¿Es seguro LocalSend? La respuesta honesta y las reservas que importan

LocalSend apareció el primero en una búsqueda de alternativas a AirDrop. Así que estás a punto de instalar una aplicación que escucha en tu red y acepta archivos. Detenerte un momento es razonable. LocalSend es un proyecto de código abierto bien construido, y es seguro para el uso normal. Las reservas tienen que ver con tu Wi-Fi, no con la aplicación.

LocalSend es seguro a diario en una red de confianza

Tres propiedades hacen aquí todo el trabajo, y cada una elimina una forma en que una herramienta de transferencia puede salir mal.

• LocalSend publica todo su código fuente bajo la licencia Apache 2.0. El proyecto está alojado en GitHub, así que cualquiera que sepa leer código puede comprobar a qué se conecta.
• Un archivo enviado con LocalSend atraviesa tu propia red hasta el otro dispositivo, así que ninguna empresa guarda una copia. Nada se sube, así que ningún servicio puede ser hackeado ni revendido.
• LocalSend cifra cada transferencia con HTTPS, con un certificado que cada dispositivo genera por sí mismo. Otra máquina que vigile el mismo Wi-Fi ve datos cifrados, no tus fotos.

LocalSend no pide cuenta y funciona sin internet

Dos propiedades más vale la pena conocer.

• LocalSend no pide ninguna cuenta, ninguna dirección de correo ni ningún inicio de sesión de ningún tipo. Nada sobre ti queda registrado, así que no hay credenciales que puedan filtrarse.
• LocalSend sigue funcionando cuando internet está desconectado, porque una transferencia nunca usa más que la red local. Solo necesita el Wi-Fi en el que están los dos dispositivos.

Nada de esto hace que LocalSend esté libre de riesgo. Las partes que dependen de ti llegan más abajo.

Camera to Clipboard acaba en un pegado, LocalSend en un archivo

Camera to Clipboard es nuestra propia aplicación, y no es un competidor de LocalSend. LocalSend envía un archivo a una carpeta. Camera to Clipboard envía una foto al portapapeles.

• Camera to Clipboard coloca una foto del teléfono en el portapapeles del ordenador en lugar de en una carpeta. Pulsa Ctrl + V o Cmd + V en el documento que tienes abierto.
• LocalSend te deja un archivo en la mano, que es la forma correcta cuando lo que quieres precisamente es guardar un archivo. Archivar fotos, mover un vídeo, pasarle un PDF a alguien, para eso está hecho LocalSend.
• Camera to Clipboard hace pasar la foto por tu propio Wi-Fi, sin subir nada. Las dos aplicaciones usan internet solo para encontrarse la una a la otra. El punto de acceso del teléfono también funciona, porque los datos móviles conectan las dos aplicaciones.

Camera to Clipboard no pide cuenta y no es de código abierto

Una comodidad y una limitación honesta van juntas aquí.

• Camera to Clipboard se empareja una sola vez escaneando un código QR y no pide ni cuenta ni dirección de correo. Después, enviar una foto se resuelve en dos toques.
• El código fuente de Camera to Clipboard no está publicado, así que nadie de fuera puede leerlo como cualquiera puede leer el de LocalSend. A cambio, la aplicación mantiene la foto en tu propia red.

El código abierto permite a cualquiera revisar LocalSend

"Es de código abierto" es la frase que la gente repite sobre LocalSend sin decir nunca qué aporta en realidad.

• Un código fuente publicado permite comprobar una afirmación como "LocalSend no sube nada" en lugar de creerla sin más. La parte del programa que abre conexiones de red está ahí, legible, con todas las direcciones a las que puede contactar.
• Esconder una subida secreta dentro de LocalSend sería muy difícil de colar. Cualquiera puede leer el código fuente, y cualquiera puede observar desde el router con quién habla un programa.
• Código abierto no significa que LocalSend haya sido auditado por profesionales de seguridad pagados para ello. Un código publicado invita al examen pero no puede garantizarlo. Estar disponible y ser revisado son dos cosas distintas.

