¿Qué es SFTP? El protocolo de transferencia de archivos SSH explicado

SFTP son las siglas de SSH File Transfer Protocol (protocolo de transferencia de archivos SSH), y a menudo se escribe también como Secure File Transfer Protocol. Mueve archivos entre un cliente y un servidor a través de una única conexión cifrada de Secure Shell (SSH), normalmente por el puerto TCP 22. La capa SSH autentica al servidor, cifra los comandos, las credenciales y los datos en tránsito, y protege la conexión frente a manipulaciones. SFTP es un protocolo distinto de FTP y se diferencia de FTPS, que añade TLS a FTP.

SFTP protege los datos en tránsito, pero no analiza los archivos en busca de malware, no aplica políticas de datos ni ofrece a los equipos de cumplimiento un registro gobernado de quién accedió a qué. Por ello, las organizaciones reguladas combinan SFTP con la gestión de claves, controles de acceso y registro de auditoría. Kiteworks ofrece un plano de control para el intercambio seguro de datos que somete SFTP, la transferencia gestionada de archivos, el correo electrónico y el uso compartido de archivos al mismo cifrado, control de acceso y registro de auditoría.

Puntos clave

1. SFTP no es FTP con cifrado añadido

SFTP es un protocolo distinto que se ejecuta dentro de una sesión SSH, no una versión protegida de FTP. No utiliza los comandos de FTP ni sus conexiones separadas de control y de datos, razón por la que resulta más fácil de hacer pasar por los cortafuegos que FTPS.

2. SFTP protege los datos en tránsito, no todo lo demás

El cifrado en tránsito cubre la confidencialidad y la integridad durante la transferencia. Los archivos en reposo, el malware dentro de los archivos y el gobierno de quién puede enviar qué son problemas distintos que requieren controles distintos.

3. La autenticación por clave es mejor que las contraseñas

La autenticación por clave pública, idealmente combinada con autenticación multifactor, resiste los intentos de adivinar credenciales que las contraseñas facilitan. La contrapartida es la gestión de claves: las claves sin gestionar se acumulan y se convierten en un riesgo silencioso.

4. El puerto 22 es un valor predeterminado, no una función de seguridad

El número de puerto no cambia la robustez del cifrado. Mover SFTP a otro puerto puede reducir el ruido de los análisis automatizados, pero no sustituye a una autenticación robusta, a algoritmos actuales ni a la supervisión.

5. El cumplimiento depende del sistema que rodea a SFTP

SFTP puede satisfacer las expectativas de seguridad en la transmisión, pero los registros de auditoría, el control de acceso y la propiedad de las claves determinan si un intercambio es defendible. Los auditores buscan pruebas de quién transfirió qué datos, cuándo y con qué política.

¿Qué significa SFTP?

La «S» de SFTP se refiere a Secure Shell, el protocolo que proporciona el canal seguro. SSH se diseñó como sustituto de las herramientas de acceso remoto inseguras. SFTP se diseñó junto a él para gestionar las operaciones con archivos dentro de ese canal, entre ellas subir, descargar, listar directorios, renombrar y eliminar archivos.

El protocolo se define en una serie de borradores del IETF del grupo de trabajo de SSH, y no en un estándar publicado. Los borradores caducaron, y las implementaciones como OpenSSH siguen una versión anterior del protocolo (la versión 3) que se ha convertido en la referencia de facto. El transporte SSH en el que se apoya SFTP está normalizado en las RFC 4251 a RFC 4254.

A veces se confunde SFTP con otros términos:

• FTP (File Transfer Protocol) envía comandos, credenciales y datos en texto plano. Consulte nuestra entrada del glosario sobre FTP.
• FTPS es FTP envuelto en TLS. Usa la estructura de comandos de FTP, por lo que necesita más de un puerto.
• SCP es una herramienta de copia independiente basada en SSH, con menos funciones que SFTP.
• TFTP (Trivial File Transfer Protocol) usa UDP y no tiene autenticación ni cifrado. Se limita a tareas sencillas, como el arranque de dispositivos de red.

¿Cómo funciona SFTP?

