Antes de abrir o instalar un archivo descargado de la BitBoxApp, puedes comprobar si Shift Crypto lo firmó y si permanece intacto desde entonces. Puedes hacer esta verificación en Windows, macOS o Linux, también para un APK de Android.

El método recomendado utiliza GnuPG, un programa que verifica firmas digitales de forma local en tu ordenador. Para completar la verificación, GnuPG debe confirmar una firma válida del archivo exacto que vas a instalar y la huella completa de la clave utilizada debe coincidir con la huella oficial de la clave de firma de Shift Crypto. Un nombre conocido no basta para identificar al firmante.

No necesitas conectar tu BitBox ni proporcionar datos de tu billetera. Esta comprobación nunca requiere palabras de recuperación, una copia de seguridad de la billetera, una contraseña, una passphrase, una clave privada, un PIN ni un código de autenticación.

Si la línea de comandos te supone una dificultad, al final encontrarás un método opcional con asistencia de IA. Para usarlo, debes confiar también en el proveedor de IA y en su informe. Si solo quieres comparar tu descarga con un valor SHA-256 publicado, sigue la guía específica para verificar la suma de comprobación de la BitBoxApp. Una coincidencia por sí sola no autentica de forma independiente a quien publicó el archivo.

Estas instrucciones sirven para verificar el archivo de instalación descargado, no una aplicación ya instalada ni una instalación desde una tienda de aplicaciones.

1. Prepara los archivos

Para verificar la firma necesitas tres archivos. Consérvalos sin modificar en la misma carpeta:

• El archivo de instalación de la BitBoxApp: la descarga que vas a instalar, como un archivo .exe para Windows, .dmg para macOS, .AppImage, .deb o .rpm para Linux, o .apk para Android.
• Su archivo de firma: un archivo pequeño e independiente cuyo nombre es el nombre completo del archivo de instalación seguido de .asc. GnuPG lo utiliza para verificar ese archivo de instalación exacto.
• El archivo de la clave pública de firma: shiftcryptosec-509249B068D215AE.gpg.asc. Esta clave pública permite a GnuPG comprobar las firmas creadas con la clave de firma correspondiente. El archivo contiene información pública, no un secreto de tu billetera.

Tanto el archivo de firma como el de la clave pública terminan en .asc, pero cumplen funciones distintas. La firma corresponde a un archivo de instalación concreto; la clave pública identifica al firmante. Su huella es el identificador completo que compararás con la referencia oficial.

1. Abre la página oficial de versiones de la BitBoxApp en GitHub y busca la versión indicada en el nombre del archivo que has descargado.
2. En la sección Assets de esa versión, despliega la lista completa de archivos si es necesario. Si aún no has descargado el archivo de instalación, selecciona el que corresponda a tu sistema operativo y al formato de paquete que necesites. No selecciones Source code (zip) ni Source code (tar.gz).
3. Descarga la firma correspondiente. Su nombre debe ser el nombre completo del archivo de instalación seguido de .asc. Por ejemplo, un archivo que termina en .dmg necesita su archivo .dmg.asc de la misma versión.
4. Descarga el archivo de la clave pública de firma de Shift Crypto en la misma carpeta.

La insignia Verified de GitHub para un commit o una etiqueta no sustituye la verificación del archivo de instalación. A continuación comprobarás el archivo exacto que has descargado; después, instala ese mismo archivo y no otra copia.

2. Instala o localiza GnuPG

GnuPG proporciona el comando gpg. Si ya está instalado, abre una terminal y ejecuta gpg --version. Cuando aparezca una versión de GnuPG, continúa con la sección 3. Si no aparece, sigue las instrucciones para el dispositivo en el que vas a realizar la verificación.

