Sanket frente a Threema: una alternativa a Threema para organizaciones con soberanía tecnológica
Threema y SANKET comparten ventajas: no requieren número de teléfono y permiten la instalación en los servidores de la organización y en entornos aislados físicamente de otras redes. SANKET incorpora además PQXDH y SPQR poscuánticos en la versión actual, inicio de sesión mediante el directorio de la propia organización, listas de dispositivos firmadas, TLS mutuo entre dispositivos y difusión prioritaria cifrada, todo ello de un proveedor indio.
Acerca de Threema
Threema GmbH · Suiza
Threema es una plataforma suiza de mensajería segura para particulares (Threema), organizaciones (Threema Work) e instalaciones en servidores propios (Threema OnPrem). Cifra de extremo a extremo los mensajes, archivos multimedia y llamadas, así como los nombres y las listas de miembros de los grupos; utiliza el protocolo Ibex y no requiere un número de teléfono para registrarse. En febrero de 2026 anunció trabajos sobre criptografía híbrida poscuántica con IBM Research.
Sanket frente a Threema: comparativa punto por punto
| Criterio | SANKET | Threema |
|---|---|---|
| Quién controla la infraestructura | El cliente. Una instalación dedicada por organización, en una infraestructura que posee o elige, sin ningún servicio operado por el proveedor en la ruta de los mensajes. | Servidores de Threema en Zúrich, o servidores propios del cliente con Threema OnPrem. |
| Opciones de instalación | Instalación dedicada en cualquier nube y región que elija el cliente (o alojada por Tosh Defence), en los servidores propios del cliente o completamente aislada físicamente de otras redes; en un único servidor o con alta disponibilidad y recuperación en un segundo emplazamiento. | Servicio alojado o instalación autogestionada de Threema OnPrem, incluidos entornos completamente aislados físicamente de otras redes. |
| Quién tiene las claves y controla la identidad | El cliente y sus usuarios. Las claves se generan en cada dispositivo y se protegen mediante almacenamiento respaldado por hardware; las identidades son Sanket IDs controladas por el cliente, sin necesidad de identificarse mediante un número de teléfono personal. | Un identificador aleatorio de Threema, sin necesidad de un número de teléfono; vincular un número de teléfono o una dirección de correo electrónico es opcional. |
| Protocolo de cifrado | Signal Protocol mediante libsignal, la implementación oficial de Signal auditada de forma independiente. Los mensajes utilizan AES-256-CBC con HMAC-SHA256 dentro de libsignal; los archivos y las llamadas, AES-256-GCM; TLS solo utiliza conjuntos de cifrado con AES-256-GCM. | Ibex (desde 2023). |
| Protección poscuántica | Sí, en la versión actual: PQXDH con una preclave poscuántica Kyber obligatoria y el mecanismo de avance de claves SPQR (Triple Ratchet), además de un intercambio híbrido de claves X25519MLKEM768 en el extremo TLS. | Se prevé una solución híbrida con ML-KEM en colaboración con IBM Research (anunciada en febrero de 2026). |
| Grupos y llamadas cifrados de extremo a extremo de forma predeterminada | Sí. Los mensajes individuales y de grupo, las reacciones, las difusiones cifradas y los archivos siempre están cifrados de extremo a extremo; las llamadas de voz y vídeo utilizan cifrado de fotogramas AES-256-GCM con cinco claves nuevas por segundo, dentro de SRTP AES-256-GCM. | Sí: los mensajes de texto y voz, el contenido multimedia y las llamadas están cifrados de extremo a extremo, al igual que los nombres de los grupos y las listas de miembros. |
| Proveedor de identidad del cliente (SSO / LDAP) | Sí. Autenticación mediante el directorio OIDC, SAML 2.0 o LDAP del propio cliente, aprovisionamiento mediante SCIM 2.0 y llaves de seguridad FIDO2 para administradores. | Not publicly documented |
