Copia de seguridad y recuperación de perfiles del navegador: qué deben probar los equipos

Define una recuperación utilizable

Una copia de seguridad responde «¿se copió algo?». Un ejercicio de recuperación responde «¿puede la persona adecuada reanudar de forma segura el trabajo aprobado?».

Establece dos objetivos antes del ejercicio:

• Punto de recuperación: el estado aceptable más reciente. Por ejemplo, el equipo puede aceptar perder cambios desde la última instantánea aprobada, pero no todo un día de trabajo autorizado.
• Tiempo de recuperación: el intervalo máximo aceptable desde que se declara no disponible el perfil hasta que se confirma un sustituto seguro y utilizable.

Estos objetivos deben derivarse del impacto operativo y de las obligaciones con los clientes. No copies una cifra genérica de otro equipo.

Define «utilizable» mediante comprobaciones observables. Que se abra una ventana del navegador no basta si las cookies están dañadas, se cargan extensiones equivocadas, falta una credencial vinculada al dispositivo o un operador que dejó el equipo recupera el acceso.

La Guide for Cybersecurity Event Recovery de NIST recomienda situaciones de prueba realistas, roles definidos, resultados registrados y mejoras basadas en lo que el ejercicio refuta. Ese enfoque se adapta bien a la recuperación de perfiles.

Inventaría el conjunto de recuperación

El estado del navegador cruza varios límites. Decide qué debe restaurarse, reconstruirse, volver a autorizarse o excluirse deliberadamente.

Clase de estado	Ejemplos	Pregunta de recuperación
Contenido del perfil	Marcadores, historial, cookies, almacenamiento de sitios, permisos, estado de sesión	¿Qué elementos son necesarios y cuáles generan una exposición inaceptable si se copian?
Contexto del navegador	Compilación exacta del navegador, formato del perfil, políticas, extensiones aprobadas, herramientas auxiliares nativas	¿Puede ejecutarse el perfil restaurado en una compilación actual y compatible?
Dependencias del sistema operativo	Elementos del llavero, certificados, proveedor de contraseñas, llaves de acceso, registro de dispositivos	¿Exige la recuperación el mismo usuario de macOS, uno migrado o volver a registrar el dispositivo?
Estado de control del equipo	Propietario, roles, bloqueos, historial de auditoría, versión, cursor de sincronización, dispositivos revocados	¿Puede la restauración recuperar los datos sin reactivar una autoridad obsoleta?
Servicios externos	Proveedor de identidad, proxy, aplicación del cliente, sistema de aprobación	¿Puede el operador volver a autenticarse sin copiar una sesión activa?

Chromium documenta que un directorio de datos de usuario contiene subdirectorios de perfiles, además de estado local para toda la instalación. En macOS también deriva una ruta de caché independiente. Revisa la estructura upstream de directorios, en lugar de suponer que una carpeta visible constituye todo el conjunto de recuperación.

El alcance más seguro no es necesariamente el más grande. Una copia que contenga cookies activas o credenciales de proxy puede facilitar la continuidad y, a la vez, crear un objetivo más valioso. Registra por qué se incluye cada clase sensible, quién puede restaurarla, cómo se cifra y cuándo caduca.

Captura un punto coherente en el tiempo

Prefiere la operación de copia o exportación compatible de la aplicación. Si no existe un mecanismo compatible, cierra o deja inactivo el perfil antes de una instantánea a nivel de archivos y documenta la limitación. No copies repetidamente un directorio de perfil activo y des por hecho que el resultado es coherente.

Muchos almacenes del navegador utilizan SQLite, pero una base de datos coherente no equivale a un perfil coherente formado por varios archivos. La Online Backup API de SQLite puede crear una instantánea de una base de datos activa mientras gestiona el acceso simultáneo. Esa garantía no cubre automáticamente otras bases de datos, archivos, elementos del llavero, estado de extensiones o un registro del plano de control. Una copia de un perfil necesita un límite de coherencia en la aplicación o un procedimiento probado con el perfil detenido.

Registra con cada punto de recuperación:

• el identificador del perfil sin incluir un secreto ni un nombre de cliente innecesario;
• la hora de creación y el estado final;
• las versiones del navegador, el sistema operativo, el esquema, el archivo y la clave;
• las clases de datos incluidas y excluidas;
• la información de integridad y el estado de cifrado autenticado;
• la fecha de conservación y eliminación;
• los roles y las aprobaciones necesarios para recuperar; y
• la versión correcta conocida anterior.