Windows

1. Descarga e instala Gpg4win desde el sitio oficial de Gpg4win.
2. Abre Símbolo del sistema o PowerShell. Si la ventana estaba abierta durante la instalación, ciérrala y abre otra para que pueda encontrar el comando recién instalado.
3. Ejecuta gpg --version. Continúa cuando aparezca la versión instalada.

macOS

Si ya utilizas Homebrew, abre Terminal, ejecuta brew install gnupg y después gpg --version.

Si no utilizas Homebrew, abre la página de descargas de GnuPG y utiliza uno de los instaladores para macOS que aparecen entre las versiones binarias. Sigue las instrucciones del instalador, abre Terminal y ejecuta gpg --version. Continúa cuando aparezca la versión instalada.

Linux

Abre una terminal y ejecuta gpg --version. Si el comando no está disponible, instala GnuPG con el gestor de paquetes de tu distribución:

• Debian, Ubuntu o Linux Mint: sudo apt install gnupg
• Fedora: sudo dnf install gnupg2

Para otra distribución, utiliza su gestor de paquetes oficial. Después de la instalación, vuelve a ejecutar gpg --version.

APK de Android

La opción recomendada es verificar el APK en un ordenador con Windows, macOS o Linux siguiendo las instrucciones correspondientes de arriba. Estás comprobando el archivo APK; no lo instalas en el ordenador. Si después lo transfieres a tu dispositivo Android, utiliza ese mismo APK verificado.

Si tienes experiencia con la línea de comandos, también puedes utilizar Termux directamente en Android 7 o posterior:

1. Guarda el APK, su archivo .apk.asc correspondiente y el archivo de la clave pública de firma en la carpeta Descargas de Android.
2. Instala Termux desde F-Droid y ábrelo.
3. Ejecuta termux-setup-storage y permite el acceso a los archivos cuando Android lo solicite.
4. Ejecuta pkg update y después pkg install gnupg. Confirma las solicitudes del gestor de paquetes para completar la actualización y la instalación.
5. Ejecuta cd ~/storage/downloads y después gpg --version. Continúa cuando aparezca la versión instalada.

Si Termux no puede acceder a los archivos, o si los comandos o la ruta de almacenamiento son diferentes en tu dispositivo, realiza la verificación en un ordenador.

Si el comando gpg sigue sin estar disponible

Un mensaje como command not found o gpg is not recognized significa que la terminal no encuentra GnuPG; no es un resultado de la verificación de la firma. Comprueba que la instalación haya terminado y prueba en una nueva ventana de terminal. Si el comando sigue sin estar disponible, consulta la ayuda del instalador o contacta con el soporte de BitBox antes de continuar.

3. Inspecciona e importa la clave de firma

Primero comprueba que la clave pública descargada tenga la huella completa esperada. Mantén abierta la terminal para esta sección y las siguientes.

1. Introduce el siguiente comando con la ruta al archivo de la clave pública y pulsa Intro:

gpg --show-keys --fingerprint "PATH-TO/shiftcryptosec-509249B068D215AE.gpg.asc"

2. En el resultado, localiza la clave primaria, indicada como pub, y compara la huella completa que aparece debajo con la referencia oficial siguiente. La identidad esperada es ShiftCrypto Security <security@shiftcrypto.ch>, pero el nombre y el correo electrónico por sí solos no autentican la clave.

DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

Esta huella también está publicada en las instrucciones de verificación de la página oficial de versiones de la BitBoxApp. Compara los 40 caracteres en el mismo orden; los espacios y el uso de mayúsculas o minúsculas no cambian el valor. No la sustituyas por un identificador corto de clave.

3. Solo después de confirmar que la huella coincide, importa ese mismo archivo de clave pública con el comando siguiente. GnuPG debería indicar que la clave pública se ha importado o que ya estaba disponible.

gpg --import "PATH-TO/shiftcryptosec-509249B068D215AE.gpg.asc"

4. Verifica el archivo de instalación

Utiliza la firma correspondiente y el archivo de instalación exacto que vas a usar. Introduce primero la ruta de la firma y después la del archivo de instalación:

gpg --keyid-format none --verify "PATH-TO-SIGNATURE-FILE.asc" "PATH-TO-INSTALLATION-FILE"

1. Escribe gpg --keyid-format none --verify seguido de un espacio. Introduce la ruta del archivo de firma, añade otro espacio e introduce la ruta del archivo de instalación.
2. Comprueba que ambas rutas correspondan al par de archivos de la misma versión y pulsa Intro. GnuPG lee los archivos y muestra el resultado de la verificación; no instala la BitBoxApp.

