Comparativa de seguridad: Signal vs Telegram vs WhatsApp

Aventura Universal » General » Comparativa de seguridad: Signal vs Telegram vs WhatsApp

Elegir hoy una app de mensajería no es solo cuestión de dónde está tu familia o tus amigos. Detrás de cada icono de colorines hay decisiones muy distintas sobre qué se hace con tus datos, tus mensajes y tus metadatos. WhatsApp, Telegram y Signal se venden como seguras, pero cuando rascas un poco ves que el enfoque de privacidad de cada una es radicalmente diferente.

En esta guía vamos a poner frente a frente a Signal, Telegram y WhatsApp en seguridad, privacidad y funcionalidades, integrando toda la información disponible y explicada en cristiano, sin marear con tecnicismos innecesarios. Verás qué datos vincula cada app a tu cuenta, cómo cifran los mensajes, qué guardan en sus servidores, quién está detrás del proyecto y, sobre todo, cuál te conviene usar según lo que realmente necesitas.

Usuarios, contexto y filosofía de cada aplicación

Lo primero es entender el contexto: WhatsApp se ha convertido en la mensajería por defecto en medio planeta, sobre todo en España y Latinoamérica. Hablamos de cerca de 3.000 millones de usuarios activos al mes según datos recientes, una barbaridad que hace que, nos guste o no, sea prácticamente imprescindible tenerla instalada si quieres comunicarte con casi nadie.

Telegram, por su parte, ha ido creciendo de forma constante hasta alcanzar alrededor de 900-1.000 millones de usuarios activos, según ha ido anunciando Pavel Dúrov y los informes de uso global. No llega al dominio de WhatsApp, pero es la alternativa más popular, especialmente para canales de noticias, comunidades temáticas, grupos enormes y contenido multimedia.

Signal juega en otra liga: apenas ronda los 50 millones de usuarios activos, una cifra minúscula comparada con las otras dos. Sin embargo, su objetivo no es ser la app más grande, sino la más privada y segura posible. Está mantenida por la Signal Foundation, una organización sin ánimo de lucro que vive de donaciones y no de explotar tus datos.

En el día a día, el uso típico acaba siendo este: WhatsApp para absolutamente todo porque “todo el mundo está ahí”, Telegram para grupos temáticos, canales y como especie de nube personal, y Signal para conversaciones que de verdad quieres que permanezcan privadas (temas personales, médicos, legales, financieros, periodísticos…).

Qué datos vincula cada app a tu cuenta y metadatos que recopilan

Una de las grandes diferencias entre estas apps es la cantidad y el tipo de datos que asocian a tu cuenta. Apple, con sus etiquetas de privacidad en la App Store, obligó a las aplicaciones a desvelar qué información recopilan y vinculan a la identidad del usuario.

En el caso de WhatsApp, la lista es larga: número de teléfono, agenda de contactos, foto de perfil, estado, información del dispositivo, IP, zona horaria, idioma y la posibilidad de rastrear la ubicación, datos de uso, estadísticas, información de compras y pagos, entre otros. Todo eso se asocia a tu cuenta y, desde la integración con Meta, se comparte en gran medida con el ecosistema de Facebook e Instagram para perfilado y publicidad.

Telegram se sitúa en un punto intermedio. La app vincula principalmente tu número de teléfono, tu nombre de usuario, foto de perfil y, si así lo permites, tu lista de contactos. Además, guarda tu historial de mensajes en sus servidores para ofrecer sincronización en la nube y acceso multidispositivo. Eso implica que Telegram sí tiene mucho más contexto sobre tus conversaciones, aunque afirma que minimiza el uso de metadatos.

Signal va a contracorriente: su obsesión absoluta es la privacidad. A nivel de datos personales, la aplicación solo necesita tu número de teléfono para registrar la cuenta y no sube tu agenda de contactos en texto plano, sino que la procesa de forma cifrada y efímera. No almacena quién habla con quién, con qué frecuencia ni desde dónde, de modo que los metadatos que conserva son mínimos.

