tar + gpg: la copia cifrada más simple, y lo que no hace por ti

2026-10-18

Si solo quieres guardar una carpeta cifrada en un disco externo o en una nube, tar y gpg ya están instalados en casi cualquier Linux. Es la copia más simple posible. Esta prueba mide qué da y qué le falta frente a una herramienta como restic.

Condiciones: gpg del sistema (Ubuntu 24.04), contraseña desechable, 20 ficheros aleatorios de 1 MiB y un log de texto repetitivo de 5 MiB (25 604 KiB en total). Script: tools/test-gpg-tar.sh. No se probó age ni cifrado con clave pública, ni Windows o macOS.

La copia

tar -cf - carpeta | gpg --symmetric --cipher-algo AES256 -o copia.tar.gpg

Resultado: un único fichero de 21 047 988 bytes, en 1,65 s. Ocupa menos que el origen porque gpg comprime antes de cifrar: el log repetitivo se encogió y los ficheros aleatorios no. La restauración (gpg -d copia.tar.gpg | tar -xf -) devolvió los 21 ficheros.

Lo que no hace

• Cada copia es completa. Al día siguiente se cambió un fichero y se repitió el proceso: 21 048 020 bytes, es decir, otra copia del mismo tamaño y ningún ahorro. Con 30 copias guardadas tendrías 30 veces el espacio; para eso se inventó la deduplicación de restic y por eso la política de retención importa menos aquí: borras ficheros enteros a mano.
• No hay histórico navegable. Para recuperar un fichero hay que descifrar y descomprimir la copia entera (en esta prueba, sin medir el tiempo de la restauración; no la cronometré). Compáralo con restaurar un fichero concreto con restic.
• No sabes si una copia antigua sigue sana hasta que la abres.

Qué pasa cuando algo va mal

• Contraseña incorrecta: gpg: decryption failed: Bad session key, código de salida 2. Claro y sin datos parciales.
• Un byte alterado a mitad del fichero: gpg avisó WARNING: encrypted message has been manipulated! y salió con código 2. En ese caso tar -t no se quejó (código 0), así que si encadenas con una tubería, mira el código de gpg (en bash, ${PIPESTATUS[0]} o set -o pipefail) y no solo el de tar. Es el mismo problema de los códigos de salida: un script que solo mira el último comando de la tubería da por buena una copia dañada.

Cuándo usarlo

Para una carpeta pequeña, de cambios raros, que quieres archivar una vez (declaraciones de impuestos de un año, por ejemplo). Para datos que cambian, usa una herramienta con copias incrementales. En cualquier caso, prueba la restauración y guarda la contraseña en un gestor (cómo exportar sin dejar claves sueltas): sin ella, el fichero es irrecuperable.

Este artículo no contiene enlaces de afiliado.