El código cerrado no se verifica, el código abierto no se retira

De poder leer el código o no se derivan dos consecuencias.

• Una aplicación de transferencia con código cerrado solo puede juzgarse desde fuera, fiándose de la palabra de quien la publica. Muchos productos cerrados son dignos de confianza. Es simplemente una forma de verificación que te queda cerrada.
• Un proyecto de código abierto como LocalSend puede ser retomado y continuado si sus responsables lo abandonan. El código no se puede retirar, así que un proyecto abierto abandonado plantea un problema menor.

Los archivos de LocalSend nunca salen de tu red local

"Solo local" es la otra frase que se repite. Es el punto más fuerte de la seguridad de LocalSend, y el origen de su principal limitación.

• Un archivo enviado por LocalSend atraviesa tu propio Wi-Fi de un dispositivo a otro y se detiene ahí. Los dos dispositivos hablan directamente, así que nada se deposita en un servidor.
• Como LocalSend no usa ningún servidor, no existe ninguna copia almacenada de tus archivos que una futura intrusión pudiera exponer. Los servicios en la nube conservan tu archivo al menos brevemente, y todo lo que se conserva puede filtrarse.
• LocalSend transfiere con normalidad incluso cuando tu router no tiene conexión a internet. Una aplicación que subiera tus archivos a escondidas fallaría esta prueba, y solo lleva un minuto hacerla.

LocalSend no cruza redes ni el aislamiento de clientes

El mismo diseño que protege tus archivos también limita su alcance.

• LocalSend nunca sale de la red local, así que no puede enviar nada a un dispositivo en otro edificio. Es una limitación, no un fallo, y la razón principal por la que la gente busca otra opción.
• Los Wi-Fi de hoteles, campus y empresas que separan los dispositivos impiden que LocalSend vea el otro dispositivo. Esto se llama aislamiento de clientes, y deja fuera de juego a todas las herramientas de transferencia local. Usa en su lugar el punto de acceso del teléfono.

LocalSend anuncia tu dispositivo y su nombre a toda la red

Este punto importa, y no tiene nada que ver con internet. LocalSend tiene que hacer que tu dispositivo sea localizable antes de que nada pueda alcanzarlo. En una red de desconocidos, eso cambia el significado de "localizable".

• LocalSend anuncia tu dispositivo en la red local, así que cualquier otra persona que tenga LocalSend abierto ahí lo ve aparecer en su lista. Así se encuentran los dos extremos sin que escribas ninguna dirección.
• El nombre de dispositivo que eliges en LocalSend se muestra a todos los demás en la red, así que no uses tu nombre completo. En un Wi-Fi compartido, ese nombre es todo lo que un desconocido sabe de ti.
• El ajuste Quick Save de LocalSend acepta un archivo entrante sin preguntar nada, así que déjalo desactivado en una red que no sea de confianza. De lo contrario, un desconocido en el Wi-Fi de un hotel puede dejar un archivo directamente en tus descargas.

Desactiva Quick Save y pon un PIN en redes desconocidas

Tres ajustes deciden qué puede hacer un desconocido en ese Wi-Fi.

• Con Quick Save desactivado, una transferencia de LocalSend enviada por un desconocido no puede llegar hasta que pulses Aceptar. Esa confirmación es toda la defensa que tienes en una red que no es de confianza.
• LocalSend puede exigir un PIN antes de aceptar un archivo, algo que vale la pena activar en un portátil que vive en el Wi-Fi de la oficina. Esto importa sobre todo en una máquina que dejas encendida.
• Nada en LocalSend expone tu dispositivo al resto de internet, así que la única pregunta es quién más está en tu Wi-Fi. Una red doméstica formada por gente que conoces no necesita ninguna de las precauciones anteriores.