Una sesión SFTP sigue una secuencia predecible:

1. Conexión. El cliente abre una conexión TCP con el servidor, normalmente por el puerto 22, y ambas partes acuerdan las versiones del protocolo y los algoritmos.
2. Intercambio de claves y autenticación del servidor. El cliente y el servidor establecen claves de sesión compartidas mediante un método de intercambio de claves, y el servidor demuestra su identidad con su clave de host. El cliente comprueba esa clave con una en la que ya confía, lo que protege frente a los ataques de intermediario (man-in-the-middle).
3. Cifrado e integridad. A partir de este punto, todo el tráfico se cifra con un cifrado simétrico como AES o ChaCha20-Poly1305 y se protege con un código de autenticación de mensajes o con un modo de cifrado autenticado.
4. Autenticación del usuario. El usuario demuestra quién es con una contraseña, un par de claves SSH, peticiones interactivas por teclado, como un código de un solo uso, u otros métodos admitidos.
5. Operaciones con archivos. El cliente inicia el subsistema SFTP y envía solicitudes para leer, escribir, listar y gestionar archivos en la misma conexión.

Como los comandos y los datos viajan por una sola conexión, SFTP solo necesita un puerto abierto. Esa sencillez es una de las razones principales por las que los administradores lo prefieren a FTPS. El intercambio de claves en el SSH moderno se basa habitualmente en Diffie-Hellman de curva elíptica, y las claves de host y de usuario suelen ser Ed25519, ECDSA o RSA. Para conocer cómo funcionan estos tipos de claves, consulte nuestra guía sobre el cifrado de clave pública y clave privada, y para el cifrado simétrico más utilizado en el flujo de datos, consulte el cifrado AES-256.

¿Qué nivel de seguridad ofrece SFTP?

SFTP ofrece una protección sólida de los datos en tránsito cuando está bien configurado. Entre las protecciones figuran:

• Confidencialidad. Los comandos, las credenciales y el contenido de los archivos se cifran entre el cliente y el servidor.
• Integridad. La manipulación en tránsito se detecta mediante la autenticación de mensajes.
• Autenticación del servidor. La clave de host permite a los clientes detectar un servidor impostor, siempre que el cliente verifique la clave.
• Autenticación flexible de usuarios. El inicio de sesión por clave y las opciones multifactor reducen la dependencia de las contraseñas.

Los límites importan igual. SFTP no protege los archivos en reposo en el servidor, no inspecciona el contenido de los archivos en busca de malware o datos sensibles y, por sí mismo, no ofrece registros centralizados ni flujos de aprobación. Tampoco aborda la disponibilidad, por lo que la resiliencia depende de cómo se construyan el servidor y la red. Los puntos débiles más comunes en la práctica son las contraseñas débiles, las claves sin gestionar, los algoritmos obsoletos, las cuentas compartidas y la falta de supervisión. Son problemas de configuración y de gobierno, no defectos del protocolo. Nuestra visión general sobre la transferencia segura de archivos explica cómo encajan estos controles.

¿Qué puerto utiliza SFTP?

SFTP utiliza por defecto el puerto TCP 22, el mismo que SSH, y no necesita un puerto de datos aparte. Los administradores pueden ejecutarlo en otro puerto. Hacerlo puede reducir el volumen de intentos de inicio de sesión automatizados dirigidos al puerto 22, pero no hace más robusto el cifrado, por lo que debe complementar, y no sustituir, la autenticación por clave, las restricciones por IP y la supervisión.

A modo de comparación, FTP usa el puerto 21 para los comandos y una conexión de datos aparte. FTPS usa el puerto 21 en modo explícito o el puerto 990 en modo implícito, además de un rango de puertos para las conexiones de datos, lo que complica las reglas del cortafuegos. TFTP usa el puerto UDP 69.

¿Cuál es la diferencia entre FTP, SFTP, FTPS y TFTP?

Protocolo	Basado en	Cifrado	Puertos habituales	Efecto en el cortafuegos
FTP	TCP	Ninguno; credenciales y datos en texto plano	21 más conexiones de datos	Varios puertos, se necesita modo pasivo
FTPS	FTP con TLS	TLS	21 o 990 más un rango de puertos de datos	Varios puertos que abrir y vigilar
SFTP	SSH	Cifrado del transporte SSH	22	Un solo puerto
TFTP	UDP	Ninguno	69	Limitado a redes locales de confianza

FTPS es una opción razonable cuando los socios ya operan sistemas y certificados basados en TLS, mientras que SFTP suele ser más sencillo de desplegar a través de cortafuegos y encaja con las operaciones centradas en SSH. Para una comparación más detallada, lea nuestra guía de SFTP frente a FTP. SFTP también se diferencia de una VPN. Una VPN protege una ruta de red y puede transportar cualquier tráfico, mientras que SFTP protege un único servicio de transferencia de archivos, por lo que las organizaciones suelen usarlos juntos en lugar de elegir uno.