Una escritura interrumpida debe dejar utilizable el punto de recuperación anterior o el nuevo. Un archivo publicado a medias nunca debe sustituir a la única copia correcta conocida.

Ejecuta un ejercicio de recuperación en un entorno limpio

Utiliza una cuenta de macOS nueva, un dispositivo administrado de prueba limpio o una máquina virtual de prueba aislada que coincida con el entorno compatible. Restringe el acceso a la red hasta que el archivo supere las comprobaciones de formato, integridad, malware y políticas. Trata cada perfil, extensión y archivo importado como entrada no fiable.

Prepara pruebas sintéticas

Crea un perfil inofensivo con marcadores fáciles de verificar:

• un pequeño árbol de marcadores con títulos conocidos;
• una cuenta sintética de un sitio web y una cookie sin acceso a producción;
• un valor de almacenamiento local en un origen de prueba;
• una extensión de prueba aprobada con un ajuste conocido;
• un archivo descargado no sensible con un resumen registrado;
• un permiso de sitio explícito; y
• una cuenta con la sesión cerrada que debe seguir así.

No exportes contraseñas ni tokens de sesión reales para que el ejercicio parezca realista. Lo que necesita realismo es el proceso de recuperación, no los datos.

Ejecuta la restauración

1. Crea el punto de recuperación mediante la vía documentada.
2. Registra sus metadatos y confirma que sigue existiendo un punto correcto anterior.
3. Elimina el perfil de origen del entorno de prueba o declara no disponible el dispositivo de origen.
4. Entrega al operador de recuperación únicamente el material y la autoridad enumerados en el procedimiento.
5. Restaura en el destino limpio sin abrir servicios de producción.
6. Inicia una versión compatible del navegador y verifica cada marcador.
7. Vuelve a autenticarte en el servicio sintético mediante el proceso de identidad aprobado.
8. Mide el punto y el tiempo de recuperación alcanzados.
9. Registra fallos, accesos inesperados, avisos, trabajo manual y documentación ausente.
10. Destruye el perfil sintético recuperado y el material temporal de recuperación conforme al plan de prueba.

La persona que ejecuta el ejercicio no debe depender de conocimientos sin documentar de quien creó la copia. El conocimiento oculto es una dependencia de recuperación.

Prueba algo más que la pérdida del dispositivo

Una restauración correcta no cubre los principales modos de fallo.

Situación	Pruebas que deben exigirse
Eliminación accidental de un perfil	Restaurar la versión anterior elegida sin sobrescribir un perfil más reciente que no se haya visto afectado
Copia interrumpida	Se rechaza el punto incompleto y el punto correcto anterior sigue siendo utilizable
Fallo durante las escrituras del perfil	La recuperación llega a un estado coherente documentado sin combinar silenciosamente transacciones de momentos diferentes
Mac perdido o sustituido	Un dispositivo limpio y compatible puede restaurar dentro del objetivo, o el procedimiento exige claramente reconstruir y volver a autenticar
Llavero o secreto de recuperación perdido	Los datos sensibles fallan de forma segura; la vía alternativa funciona sin exponer la clave en registros ni salidas de asistencia
Actualización del navegador	Un punto antiguo compatible migra una vez, conserva intacta una copia de origen y supera comprobaciones semánticas
Reversión del navegador	La herramienta bloquea una restauración insegura o utiliza una copia aislada con una advertencia clara de compatibilidad
Archivo dañado o malicioso	Las comprobaciones de integridad, rutas, tamaño, esquema y extensiones lo rechazan sin escribir fuera del destino ni iniciar código
Ransomware o host vulnerado	Un punto de recuperación protegido permanece fuera del alcance del dispositivo vulnerado y puede restaurarse en un entorno limpio
Miembro saliente o dispositivo revocado	Recuperar el contenido no restaura una pertenencia revocada, confianza obsoleta del dispositivo ni derechos de exportación no autorizados
Interrupción de la nube o red	Las vías locales y de recuperación se comportan como se diseñaron, con una regla clara para cambios en cola y conflictos

La política de almacenamiento de datos de usuario de Chromium exige que las versiones nuevas lean datos antiguos, pero describe un comportamiento degradado cuando un navegador anterior encuentra archivos escritos por una versión más reciente. Conserva inmutable la única copia y prueba las migraciones en otra copia. No resuelvas un problema de restauración ejecutando de forma permanente un navegador obsoleto.