Instala LocalSend desde el sitio del proyecto o una tienda de apps

El único peligro real de esta página no tiene nada que ver con el código abierto. Un nombre popular atrae imitadores, y una página de descarga es fácil de falsificar.

• El LocalSend real viene de localsend.org, de las versiones publicadas en el GitHub del proyecto, o de una tienda de aplicaciones. Se distribuye por la App Store, Google Play, F-Droid, Homebrew, Flathub y winget, y cada uno verifica al editor.
• El nombre tan conocido de LocalSend lo convierte en objetivo de una versión falsa que cualquiera puede compilar con el mismo nombre. El código abierto no es la debilidad. Un sitio de descarga al que se llega desde un anuncio sí lo es.
• LocalSend no tiene actualización automática, y por eso el proyecto recomienda instalarlo desde una tienda o un gestor de paquetes. Esos canales te traen la nueva versión por sí solos.
• Comprobar que un instalador de LocalSend viene realmente del proyecto lleva diez segundos y elimina el único riesgo serio de instalarlo. Mira la barra de direcciones antes de hacer clic.

El aviso del cortafuegos al abrir LocalSend por primera vez es normal

Mucha gente llega aquí porque Windows o macOS lanzó una advertencia justo cuando abrieron la aplicación. Esa advertencia es el sistema operativo haciendo su trabajo.

• Que Windows pida permiso para que LocalSend pase el cortafuegos la primera vez es lo esperado, porque una aplicación que recibe archivos tiene que escuchar conexiones. Una herramienta que nunca disparara esa pregunta no podría recibir nada.
• Cuando el cortafuegos de Windows pregunta por LocalSend, marca las redes privadas y deja sin marcar la casilla de redes públicas. Eso lo mantiene funcional en casa y silencioso en el Wi-Fi de una cafetería.
• El aviso de macOS que pregunta si LocalSend puede aceptar conexiones de red entrantes hace la misma pregunta con otro nombre. Permitirlo es lo que deja que otros dispositivos vean el Mac.

SmartScreen mide rareza, un bloqueo deja a LocalSend sin recepción

Otros dos avisos de Windows merecen leerse bien.

• Un aviso de SmartScreen de Windows sobre un instalador de LocalSend se refiere a cuántas veces Windows ya ha visto ese archivo, no a algo encontrado dentro. Instalar con winget evita la pregunta por completo.
• Bloquear LocalSend en el cortafuegos suele dejarlo capaz de enviar pero no de recibir. Si una transferencia solo funciona en un sentido, revisa la respuesta que le diste al cortafuegos.

Blip mantiene su código cerrado y pide una dirección de correo

Blip es la herramienta con la que más se compara LocalSend. Los dos difieren por naturaleza, no solo por acabado.

• Blip es un producto comercial cuyo código fuente no está publicado, así que su seguridad solo puede juzgarse desde fuera. La verificación de código descrita más arriba sencillamente no está a tu alcance.
• LocalSend es un proyecto de código abierto de la comunidad publicado bajo la licencia Apache 2.0, con todo su código fuente en GitHub. Cualquiera puede leerlo, compilarlo, crear una versión propia o reportar un problema en público.
• Blip pide una dirección de correo y un código de verificación durante la instalación, mientras que LocalSend no pide nada en absoluto. Una dirección conecta tus dispositivos con una identidad que la empresa conserva después.

Blip cruza internet y vende una licencia a las empresas

Cuatro diferencias se derivan de que Blip sea un producto comercial.

• Blip puede enviar entre dos dispositivos que no están en absoluto en el mismo lugar, algo que LocalSend no sabe hacer. Enviar archivos a un equipo en otra ciudad es la razón honesta para elegir Blip.
• Blip afirma que una transferencia se hace directamente entre los dos dispositivos y solo usa sus propios servidores si el enlace directo falla. LocalSend no tiene ese recurso, porque nunca sale de tu Wi-Fi.
• Blip funciona en Windows, macOS, Android e iOS, con una versión para Linux todavía en desarrollo, mientras que LocalSend ya cubre Linux. Para un hogar con un equipo Linux, eso basta para decidir.
• Blip es gratis para uso personal y vende una licencia a las organizaciones, mientras que LocalSend es gratis para todo el mundo. Ninguno de los dos modelos resulta sospechoso, pero responden de forma distinta a la pregunta de cómo sobrevive el proyecto.