Esto se confirmó cuando, ante una orden judicial en Estados Unidos, Signal únicamente pudo entregar fecha de creación de la cuenta y fecha de última conexión. No había nada más que dar, porque simplemente no lo guarda.

Cifrado y modelo de seguridad: quién puede leer realmente tus mensajes

Que una app diga que cifra los mensajes no significa automáticamente que sea privada. Hay matices importantes: qué protocolo usa, si el cifrado es de extremo a extremo por defecto, qué pasa con los backups y dónde se almacenan los mensajes.

Signal: el estándar de oro en cifrado de extremo a extremo

Signal utiliza el llamado Signal Protocol, considerado por muchos expertos como el protocolo de cifrado de mensajería más robusto que existe. De hecho, tanto WhatsApp como Google Messages lo han licenciado para sus propias implementaciones de cifrado.

Este protocolo combina varias piezas criptográficas potentes: Double Ratchet, X3DH, secreto perfecto hacia adelante, claves únicas por mensaje… Traducido: cada mensaje viaja con su propia clave de cifrado, las claves van rotando continuamente y, si una se viera comprometida, los mensajes anteriores seguirían protegidos.

En Signal, absolutamente todo va cifrado de extremo a extremo por defecto: mensajes, fotos, vídeos, archivos, llamadas de voz y videollamadas. Ni la fundación Signal ni terceros pueden leer el contenido, ni siquiera aunque alguien accediera a los servidores, porque lo que hay allí está cifrado y no tienen las claves.

WhatsApp: mismo protocolo que Signal, pero con letra pequeña

WhatsApp adoptó el Signal Protocol en 2016 para todo su tráfico: chats individuales, grupos, llamadas de voz y vídeo. Eso significa que, en teoría, el contenido de tus mensajes está tan bien protegido como en Signal frente a atacantes externos e interceptaciones.

El problema es lo que ocurre alrededor. Por un lado, las copias de seguridad en la nube: durante años los backups en Google Drive o iCloud no estaban protegidos con cifrado de extremo a extremo propio de WhatsApp, de modo que Google y Apple podían acceder a su contenido y entregarlo si un gobierno lo solicitaba. Desde 2021 existe la opción de activar el cifrado E2EE de las copias, pero es opcional y la mayoría de la gente ni sabe que está ahí.

Por otro lado, WhatsApp recopila y comparte con Meta una enorme cantidad de metadatos: con quién hablas, cuándo, desde qué dispositivo, durante cuánto tiempo, tu IP y ubicación aproximada, nombres de grupos y participantes, etc. Aunque no vean el contenido del mensaje, el “quién, cuándo y cuánto” es extremadamente valioso para la elaboración de perfiles.

Telegram: cifrado parcial y protocolo propio MTProto

Telegram presume de seguridad desde sus inicios, pero aquí hay un detalle clave que mucha gente desconoce: el cifrado de extremo a extremo solo se aplica en los “chats secretos”. Los chats normales, los grupos y los canales usan cifrado cliente-servidor, lo que significa que Telegram puede acceder al contenido de los mensajes almacenados en sus servidores.

La app se basa en un protocolo propio llamado MTProto, que ha ido evolucionando hasta su versión 2.0. Utiliza una combinación de AES-256, RSA de 2048 bits e intercambio de claves Diffie-Hellman. Ha sido analizado por académicos (por ejemplo, estudios de la Universidad de Udine) y auditado parcialmente, y Telegram documenta públicamente el protocolo para que expertos puedan revisarlo.

Aun así, muchos criptógrafos son más escépticos con MTProto que con Signal Protocol, entre otras cosas porque fue diseñado internamente y el servidor es software cerrado. Además, al mantener los mensajes normales en la nube para sincronizarlos entre dispositivos, si Telegram sufriera una brecha grave o recibiera presiones legales contundentes, el contenido de esos chats podría verse comprometido.

Privacidad práctica: backups, nubes y acceso desde varios dispositivos

Más allá del cifrado puro, el día a día se juega en detalles como cómo se almacenan los historiales, qué pasa si pierdes el móvil o cómo accedes desde el ordenador.

