No todos los enlaces deberían estar abiertos a quien los encuentre. Un presupuesto para un cliente, un borrador que nadie fuera del equipo debería leer, una descarga pensada para las doce personas que la pagaron: en cuanto esa URL existe, se puede reenviar, capturar en pantalla, pegar en un grupo de chat e indexar por algo que nunca invitaste.

Un enlace protegido con contraseña pone una puerta delante del destino: quien lo abra se encuentra una petición de contraseña en lugar de tu contenido. Añade una fecha de caducidad y la puerta desaparece del todo en cuanto el enlace ha cumplido su función. Ambas cosas se configuran en unos diez segundos, y ninguna exige que la persona del otro lado tenga cuenta.

Cómo funciona

Cuando creas el enlace, defines una contraseña. urlik la guarda con hash —no la contraseña en sí, un hash de un solo sentido—, de modo que el valor almacenado no se puede revertir al original: ni por un atacante con la base de datos delante, ni por nosotros. Quien abre el enlace ve una petición; si escribe la contraseña correcta, se abre el destino; si escribe la equivocada, no. Ese es todo el mecanismo, y su simplicidad es precisamente la gracia.

La caducidad trabaja en paralelo. Elige una hora, un día, una semana o un mes, y en cuanto pasa el momento el enlace deja de resolver y responde 410 Gone, el código HTTP honesto para "esto existió y deliberadamente ya no", que además le dice a los buscadores que lo eliminen en vez de seguir reintentando.

Cuándo una contraseña gana a cualquier otra opción

  • Trabajo de cliente en curso. Un entorno de staging o un borrador de presentación que quieres que se revise, pero no que circule.
  • Contenido de pago. Un archivo, una grabación o un recurso que debería llegar a los compradores, no a internet entero.
  • Cualquier cosa impresa. Un código QR en un cartel lo puede escanear todo el que pase. Pon la contraseña detrás del mostrador y solo entrarán tus clientes de verdad.
  • Enlaces internos. Un panel o un documento que vive en una URL adivinable y que en las manos equivocadas sería incómodo, no catastrófico.

Sé honesto sobre de qué protege esto

Aquí es donde la mayoría de artículos seguirían vendiéndote la moto. En su lugar, la línea clara: una contraseña en un enlace es control de acceso, no secreto. Frena el acceso casual —el mensaje reenviado, el compañero curioso, el rastreador—. No convierte el contenido en secreto en ningún sentido criptográfico.

En concreto: la URL de destino está en nuestra base de datos en claro, porque el servidor tiene que redirigirte hasta allí. Cualquiera que tenga la contraseña puede compartir la contraseña. Y el enlace solo guarda la puerta: si el destino en sí es público, quien llegue hasta él por otro camino entra sin más. Un enlace con contraseña delante de un Google Doc público no protege absolutamente nada; lo que hay que arreglar son los permisos del documento.

Si necesitas secreto de verdad —que nadie, incluida la gente que opera el servidor, pueda leer el contenido—, una contraseña en un enlace es la herramienta equivocada. Usa el envío seguro: los archivos se cifran en tu navegador antes de subirse, la clave viaja en la parte de la URL que el servidor nunca recibe y el archivo se autodestruye tras una descarga. Esa es una garantía distinta, y cómo enviar archivos de forma segura explica dónde está la frontera.

Elegir una contraseña que valga algo

La contraseña es todo el modelo de seguridad, así que:

  • No reutilices una de verdad. Esto es una contraseña para compartir, no la de tu cuenta. Jamás la misma cadena.
  • Mándala por separado. La contraseña en el mismo correo que el enlace no protege de nada: un reenvío y se van las dos. El enlace por correo, la contraseña por mensajería o en persona.
  • Que sea incómoda de adivinar y fácil de decir en voz alta. Tres palabras sin relación entre sí ganan a Pass2026!: son más largas y sobreviven a que las dictes por teléfono.
  • Cámbiala para cada grupo de destinatarios cuando importe. Un enlace por cliente con su propia contraseña te dice quién la filtró, porque las estadísticas de clics van separadas.

Contraseña más caducidad es más fuerte que cualquiera de las dos

La combinación es donde esto se vuelve realmente útil. Una contraseña limita quién; una caducidad limita cuánto tiempo. Juntas acotan el daño de una filtración, porque una contraseña que se escapa a un grupo de chat el mes que viene abre un enlace que ya no existe.

Un patrón que funciona bien: el enlace caduca una semana después de la fecha límite a la que sirve, la contraseña se comparte por otro canal, un enlace por destinatario. Si algo se filtra, sabes qué copia fue, y deja de funcionar solo: sin tareas de limpieza que se te olvidarán.

Qué ven los visitantes

Una petición sencilla en una página que dice qué servicio la pide, sin ninguna pista del destino: el objetivo permanece oculto hasta que la contraseña es correcta, algo que importa cuando la propia URL lo desvela todo (/acme-corp-borrador-adquisicion ya cuenta la historia antes de que nadie entre). Si la contraseña es incorrecta, la página lo dice y la vuelve a pedir. Si ha caducado, dice que el enlace ha caducado en vez de fingir que nunca existió: menos confuso para alguien que tenía un motivo legítimo para estar ahí.

Conviene saberlo: los enlaces protegidos quedan excluidos de la vista previa enriquecida que se muestra a los rastreadores sociales, así que pegar uno en un chat no filtrará el título ni la imagen del destino dentro del mensaje. Es deliberado: una vista previa que revelara lo que la contraseña protege dejaría la contraseña sin sentido.

La versión corta

Una contraseña en un enlace es una puerta: barata, instantánea, sin cuenta, y suficiente para el caso corriente en el que un contenido debe llegar a algunas personas y no a todo el mundo. Acompáñala de una caducidad para que una filtración tenga fecha de caducidad, manda la contraseña por un canal distinto al del enlace, y ten claro que esto es control de acceso, no cifrado. Cuando necesites la promesa fuerte, cífralo de extremo a extremo en su lugar; y si estás calibrando cuánto fiarte de los enlaces cortos en general, son seguros los enlaces cortos cubre la otra cara de esa pregunta.