¿Cuáles son las ventajas y los inconvenientes de SFTP?

Ventajas

• Cifrado robusto y autenticación del servidor en un protocolo maduro y de amplia compatibilidad.
• Un solo puerto y una sola conexión, lo que simplifica el diseño del cortafuegos y de la red.
• Compatibilidad con la autenticación por clave, que se adapta bien a la automatización y reduce el riesgo asociado a las contraseñas.
• Amplia compatibilidad de clientes y servidores en sistemas operativos y herramientas de scripting.
• Muchos clientes pueden reanudar las transferencias interrumpidas, lo que ayuda con los archivos grandes.

Inconvenientes

• Proliferación de claves. Las claves que no se inventarían ni se rotan generan accesos ocultos.
• Sin inspección de contenido integrada, de modo que el malware y los datos sensibles pasan salvo que existan otros controles.
• Gobierno nativo limitado. El registro, los informes, las aprobaciones y la retención dependen de la plataforma del servidor.
• El rendimiento en enlaces de alta latencia puede resentirse, y el comportamiento varía entre implementaciones.
• Las configuraciones manuales son difíciles de escalar entre muchos socios, cuentas y scripts.

¿Cuáles son las mejores prácticas para usar SFTP de forma segura?

1. Prefiera la autenticación por clave y añada autenticación multifactor cuando los usuarios inicien sesión de forma interactiva. Desactive el inicio de sesión con contraseña en las cuentas automatizadas. Consulte nuestra guía sobre la autenticación multifactor.
2. Gestione las claves como activos. Mantenga un inventario, asigne responsables, rote las claves según un calendario y elimínelas cuando se marchen las personas o se retiren las integraciones.
3. Verifique las claves de host. Fije o distribuya claves de host de confianza para que los clientes puedan detectar un servidor modificado o suplantado.
4. Permita solo algoritmos modernos. Desactive los cifrados, los métodos de intercambio de claves y los algoritmos de firma heredados que ya no se consideran seguros.
5. Aplique privilegios mínimos. Dé a cada cuenta solo las carpetas y las operaciones que necesita y evite las cuentas compartidas. Consulte el control de acceso basado en roles.
6. Restrinja el origen de las conexiones. Utilice listas de IP permitidas, geovallado y limitación de la tasa de peticiones contra los ataques de fuerza bruta.
7. Analice e inspeccione los archivos. Añada análisis antivirus y comprobaciones de prevención de pérdida de datos, ya que SFTP no lo hará por sí mismo. Consulte nuestras guías sobre el antivirus y la prevención de pérdida de datos.
8. Registre todo y envíelo a su SIEM. Registre los inicios de sesión, los fallos y las operaciones con archivos, y revíselos. Consulte nuestra guía sobre los registros de auditoría.
9. Aplique los parches del software del servidor con rapidez. Las implementaciones de SSH reciben correcciones de seguridad con regularidad.

¿Cuándo conviene usar SFTP?

SFTP encaja en los intercambios programados y automatizados entre partes conocidas. Entre los ejemplos habituales figuran las organizaciones sanitarias que intercambian con sus socios archivos de reclamaciones y de historiales, las entidades financieras que entregan informes por lotes, los fabricantes que intercambian con sus proveedores archivos de pedidos y EDI, los organismos públicos que reciben documentación presentada, los equipos de medios que entregan activos de gran tamaño y los equipos de desarrollo que distribuyen artefactos de compilación. Para el intercambio puntual con personas que necesitan una experiencia interactiva, suele ser más adecuado el uso compartido seguro de archivos o la protección del correo electrónico que pedir a los destinatarios que usen un cliente SFTP. Vea cómo la transferencia gestionada de archivos amplía SFTP para los flujos de trabajo recurrentes.

¿Qué papel desempeña SFTP en el cumplimiento normativo?

SFTP ayuda a las organizaciones a cumplir las obligaciones de proteger los datos en tránsito, pero ningún protocolo hace por sí solo que una organización cumpla la normativa. Entre los requisitos que puede respaldar figuran el estándar de seguridad en la transmisión de la Regla de Seguridad de HIPAA (HIPAA), los requisitos de PCI DSS sobre criptografía robusta cuando los datos de titulares de tarjetas atraviesan redes abiertas (PCI DSS), la obligación de seguridad del tratamiento del RGPD y los controles de NIST SP 800-171 para proteger la información no clasificada controlada durante la transmisión (NIST 800-171). Los auditores suelen pedir más que pruebas de cifrado. Quieren ver quién intercambió qué datos, quién aprobó el acceso, cómo se controlan las claves y si la criptografía está validada. Las organizaciones que necesitan criptografía validada deben buscar módulos con validación FIPS.