Si seguridad significa poder comprobar qué hace una aplicación, LocalSend gana claramente. Si significa enviar un archivo a otra ciudad, Blip puede hacerlo y LocalSend no.

LocalSend es aquí la única herramienta con código legible por todos

Estas son las cuatro preguntas que hacerle a cualquier herramienta de transferencia, aplicadas a LocalSend y sus tres rivales habituales.

Envía un archivo con LocalSend, una foto con Camera to Clipboard

Nada en esta página es una razón para evitar LocalSend. La elección depende del trabajo que estés haciendo.

• LocalSend es la herramienta adecuada para enviar archivos de cualquier tipo entre tus propios dispositivos. Instálalo en los dos extremos y deja de buscar.
• LocalSend sigue siendo una buena opción en el Wi-Fi de un hotel o una oficina si Quick Save está desactivado y aceptas cada transferencia. Ese único ajuste decide si desconocidos pueden acceder a tu carpeta de descargas.
• Blip es la mejor opción cuando los dos dispositivos no están en el mismo lugar, porque LocalSend no cruza redes. Cambias una verificación de código que puedes hacer tú mismo por alcance.

Elige Camera to Clipboard para fotos, LocalSend desde su propio sitio

Una última elección, y la advertencia que más importa.

• Camera to Clipboard es la mejor opción cuando las fotos del teléfono van todo el día a parar a documentos, correos y conversaciones. Pegar evita tener que buscar el archivo descargado.
• Descargar LocalSend desde un resultado de búsqueda o un anuncio en lugar de desde el proyecto es lo que realmente haría peligroso a LocalSend. Todo lo demás en esta página es un ajuste. Esto es otro programa con el mismo nombre.

Preguntas frecuentes sobre la seguridad de LocalSend

¿Es seguro usar LocalSend?
Sí, para transferencias diarias en una red de confianza. El código fuente está publicado y es legible por todos, y los archivos van directamente de un dispositivo a otro a través de tu propia red. Cada transferencia está cifrada con HTTPS, y no hace falta ninguna cuenta. Instálalo desde el proyecto o desde una tienda de aplicaciones, y deja Quick Save desactivado en un Wi-Fi que no controlas.

¿Otras personas en el mismo Wi-Fi ven mi dispositivo LocalSend?
Sí. LocalSend se anuncia en la red local, así que cualquier otra persona que tenga LocalSend abierto ahí ve tu dispositivo con el nombre que le has puesto. En tu red doméstica, eso es exactamente lo que quieres. En el Wi-Fi de un hotel o una oficina, desactiva Quick Save y elige un nombre que no sea tu nombre completo.

¿Es LocalSend un virus, y por qué me avisa el cortafuegos?
LocalSend no es un virus, y un aviso del cortafuegos al abrirlo por primera vez es lo esperado. Una aplicación que recibe archivos tiene que escuchar conexiones entrantes, y eso es exactamente lo que pregunta el cortafuegos. Permítelo en redes privadas y deja sin marcar las redes públicas. El riesgo real es una copia procedente de un sitio impostor en lugar de localsend.org, de las versiones publicadas en GitHub o de una tienda de aplicaciones.

LocalSend o Blip, ¿cuál es más seguro?
Piden formas de confianza distintas. LocalSend publica su código fuente, no pide ninguna cuenta y nunca envía nada más allá de tu red local. Blip es un producto comercial de código cerrado que pide una dirección de correo durante la instalación, y una transferencia de Blip puede cruzar internet. Si comprobar el código tú mismo es lo que para ti significa estar seguro, elige LocalSend.