| Controles de administración y gestión de dispositivos | Aprobación y revocación de dispositivos, modo de pérdida y borrado remoto, listas de dispositivos firmadas, TLS mutuo entre dispositivos, políticas de conservación, reenvío y portapapeles, etiquetas de clasificación definidas por el cliente y un registro de auditoría encadenado mediante hashes para el SIEM del cliente. | Portal de administración para instalaciones en servidores propios, compatibilidad con MDM y personalización del nombre, el icono y los colores de la aplicación con la marca del cliente. |
| Soberanía de los datos (jurisdicción, desarrollado en la India) | Desarrollado en la India por Tosh Defence. Los datos permanecen en la jurisdicción y la infraestructura que elija el cliente, sin análisis de terceros ni dependencia de infraestructura extranjera para ejecutar los productos. | Threema GmbH, Suiza; servidores en Zúrich. |
| Integridad de las versiones y control de actualizaciones | Versiones firmadas con Ed25519 y verificadas antes de la instalación, con bloqueo de versiones, protección contra la instalación de versiones anteriores y reversión automática si falla una actualización. El cliente decide cuándo actualizar, en línea o mediante un paquete firmado sin conexión. | Not publicly documented |
| Plataformas | Aplicaciones nativas para iOS, Android, Windows, macOS y Linux. Sin navegador por diseño: no hay cliente web que pueda ser atacado. | iOS, Android, aplicaciones de escritorio y acceso web. |
Quién controla la infraestructura
SANKET
El cliente. Una instalación dedicada por organización, en una infraestructura que posee o elige, sin ningún servicio operado por el proveedor en la ruta de los mensajes.
Threema
Servidores de Threema en Zúrich, o servidores propios del cliente con Threema OnPrem.Opciones de instalación
SANKET
Instalación dedicada en cualquier nube y región que elija el cliente (o alojada por Tosh Defence), en los servidores propios del cliente o completamente aislada físicamente de otras redes; en un único servidor o con alta disponibilidad y recuperación en un segundo emplazamiento.
Threema
Servicio alojado o instalación autogestionada de Threema OnPrem, incluidos entornos completamente aislados físicamente de otras redes.Quién tiene las claves y controla la identidad
SANKET
El cliente y sus usuarios. Las claves se generan en cada dispositivo y se protegen mediante almacenamiento respaldado por hardware; las identidades son Sanket IDs controladas por el cliente, sin necesidad de identificarse mediante un número de teléfono personal.
Threema
Un identificador aleatorio de Threema, sin necesidad de un número de teléfono; vincular un número de teléfono o una dirección de correo electrónico es opcional.Protocolo de cifrado
SANKET
Signal Protocol mediante libsignal, la implementación oficial de Signal auditada de forma independiente. Los mensajes utilizan AES-256-CBC con HMAC-SHA256 dentro de libsignal; los archivos y las llamadas, AES-256-GCM; TLS solo utiliza conjuntos de cifrado con AES-256-GCM.
Threema
Ibex (desde 2023).Protección poscuántica
SANKET
Sí, en la versión actual: PQXDH con una preclave poscuántica Kyber obligatoria y el mecanismo de avance de claves SPQR (Triple Ratchet), además de un intercambio híbrido de claves X25519MLKEM768 en el extremo TLS.
Threema
Se prevé una solución híbrida con ML-KEM en colaboración con IBM Research (anunciada en febrero de 2026).Grupos y llamadas cifrados de extremo a extremo de forma predeterminada
SANKET
Sí. Los mensajes individuales y de grupo, las reacciones, las difusiones cifradas y los archivos siempre están cifrados de extremo a extremo; las llamadas de voz y vídeo utilizan cifrado de fotogramas AES-256-GCM con cinco claves nuevas por segundo, dentro de SRTP AES-256-GCM.
Threema
Sí: los mensajes de texto y voz, el contenido multimedia y las llamadas están cifrados de extremo a extremo, al igual que los nombres de los grupos y las listas de miembros.Proveedor de identidad del cliente (SSO / LDAP)
SANKET
Sí. Autenticación mediante el directorio OIDC, SAML 2.0 o LDAP del propio cliente, aprovisionamiento mediante SCIM 2.0 y llaves de seguridad FIDO2 para administradores.
