Desde que Signal existe, el punto más débil de su modelo de seguridad era técnico pero real: ¿cómo sabes que la clave pública que Signal asocia al número de teléfono de tu contacto es realmente la suya? Un servidor de Signal comprometido o un empleado deshonesto podría, en teoría, sustituir esa clave por una controlada por el atacante e interceptar los mensajes antes de que tú o tu contacto lo notarais. La solución histórica existía: los «Safety Numbers», una cadena de números que puedes comparar con tu contacto para verificar que no hay nadie en medio. El problema: requería quedar en persona o llamar por otra vía.
Lo publicó el equipo de Signal el 12 de agosto de 2026. La ingeniería Katherine Yen explica en el blog oficial cómo funciona el nuevo sistema.
Cómo funciona la verificación automática
La nueva función se llama Automatic Key Verification (AKV) y está basada en un sistema de transparencia de claves: un registro criptográfico de las claves públicas asociadas a cada cuenta de Signal. Cada vez que un usuario se registra, cambia de número, cambia su username o recrea su cuenta, ese cambio queda registrado en un «ledger» — una estructura de log criptográficamente encadenada, similar en concepto a una blockchain pero más específica.
Para que ningún atacante pueda manipular ese ledger sin que se detecte, Signal involucra a dos organizaciones externas como auditores independientes: Cloudflare y Trail of Bits. Cada una audita de forma independiente partes diferentes del sistema. Trail of Bits implementó su auditor desde cero, basado en la especificación de Signal — no en la implementación de referencia de la propia Signal — precisamente para validar que el sistema se comporta como está diseñado, no solo que el código de Signal hace lo que dice.
Cloudflare ya operaba un auditor para el sistema de transparencia de claves de WhatsApp y publicaba los resultados en su Key Transparency Dashboard. Ahora añade Signal a ese rol. Trail of Bits declaró explícitamente que no recibe pago de Signal por este servicio — lo opera como un bien público.
Los datos de usuario en el ledger están protegidos criptográficamente para que los auditores no puedan ver los identificadores en texto plano: los identificadores públicos pasan por una función aleatoria verificable (VRF) y los valores asociados están protegidos con una función hash con clave (HMAC). Los auditores verifican la integridad estructural del sistema sin ver a quién pertenece cada clave.
La comparativa entre Signal, Telegram y WhatsApp que publicamos en abril señalaba exactamente este punto: Signal no solo cifra el contenido sino que no recopila metadatos y usa tecnología «Sealed Sender» para ocultar incluso la identidad del remitente al servidor. La verificación automática de claves cierra el último punto de confianza que dependía de Signal como entidad: la integridad de su directorio de claves.
Cómo activarla
Para verificar un contacto de forma automática: abre el perfil de tu contacto, pulsa «Ver número de seguridad» (View Safety Number) y selecciona «Verificar automáticamente». Si la verificación es exitosa, Signal muestra un indicador verde con el texto «Cifrado verificado» (Encryption verified).
También puedes activarla globalmente en Ajustes → Privacidad → Avanzado → «Verificación automática de claves». La app verifica periódicamente tu propio identificador en el ledger en segundo plano.
Una aclaración importante que el blog de Signal hace explícita: la verificación automática no sustituye a los Safety Numbers manuales — los complementa. Los Safety Numbers siguen siendo la verificación más robusta contra un adversario con control total sobre la infraestructura de Signal. La AKV aborda un conjunto específico de amenazas: sustitución de claves en el directorio de Signal, que es el tipo de ataque que haría un insider o un servidor comprometido.
El ataque que esto no resuelve
Signal también es explícito sobre los límites del sistema. Las campañas documentadas de inteligencia rusa contra usuarios de Signal — grupos UNC5792 y UNC4221 — documentadas por el FBI y CISA durante 2025 y 2026, usaron técnicas completamente distintas: phishing de credenciales, robo de claves de copia de seguridad, y explotación del sistema de dispositivos vinculados. Esas técnicas atacan al usuario, no a la infraestructura. La AKV no ayuda contra un phishing que te convence de dar tus credenciales.
La vulnerabilidad que llevó a Signal a añadir copias de seguridad cifradas en 2025 — la ausencia de un método seguro de recuperar el historial de mensajes sin copia local — era del mismo tipo: un problema que afectaba a la resiliencia del usuario, no a la infraestructura de Signal.
La diferencia entre las plataformas en términos de qué datos recogen sigue siendo la base de la elección informada: Signal no recopila con quién hablas, cuándo ni desde dónde. Eso no cambia con AKV — lo que cambia es que ahora puedes verificar criptográficamente que la clave que usas para cifrar tus mensajes a alguien es realmente la de esa persona.
Mi valoración
Lo que más me convence de este lanzamiento es el diseño de los auditores. Trail of Bits no es una empresa con relación comercial con Signal — opera el auditor como bien público. Eso es independencia real, no independencia declarada. Y el hecho de que Trail of Bits reimplementara el auditor desde cero (sin usar el código de Signal) añade otro nivel de validación: demuestra que la especificación del sistema es suficientemente clara para producir una implementación independiente con el mismo comportamiento.
Lo que más me preocupa es la complejidad oculta. Para la mayoría de usuarios de Signal, la AKV simplemente añadirá un checkmark verde en algún momento. Pero entender qué verifican ese checkmark y cuáles son los casos límite donde podría fallar requiere un nivel de comprensión criptográfica que va mucho más allá del usuario promedio. La simplicidad de la UX oculta una complejidad técnica real.
La pregunta a 12 meses es si la AKV se convierte en el estándar de la industria que lleva a WhatsApp, Telegram y otros a implementar sistemas equivalentes, o si queda como una funcionalidad de nicho para usuarios de alto perfil de riesgo.