Cifrado de extremo a extremo en WhatsApp Business: qué protege

¿WhatsApp Business tiene cifrado de extremo a extremo? Depende de quién opere el lado de la empresa en el chat: un teléfono con la app WhatsApp Business, o la Cloud API de Meta y el software conectado a ella. Esta guía explica el cifrado de extremo a extremo frente al cifrado en reposo y en tránsito, compara WhatsApp, Instagram, Messenger, Telegram y Viber a septiembre de 2026, y muestra cómo poner a prueba lo que un proveedor promete sobre seguridad.

Puntos clave

El cifrado de extremo a extremo (E2EE) trata de quién tiene las claves, no de dónde se guardan los datos: solo los extremos de la conversación pueden descifrar el mensaje.
La API de WhatsApp Business (Cloud API) no tiene cifrado de extremo a extremo según la propia definición de WhatsApp, porque Meta aloja el extremo de la empresa y descifra los mensajes entrantes antes de reenviarlos.
Instagram terminó con el E2EE en los mensajes directos el 8 de mayo de 2026, y los chats de Messenger con empresas no admiten E2EE.
Los chats de Telegram no tienen cifrado de extremo a extremo por defecto; solo lo tienen los chats secretos, que se activan a propósito. Viber deja fuera de su E2EE por defecto a los chatbots y a las cuentas de empresa.
Por diseño, una plataforma de respuestas automáticas con IA tiene que leer los mensajes que contesta, así que no puede ser de conocimiento cero sobre ellos. Evalúa a los proveedores por el cifrado de credenciales, el control de acceso, la retención y la eliminación.

Cifrado de extremo a extremo, en reposo y en tránsito: quién tiene las claves

El cifrado en tránsito protege los datos que se mueven entre dos sistemas, por ejemplo un teléfono y un servidor, normalmente con TLS. Cada servidor que los recibe puede descifrarlos.
El cifrado en reposo protege los datos guardados en discos, en bases de datos o en copias de seguridad. El servicio que los almacena suele tener las claves y puede descifrarlos siempre que su software lo necesite.
El cifrado de extremo a extremo significa que solo los extremos de la conversación tienen las claves. Los servidores intermedios retransmiten texto cifrado que no pueden leer.

Cifrado en tránsito más cifrado en reposo no equivale a E2EE. Esa combinación suele seguir permitiendo que el proveedor lea el contenido, porque en la mayoría de los montajes es el proveedor quien controla esas claves. La verdadera prueba del E2EE es si alguien distinto de los extremos puede descifrar el mensaje.

¿WhatsApp Business tiene cifrado de extremo a extremo? App frente a Cloud API

La app WhatsApp Business tiene cifrado de extremo a extremo cuando la empresa la usa en sus propios dispositivos, sin Cloud API vinculada como acompañante y sin proveedor conectado. La API de WhatsApp Business (Cloud API) no lo tiene, según la propia definición de WhatsApp.

El informe técnico Encryption Overview de WhatsApp (actualizado en febrero de 2026) dice que los mensajes entre usuarios de WhatsApp, incluidos los de la app WhatsApp Business, usan el protocolo Signal y cuentan como cifrados de extremo a extremo porque cada extremo es un dispositivo que controla su usuario.

Todos los chats de WhatsApp usan el mismo protocolo Signal. Lo que cambia la etiqueta de E2EE es quién opera el extremo de la empresa. Cloud API está alojada por Meta desde 2021, y WhatsApp no considera esos chats cifrados de extremo a extremo porque los mensajes no se entregan directamente a un extremo que la empresa controle.

La documentación de privacidad de datos de la Cloud API de Meta describe el flujo:

La app del cliente y Cloud API, actuando por la empresa, negocian claves de Signal.
Cloud API descifra los mensajes entrantes y los reenvía a la empresa.
Para las respuestas, Cloud API cifra el mensaje con Signal antes de entregarlo al cliente.
Meta actúa como encargado del tratamiento para la empresa, guarda los mensajes de Cloud API cifrados en reposo y los conserva 30 días como máximo.

La documentación general de Cloud API indica que los webhooks se entregan por HTTPS protegido con TLS.