La opción --keyid-format none muestra una huella completa en lugar de un identificador abreviado de clave. Comprueba el resultado de este comando en la siguiente sección.

5. Comprueba la firma y quién la creó

Un resultado correcto incluye un mensaje de firma válida, Good signature en inglés, y la huella esperada de la clave de firma. Este extracto muestra las líneas relevantes; la fecha, el idioma y el resto del resultado pueden variar:

gpg:                using RSA key DD09E41309750EBFAE0DEF63509249B068D215AE
gpg: Good signature from "ShiftCrypto Security <security@shiftcrypto.ch>" [unknown]
Primary key fingerprint: DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

• Comprueba la firma: GnuPG debe indicar una firma válida para el archivo de instalación exacto que has indicado en la sección 4.
• Comprueba la clave que realmente firmó el archivo: Compara la huella de la clave primaria de ese resultado, indicada como Primary key fingerprint en el ejemplo en inglés, con la referencia de la sección 3. Si esa línea no aparece, la huella completa de la línea using RSA key debe coincidir exactamente con la referencia. Si ninguna de las dos líneas te permite confirmar la clave esperada, detente y contacta con el soporte.

Si el resultado también indica una firma no válida, una clave o firma caducada o revocada, u otro error de verificación, detente y sigue las indicaciones para resolver errores que aparecen más abajo.

No sustituyas esta comparación por una búsqueda independiente de la clave esperada: encontrarla entre las claves guardadas en tu equipo no demuestra que se haya utilizado para verificar este archivo. Una firma válida de otra clave no supera la comprobación, aunque muestre el mismo nombre.

También puedes ver el aviso This key is not certified with a trusted signature y la etiqueta de confianza [unknown]. Se refieren a la base de datos local de confianza de GnuPG y no invalidan una firma criptográficamente válida. No necesitas cambiar la configuración de confianza de la clave para eliminar el aviso. Aun así, debes comparar la huella completa de la clave que realmente firmó el archivo.

La verificación termina cuando ambas comprobaciones son correctas. Puedes continuar con la instalación de ese mismo archivo verificado, respetando las comprobaciones de seguridad habituales de tu sistema operativo. Esto confirma la firma y la integridad del archivo; no demuestra que tu ordenador esté libre de software malicioso ni que cualquier acción en la aplicación sea segura.

Estos ejemplos históricos de Windows y macOS muestran dónde aparecen el mensaje de firma válida y la huella de la clave primaria. El resultado está en inglés; las versiones, los nombres de archivo y los comandos están desactualizados. Para tu propia verificación, utiliza el comando actual con dos archivos de la sección 4.

Si la verificación no se completa

Archivo no encontrado o ilegible

Si GnuPG muestra No such file o cannot open, comprueba que la descarga haya terminado y revisa las rutas y las comillas. Utiliza el comando con dos archivos de la sección 4, con la firma y el archivo de instalación correspondientes. Un error de ruta por sí solo no es motivo para borrar ninguno de los archivos.

No valid OpenPGP data found o no signature found puede indicar que has proporcionado un archivo incorrecto o guardado una página web en lugar de la firma o la clave. Comprueba en qué sección ha fallado el proceso y vuelve a descargar el archivo necesario desde su enlace oficial. Un archivo pequeño terminado en .asc no es necesariamente la firma correcta.

