Cuando un enlace de descarga no es suficiente
El enlace reenviado
Usted envía a alguien un archivo privado como un enlace firmado. La firma significa que un desconocido no puede adivinar la dirección. No significa que un desconocido no pueda recibirlo. El mensaje se reenvía, el buzón es compartido, el enlace cae en un chat. El archivo ahora está frente a alguien que usted nunca eligió, y nada le ha hecho una sola pregunta.
Haga una pregunta más
Para la mayoría del contenido eso es aceptable. Para un contrato o un expediente de personal no lo es. El paso que falta es pequeño: antes de que el archivo se descargue, pida al lector que demuestre, con hardware, que es la persona a la que estaba destinado el enlace. Una llave de seguridad o una tarjeta inteligente firma un desafío que una contraseña o un enlace copiado no pueden falsificar.
El usuario hace una sola cosa: tocar la llave. El servidor ve que el toque ocurrió y libera el archivo. Un enlace que se filtra ahora no le sirve de nada a quien lo encuentra, porque el archivo sigue pidiendo la llave de esa persona, no la del lector previsto.
La regla del toque único
La gente elude la seguridad que se interpone, así que el paso adicional tiene que ser ligero. Abrir el enlace, ser enviado a iniciar sesión, tocar la llave, descargar. Sin código que pegar, sin segunda aplicación, sin token que copiar. Si inició sesión con la misma llave hace un momento, puede que el archivo simplemente llegue.
Haga que la falla también sea clara. Un enlace vencido debe decirlo y ofrecer uno nuevo, no dejar al lector en una página de error.
Por qué ahora
Dos cosas cambiaron. La autenticación por hardware se generalizó: las llaves de seguridad son baratas, y el gobierno ya porta tarjetas PIV y CAC. Y las normas se pusieron al día: la guía federal ahora espera inicio de sesión resistente al phishing para cualquier cosa sensible. Proteger una descarga con una llave ya no es exótico. Es el valor predeterminado razonable para un archivo que importa.
El enlace protege la dirección. La llave protege al lector. Los archivos de alto valor necesitan ambos.