Seguridad y cifrado

Última actualización: 29 de junio de 2026 · se aplica a la versión v1.26+ de la app

Forwardit se ejecuta por completo en tu teléfono. No hay ningún servidor de Forwardit, ni cuenta, ni analíticas. Tus mensajes nunca llegan a nosotros: van únicamente a los destinos que tú elijas (tu correo electrónico o tu propio teléfono de respaldo). El contenido de tus mensajes y las credenciales de tu correo se cifran en tu dispositivo.

100 % en tu dispositivo

No existe ningún backend de Forwardit que reciba tus mensajes. Las únicas conexiones salientes que realiza la app son:

• a tu propio servidor de correo (SMTP), para entregar un reenvío;
• el canal SMS del operador, para entregar un reenvío a un teléfono de respaldo;
• Google Play Billing, para las suscripciones.

No se envía nada a Forwardit. La app no contiene ninguna analítica, seguimiento, anuncios ni SDK de informes de fallos. Si la app llegara a fallar, el informe se escribe en un archivo privado de tu dispositivo y solo se envía si tú decides enviarlo por correo.

Qué se cifra en tu dispositivo (en reposo)

Lo siguiente se cifra con AES-256-GCM, usando una clave guardada en el Android Keystore (respaldada por hardware en los dispositivos compatibles). La clave nunca sale de tu teléfono y no se incluye en ninguna copia de seguridad:

• La contraseña de tu correo (SMTP) — y queda excluida por completo de la copia de seguridad en la nube;
• El host, el puerto y el correo de inicio de sesión de tu servidor SMTP;
• El contenido del mensaje reenviado;
• De quién provino el mensaje (el remitente);
• El destino al que se reenvió cada mensaje;
• El canal usado para el envío (qué SIM o qué correo);
• La copia temporal de la cola de procesamiento de un mensaje que se conserva mientras se está entregando.

Esto significa que tanto la copia breve que Forwardit conserva mientras entrega un mensaje como todo tu historial de reenvíos se almacenan como texto cifrado ilegible en el disco.

Qué se cifra en tránsito

• El reenvío por correo usa una conexión cifrada TLS/SSL a tu servidor de correo (tú eliges TLS o SSL en la configuración).
• El reenvío por SMS a un teléfono de respaldo usa el canal SMS normal del operador. Como todo SMS, se trata de un transporte a nivel de operador, no de cifrado a nivel de aplicación: no afirmamos que los reenvíos por SMS estén cifrados de extremo a extremo.

Qué no se cifra — y por qué

Preferimos ser precisos en lugar de prometer de más:

• Tus reglas de reenvío y los destinos que configuras (nombres de filtros, reglas de coincidencia y el correo o teléfono al que reenvías) se almacenan como datos locales normales para que Android pueda restaurar tu configuración cuando cambies de teléfono. Si se cifraran con la clave vinculada al dispositivo, no podrían restaurarse en otro dispositivo. Solo residen en tu teléfono y en tu propia copia de seguridad privada de la cuenta de Google: nunca se envían a Forwardit.
• Los ajustes de la app (tema, idioma, interruptores) son igualmente datos locales sin cifrar.

En resumen: los datos de tus mensajes y tus credenciales están cifrados; tu configuración se mantiene restaurable, y nada de ello se transmite jamás a nosotros.

Copia de seguridad en la nube

Android puede hacer una copia de seguridad de los datos de la app en tu propia cuenta de Google (tú lo controlas en los Ajustes de Android):

• Incluido: tus reglas de reenvío y ajustes (para que un teléfono nuevo restaure tu configuración) y tu historial de reenvíos — pero el contenido del mensaje, el remitente y los destinos que contiene siguen siendo texto cifrado en la copia de seguridad.
• Excluido: tus credenciales SMTP nunca se incluyen en la copia de seguridad. Tras restaurar en un teléfono nuevo, simplemente las vuelves a introducir una vez.

Protección de acceso al dispositivo

Las acciones sensibles —ver tu contraseña SMTP guardada, editar o eliminar credenciales, eliminar filtros y borrar el registro— requieren tu huella dactilar o el PIN del dispositivo. Forwardit también ofrece un bloqueo de la app.

Métodos de cifrado (para revisores)

• Cifrado simétrico: AES-256-GCM (cifrado autenticado).
• Almacenamiento de claves: Android Keystore — respaldado por hardware donde sea compatible; las claves no son exportables y están vinculadas al dispositivo.
• Almacén de credenciales: EncryptedSharedPreferences de Android (AES-256 para claves y valores).
• En tránsito (correo): TLS/SSL negociado con tu servidor SMTP.
• No se enlazan SDK de red de terceros en la app (solo AndroidX, Google Play Billing y JavaMail).

Preguntas

Escribe a dev@forwardit.app — estaremos encantados de responder cuestiones concretas o de guiar a un revisor por los detalles.