WhatsApp funciona tradicionalmente alrededor del teléfono: el móvil es el dispositivo principal y el resto de sesiones dependen de él. Aunque ahora permite usar la app en varios dispositivos, el modelo de sincronización sigue siendo más limitado que el de Telegram. Las copias se apoyan en Google Drive o iCloud, con el matiz ya comentado del cifrado opcional.

Telegram convierte su arquitectura en una especie de nube de mensajes. Todo tu historial (salvo los chats secretos) se almacena cifrado en sus servidores y está accesible desde móvil, tablet, PC o web sin que el móvil principal esté conectado. Esto es muy cómodo, pero implica que Telegram tiene acceso técnico a tus mensajes ordinarios.

Signal ha optado por un enfoque minimalista: no ofrece una nube de historiales al estilo Telegram. El historial está en tu dispositivo y, si cambias de móvil, tienes que transferirlo de manera segura localmente o asumir que empiezas de cero. Es menos cómodo, sí, pero precisamente es lo que reduce la superficie de ataque y hace que no haya copias perpetuas de tus conversaciones en servidores ajenos.

Protección de acceso, bloqueo, verificación y seguridad en el dispositivo

Otro frente clave es cómo protege cada app el acceso local a los chats. Si alguien coge tu móvil desbloqueado, qué opciones tienes para que no pueda husmear en tus conversaciones.

WhatsApp introdujo hace ya un tiempo el bloqueo de la aplicación mediante biometría (huella dactilar o reconocimiento facial). De esta forma, aunque alguien llegue a tu pantalla de inicio, no podrá abrir la app sin tu dedo o tu cara. Además, ahora permite bloquear chats concretos bajo credenciales, de manera que puedes tener unas conversaciones más protegidas que otras.

Telegram ofrecía antes de eso un código de acceso para bloquear la app, y posteriormente añadió también opciones biométricas, que suelen ser más seguras y cómodas que un PIN. La verificación en dos pasos también está disponible, añadiendo una capa extra si alguien intenta apropiarse de tu cuenta.

Signal no se queda atrás: implementa bloqueo con PIN, biometría y funciones adicionales como el bloqueo de registro, que impide que otra persona pueda registrar tu número en un dispositivo nuevo sin conocer un código adicional. Así se evita el típico ataque de alguien que se hace con tu SIM e intenta robarte la cuenta.

Identidad: número de teléfono, nombre de usuario y anonimato relativo

En WhatsApp, tu cuenta está ligada sí o sí a tu número de teléfono móvil. Es la forma de encontrarte y añadirte a la agenda, y no existe una capa de alias o nombre de usuario que oculte ese dato. Si quieres hablar con alguien por WhatsApp, tienes que compartir tu número real, lo que a veces no es ideal.

Telegram da mucha más flexibilidad: puedes usarlo como WhatsApp compartiendo tu teléfono, pero también configurar un nombre de usuario único. Esto permite que alguien pueda escribirte o añadirte a un grupo sin conocer tu número, algo muy útil para tiendas, empresas, proyectos públicos o personas que simplemente no quieren ir regalando su móvil.

Signal también requiere un número de teléfono para crear la cuenta, aunque en los últimos años ha dado pasos para reducir la dependencia visible del número como identificador público. Aun así, a efectos prácticos, si quieres máxima separación entre tu identidad y tu cuenta de mensajería, Telegram con alias o soluciones como Session (otra app centrada en anonimato, que ni siquiera necesita número) pueden encajar mejor.

Mensajes efímeros, autodestrucción y control sobre el historial

Otra área donde hay diferencias es el control que tienes sobre cuánto tiempo permanecen los mensajes y qué rastro dejan.

Signal fue pionera en integrar de forma muy natural los mensajes que desaparecen. Puedes configurar tiempos de vida para que todo lo que se envíe a partir de ese momento se borre automáticamente después del plazo elegido. Incluso ofrece un modo curioso en el que se eliminan mensajes a partir de cierta antigüedad, pero se mantienen los más recientes.

