Software para psicólogos seguro: HTTPS no basta

El sector sanitario es hoy uno de los más atacados de España: solo en 2024 se contabilizaron más de 2.210 ataques semanales contra la sanidad, un 47 % más que el año anterior. Y la Agencia Española de Protección de Datos lo advierte sin rodeos: en salud, el ransomware ya no se limita a bloquear los sistemas, también exfiltra los datos. El detalle que lo cambia todo es cómo estaban guardados: si los nombres, DNI, teléfonos, historiales y notas de sesión no están cifrados de forma que el atacante no pueda leerlos, salen a la luz tal cual.

Esto nos lleva a una pregunta incómoda que casi nadie hace al contratar su software: ¿quién puede leer las notas de tus pacientes? No "quién debería", sino quién técnicamente puede. Y la respuesta, en la mayoría de herramientas del mercado, es: el proveedor, sus empleados con acceso, y cualquiera que logre entrar en sus servidores.

Para datos de salud mental, la pregunta correcta no es "¿está cifrado?", sino "¿puede el proveedor leer mis datos?". Si la respuesta es sí, no estás tan protegido como crees.

HTTPS no basta: las tres capas de cifrado

Cuando un comercial dice "tus datos están cifrados", suele referirse solo a HTTPS. Es importante entender que existen tres niveles muy distintos, y solo uno protege de verdad ante una brecha.

1. Cifrado en tránsito (HTTPS)

Es el candado del navegador. Cifra la información mientras viaja entre tu ordenador y el servidor, para que nadie la intercepte por el camino. Es imprescindible y hoy lo tiene casi todo el mundo. Pero protege solo el trayecto: en cuanto los datos llegan al servidor, el cifrado de tránsito ya no hace nada.

2. Cifrado en reposo

Protege la base de datos mientras está guardada en el disco del servidor. Suena bien, pero tiene una trampa: las claves para descifrar las custodia el propio proveedor. Es como guardar tus historiales en una caja fuerte y dejar la llave colgada al lado. Si alguien accede al sistema con privilegios suficientes —o si el proveedor decide mirar— los datos se leen en claro.

3. Cifrado de extremo a extremo (E2EE)

Aquí los datos se cifran en tu propio dispositivo, con claves que el servidor no posee. El proveedor almacena texto cifrado que es técnicamente incapaz de leer. Ni sus empleados, ni un atacante que robe la base de datos, ni un requerimiento mal gestionado pueden acceder al contenido. Es el único modelo en el que la respuesta a "¿puede el proveedor leer mis notas?" es un no rotundo.

Puedes ver cómo aplicamos este modelo en la página de cifrado de Onera.

Qué encontramos al analizar el sector

En junio de 2026 realizamos un análisis pasivo del tráfico del navegador de cuatro plataformas del sector de software para consultas, una de ellas la nuestra. Pasivo significa que observamos lo que cada herramienta envía y carga durante su uso normal, sin ninguna intrusión en sus sistemas. Conviene aclararlo: las plataformas pueden cambiar su configuración, así que esta foto corresponde a ese momento.

Lo que observamos:

• Las cuatro usan HTTPS. Cifrado en tránsito para todas. Es el mínimo, no un mérito.
• Solo una de las cuatro —la nuestra— aplica cifrado de extremo a extremo. Los datos del paciente se cifran en el dispositivo y el servidor no puede leerlos.
• En las otras tres, los datos sensibles viajan y se almacenan de forma que el servidor los lee en claro. En el análisis se observaron en texto legible datos como nombre, email, teléfono, DNI y notas de sesión, según la plataforma.
• Rastreadores de terceros: nuestra plataforma no cargaba ninguno. Una de las analizadas cargaba muchísimos —píxel publicitario, un grabador de sesión que registra lo que el usuario hace en pantalla, analítica de anuncios y un CRM de marketing—. Otra, una cantidad moderada. La más limpia de las ajenas solo llevaba analítica básica.
• Cabeceras de seguridad (CSP, X-Frame-Options, etc.): solo una de las cuatro tenía un conjunto completo de cabeceras de protección; el resto apenas HSTS.

Importa distinguir la observación de la conclusión. Observación: en el tráfico de tres plataformas se vieron datos sensibles en texto legible. Conclusión: por tanto, esas plataformas no aplican cifrado de extremo a extremo y sus servidores pueden leer el contenido clínico. No decimos que "no cifren nada" —tienen HTTPS y podrían tener cifrado en reposo—; decimos con precisión que el proveedor puede leer los datos.

Tabla comparativa

Aspecto	Onera	Web A	Web B	Web C
Cifrado en tránsito (HTTPS)	Sí	Sí	Sí	Sí
Cifrado de extremo a extremo	Sí	No	No	No
¿El servidor puede leer los datos del paciente?	No	Sí	Sí	Sí
Rastreadores de terceros	Ninguno	Muchos (incl. grabador de sesión)	Moderados	Analítica básica
Conjunto completo de cabeceras de seguridad	Sí	Solo HSTS	Solo HSTS	Solo HSTS

Análisis pasivo del tráfico del navegador, junio de 2026. Las plataformas se anonimizan como A, B y C y pueden haber modificado su configuración después de esta observación.

