Cómo funciona la bóveda, y dónde se detiene.

Los pensamientos intrusivos son el contenido que más vergüenza da. De daño, sexuales, blasfemos. Si crees que quien opera el servicio puede leer la transcripción, te guardas cosas, y una herramienta a la que le mientes no sirve de nada.

Así que el cifrado no está aquí para cumplir una lista de requisitos. Está para que se pueda escribir la frase honesta.

Todo eso es texto cifrado con AES-256-GCM, sellado en tu navegador antes de salir. El servidor nunca tiene una clave.

Una prueba corre una conversación entera y después busca en todas las colecciones de la base de datos una frase que estuvo en ella. Falla si la encuentra. Es la única prueba que comprueba la promesa misma y no algo que la sustituya.

Iniciar sesión demuestra que el correo es tuyo. Se envía un enlace, lo abres, y no hay ninguna contraseña de cuenta guardada en ningún lado. Perder la sesión cuesta un enlace nuevo y nada más.

Desbloquear la bóveda es un paso aparte, con secretos aparte. Una clave de datos aleatoria se genera una sola vez en tu navegador, no se deriva de nada y no cambia nunca. Cada forma de desbloquear envuelve esa misma clave por separado.

Una llave de acceso es Face ID, Touch ID o una llave de seguridad, a través de la extensión PRF de WebAuthn: el autenticador calcula 32 bytes a partir de un secreto que nunca entrega, y solo después de que demuestres que estás ahí. La frase de contraseña y el código de recuperación pasan por Argon2id antes de convertirse en claves, y tu navegador rechaza parámetros por debajo de un mínimo compilado en el código, de modo que un servidor no pueda devolver unos débiles para abaratar los intentos.

Como la clave de datos nunca cambia, cambiar la frase de contraseña vuelve a envolver un bloque pequeño y no toca ningún mensaje. Dos métodos de desbloqueo son el mínimo, y el servidor rechaza una eliminación que dejaría menos, así que un teléfono perdido nunca puede ser la única entrada. Un dispositivo de confianza no cuenta para esos dos: vive en una sola máquina y muere con ella.

Tu bóveda se pierde solo si pierdes todos los métodos a la vez. Eso viene de que no tengamos ninguna clave, y no hay forma de resolverlo sin que tengamos una. Lo que conservas en ese caso es la cuenta que pagas: reiniciarla borra los registros sellados y todas las envolturas, mantiene tu suscripción y tu avance en las lecciones, y empieza una bóveda nueva.

En un objeto de clave que el navegador no exporta, dentro de un Web Worker dedicado. Nunca en el almacenamiento de sesión, nunca en el estado de la aplicación.

Lo que eso consigue, exactamente: impide que roben la clave, y no impide que la usen. Un script inyectado en la página no puede leer la clave, pero sí puede pedirle al worker que descifre mientras la pestaña está abierta. Eso convierte el robo único de una clave que sirve para siempre en un oráculo que funciona solo mientras estás ahí, y solo si la política de la página le deja sacar algo. No se lo deja.

Algunas extensiones de navegador parchean los workers y los rompen. Cuando pasa, el mismo código corre en el hilo principal, la clave sigue sin poder exportarse, y lo que se pierde es la frontera del worker, que hacía más difícil llegar a una referencia suelta. La ruta del worker siempre se intenta primero.

Cada texto cifrado lleva ligados dentro la versión, tu id de usuario, la conversación, la posición del mensaje, quién lo dijo y qué versión de la clave lo selló. Sin eso, un servidor podría reordenar, repetir o injertar mensajes de una conversación en otra, y tu navegador los descifraría tan tranquilo.

Las envolturas usan la misma construcción en lugar del modo estándar de envoltura de claves, porque el estándar no puede llevar ese vínculo y por eso no puede frenar una vuelta atrás a una envoltura ya sustituida.

El texto plano se rellena hasta bloques de 256 bytes antes de sellarse. La longitud de un mensaje, junto a su marca de tiempo, dice algo real sobre una transcripción de salud mental.

Para escribir una respuesta, el modelo tiene que leer tu mensaje. Tu mensaje y la parte reciente de la conversación se envían a Anthropic sin cifrar. Todo lo que sigue estrecha esa ventana, en vez de fingir que no está.

El modelo es Claude Sonnet 5, a propósito. Es el modelo actual sobre el que Anthropic ofrece retención cero de datos: las entradas y las salidas no se guardan después de la petición y no se usan para entrenar, bajo nuestro acuerdo de retención cero. Anthropic conserva treinta días los prompts de sus modelos Fable y Mythos para trabajo de seguridad, así que cambiar a uno de esos sería un cambio en la política de privacidad, y te lo diríamos antes.

La ruta del chat no registra nada y no guarda nada en caché. Lee metadatos, los conteos, las marcas de tiempo y los topes que fijaste, para hacer valer esos topes antes de retransmitir. Después escribe dos cosas, y las dos son conteos y no contenido: los tokens que devolvió el proveedor, sumados al total del mes, y, si la petición falló, una fila que dice que falló. Escribir en la consola es un error de lint en esa ruta, porque el hosting captura la salida estándar en sus logs.