Telegram permite algo similar en sus chats secretos, donde puedes fijar un temporizador de autodestrucción para mensajes, fotos y vídeos. Además, estos chats impiden el reenvío, bloquean las capturas de pantalla (o al menos intentan evitarlas y avisar) y no dejan rastro en los servidores. También dispone de una función para borrar unilateralmente todo el historial con una persona, de forma que puedes limpiar años de conversación de una tacada.

En los chats normales de Telegram no hay autodestrucción tan agresiva, pero sí posibilidad de borrar mensajes antiguos sin límite de tiempo, incluso mensajes que tú no enviaste. Si los eliminas, desaparecen para todos y no queda el típico rastro.

WhatsApp fue más lenta en este campo. Empezó añadiendo la función de eliminar mensajes enviados con un límite de tiempo (primero pocos minutos, luego ampliado hasta algo más de una hora). Si borras algo, queda un mensaje que dice “Eliminaste este mensaje”, así que el rastro sigue ahí. Más tarde añadió los mensajes temporales que se autodestruyen tras un periodo preestablecido en los chats, y la función de “visualización única” para fotos y vídeos que solo se pueden abrir una vez.

Eso sí, la función de visualización única de WhatsApp no bloquea las capturas de pantalla ni avisa si alguien las hace. Tampoco hay límite de tiempo de visualización cuando se abre la imagen: puedes quedarte todo el rato que quieras con la foto en pantalla antes de que desaparezca.

Otras funciones de privacidad y pequeños detalles de seguridad

Signal ofrece algunos extras muy prácticos para quien prioriza la discreción. Por ejemplo, puedes desactivar los indicadores de escritura y las confirmaciones de lectura, así como redirigir las llamadas de voz a través de los servidores de Signal para no exponer tu dirección IP a la otra persona.

Otra opción es el llamado “remitente confidencial”, que permite enviar mensajes a personas que aún no te tienen en su agenda sin exponer completamente tu perfil. Todo esto se suma a la interfaz sencilla, sin publicidad ni bots, diseñada para reducir la cantidad de datos que se generan.

Telegram cuenta en los chats secretos con funciones como el teclado en modo incógnito (para que el teclado no registre lo que escribes), la protección frente a capturas, la autodestrucción de cuenta si está inactiva un tiempo prolongado y la prohibición de reenvío de mensajes. En los chats normales, sin embargo, el foco está más en funcionalidad que en seguridad extrema.

WhatsApp, pese a estar muy centrada en el gran público, ha ido añadiendo piezas de seguridad como la verificación en dos pasos, el cifrado de copias de seguridad, los bloqueos biométricos y el aviso de sesiones activas en otros dispositivos. Aun así, su modelo de negocio vinculado a Meta hace que, por diseño, necesite nutrirse de metadatos para seguir siendo rentable.

Funcionalidades: grupos, canales, bots y experiencias de uso

A veces la decisión no es puramente de seguridad, sino de qué te permite hacer cada aplicación en el día a día.

WhatsApp se ha ido pareciendo cada vez más a una red social: estados efímeros tipo stories, comunidades, canales, llamadas y videollamadas grupales, pago integrado en algunos países, etc. Admite archivos de hasta 2 GB, canales de difusión (WhatsApp Channels) y grupos grandes, aunque lejos de las cifras de Telegram.

Telegram es la más potente en cuanto a funcionalidad pura: grupos de hasta 200.000 miembros, canales con suscriptores prácticamente ilimitados, bots programables, mensajes programados, edición de mensajes ya enviados, carpetas de chats, stickers y GIFs por todas partes, y archivos de hasta 4 GB. También ofrece videollamadas grupales con cientos de espectadores simultáneos. Por eso se ha convertido en el lugar favorito para comunidades tecnológicas, cripto, noticias y activismo.

Signal es deliberadamente más sobria: mensajes, llamadas y videollamadas cifradas, stickers (con editor propio), mensajes que desaparecen, reacciones, historias privadas y poco más. No hay bots, no hay canales públicos, no hay supergrupos gigantes. La idea es minimizar la superficie de ataque y centrarse en la función de “hablar de forma privada”.

