Alojamiento de vídeo seguro con control real sobre quién lo ve

El alojamiento de vídeo seguro es un alojamiento en el que cada eslabón entre quien sube el vídeo y quien lo ve está protegido por separado: la cuenta del equipo, el almacenamiento, el enlace, el streaming, la descarga y la inserción.

Suena a lista de folleto. Pero mira dónde suele romperse la cadena. No en el cifrado — eso lo hace todo el mundo desde hace tiempo. Se rompe donde resulta cómodo: un enlace reenviado, una contraseña compartida entre tres personas, una carpeta abierta a «cualquier persona con el enlace» (en inglés), un reproductor copiado en la web de otro.

Imagina un vídeo sobre una reorganización que la dirección no enseñará a la plantilla hasta el viernes. Está listo el martes. Esos tres días entre «listo» y «disponible» son justo cuando hace falta un alojamiento de vídeo seguro: el vídeo está ahí, funciona, se está aprobando — y nadie más puede verlo. Una nube normal no está pensada para esto; explicamos por qué en el artículo alojamiento de vídeo frente a almacenamiento en la nube (en inglés).

En VodSpot es rutina: el vídeo es privado desde el momento de la subida, la página de aprobación tiene contraseña y caduca el viernes, las descargas están desactivadas, y el viernes abres el acceso para todos con un solo clic.

La seguridad no es una cámara acorazada. Es un horario: quién, qué y hasta cuándo.

La contraseña en el enlace es el candado principal, y a menudo el único, en la mayoría de los servicios. El alojamiento de vídeo seguro empieza donde una contraseña sola ya no basta.

Zoom es un buen ejemplo de cómo se puede romper un «enlace como candado». En 2019, investigadores de Check Point demostraron que podían adivinar alrededor del 4 % de los números de reunión generados al azar: si una reunión no tenía contraseña, esos 9-11 dígitos eran lo único que la protegía (Check Point Research, enero de 2020). Zoom respondió como responde casi cualquier servicio: activando las contraseñas por defecto.

La contraseña tapó un agujero y abrió otro. Una contraseña es un secreto compartido. Se envía en el mismo email que el enlace (cómo compartirla bien, en nuestra guía de contraseñas para vídeo (en inglés)), se reenvía a un compañero «para que lo vea también» o se publica en un chat de grupo. Protege la página de los curiosos, pero no del reenvío.

Por eso el alojamiento de vídeo seguro de VodSpot ofrece dos niveles más. El primero es una página de entrega distinta para cada destinatario: el distribuidor tiene su enlace, la agencia el suyo, y revocar uno no afecta a los demás. El segundo es el acceso por email: el espectador introduce su dirección de email y un código de un solo uso enviado a esa dirección. Un enlace reenviado no sirve de nada sin acceso a la bandeja de entrada del destinatario.

Una contraseña dice «uno de los nuestros». El acceso por email dice «cuál».

El DRM (Digital Rights Management, gestión de derechos digitales) cifra el vídeo para que solo un reproductor de confianza en un dispositivo de confianza pueda reproducirlo. Es en lo que se apoyan Netflix y Disney+. Para un estudio, una agencia o un autor de cursos, suele ser excesivo — y te contamos por qué.

El DRM de Vimeo es un complemento del plan Enterprise, que solo se vende a través de su equipo comercial. La ayuda de Vimeo indica con honestidad el precio de esta comodidad: los vídeos con DRM «will not work on third-party players» y «may be capped at 720p in certain environments». Wistia también ofrece protección de reproducción solo en su plan Enterprise. Es decir, pagas precio Enterprise para que los clientes vean tu película 4K en 720p.

Y lo más importante: el DRM no impide que alguien apunte con el móvil a la pantalla. Por eso hasta los grandes estudios añaden marcas de agua sobre el DRM, para saber qué copia se filtró. Para saber más sobre los tipos de marca de agua y cuándo funcionan, lee nuestro artículo qué es una marca de agua en vídeo (en inglés).