Sobre esa fila de fallo hay que ser exacto, porque es lo único de esta página que se añadió para poder depurar. Guarda dónde ocurrió el fallo y de qué tipo fue, los dos elegidos de una lista fija en nuestro propio código, más un código de estado HTTP y un código de error corto del proveedor que se compara con una lista antes de guardar cualquiera de los dos. No guarda ningún mensaje, ningún objeto de error, ninguna traza, ninguna petición y ninguna cuenta, tampoco la tuya. El error que levantó el proveedor nunca se inspecciona más allá de esos dos campos, porque un error de un cliente HTTP lleva dentro la petición que lo causó, y en esta ruta la petición es lo que escribiste. Las filas se borran solas a los treinta días.

El framework del agente corre con su memoria apagada y su telemetría apagada. Enciende la exportación remota en cuanto ve sus propias claves de nube en el entorno, así que producción se niega a arrancar si están puestas, y el pipeline de despliegue revisa el entorno antes de desplegar. Una prueba aparte corre la ruta del chat con un modelo sustituto y falla si alguna petición llega a un host fuera de Anthropic.

Las marcas de tiempo son la señal residual más fuerte. Sesiones largas de madrugada, que crecen semana a semana, tienen sentido clínico y se leen sin una sola palabra en claro. No se puede quitar mientras haya sincronización entre tus dispositivos, así que se nombra aquí en vez de esconderse.

Hay cosas que faltan en la base de datos a propósito, y cada una parecía un metadato inofensivo. No existe ningún campo legible con el tipo de conversación. El registro de consumo no lleva id de conversación, porque un rastro por conversación reconstruye un grafo de conducta. Los contadores de seguridad no llevan ningún id de usuario. Los correos y las direcciones de red se guardan solo como hashes con clave.

Un administrador puede buscar una cuenta por correo y ver los metadatos de arriba, reenviar un enlace de inicio de sesión, devolver el dinero de una suscripción y cerrar la sesión de una cuenta en todas partes. Cada una de esas acciones queda anotada con quién la hizo y cuándo. Un administrador no puede leer una conversación, por la misma razón que no puede nadie más. Los campos exactos que esa pantalla puede devolver están fijados por una prueba, así que meter uno nuevo hay que defenderlo.

No hay escalamiento a una persona ni una marca de crisis por usuario. Es una decisión de producto con una razón clínica además de una de privacidad.

Los pensamientos intrusivos de daño están entre las formas más comunes que toma este bucle. Son lo contrario de lo que quiere quien los tiene, no indican riesgo, y la práctica los saca a propósito. Un clasificador afinado para autolesión se dispararía con esa práctica todo el tiempo. Y peor: mostrar una tarjeta de crisis cada vez que aparece un pensamiento así enseña que el pensamiento es peligroso, que es justo la creencia que la práctica existe para desgastar.

En su lugar hay tres capas, y ninguna lee nada. Un botón Buscar ayuda ahora («pedir ayuda ahora») está en todas las pantallas, nunca condicionado, dibujado con datos que vienen dentro de la página. El chat puede ofrecer esos mismos números con una llamada de herramienta que lleva una categoría y ningún texto libre. Un prefiltro en el navegador detecta el lenguaje de método y plan cuando al modelo se le escapa, y nunca se transmite. Lo que se cuenta es un total diario global sin ningún id de usuario.

La consecuencia, dicha sin rodeos: no podemos contactar a alguien que esté en crisis. La bienvenida lo dice, y la página de seguridad lleva las líneas que contestan a cualquier hora.

En el cifrado que entrega un sitio web hay que volver a confiar en cada carga. Cada vez que la página se abre, el servidor tiene otra oportunidad de mandar código distinto, y un código que sostiene tu frase de contraseña un instante podría quedársela. Una app nativa se firma una vez y la revisa una tienda. Una app web no.

La integridad de subrecursos no arregla esto. Quien pueda cambiar el JavaScript puede cambiar el HTML que lleva los hashes, y aquí los dos vienen del mismo origen. Defiende de un servidor de recursos comprometido mientras la página en sí sigue siendo honesta, que es otra amenaza.

Lo que sí ayuda, y en qué punto está hoy cada control. Cualquier servicio que diga que el cifrado en el navegador vuelve imposible el acceso no está siendo franco contigo, y esta tabla está para dejar claro que nosotros tampoco lo decimos.

Los contadores guardan un hash con clave del sujeto y caducan con la ventana que cuentan, así que nunca se vuelven un registro de cuándo alguien usó una app de TOC. Cuando el contador no se puede leer, el límite deja pasar la petición: un limitador caído no puede convertirse en una puerta cerrada en una app de salud mental.

No hay ningún límite del lado del servidor para desbloquear una bóveda, y no puede haberlo de forma útil. Las envolturas se descargan una vez y cada intento ocurre en tu navegador, así que el servidor nunca se entera de que un intento falló. Quien esté en posición de adivinar ya tiene la envoltura y adivina sin conexión, donde la única defensa es lo que cuesta cada intento de Argon2id. Un conteo de fallos que el cliente decidiera reportar sería un control solo de nombre.