No public key

GnuPG no dispone de la clave necesaria para esta firma. Vuelve a la sección 3, inspecciona el archivo de la clave pública oficial e impórtalo solo si su huella coincide. Después, repite la sección 4. Si la firma requiere una clave diferente de la esperada, detente.

BAD signature

No abras, descomprimas, instales ni ejecutes el archivo de instalación. Primero comprueba que los nombres del archivo de instalación y de la firma se correspondan y pertenezcan a la misma versión. Si no es así, descarga el par correcto y repite la verificación.

Si el par correspondiente sigue dando una firma no válida, borra esos dos archivos descargados. Abre la página oficial de versiones de la BitBoxApp por tu cuenta, descarga un nuevo par de archivos correspondientes y repite la verificación. No necesitas borrar una clave pública cuya huella completa ya hayas comprobado.

Huella diferente u otro aviso sobre la clave

No aceptes una firma creada con otra clave ni cambies la huella esperada para que el resultado coincida. Si el archivo de la clave pública descargada no coincide, vuelve a descargarlo desde el enlace oficial e inspecciónalo antes de importarlo. Si la diferencia persiste, o GnuPG indica una clave o firma caducada o revocada, contacta con el soporte de BitBox antes de utilizar el archivo de instalación.

Contacta con el soporte de BitBox

Si no puedes completar la verificación con seguridad, deja el archivo de instalación sin abrir y contacta con el soporte de BitBox. Incluye tu sistema operativo, la versión de GnuPG, los nombres exactos de los archivos de instalación y de firma, la fuente de descarga y el resultado de la verificación con su huella. Antes de compartirlo, revisa si contiene nombres de carpetas personales.

Nunca incluyas palabras de recuperación, copias de seguridad de la billetera, contraseñas, passphrases, claves privadas, PIN ni códigos de autenticación.

Opcional: verificación con asistencia de IA

Si la verificación local con la línea de comandos te supone una dificultad, un servicio de IA con las capacidades necesarias puede intentar comprobar el archivo público de instalación que subas. Debe aceptar y procesar el archivo completo, acceder a la versión oficial en internet y ejecutar GnuPG. Algunos paquetes de la BitBoxApp superan los 200 MB, por lo que el método depende de las capacidades y los límites del servicio que elijas.

1. Sube el archivo de instalación exacto de la BitBoxApp que vas a utilizar, sin abrirlo.
2. Sustituye [VERSION] en la siguiente solicitud por la versión que aparece en su nombre y envíala.

Adjunto un archivo descargado de la BitBoxApp.

Busca la versión [VERSION] en la página de versiones del repositorio oficial BitBoxSwiss/bitbox-wallet-app en GitHub, descarga la clave y la firma correspondiente y verifica la firma del archivo que he subido. Muestra el comando, el resultado y la huella completa de la clave primaria del firmante real. Si no puedes procesar el archivo subido completo o ejecutar la verificación, indícalo expresamente.

Antes de confiar en el informe, comprueba que incluya todos estos datos:

• El nombre exacto del archivo que has subido y la versión oficial correspondiente.
• El nombre del archivo de firma .asc correspondiente.
• El comando de GnuPG ejecutado, que indique tanto la firma como el archivo de instalación subido, y el resultado de firma válida de ShiftCrypto Security <security@shiftcrypto.ch>, Good signature en inglés.
• La huella completa de la clave primaria que realmente firmó el archivo: DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE. Compárala tú mismo con la referencia de la página oficial de versiones.

Estos datos ayudan a detectar un informe incompleto o incoherente; no eliminan tu dependencia del proveedor de IA. Calcular una suma de comprobación o verificar otra copia descargada por el servicio no verifica el archivo que has subido.

No abras ni instales el archivo si el servicio no puede procesarlo completo o ejecutar la verificación, o si indica una firma no válida. Detente también si la huella, el nombre del archivo o la versión no coinciden o están incompletos. En esos casos, realiza la verificación local o contacta con el soporte de BitBox. Una respuesta tranquilizadora no sustituye una comprobación completa.