El alojamiento de vídeo seguro de VodSpot va por otro camino. No tenemos DRM, y no lo escondemos. En su lugar, en el plan Studio y superiores, el email confirmado del espectador se desplaza de forma translúcida sobre el fotograma — incluso a pantalla completa. El reproductor es estándar, el 4K sigue siendo 4K, y quien quiera grabar la pantalla grabará también su nombre.

El DRM bloquea el archivo. La marca de agua firma la copia.

Lo más valioso del alojamiento de vídeo seguro no es el enlace, sino la cuenta desde la que se reparten esos enlaces. Desde ella se ve todo: cada proyecto, cada máster, cada cliente.

Imagina a Andre: dirige un estudio de postproducción de cinco personas en Burbank. Contrata a un colorista freelance para una semana. El freelance recibe un email de «patrocinio» con un adjunto; abre el archivo y un malware le roba del navegador las cookies de sesión. No hace falta contraseña ni segundo factor — el atacante entra como si fuera el colorista.

No es ciencia ficción. En 2021, el equipo de análisis de amenazas de Google describió exactamente esta campaña contra creadores de YouTube: emails que prometían colaboraciones, malware y robo de cookies. Google contabilizó unas 15.000 cuentas maliciosas y devolvió unas 4000 cuentas a sus dueños (Google Threat Analysis Group, octubre de 2021). El secuestro de sesión se salta tanto la contraseña como la autenticación en dos pasos.

¿Significa esto que el segundo factor no sirve? Al contrario. Un estudio de Google de 2019 con NYU y UC San Diego mostró que incluso un código por SMS frena el 100 % de los bots automatizados, el 96 % del phishing masivo y el 76 % de los ataques dirigidos, mientras que la verificación en el dispositivo frena el 100 %, el 99 % y el 90 %. El segundo factor bloquea casi todo. El resto lo bloquean los roles, las sesiones y el registro.

Así es como se ve en VodSpot en el caso de Andre. El colorista estaba en el equipo con el rol de editor, no de propietario: no puede eliminar proyectos ni tocar la facturación. A las 3:12 de la madrugada, «él» publica una página de entrega con un anuncio sin estrenar. Por la mañana, Andre lo ve en el registro de actividad: quién, qué y cuándo. Despublica la página — el enlace deja de funcionar y las reproducciones en curso se detienen en un minuto aproximadamente — y saca al colorista del equipo. El colorista cierra todas sus sesiones y activa la autenticación en dos pasos. El daño es una noche, no el archivo del estudio.

No hackean el vídeo. Hackean a las personas que tienen acceso a él.

La seguridad difícil de usar acaba desactivada. Los investigadores del NIST lo llaman «fatiga de seguridad»: cuando hay demasiadas reglas y contraseñas, la gente toma el camino fácil y empieza a saltárselas (Stanton et al., NIST, 2016). Por eso un buen alojamiento de vídeo seguro no se mide por la longitud de su lista de funciones, sino por lo que viene activado por defecto.

Hazle al servicio estas preguntas:

• ¿Los vídeos son privados desde el momento de la subida? ¿O públicos al principio, hasta que te acuerdas de hacerlos privados?
• ¿Puedes desactivar un enlace sin eliminar el vídeo? ¿Seguirán funcionando los demás enlaces?
• ¿Hay acceso por email, y no solo una contraseña compartida? ¿Y se sabe quién abrió la página?
• ¿La descarga se configura para cada vídeo? Sí para el montaje final, no para los borradores.
• ¿Puedes limitar el reproductor a tus propios dominios? Para que el código copiado no se reproduzca en la web de otro.
• ¿No hay URL públicas de archivos? ¿O se puede reenviar un enlace del almacenamiento y seguir abriéndolo un año después?
• ¿El equipo tiene roles, autenticación en dos pasos y registro? ¿O todo el mundo trabaja con el mismo usuario?
• ¿La revocación detiene las reproducciones en curso? ¿O solo las nuevas?

Con el alojamiento de vídeo seguro de VodSpot, la respuesta a todas las preguntas es «sí». Lo que depende del plan lo encontrarás en los precios.

La mejor protección es la que no tienes que acordarte de activar.