Así que la Cloud API de WhatsApp sigue usando cifrado Signal en el trayecto y cifra los mensajes en reposo; simplemente no es de extremo a extremo, porque los servidores de Meta manejan el texto en claro por cuenta de la empresa. Para las diferencias de funciones, mira nuestra comparación entre la Cloud API de WhatsApp y la app Business.

Cifrado de extremo a extremo en WhatsApp Business con un proveedor, un enlace complementario o una bandeja con IA

Un chat con una cuenta de la app WhatsApp Business no siempre es E2EE. Según el informe técnico, pierde ese estado cuando:

La empresa vincula Cloud API como acompañante de su app WhatsApp Business, algo posible desde 2024. Esos chats individuales se comparten con Meta para su procesamiento.
Un proveedor opera la API de WhatsApp Business de la empresa. Ese proveedor tiene acceso a las claves privadas de la empresa, incluso cuando el proveedor es Meta, así que WhatsApp no trata esos chats como cifrados de extremo a extremo.

WhatsApp muestra al cliente un mensaje de sistema en el chat cuando cambia el estado. La API On-Premises, cuyos extremos autoalojados sí contaban como cifrados de extremo a extremo, ya no existe: su último cliente, la v2.63, expiró el 23 de octubre de 2025, y Meta ahora dirige a las empresas a Cloud API.

En la práctica, si respondes WhatsApp a escala mediante una API, un Business Solution Provider o una bandeja de entrada con IA para WhatsApp, tus chats no son de los que WhatsApp clasifica como cifrados de extremo a extremo.

Qué pasa cuando un chatbot con IA o un CRM lee tus mensajes de WhatsApp

¿Un chatbot con IA puede leer mensajes cifrados de extremo a extremo? Solo si está en un extremo que recibe el texto descifrado. Con Cloud API, el recorrido es así:

El teléfono del cliente cifra el mensaje con Signal.
La Cloud API de Meta lo descifra para la empresa.
Un webhook lo entrega por TLS a la plataforma de la empresa: un CRM, un helpdesk o una bandeja de entrada con IA.
La plataforma guarda la conversación y pasa el texto a un modelo de IA para redactar o enviar una respuesta.

En el paso 4 el mensaje es legible dentro de los sistemas del proveedor, sea cual sea el cifrado en reposo que use ese proveedor. Dos cosas son ciertas a la vez: el chat va cifrado por la red, y tu CRM puede leerlo.

Los mensajes directos de Instagram después del 8 de mayo de 2026: sin cifrado de extremo a extremo

¿Instagram sigue teniendo cifrado de extremo a extremo en 2026? No. Según el Centro de ayuda de Instagram, Instagram dejó de admitir la mensajería con E2EE el 8 de mayo de 2026. La función siempre fue opcional, se activaba chat por chat y nunca vino por defecto. Meta remitió a WhatsApp a quienes quieran E2EE.

Si usas respuestas con IA en Instagram, trata esos mensajes directos como no cifrados de extremo a extremo.

Facebook Messenger: chats personales frente a chats con empresas

Meta empezó a desplegar el E2EE por defecto en los chats y llamadas personales uno a uno de Messenger el 6 de diciembre de 2023. El Centro de ayuda de Messenger enumera los productos que hoy no admiten E2EE, entre ellos los chats con empresas, las cuentas que usan herramientas de mensajería para empresas y los chats de Marketplace.

Así que el cifrado de extremo a extremo de Messenger no cubre el chat de un cliente con una página de Facebook que usa una bandeja de entrada o un chatbot.

Telegram: chats en la nube, chats secretos y bots

¿Telegram cifra los chats de extremo a extremo por defecto? No. Las preguntas frecuentes de Telegram describen dos tipos de chat:

Los chats en la nube, que son los predeterminados, usan cifrado cliente-servidor y se guardan cifrados en los servidores de Telegram para sincronizarse entre dispositivos.
Los chats secretos de Telegram usan cifrado de extremo a extremo. Son uno a uno, están ligados a dispositivos concretos, no se sincronizan y no son el modo por defecto.