¿Qué debe buscar en una solución SFTP?

• Opciones de autenticación: inicio de sesión por clave, autenticación multifactor e integración con su proveedor de identidades.
• Gestión de claves: registro de claves por autoservicio, controles de políticas y una titularidad clara.
• Permisos granulares: acceso a carpetas basado en roles y capacidad de funcionar en modo de solo lectura.
• Controles de sesión: límites de sesiones simultáneas y tiempos de inactividad.
• Registro de auditoría: registros completos de inicios de sesión, fallos y operaciones con archivos, con flujos hacia su SIEM.
• Controles de contenido: integración con antivirus y DLP.
• Criptografía: algoritmos modernos y módulos con validación FIPS para entornos regulados.
• Flexibilidad de despliegue: opciones que se ajusten a sus requisitos de residencia de datos y de aislamiento. Consulte nuestra visión general de las opciones de despliegue seguro.
• Automatización y escala: programación, flujos de trabajo y transferencias de archivos grandes reanudables.

Situación actual: intercambio de claves poscuántico y algoritmos heredados

Esta sección se revisa y actualiza por separado del resto de la página. Última revisión: octubre de 2026.

OpenSSH 10.0, publicado en abril de 2025, convirtió el método híbrido de intercambio de claves poscuántico mlkem768x25519-sha256 en el predeterminado del cliente, que combina el algoritmo ML-KEM-768 normalizado por NIST con el método de curva elíptica X25519. Esa misma versión eliminó la compatibilidad con el algoritmo de firma débil DSA. El intercambio de claves híbrido está diseñado para proteger las sesiones SFTP registradas hoy frente a un posible descifrado futuro por un ordenador cuántico, manteniendo al mismo tiempo la protección de los algoritmos actuales.

Que una conexión SFTP use un intercambio de claves poscuántico depende de ambos extremos. El software del cliente y el del servidor deben admitirlo, y el servidor debe permitirlo en su configuración. Cuando evalúe un servidor o un servicio SFTP, pregunte qué métodos de intercambio de claves admite y si se pueden desactivar los algoritmos heredados.

Transfiera archivos de forma segura y conforme a la normativa con Kiteworks SFTP

Kiteworks ofrece un plano de control para el intercambio seguro de datos que aplica a SFTP el mismo gobierno que al correo electrónico, al uso compartido de archivos y a la transferencia gestionada de archivos. El SFTP Server de Kiteworks da a las partes externas acceso SFTP a carpetas compartidas, mientras que los empleados acceden a las mismas carpetas a través de las interfaces web y móvil con los mismos controles de acceso. La plataforma ayuda a las organizaciones de estas maneras:

• Autenticación por clave y controlada por políticas. Los administradores pueden exigir la autenticación por clave, y los usuarios y administradores pueden registrar y gestionar claves públicas SSH para transferencias automatizadas y manuales.
• Puertos configurables. SSH y SFTP pueden ejecutarse en puertos distintos del 22.
• Permisos de carpeta basados en roles. Los permisos se aplican a cada lectura, escritura, cambio de nombre y eliminación, de modo que los usuarios de SFTP solo pueden hacer lo que su rol permite, y un servidor SFTP puede funcionar en modo de solo lectura.
• Controles de sesión. Los administradores pueden limitar las sesiones simultáneas por usuario y finalizar automáticamente las sesiones inactivas.
• Registro de auditoría. Los inicios de sesión SFTP, los intentos fallidos, los accesos denegados y las operaciones con archivos se registran en el registro de auditoría único de la plataforma, que puede enviarse a su SIEM.
• Transferencia de archivos grandes con reanudación. Las cargas y descargas grandes se transmiten por fragmentos, y las cargas pueden reanudarse tras una interrupción.
• Criptografía validada y claves de cifrado propiedad del cliente. El servicio SFTP utiliza criptografía con validación FIPS 140 para los entornos que la requieren, y los clientes son propietarios de sus claves de cifrado. Consulte el cifrado con validación FIPS 140-3 de nivel 1 de la plataforma.

Para los flujos de trabajo recurrentes y automatizados, añada MFT seguro en la misma plataforma. Explore el plano de control de datos de Kiteworks para ver cómo encaja SFTP en un intercambio de datos gobernado.