Arquitectura de referencia
Tu disco guarda las fotos. Nuestro servidor solo ve sobres cerrados.
Tres piezas: la app en tu iPhone, un agente en tu computadora y un buzón temporal en la nube para cuando estás fuera de casa. Así encajan y así se protege cada foto.
Tres reglas que no se negocian
Tus fotos viven en tu disco
La copia buena está en tu computadora, como archivos normales que puedes abrir sin Ownly.
El servidor no puede leer nada
Lo que pasa por la nube va cifrado de extremo a extremo. Las claves nunca salen de tus aparatos.
Nada se libera sin copia verificada
La computadora firma cada copia que comprueba. El iPhone solo borra con esa firma, y pregunta otra vez justo antes.
Vista general
Dos caminos para cada foto.
En casa, directo por tu Wi-Fi. Fuera, cifrada en un buzón que se vacía al llegar.
Componentes
Qué hace cada pieza.
| Pieza | Tecnología | Qué hace | Qué guarda |
|---|---|---|---|
| App de iPhone | Swift 6, SwiftUI, PhotoKit, CryptoKit | Lee la fototeca, calcula huellas, cifra, envía, propone qué liberar y recupera lo liberado. | Un catálogo local (SQLite) y las claves en el llavero, solo en ese teléfono. |
| Agente | Go, un solo binario para macOS y Windows | Recibe, descifra, verifica cada copia con SHA-256, la firma y revisa periódicamente que siga intacta. | Tus fotos como archivos normales en la carpeta que elegiste. |
| API | Go en AWS Lambda, API Gateway HTTP | Autentica cada aparato por su firma y coordina el buzón. Nunca descifra. | Nada propio: escribe en el catálogo y el buzón. |
| Catálogo | DynamoDB | Qué aparatos tiene cada cuenta y qué copias confirmó cada computadora. | Identificadores aleatorios, claves públicas, nombres de aparatos y espacio libre. |
| Buzón | S3 con URLs firmadas | Guarda las fotos cifradas mientras tu computadora no las recoge. | Solo texto cifrado. Se borra al verificarse, y a los 14 días como máximo. |
Flujos
Lo que pasa en cada momento.
Unir el teléfono
El agente muestra un QR con su dirección, la huella de su certificado y un código de un solo uso que caduca en 10 minutos. El iPhone guarda la huella y la clave pública de la computadora; desde entonces no habla con nadie más que se haga pasar por ella.
Copiar en casa
El iPhone encuentra la computadora por mDNS y le envía cada archivo por TLS 1.3. Cada petición va firmada con la clave del teléfono, con fecha y un número de un solo uso para que no se pueda repetir.
Copiar fuera de casa
Cada archivo tiene su propia clave aleatoria. Se cifra por fragmentos de 8 MiB con AES-256-GCM y la clave se sella para tu computadora con HPKE. El buzón guarda el resultado; la computadora lo recoge, descifra, verifica y lo borra del buzón.
Liberar espacio
Solo se propone lo que tiene copia firmada por tu computadora. Justo antes del aviso de iOS, la computadora vuelve a calcular la huella de esos archivos; si alguno falla, sale de la lista.
Comprobar las copias
Cada día una revisión rápida y cada semana una completa, en la que la computadora recalcula la huella de todo. Lo que se haya perdido vuelve a enviarse si sigue en el teléfono, y si no, te avisa.
Teléfono nuevo
Con tu clave de recuperación y un QR de tu computadora, el teléfono nuevo recupera la clave maestra y todo el catálogo. Lo liberado aparece como liberado y lo puedes traer de vuelta.
Cifrado
Solo primitivas estándar.
Nada inventado. Las mismas operaciones existen en CryptoKit (iPhone) y en la biblioteca estándar de Go (agente), y las dos implementaciones se prueban contra los mismos vectores, más una tercera en Python escrita solo a partir de la especificación.
- Contenido
- AES-256-GCM por fragmentos; el nonce lleva el índice y una marca de último fragmento, así no se pueden reordenar ni truncar.
- Clave para tu computadora
- HPKE (RFC 9180): X25519, HKDF-SHA256, AES-256-GCM.
- Derivación
- HKDF-SHA256 (RFC 5869).
- Firmas
- Ed25519 en cada petición y en cada copia verificada.
- Clave de recuperación
- 256 bits aleatorios, en 11 grupos de 5 caracteres.
Transparencia
Lo que nuestro servidor ve y lo que no.
No puede ver
- El contenido de tus fotos, videos y documentos.
- Sus nombres, fechas, ubicaciones y demás metadatos.
- Tu clave maestra ni tu clave de recuperación.
- Tu nombre, tu correo o tu teléfono: no los pedimos.
Sí ve
- Cuántos archivos pasan por el buzón y cuánto ocupan.
- Cuándo se conecta cada aparato.
- El nombre de tus aparatos y el espacio libre de tu computadora.
- Informes técnicos de fallos que genera iOS.
El código pasó una revisión de seguridad interna en octubre de 2026, sin hallazgos críticos ni altos abiertos. La revisión criptográfica externa se hace antes de abrir el piloto a más personas.