Los bots funcionan en los chats en la nube. La Bot API oficial lista los tipos de chat como private, group, supergroup y channel, sin un tipo para chats secretos. Desde el lanzamiento de Telegram Business en marzo de 2024, las empresas pueden conectar bots que respondan mensajes en su nombre, pero esas conversaciones de bot no son chats secretos.

Viber: chats privados frente a cuentas de empresa

La política de privacidad de Viber dice que el cifrado de extremo a extremo protege las llamadas y los mensajes uno a uno, los mensajes de grupo, el intercambio privado de archivos y los dispositivos vinculados, y Viber afirma que viene activado por defecto. La excepción que importa para las empresas está en las condiciones de contenido público de Viber: el contenido de Comunidades, Canales, Chatbots y Cuentas de Empresa no tiene cifrado de extremo a extremo, y Viber lo almacena.

Cifrado por canal: tabla comparativa (septiembre de 2026)

Canal	E2EE por defecto en chats personales	E2EE en chats de empresa o de bot	Quién puede procesar los mensajes de empresa	Fuente
App WhatsApp Business (sin API, sin proveedor)	Sí (Signal)	Sí	Los propios dispositivos de la empresa	Informe técnico de WhatsApp
Cloud API de WhatsApp o API operada por un proveedor	Sí (Signal)	No	Meta como encargado del tratamiento, la empresa, las plataformas conectadas	Informe técnico de WhatsApp, documentación de Meta
Mensajes directos de Instagram	No (el E2EE opcional terminó el 8 de mayo de 2026)	No	Meta, la empresa, las herramientas conectadas	Centro de ayuda de Instagram
Facebook Messenger	Despliegue por defecto desde diciembre de 2023 (personales uno a uno)	No	Meta, la empresa, las herramientas conectadas	Centro de ayuda de Messenger
Telegram	No (los chats secretos son opcionales)	No (los chats de bot son chats en la nube)	Los servidores de Telegram, quien opera el bot	FAQ de Telegram, Bot API
Viber	Sí	No (chatbots, cuentas de empresa)	Viber, los administradores de la empresa	Política de privacidad y condiciones de Viber

Por qué las plataformas de respuestas automáticas con IA no pueden ser de conocimiento cero

El cifrado de conocimiento cero significa que un proveedor guarda tus datos sin tener nunca las claves para descifrarlos, así que no puede leer el contenido.

Un producto de respuestas automáticas con IA funciona justo al revés, por diseño. Para contestar "¿Entregan en Erbil mañana?", el modelo tiene que leer la pregunta en texto plano, consultar tu base de conocimiento y escribir una respuesta. La lógica es directa: un sistema que lee mensajes para responderlos siempre puede leerlos.

Un proveedor que anuncia una "bandeja de entrada con IA de conocimiento cero" o un "chatbot con IA cifrado de extremo a extremo" está estirando los términos o no está ejecutando IA sobre tus mensajes. Las preguntas útiles apuntan a limitar quién y qué puede llegar a los datos legibles.

Cómo evaluar lo que un proveedor promete sobre cifrado

Señales de alarma:

"Cifrado de extremo a extremo" aplicado a un chatbot con IA o a una bandeja de entrada sobre la Cloud API de WhatsApp.
"Todos los datos cifrados" sin una lista de qué se cifra ni de quién tiene las claves.
"Grado militar" o "grado bancario" sin detalle de algoritmo, alcance ni gestión de claves.
Sellos de certificación sin un certificado o informe de auditoría que puedas pedir.

Preguntas que conviene hacer:

¿Qué campos se cifran a nivel de aplicación y con qué algoritmo?
¿Los tokens de acceso de canal y las claves de proveedores de IA se cifran, y dónde se guarda la clave?
¿El contenido de los mensajes se cifra a nivel de aplicación, o solo las credenciales y ciertos campos?
¿Qué personal del proveedor puede ver las conversaciones de clientes, y queda registrado ese acceso?
¿Cuánto tiempo se guardan los mensajes, y qué elimina realmente el borrado de la cuenta?
¿Qué proveedores de IA reciben el texto de los mensajes, y bajo qué condiciones de uso de datos?

