Para que no pierdas tiempo: este desencriptador de texto abre los mensajes cifrados con nuestro Encriptador de Texto, y solo esos. No descifra contraseñas, archivos ni texto cifrado con otros programas. Si alguien de tu equipo en Madrid o en Lima te mandó por correo un bloque de texto que empieza por TUFQUDE y te pasó la frase clave por WhatsApp, estás en el sitio correcto: pega los dos, pulsa "Decrypt" y lees el mensaje original. Todo pasa en tu navegador, sin enviar nada a ningún servidor. Ni el mensaje ni la clave salen de tu equipo.
Qué hace el Desencriptador Online
Alguien te envió un texto cifrado generado con el Encriptador de Texto. La frase clave te la dio por otra vía (un canal distinto al del texto cifrado). El Desencriptador Online toma ese bloque y la frase clave y te devuelve el mensaje original. El descifrado se hace por completo en tu navegador con AES-256-GCM y la misma derivación de clave PBKDF2 que usó el encriptador.
Las dos herramientas forman un par completo: todo lo que cifra el Encriptador de Texto se descifra aquí con la frase clave correcta, y solo aquí (o en un programa propio que hable el mismo formato). Que vayan en pareja es justo la idea: la cabecera mágica al principio del texto cifrado le indica al desencriptador qué formato esperar.
Cómo funciona
Pega el texto cifrado (el bloque en base64) en el primer cuadro. Escribe la frase clave. Pulsa "Decrypt". Si todo va bien, el texto original aparece en verde; si algo falla, ves un mensaje de error.
El descifrado es autenticado, y esa es su propiedad más importante. Si la frase clave es incorrecta, el descifrado falla con un error claro ("contraseña incorrecta o texto manipulado"), nunca con texto sin sentido. Si el texto cifrado cambió aunque sea un solo bit por el camino (un cliente de correo que lo estropea, un corte accidental, una manipulación a propósito), falla igual. Con el cifrado autenticado nunca recibes en silencio un texto corrompido.
TUFQUDEAAAB… y te pasa por SMS la frase clave ravenwolf-37-blue. Pegas las dos cosas. El desencriptador saca la sal y el IV de la cabecera del bloque, deriva la clave AES a partir de tu frase clave con esa sal, ejecuta el descifrado y la verificación AES-256-GCM, y te muestra: The package is at 4 PM. El mismo texto con el que empezó el encriptador. Ida y vuelta sin pérdidas.
Por qué "autenticación fallida" es útil
El cifrado ingenuo (modos antiguos como CBC sin autenticación) te devuelve texto revuelto cuando la clave es incorrecta o el texto cifrado se modificó. AES-GCM es distinto: durante el cifrado, el algoritmo calcula una etiqueta de autenticación de 16 bytes que depende de cada byte de la entrada. Al descifrar, verifica esa etiqueta antes de producir ninguna salida. Si algo cambió (clave incorrecta, texto cifrado modificado, aunque sea un solo bit), la verificación falla y el descifrado no devuelve nada.
Eso significa que puedes confiar en que un descifrado correcto te da el texto original, no una versión corrompida. No queda la duda de "¿habrá llegado bien?". O se descifra (y tienes el mensaje real) o da error (y sabes que tienes que volver a intentarlo).
¿Por qué no sirve una herramienta genérica de "descifrar AES"?
Porque el formato no está estandarizado. Cada herramienta de cifrado empaqueta su resultado a su manera: unas incluyen la sal y otras no; unas usan IV de 12 bytes y otras de 16; unas usan PBKDF2 con 100.000 iteraciones, otras con 250.000, otras scrypt o Argon2. Para descifrar bien, el desencriptador tiene que conocer exactamente los mismos parámetros que usó el encriptador.
El encriptador usa: PBKDF2-HMAC-SHA256 con 250.000 iteraciones, sal de 16 bytes, AES-256-GCM con IV de 12 bytes y una cabecera mágica propia de 8 bytes. El desencriptador lo sabe porque son herramientas emparejadas. Una herramienta genérica de "descifrar AES" tendría que adivinar todos esos parámetros y fallaría en cada uno.
Y si el texto viene de otra herramienta de cifrado
Salida de OpenSSL. Usa OpenSSL para descifrarla. Formato distinto (cabecera Salted__, otra derivación de clave). No es compatible.
Salida de GPG. Usa GPG. Formato distinto (formato de mensaje PGP, otra derivación de clave). No es compatible.
Salida de age. Usa age. Formato distinto (intercambio de claves X25519, ChaCha20-Poly1305). No es compatible.
Salida del Encriptador de Texto. Usa este Desencriptador Online. Mismo formato. Compatible.
Fallos habituales
Frase clave incorrecta. Es, con diferencia, la causa más común. Revisa mayúsculas y minúsculas (P frente a p), los caracteres especiales (- frente a _) y si se te coló un espacio al final al copiarla.
Texto cifrado incompleto. Si el texto llegó por un chat que parte las líneas o corta caracteres al final, puede estar incompleto. Pide a quien te lo envió que lo mande otra vez entero. Si es demasiado corto, la herramienta te avisa de que el bloque no parece completo.
Espacios dentro del base64. Algunos clientes de correo meten un salto de línea cada 76 caracteres. El desencriptador quita los espacios y saltos de línea automáticamente, así que normalmente no es un problema. Si aun así falla, pégalo antes en un editor de texto plano para ver qué hay realmente.
Formato equivocado. Si intentas descifrar aquí una salida de OpenSSL o GPG, la comprobación de la cabecera mágica falla al momento con un error de "formato incorrecto". Usa la herramienta que corresponde a ese formato.
¿Y si perdí la frase clave?
El mensaje no se puede recuperar. Punto. No hay puerta trasera, ni servicio de recuperación de claves, ni enlace de "olvidé mi frase clave". Romper AES-256 por fuerza bruta es inviable con cualquier hardware actual o del futuro cercano, y las 250.000 iteraciones de PBKDF2 hacen que incluso una frase clave razonable, aunque no perfecta, aguante años de esfuerzo de un atacante.
Es así a propósito: un cifrado con mecanismo de recuperación también tendría una puerta trasera para los atacantes. El precio de la confidencialidad de verdad es que no hay recuperación. Nunca cifres la única copia de algo importante.
Privacidad
Todo el proceso de descifrado ocurre en tu navegador. La Web Crypto API hace el trabajo pesado: la derivación de clave PBKDF2 y el descifrado AES-GCM. No hay ningún servidor nuestro que vea tu texto cifrado ni tu frase clave. No registramos nada, no guardamos nada, no enviamos nada.
Si quieres comprobarlo, abre las herramientas de desarrollo del navegador → pestaña Red → descifra el mensaje. Verás que no sale ninguna petición. La página es estática; la criptografía pasa en tu pestaña.
Herramientas relacionadas
Para cifrar (la otra mitad del par), usa el Encriptador de Texto. Para crear hashes de contraseñas que se guardan en un servidor (otro problema distinto), mira el Generador Bcrypt. Para codificar y decodificar Base64 (la codificación que usa el texto cifrado), está el Codificador/Decodificador Base64. Y para hashes de un solo sentido que verifican la integridad, el Generador SHA-256 es la herramienta indicada.