La StopRansomware Guide de CISA recomienda copias cifradas y sin conexión, además de pruebas periódicas de disponibilidad e integridad. «Sin conexión» es una propiedad relativa a la amenaza: un punto que el host vulnerado del perfil puede eliminar o reescribir no proporciona la separación prevista.

Prueba la autenticación por separado de los archivos del perfil

El acceso a un sitio puede depender de un gestor de contraseñas, el llavero del sistema operativo, un proveedor de llaves de acceso, una llave de hardware, un certificado del dispositivo o el registro en un proveedor de identidad que quede fuera del archivo del perfil.

La Recomendación actual WebAuthn Level 3 distingue las credenciales de un solo dispositivo de las credenciales multidispositivo y define la elegibilidad y el estado de la copia. No proporciona un protocolo general para copiar claves privadas. La Web Authentication Level 3 Recommendation advierte de que perder un autenticador puede impedir el acceso cuando conserva la única credencial registrada con la parte autenticadora. Prueba las opciones documentadas de registro y recuperación de esa parte independientemente del archivo del perfil.

Para cada cuenta sintética esencial, prueba al menos un autenticador alternativo aprobado o una vía de recuperación de cuenta. La revocación también debe funcionar: restaurar correctamente los datos no debe reactivar un dispositivo antiguo ni a un antiguo miembro del equipo.

Entiende qué demuestran las herramientas de copia de macOS

Time Machine puede copiar archivos automáticamente y restaurarlos en el mismo Mac o en otro. Apple también permite cifrar una copia de Time Machine y exige la contraseña para restaurarla después. Revisa las indicaciones actuales de configuración y restauración de Time Machine para la versión de macOS dentro del alcance.

Estas capacidades no demuestran por sí solas que un perfil sea utilizable desde un punto de vista semántico. El procedimiento Verify Backups de Apple comprueba el estado de una copia en red. Los equipos todavía deben abrir el perfil restaurado en un entorno limpio y verificar el contenido, las credenciales, las versiones, el aislamiento y la autorización.

Para sustituir un dispositivo completo, el Asistente de Migración puede transferir documentos, aplicaciones, cuentas de usuario y ajustes desde un Mac o una copia de Time Machine. Apple señala que algunos servicios, como el correo, pueden seguir necesitando configuración. Trata la migración como una vía de recuperación que debe probarse, no como demostración de que funcionarán todas las dependencias del navegador o del llavero.

Registra un paquete de pruebas

El registro revisable de un ejercicio debe incluir:

• situación, fecha, operador, observador y aprobaciones;
• versiones de origen y destino del navegador y macOS;
• objetivo del punto de recuperación y antigüedad alcanzada;
• objetivo de tiempo de recuperación y duración alcanzada;
• versión, tamaño y resultado de integridad del archivo y versión de la clave, sin material de claves;
• aprobado o fallido para cada clase de datos esperada y excluida deliberadamente;
• prueba de que ningún secreto apareció en registros, capturas, diagnósticos ni salidas de automatización;
• prueba de que otros perfiles y clientes permanecieron sin cambios;
• resultados de reautenticación, roles, dispositivos, bloqueos y revocaciones;
• cada paso manual o dependencia externa sin documentar; y
• un responsable y una fecha límite para cada acción correctiva.

El ejercicio termina cuando el entorno restaurado cumple los criterios de aceptación declarados y el equipo ha resuelto o aceptado cada riesgo restante. Un panel verde de copias de seguridad no es por sí solo una prueba de recuperación.

Elige una cadencia de pruebas basada en cambios

Establece la frecuencia según el impacto y el ritmo de cambios. Ejecuta un ejercicio tras cambios importantes en el formato de los perfiles, la matriz de compatibilidad con macOS, el cifrado o la recuperación de claves, el proveedor de identidad, el gestor de contraseñas, el protocolo de sincronización, la política de extensiones, el proveedor de copias o el modelo de autorización del equipo. Prueba también antes de una migración y después de un incidente de recuperación importante.

Los ejercicios habituales deben alternar situaciones y operadores. Repetir únicamente la restauración de archivos más sencilla prepara al equipo para un solo fallo.