Qué cifra y protege Raabt hoy

Raabt es una plataforma de respuestas automáticas con IA, así que la misma lógica se nos aplica: nuestra IA lee el texto de los mensajes para escribir una respuesta. Eso significa que Raabt no tiene cifrado de extremo a extremo y que, según la definición anterior, ninguna bandeja de entrada con IA puede tenerlo. Esto es lo que hay hoy:

Cifrado a nivel de campo: las credenciales, los tokens y ciertos datos de contacto (teléfono, correo, dirección) se cifran con AES-256-GCM, usando una clave derivada con HKDF-SHA256. Cubre los tokens de acceso de los canales conectados de Facebook, Instagram, WhatsApp y Telegram, además de las claves API de proveedores de IA. La aplicación no arranca sin una clave de al menos 32 caracteres.
Contraseñas y códigos: las contraseñas se hashean con Argon2id, los secretos de las claves API de socios se guardan solo como hashes SHA-256 y los códigos de un solo uso se guardan solo como hashes HMAC-SHA256.
Inicio de sesión: los accesos con correo y contraseña exigen un código de un solo uso enviado a tu correo antes de emitir una sesión.
Acceso del equipo: cuatro roles (owner, admin, agent, viewer) con permisos por sección, y los endpoints de empresa confirman primero que quien llama es miembro activo de esa empresa.
Webhooks y archivos: los webhooks de Meta se rechazan salvo que su firma X-Hub-Signature-256 sea válida, los webhooks de Telegram exigen un token secreto y los adjuntos se sirven solo mediante URL firmadas con HMAC que caducan.
Eliminación: Raabt admite el callback de eliminación de datos de Meta, con un enlace de estado en la página de eliminación de datos. Eliminar la cuenta pide tu contraseña más un código enviado por correo, y la cuenta queda desactivada de inmediato y su correo anonimizado.

Preguntas frecuentes

¿La API de WhatsApp Business tiene cifrado de extremo a extremo?

No. El informe técnico de WhatsApp dice que los chats con empresas que usan Cloud API no se consideran cifrados de extremo a extremo, porque Meta aloja el extremo. Los mensajes siguen viajando hasta Meta con cifrado Signal, y Meta los descifra y los reenvía a la empresa por TLS.

¿Meta puede leer los mensajes de la API de WhatsApp Business?

En Cloud API, sí: los servidores de Meta descifran los mensajes como encargado del tratamiento de la empresa, los guardan cifrados en reposo y los conservan hasta 30 días. En la app WhatsApp Business sin Cloud API vinculada ni proveedor, no: los chats van cifrados de extremo a extremo entre dispositivos.

¿Un chatbot con IA puede leer mensajes cifrados de extremo a extremo?

Solo cuando recibe el mensaje descifrado en un extremo. En la Cloud API de WhatsApp, en Instagram, en los chats de empresa de Messenger, en los bots de Telegram y en los chatbots de Viber, el lado de la empresa no está cifrado de extremo a extremo, así que la IA trabaja con texto legible.

¿Qué diferencia hay entre cifrado de extremo a extremo y cifrado en reposo?

El cifrado en reposo protege los datos almacenados, y el servicio que los guarda suele tener las claves. El cifrado de extremo a extremo mantiene las claves solo en los extremos de la conversación, así que el proveedor que retransmite el mensaje no puede leerlo.

¿Telegram cifra los chats de extremo a extremo por defecto?

No. Los chats en la nube, que son los predeterminados, usan cifrado cliente-servidor y se guardan cifrados en los servidores de Telegram. Solo los chats secretos, que son uno a uno y hay que iniciar a propósito, tienen cifrado de extremo a extremo, y las conversaciones de bot no son chats secretos.

¿Instagram sigue teniendo cifrado de extremo a extremo en 2026?

No. Instagram dejó de admitir la mensajería cifrada de extremo a extremo el 8 de mayo de 2026, y nunca fue el modo por defecto, así que trata los mensajes directos con cuentas de empresa como no cifrados de extremo a extremo.

¿Listo para automatizar tus respuestas con los tokens de canal cifrados con AES-256-GCM? Empieza gratis.