rclone crypt 2026: cifra tus archivos en la nube del lado del cliente antes de subirlos

Lo esencial

rclone crypt es una capa de cifrado del lado del cliente integrada en rclone, la herramienta open-source de línea de comandos que gestiona y sincroniza archivos en 70+ proveedores de nube. El backend crypt envuelve otro remote y cifra el contenido de tus archivos — y, opcionalmente, sus nombres — en tu propio equipo antes de subirlos, y los descifra al descargar. El proveedor solo almacena texto cifrado. Eso convierte en zero-knowledge cualquier nube a la que lo apuntes.

¿Para quién es? Cualquiera cómodo en una terminal que quiera un cifrado scriptable y automatizable: copias cifradas cada noche, un servidor headless sin interfaz, o simplemente añadir cifrado del lado del cliente sobre un proveedor — Google Drive, Backblaze B2, S3, OneDrive — sin modo zero-knowledge nativo. Si prefieres evitar la línea de comandos, Cryptomator cubre el mismo objetivo con un baúl gráfico, y comparamos ambos más abajo.

Esta guía explica con exactitud cómo cifra rclone crypt, cómo configurarlo paso a paso, los modos de nombres, y una trampa honesta que casi todos los tutoriales omiten: la forma en que rclone.conf guarda tu contraseña.

Cómo cifra (contenido y nombres)

rclone crypt hace todo su trabajo localmente, con primitivas documentadas:

• El contenido de los archivos se cifra con XSalsa20-Poly1305, el cifrado autenticado de la construcción NaCl SecretBox. Autenticado significa que cualquier manipulación se detecta al descargar.
• La clave de cifrado se deriva de tu contraseña mediante scrypt (una función de derivación memory-hard), con una segunda contraseña opcional — llamada sal, o password2 — para reforzarla.
• Los nombres de archivo, en el modo standard por defecto, se cifran con EME (un modo AES de bloque ancho): un carácter cambiado modifica todo el nombre cifrado.

Lo que sigue visible para el proveedor, con el cifrado completo activado: aproximadamente el tamaño de cada archivo cifrado y el número de archivos. No el contenido, no los nombres. Es el mismo principio — trasladar la confianza a una contraseña local — que sustenta todo el cifrado del lado del cliente.

Configurar rclone crypt (pasos de config)

La configuración son dos remotes: un remote base que habla con tu nube y un remote crypt que lo envuelve. Todo se hace con rclone config.

1. Crea el remote base. Ejecuta rclone config, elige n (nuevo remote), nómbralo (p. ej. gdrive) y sigue las indicaciones del proveedor (OAuth para Google Drive, claves para S3/B2, etc.).
2. Crea el remote crypt. Vuelve a ejecutar rclone config, n para nuevo, nómbralo (p. ej. secret) y elige el backend crypt.
3. Apúntalo a una subcarpeta del remote base, para que los blobs cifrados caigan en una carpeta dedicada:

remote> gdrive:encrypted

4. Elige los modos de cifrado de nombres de archivos y carpetas (ver la sección siguiente), luego define una contraseña y, opcionalmente, una segunda contraseña (sal). Puedes dejar que rclone genere una fuerte y aleatoria.

Una vez existe el remote secret:, cifrar y subir es un solo comando:

rclone copy ~/archivos secret:

Todo lo que se escribe en secret: se cifra localmente y se almacena bajo gdrive:encrypted. La lectura (rclone copy secret: ~/restore) descifra de forma transparente. El mismo patrón funciona con rclone sync, rclone mount y cualquier otro comando rclone.

Modos de cifrado de nombres

Al crear el remote crypt, rclone pregunta cómo tratar los nombres de archivo. Tres modos:

El cifrado de nombres de carpetas es un ajuste sí/no aparte. Activarlo oculta también tu árbol de carpetas al proveedor. Si pones el cifrado de nombres de archivos y carpetas en off, solo se protege el contenido y el proveedor ve toda tu estructura de carpetas — un metadato útil para un atacante. Prefiere standard salvo motivo concreto.

La trampa de rclone.conf (contraseña ofuscada)

Este es el punto que casi todas las guías omiten, y importa. Por defecto, rclone guarda tu contraseña crypt en rclone.conf ofuscada — no fuertemente cifrada. La ofuscación es reversible: cualquiera que pueda leer el archivo puede recuperar la contraseña (rclone reveal hace justo eso). Un rclone.conf filtrado filtra, por tanto, tu clave de cifrado.

Dos cosas que hacer:

1. Define una contraseña de configuración. En rclone config, elige Set configuration password (s). Esto cifra todo el archivo rclone.conf, de modo que la contraseña crypt ofuscada ya no es legible sin esa contraseña de config.
2. Asegura el archivo. Restringe los permisos (chmod 600 rclone.conf), mantenlo fuera de ubicaciones compartidas o respaldadas en claro, y trátalo como un secreto en cualquier servidor headless.

Y una regla sin escapatoria: si pierdes la contraseña crypt, tus datos son irrecuperables. No hay reinicio, ni clave de recuperación, ni soporte. Respalda la contraseña en un gestor de contraseñas con una copia offline cifrada.

rclone crypt vs Cryptomator (cuál elegir)

Ambos son open-source, del lado del cliente y zero-knowledge. La diferencia está en la interfaz y el flujo de trabajo, no en el modelo de seguridad.

Elige rclone crypt si automatizas copias, manejas una máquina headless o quieres cifrar sobre cualquier remote de rclone desde la línea de comandos. Elige Cryptomator si quieres un baúl que montar con un clic y abrir también en el móvil. No son rivales — mucha gente usa rclone crypt para las copias del servidor y Cryptomator para los archivos diarios de escritorio. Para elegir el proveedor que poner debajo de cualquiera de las dos herramientas, consulta nuestro panorama de servicios de nube cifrada.

Conclusión

rclone crypt convierte cualquiera de los 70+ proveedores de nube en un objetivo zero-knowledge con primitivas contrastadas — XSalsa20-Poly1305 para el contenido, scrypt para la clave, EME para los nombres. Es la herramienta adecuada cuando quieres un cifrado del lado del cliente automatizable y scriptable, sobre todo en un servidor. Los dos puntos que conviene acertar son honestos: elige el cifrado de nombres standard salvo motivo contrario, y protege rclone.conf con una contraseña de configuración, porque la contraseña crypt allí solo está ofuscada, no cifrada. Haz eso, guarda una copia segura de la contraseña, y tendrás un cifrado del lado del cliente que sobrevive a una brecha o un requerimiento legal al proveedor.

FAQ

Las preguntas más frecuentes están cubiertas en el bloque de FAQ estructurado de arriba (también mostrado en el rich snippet de Google): qué es rclone crypt y para quién, la criptografía que usa, el cifrado de nombres de archivos y carpetas, la seguridad de la contraseña dentro de rclone.conf, y la comparación con Cryptomator.