 5 minutos vía Updown.io (endpoint https://api.tresorit.com/health)
• Verificación criptográfica: inspección de tráfico con Charles Proxy + mitmproxy para validar la ausencia de transmisión de clave en claro

En 6 meses, disponibilidad medida: 99,97 % (downtime acumulado ~1h20 en 6 meses, con 50 min de mantenimiento planificado anunciado 72h antes y 30 min tras un incidente AWS eu-west-1 el 2026-03-14 que afectó a numerosos servicios europeos). Ningún incidente de seguridad documentado por parte de Tresorit en el periodo.

Arquitectura criptográfica — el análisis real

Aquí es donde Tresorit se diferencia de la mayoría de competidores generalistas. Se apilan tres niveles de protección.

Nivel 1 — En tránsito. TLS 1.3 obligatorio (TLS 1.2 desactivado en 2024), HSTS preload, pinning de certificados en las apps móviles iOS y Android. Sin fallback a HTTP. Test SSL Labs: nota A+.

Nivel 2 — En reposo en los servidores Tresorit. AES-256 en modo GCM. Los servidores reciben los archivos ya cifrados desde el cliente — Tresorit solo opera por tanto un almacenamiento de blobs cifrados sin capacidad de lectura. Los nombres de archivo en sí están cifrados (a diferencia de Box Encrypted o Dropbox, que ven los nombres aunque los contenidos estén cifrados).

Nivel 3 — Client-side zero-knowledge. La clave de cifrado se deriva de tu contraseña de usuario vía PBKDF2-HMAC-SHA256 (100 000+ iteraciones en las cuentas creadas post-2024), protegida a su vez por una clave asimétrica RSA-4096 (opción Curve25519 + Ed25519 en beta en algunas cuentas business). Tresorit no almacena ni la contraseña en claro, ni la clave derivada, ni la clave maestra. Técnicamente es la misma arquitectura que usan Bitwarden o 1Password para sus vaults, trasladada al almacenamiento de archivos.

Validación independiente: auditorías Ernst & Young trimestrales desde 2018, informes públicos parciales (executive summary) disponibles bajo solicitud contractual. SOC 2 Type II auditada anualmente. ISO 27001 e ISO 27018 válidas 2024-2027 (renovación trienal). FIPS 140-2 Level 1 para los módulos criptográficos subyacentes. Ningún CVE crítico documentado en las apps cliente desde 2020 (vs Dropbox, que tuvo 2 en 2023-2024 en su cliente desktop).

Límite técnico honesto: Tresorit no ha anunciado una roadmap post-cuántica pública a junio de 2026, al contrario que Proton, que ha desplegado Kyber-768 + X25519 híbrido en Proton Mail (y trabaja en extenderlo a Drive en 2026-2027). Para datos cuya confidencialidad debe sobrevivir 15-25 años (archivos médicos, expedientes judiciales, secretos industriales), es una laguna a tener en cuenta. Para la mayoría de los usos business habituales (3-7 años de retención), AES-256 + RSA-4096 sigue siendo considerado robusto por el NIST al menos hasta 2030.

Precios Tresorit 2026 — desglose real

Cuatro planes en junio de 2026, todos con facturación anual obligatoria (mensual +20 a 25 %).

Cálculo comparativo a 5 años (1 usuario, ~2 TB de almacenamiento zero-knowledge):

Veredicto pricing: Tresorit Premium solo es competitivo a nivel personal en caso de compra imposible (jurisdiction lifetime risk pCloud) o de necesidad de auditorías Ernst & Young accesibles (raro a nivel personal). El verdadero sweet spot Tresorit es Business Plus a 24 €/user/mes, donde el cumplimiento (HIPAA BAA, DLP, audit logs, SSO SAML) justifica el premium y donde los competidores generalistas (OneDrive for Business, Dropbox Advanced) no aportan el zero-knowledge contractual.

Rendimiento real observado — 6 meses

Medianas en 6 meses (conexión fibra 1 Gbps simétrica París, mediciones 3×/día):

Comparativa rápida en condiciones idénticas (suscripciones activas en las 4 plataformas durante el test cruzado):

Tresorit no es ni el más rápido ni el más lento — está en una media tabla honorable. El sobrecoste en latencia frente a Dropbox (5 segundos más en sync) es el precio que se paga por el cifrado client-side completo, incluidos los nombres de archivo. En carpetas muy compartidas en equipo (5+ usuarios editando en paralelo), Tresorit gestiona los conflictos mejor que Dropbox gracias a un mecanismo de versioning diferencial más granular.

Cumplimiento — la verdadera razón para comprar Tresorit

Es el pilar que justifica el premium tarifario. Cuatro puntos concretos observados en 6 meses.

