Proteger las fuentes de un periodista: guía mínima

Proteger una fuente periodística exige cinco controles mínimos: un canal de recepción que no registre metadatos identificativos, limpieza de metadatos del material recibido, custodia cifrada y compartimentada, higiene de dispositivos y un protocolo de qué se publica y qué no. Ninguna herramienta puede garantizar anonimato por sí sola.

Esta guía está escrita desde una posición incómoda para el sector: no vendemos certezas. Quien te promete anonimato absoluto a cambio de instalar algo te está vendiendo tranquilidad, no protección. Lo que sigue son controles verificables y sus límites explícitos.

¿Qué significa exactamente «proteger una fuente»?

No es una sola cosa. Son tres problemas distintos que se resuelven con medidas distintas y que suelen confundirse:

Qué se protege	De qué	Control principal
La identidad de la persona	De ser nombrada o deducida	Compartimentación y protocolo editorial
El vínculo entre la fuente y el medio	De que se demuestre que hubo contacto	Canal de recepción sin metadatos identificativos
El material entregado	De que revele su origen o sea alterado	Limpieza de metadatos y custodia con integridad verificable

Un medio puede tener cifrado impecable y perder la fuente porque el documento publicado llevaba el nombre del autor en las propiedades del archivo. O puede limpiar el documento con cuidado y perder la fuente porque solo cuatro personas tenían acceso a ese expediente y el patrón temporal la señala. Los tres frentes se sostienen o caen juntos.

¿Qué es lo que realmente delata a una fuente?

Rara vez es la criptografía. Casi siempre es una de estas cinco cosas:

1. Metadatos del material. Autor, organización, versión de software, rutas locales, historial de cambios, coordenadas de una fotografía, identificación de impresora en un documento escaneado.
2. El vínculo de comunicación. No el contenido, sino el hecho de que dos identidades se comunicaron, a qué hora y con qué frecuencia. Ese registro suele estar en manos de terceros.
3. La correlación temporal. Quién accedió al documento en el sistema de la organización de origen justo antes de la publicación.
4. El universo de acceso. Si solo siete personas podían tener el documento, el trabajo del investigador es pequeño.
5. El propio material publicado. Detalles que solo alguien en una posición concreta podía conocer, o marcas insertadas deliberadamente por la organización de origen para identificar filtraciones —variaciones mínimas de redacción o de formato distintas en cada copia distribuida.

Conviene asumir que el adversario no siempre es un servicio de inteligencia. Muchas veces es el departamento de sistemas de la organización filtrada, con acceso completo a sus propios registros y ninguna necesidad de romper nada.

Control 1: ¿cómo se recibe material sin crear un rastro?

Objetivo: que el medio no posea información que no quiere poseer.

El mejor control sobre un dato es no tenerlo. Un canal de recepción bien diseñado minimiza lo que el propio medio podría verse obligado a entregar.

• Publica un canal específico y explica su modelo de riesgo. Una página que diga qué recoge el canal, qué no recoge y qué depende de la fuente vale más que un botón de «contacto seguro».
• Para material sensible existe infraestructura especializada. SecureDrop, mantenido por la Freedom of the Press Foundation, es un sistema de código abierto que medios y organizaciones instalan en su propia infraestructura para recibir documentos, y que está diseñado para no registrar direcciones IP ni datos de navegador. Su propia página lo dice con la honestidad que corresponde: la protección solo funciona si la fuente accede con el navegador Tor y la configuración adecuada. La herramienta no compensa el error del usuario.
• Mensajería cifrada de extremo a extremo para la conversación, no para el archivo masivo. El kit de seguridad digital del Comité para la Protección de los Periodistas recoge las prácticas básicas de cuentas, phishing, dispositivos y comunicaciones cifradas.
• Nunca el correo corporativo como primer contacto. Deja registro en al menos tres sistemas ajenos al medio.
• No confirmes por otro canal. Escribir «recibido» desde una cuenta identificable crea exactamente el vínculo que se intentaba evitar.

Control 2: ¿qué hacer con los metadatos del material?

Objetivo: que lo que se publica no diga quién lo generó.

Un procedimiento mínimo, siempre en este orden:

1. Copia de trabajo. El original se conserva intacto en custodia; se trabaja sobre una copia.
2. Inspección de metadatos de cada archivo: autor, organización, fechas, software, rutas, historial de revisiones, geolocalización en imágenes.
3. Reconstrucción, no solo borrado. En documentos delicados, la práctica más segura es transcribir o recomponer el contenido en un archivo nuevo, en lugar de confiar en que una herramienta de limpieza eliminó todo.
4. Captura de imagen para lo escaneado. Fotografiar o recomponer una página evita arrastrar identificadores de dispositivo y variaciones de formato insertadas como marca.
5. Verificación por una segunda persona antes de publicar. El error de metadatos casi siempre lo comete quien lleva doce horas con el archivo.

Este bloque conecta con la revisión de exposición documental que describimos en OSINT defensivo: qué expone tu equipo sin saberlo: los mismos metadatos que delatan a una fuente delatan a una organización.

Control 3: ¿cómo se custodia el material?

Objetivo: que el acceso sea limitado, trazable y que la integridad sea demostrable.

• Cifrado en reposo en cualquier soporte donde viva el material, incluidos portátiles y discos externos.
• Compartimentación. El número de personas con acceso al material sin tratar debería poder decirse de memoria. Cada persona añadida es un punto de fallo y un potencial testigo.
• Registro de accesos dentro de la redacción: quién abrió qué y cuándo.
• Política de conservación con fecha de borrado. Guardar «por si acaso» material que ya no se necesita es acumular riesgo para la fuente sin beneficio editorial.
• Copia de seguridad cifrada y separada, porque perder el material también es un fallo de protección: obliga a pedirlo otra vez y a repetir el contacto.