Criminalidad, moderación y relación con gobiernos

El enorme alcance de estas plataformas también las ha convertido en herramientas para estafadores, delincuentes y campañas de desinformación. Ninguna se libra, pero Telegram, en particular, ha estado en el punto de mira mediático.

Telegram ha sido señalada por alojar grupos con contenido ilegal, venta de datos personales, malware, piratería o material de abuso. Informes como los de Europol señalan que un porcentaje significativo de la compraventa de datos robados se coordina a través de canales de Telegram. Al mismo tiempo, esos mismos informes reconocen que la plataforma responde a un porcentaje muy elevado de solicitudes judiciales, colaborando para identificar delitos.

El propio fundador, Pavel Dúrov, ha tenido enfrentamientos con varios gobiernos por su resistencia a entregar claves o permitir acceso directo a los datos, llegando a sufrir intentos de bloqueo de la app en países como Rusia o incluso propuestas de restricción en España. A finales de 2024, Telegram anunció medidas para endurecer la moderación de contenidos ilegales y cooperar más con autoridades, en un esfuerzo por limpiar su imagen.

WhatsApp tampoco está libre de problemas: estafas del amor, fraudes con criptomonedas, suplantaciones de identidad, campañas de spam político… La diferencia es que el cifrado de extremo a extremo por defecto dificulta la moderación de contenido, así que la compañía se apoya más en metadatos, denuncias de usuarios y patrones de comportamiento para luchar contra el abuso.

Signal, por su diseño minimalista y su base de usuarios más reducida, aparece menos en titulares relacionados con criminalidad, aunque evidentemente cualquiera puede usar una herramienta segura para fines legítimos o ilegítimos. La fundación mantiene una postura firme de privacidad y cooperación limitada, dado que apenas guarda datos.

Alternativas ultra-privadas: Session y otras opciones

Si te parece que incluso Signal se queda corta en anonimato, existen proyectos como Session, que llevan la idea un paso más allá. Session no requiere número de teléfono, está basada en una red descentralizada de nodos y apuesta por el máximo anonimato posible, a costa de sacrificar comodidad y popularidad.

Sus puntos fuertes son el cifrado de extremo a extremo, la ausencia de identificador telefónico y el diseño descentralizado. A cambio, su base de usuarios es mucho más pequeña y las funcionalidades son más limitadas comparadas con Telegram o WhatsApp. También está Confide, que incluso oculta el contenido del mensaje en pantalla y obliga a “rascar” para leer, pero es mucho menos conocida.

En la práctica, Signal suele ser el equilibrio más razonable entre seguridad moderna, código abierto, auditorías independientes, facilidad de uso y número de usuarios. Session gana si tu prioridad absoluta es el anonimato extremo, aunque eso implique que casi ninguno de tus contactos la tenga instalada.

Al final, la realidad es que mucha gente acaba usando una combinación de varias herramientas: WhatsApp para el día a día social y familiar, Telegram para comunidades y contenidos, Signal (o Session) para conversaciones delicadas. No hay una única app perfecta para todo y para todos.

Tras todo este repaso, se ve claro que Signal es la mejor opción cuando la privacidad y la seguridad son lo primero, gracias a su cifrado de extremo a extremo por defecto, su mínima recopilación de metadatos y su desarrollo abierto sin ánimo de lucro; que WhatsApp ofrece un cifrado robusto del contenido pero compensa esa protección recolectando una enorme cantidad de información contextual y apoyándose en copias en la nube que dependen de la configuración del usuario; y que Telegram se mueve en un punto intermedio, con una potencia brutal en funciones y grupos, pero con un modelo de cifrado que solo garantiza extremo a extremo en los chats secretos y almacena la mayor parte de los historiales en sus servidores. Entender estas diferencias te permite decidir con cabeza qué aplicación usas para cada cosa, en lugar de fiarte solo de los eslóganes de “seguridad” que ves en la pantalla.