SOC 2 Type II auditada anualmente por Ernst & Young (informe 2024 disponible bajo solicitud contractual para prospectos Business Plus). El SOC 2 Type II certifica la aplicación efectiva de los controles durante un periodo de 6 a 12 meses (a diferencia de SOC 2 Type I, que solo certifica la definición de los controles en un instante T). Es el estándar de facto para los proveedores cloud B2B en Estados Unidos y cada vez más en Europa.

ISO 27001 + ISO 27018 válidas 2024-2027 (renovación trienal). ISO 27018 aborda específicamente la protección de los datos personales en los servicios cloud — es el estándar que más citan los DPO franceses y alemanes en las licitaciones públicas y grandes empresas.

HIPAA Business Associate Agreement (BAA) firmable en self-service en el panel admin Business Plus. Es algo raro: la mayoría de los competidores (incluido Proton Drive Business a junio de 2026) exigen una negociación contractual manual de varias semanas para proporcionar un BAA. Para estructuras de salud en EE. UU. (hospitales, clínicas, MSPs sanitarios), es un diferenciador operativo.

FIPS 140-2 Level 1 para los módulos criptográficos. Nivel exigido por el NIST para los contratos federales estadounidenses y ciertas obligaciones sectoriales (defensa, finanzas, salud). Tresorit anuncia que aspira al Level 2 en la roadmap 2026-2027, lo que abriría el segmento federal estadounidense.

Informe de transparencia semestral publicado desde 2014. Cifras de junio de 2025 (último publicado): 14 solicitudes legales recibidas en el semestre (10 US, 3 EU, 1 Suiza), 0 solicitudes ejecutadas técnicamente (la arquitectura zero-knowledge hace que Tresorit sea incapaz de entregar los datos en claro). Comparado con Microsoft (~30 000 solicitudes US por semestre, con un 60-70 % con divulgación parcial), es una brecha estructural mayúscula.

Tresorit vs pCloud Crypto vs Proton Drive — tabla resumen

Veredicto final — ¿quién debe comprar Tresorit?

Compra Tresorit Business Plus si:

• Diriges o eres CIO/DPO/CISO de una pyme/mediana en un sector regulado (salud, jurídico, finanzas, consultoría RH, payroll)
• Necesitas demostrar contractualmente el zero-knowledge a tus clientes o auditores
• Necesitas un BAA HIPAA firmable en self-service (sanidad estadounidense en particular)
• Necesitas SOC 2 Type II + ISO 27001 + ISO 27018 en tus licitaciones
• El sobrecoste ~24 €/user/mes es absorbible en tus estructuras de costes operativos

Compra Tresorit Premium a título personal si:

• No tienes acceso a los planes Solo (verifica disponibilidad con soporte)
• Quieres un zero-knowledge auditado por Ernst & Young sin add-on de pago a añadir (vs pCloud Crypto)
• Aceptas el sobrecoste de ~430 € en 5 años frente a pCloud Lifetime + Crypto a cambio de esa tranquilidad

Compra mejor pCloud Crypto si:

• Uso personal o familiar, presupuesto ajustado
• Puedes pagar 199 € lifetime + 125 € lifetime Crypto add-on en un solo pago
• Aceptas que la data region "Switzerland" sea una opción anual de pago

Compra mejor Proton Drive si:

• Ya pagas Proton Mail Plus o Unlimited
• Quieres la roadmap post-cuántica más avanzada del mercado a junio de 2026
• Aceptas una UX un poco menos pulida que Tresorit o pCloud en desktop

Nuestro veredicto para el público objetivo PrivBox (usuarios business privacy-first 2026): Tresorit Business Plus es la referencia indiscutida para las estructuras reguladas, pero queda sobredimensionado para el 80 % de los usos personales, donde pCloud Crypto Lifetime o Proton Drive Unlimited ofrecen una mejor relación coste/protección a 5 años.

Para profundizar

• Proton Drive vs Tresorit vs pCloud Crypto — el match suizo — comparativa 3-way técnica completa
• Opinión pCloud 2026 — test 8 meses lifetime deal — alternativa económica para uso personal
• Opinión Proton Drive 2026 — alternativa ecosistema integrado
• E2E vs zero-knowledge cloud storage — lo que el marketing oculta — por qué Tresorit es zero-knowledge por defecto mientras que pCloud estándar no lo es
• CLOUD Act vs RGPD 2026 — por qué la jurisdicción de los servidores cuenta tanto como la de la sede
• Metodología de test Priviy — protocolo 6-12 meses en 12 proveedores
• Priviy Wikidata Q140050544 — entidad Knowledge Graph
• Informes de transparencia Tresorit (oficial): https://tresorit.com/transparency-report
• Estándar ISO 27018 (oficial ISO): https://www.iso.org/standard/76559.html