Hay un problema adicional que se descubre tarde: si el material se cuestiona después, hay que poder demostrar que no fue alterado desde que llegó. Esa es exactamente la función de nuestro producto Veritas UGC, que calcula la huella SHA-256 del archivo y la ancla en una cadena pública mediante OpenTimestamps, con un certificado verificable de forma independiente incluso sin nosotros. Sirve para acreditar dos hechos concretos —que el archivo existía en una fecha y que no ha cambiado— y no sirve para nada más: no dice quién lo creó ni si su contenido es cierto.

Control 4: ¿qué higiene de dispositivos es realista?

Objetivo: cerrar lo que sí está en tu mano, sin fingir que cierras el resto.

Medida	Qué reduce	Qué no reduce
Cifrado de disco y bloqueo con contraseña fuerte	Acceso al perder el equipo o ante una requisa	Acceso mientras la sesión está abierta
Actualización de sistema y aplicaciones	Explotación de fallos ya conocidos	Fallos aún no publicados
Segundo factor no basado en SMS	Robo de cuentas por credenciales filtradas	Compromiso del propio dispositivo
Dispositivo dedicado para investigaciones sensibles	Contaminación cruzada con la vida personal	Vigilancia dirigida sobre la persona
Revisión de aplicaciones con permisos amplios	Fugas por integraciones olvidadas	Lo que ya se envió

El equilibrio importa: un protocolo tan exigente que nadie cumple protege menos que uno modesto y sostenido. La redacción debe poder trabajar.

Control 5: ¿qué se publica y qué se guarda?

Objetivo: que la publicación no complete el trabajo del investigador.

• Redacta detalles identificativos aunque parezcan irrelevantes: fechas exactas de reuniones, cargos poco poblados, giros de lenguaje característicos.
• Cuidado con la agregación. Tres datos inocuos en tres piezas distintas pueden reducir el universo de sospechosos a una persona.
• Publica documentos reconstruidos, no los archivos originales, salvo que exista una razón editorial fuerte para lo contrario.
• Acuerda con la fuente qué pasa si hay requerimiento judicial, antes de recibir nada. Es una conversación desagradable y evita una traición involuntaria.
• Deja constancia interna de las decisiones de protección tomadas y por qué. Si el asunto escala, esa constancia es la defensa del medio.

¿Qué no puede prometer ninguna herramienta?

Este es el apartado que casi nunca aparece en el material comercial del sector, y es el más importante.

• Ninguna herramienta elimina el riesgo de la fuente dentro de su propia organización. Los registros de acceso de la empresa filtrada no están bajo control del medio.
• El cifrado protege el contenido, no la existencia del contacto. Los metadatos de comunicación suelen sobrevivir al cifrado y suelen estar en manos de terceros.
• Una VPN cambia quién ve tu tráfico; no lo hace desaparecer. Operamos VPNPro89, con red de nodos propia y aplicación publicada, y precisamente por operarlo lo decimos claro: una VPN oculta el destino al operador de red local y la dirección de origen al servidor de destino, y desplaza la confianza al operador de la VPN. Eso es útil para eludir bloqueos de acceso y para reducir exposición en redes hostiles. No es anonimato, y quien lo venda como tal está mintiendo.
• Un dispositivo comprometido derrota cualquier canal seguro. El cifrado protege el mensaje en tránsito, no la pantalla donde se lee.
• Nada de esto es «seguridad total». El objetivo realista es elevar el coste y el tiempo que exige identificar a una fuente, y reducir la superficie de error humano.

Decirlo así no debilita la posición del medio: la refuerza. Una fuente que entiende el riesgo real toma mejores decisiones que una a la que se le prometió invulnerabilidad.

¿Cómo se verifica que el protocolo funciona?

Un protocolo que nadie prueba es una declaración de intenciones. Tres comprobaciones concretas:

1. Ensayo de recepción. Alguien ajeno a la investigación envía material de prueba por el canal publicado y se revisa qué registros quedaron en el medio.
2. Auditoría de metadatos previa a publicación, ejecutada por una persona distinta de la que preparó el material.
3. Revisión de la exposición pública del propio medio, porque el sitio del medio es también objetivo: subdominios olvidados, formularios antiguos, entornos de prueba. Es el trabajo descrito en auditoría de superficie de ataque.

El contexto completo de riesgos del sector —secuestro algorítmico, desindexación abusiva, reclamaciones de copyright instrumentalizadas y prueba de autoría— está en nuestra página para medios de comunicación, y las capacidades técnicas que lo sostienen en protección. El estado real de los marcos que aplicamos, sin badges inventados, está en /trust.

Qué hacer ahora

1. Escribe el protocolo en una página. Canal, limpieza, custodia, publicación, borrado. Si no cabe en una página, la redacción no lo va a seguir.
2. Publica el modelo de riesgo de tu canal de contacto, incluido lo que no protege. Es información que la fuente necesita antes de decidir.
3. Haz una prueba de recepción real este mes y comprueba qué rastro quedó.
4. Fija la regla de dos personas para la revisión de metadatos antes de publicar.
5. Pon fecha de borrado al material que ya cumplió su función editorial.

Si tu redacción necesita revisar su canal de recepción, su custodia de material o su exposición pública con criterio técnico y jurídico a la vez, escríbenos desde /contacto.