Por qué el E2EE lo cambia todo

Imagina el peor escenario: un atacante consigue acceso completo a la base de datos de tu software, igual que en uno de esos ataques al sector. ¿Qué se lleva?

• Sin cifrado de extremo a extremo, se lleva todo en claro: nombres, DNI, teléfonos, emails e historias clínicas completas con notas de sesión. Eso es exactamente lo que se filtra en estos incidentes del sector.
• Con cifrado de extremo a extremo, se lleva un montón de texto cifrado ilegible. Sin las claves —que nunca estuvieron en el servidor— ese material no vale nada.

Con cifrado de extremo a extremo, aunque roben la base de datos entera, el atacante solo se lleva texto cifrado ilegible, no historias clínicas. Es precisamente la capa que falta cuando una de estas brechas acaba en titulares.

Para un psicólogo esto no es un tecnicismo: es la diferencia entre informar a tus pacientes de que sus datos más íntimos están en la calle, o poder decir con tranquilidad que el contenido era ilegible. El RGPD trata los datos de salud como categoría especial, y el E2EE es la medida técnica más contundente para protegerlos.

Checklist: qué preguntarle a tu software antes de confiarle los datos de tus pacientes

Antes de mover una sola historia clínica a una herramienta, pídele respuestas claras a estas preguntas:

• ¿Es cifrado de extremo a extremo o solo HTTPS? Si solo mencionan HTTPS o "cifrado en tránsito", no es E2EE.
• ¿Puede el proveedor leer mis notas de sesión? Si la respuesta es sí —o si dudan—, sus servidores ven tus datos en claro.
• ¿Quién custodia las claves de cifrado? En E2EE las controlas tú, no el proveedor.
• ¿Qué rastreadores de terceros carga la herramienta? Una aplicación clínica no debería llevar píxeles publicitarios ni grabadores de sesión.
• ¿Tienen un conjunto completo de cabeceras de seguridad? No solo HSTS.
• ¿Qué pasó con sus datos en su última brecha? Y si la hubo, ¿los datos estaban cifrados de forma que el atacante no pudiera leerlos?
• ¿Firman un contrato de encargado del tratamiento (DPA)? Puedes revisar el nuestro en la página de protección de datos.

Si una herramienta no responde con claridad a estas preguntas, esa falta de claridad ya es una respuesta.

Conclusión

HTTPS es el suelo, no el techo. Cualquier plataforma seria lo tiene, pero por sí solo no protege las notas de tus pacientes una vez llegan al servidor. La única protección real para datos de salud mental es el cifrado de extremo a extremo: el modelo en el que ni siquiera nosotros podemos leer lo que guardas.

En Onera diseñamos la plataforma desde esa premisa. Por eso, cuando analizamos el sector, fuimos la única de las cuatro herramientas con E2EE, sin rastreadores de terceros y con un conjunto completo de cabeceras de seguridad. No es marketing: es la diferencia entre que una brecha sea un susto o una catástrofe para tus pacientes.

Si quieres una consulta donde la privacidad no dependa de la buena fe de tu proveedor, prueba Onera o conoce más sobre nuestro cifrado de extremo a extremo.

Preguntas frecuentes

¿Es suficiente con que mi software para psicólogos use HTTPS?

No. HTTPS solo cifra los datos mientras viajan entre tu dispositivo y el servidor. Una vez llegan al servidor, en la mayoría de plataformas se almacenan de forma que el proveedor puede leerlos. Para datos de salud mental, la única protección real frente a una brecha es el cifrado de extremo a extremo (E2EE), en el que ni siquiera el proveedor puede leer las notas de tus pacientes.

¿Qué diferencia hay entre cifrado en tránsito, en reposo y de extremo a extremo?

El cifrado en tránsito (HTTPS) protege los datos solo durante el envío. El cifrado en reposo protege la base de datos guardada, pero el proveedor conserva las claves y puede descifrarla. El cifrado de extremo a extremo (E2EE) cifra los datos en tu propio dispositivo con claves que el servidor no posee, de modo que el proveedor nunca puede leer el contenido.

Si roban la base de datos de mi software clínico, ¿qué se llevan?

Depende del cifrado. Sin cifrado de extremo a extremo, un atacante que acceda a la base de datos obtiene nombres, DNI, teléfonos, emails y notas de sesión en texto legible, como ocurre cuando el ransomware exfiltra datos del sector salud. Con E2EE, solo se lleva texto cifrado ilegible y los datos clínicos siguen protegidos.

¿Cómo sé si una herramienta para psicólogos cifra de extremo a extremo?

Pregúntalo directamente: ¿puede el proveedor leer mis notas de sesión? Si la respuesta es sí, o si no saben contestarla, no hay cifrado de extremo a extremo. Una plataforma con E2EE puede afirmar con claridad que es técnicamente incapaz de acceder al contenido clínico de tus pacientes.

¿Por qué importan los rastreadores de terceros en un software clínico?

Una herramienta clínica no debería cargar píxeles publicitarios, grabadores de sesión ni CRM de marketing, porque pueden capturar información sensible y compartirla con terceros. En un análisis del tráfico de varias plataformas del sector observamos desde herramientas sin ningún rastreador hasta otras que cargaban grabadores de pantalla y analítica de anuncios.