Threema
Not publicly documentedControles de administración y gestión de dispositivos
SANKET
Aprobación y revocación de dispositivos, modo de pérdida y borrado remoto, listas de dispositivos firmadas, TLS mutuo entre dispositivos, políticas de conservación, reenvío y portapapeles, etiquetas de clasificación definidas por el cliente y un registro de auditoría encadenado mediante hashes para el SIEM del cliente.
Threema
Portal de administración para instalaciones en servidores propios, compatibilidad con MDM y personalización del nombre, el icono y los colores de la aplicación con la marca del cliente.Soberanía de los datos (jurisdicción, desarrollado en la India)
SANKET
Desarrollado en la India por Tosh Defence. Los datos permanecen en la jurisdicción y la infraestructura que elija el cliente, sin análisis de terceros ni dependencia de infraestructura extranjera para ejecutar los productos.
Threema
Threema GmbH, Suiza; servidores en Zúrich.Integridad de las versiones y control de actualizaciones
SANKET
Versiones firmadas con Ed25519 y verificadas antes de la instalación, con bloqueo de versiones, protección contra la instalación de versiones anteriores y reversión automática si falla una actualización. El cliente decide cuándo actualizar, en línea o mediante un paquete firmado sin conexión.
Threema
Not publicly documentedPlataformas
SANKET
Aplicaciones nativas para iOS, Android, Windows, macOS y Linux. Sin navegador por diseño: no hay cliente web que pueda ser atacado.
Threema
iOS, Android, aplicaciones de escritorio y acceso web.En qué destaca Sanket
- Mensajería poscuántica en la versión actual: PQXDH con una preclave Kyber obligatoria y el mecanismo de renovación de claves SPQR.
- Integración con el sistema de identidad del cliente: SCIM, OIDC, SAML, LDAP y claves de seguridad FIDO2 para los administradores.
- Listas de dispositivos firmadas y TLS mutuo entre dispositivos para cada dispositivo autorizado.
- Difusión prioritaria cifrada con acuse de recibo y etiquetas de clasificación definidas por el cliente dentro del contenido cifrado.
- Un proveedor indio y una opción de jurisdicción india para compradores del Gobierno y el sector de defensa de la India.
Preguntas frecuentes
¿Cuál es una buena alternativa a Threema para organizaciones?
SANKET (Sanket.Chat), de Tosh Defence. Como Threema, no requiere número de teléfono y puede instalarse en los servidores de la organización o en un entorno aislado de otras redes. Además, incorpora PQXDH y SPQR poscuánticos, el proveedor de identidad de la organización y listas de dispositivos firmadas.
¿Necesita SANKET un número de teléfono?
No se requiere una identidad basada en un número de teléfono personal. Los usuarios se identifican mediante Sanket ID, y una instalación sin proveedor de SMS no recopila números de teléfono.
¿Es la mensajería de SANKET poscuántica actualmente?
Sí. Cada sesión utiliza PQXDH con una preclave poscuántica Kyber obligatoria y el mecanismo de evolución de claves SPQR junto con Double Ratchet, mediante la biblioteca oficial libsignal de Signal.
Fuentes
- Libro blanco sobre la seguridad técnica y la arquitectura de SANKET, edición pública 2.0 (7 de octubre de 2026)
- Threema: seguridad
- Threema OnPrem
- Blog de Threema: Un futuro seguro frente a la computación cuántica (24 de febrero de 2026)
- Threema Private
- Blog de Threema: Anonimato
Sources checked on 7 October 2026. Los datos sobre los competidores proceden únicamente de las fuentes indicadas. Cuando no se ha encontrado ninguna fuente pública, la celda indica «No documentado públicamente». Los nombres de productos y empresas son marcas comerciales de sus respectivos titulares.
Más comparativas
Ponga sus comunicaciones bajo su propio control
Hable con el equipo de Tosh Defence sobre su despliegue, desde una instalación en una nube dedicada hasta una infraestructura totalmente aislada de otras redes, o consulte primero la arquitectura de seguridad completa.