XiliuxQuipu
Criptografía post-cuántica para datos en reposo. Software libre bajo AGPL-3.0, con licencia comercial para quien la necesita.
Qué se cobra, exactamente
Quipu es libre y siempre lo será. Puede usarlo hoy sin pagarnos nada. La única condición es publicar el código de lo que construya encima. Si eso no le sirve, le vendemos la exención de esa obligación.
Dicho de otro modo: no se cobra por el uso, se cobra por el derecho a no publicar. El copyleft no prohíbe cobrar — la licencia dice literalmente que puede cobrarse cualquier precio o ninguno. Lo que restringe es el secreto, no el precio.
Si puede cumplir el copyleft, no necesita comprarnos nada
Un proyecto libre, uno académico o una entidad con política de software abierto usan Quipu gratis, y nos interesa que lo hagan: son la razón de que el proyecto exista y de que otros confíen en él. El cliente comercial es específicamente quien tiene código que no puede o no quiere publicar.
Dos cosas distintas que se venden
Licencia comercial
Le exime del copyleft de red. Integre Quipu en su producto propietario o su SaaS sin publicar su código fuente.
Es una concesión adicional y paralela a la AGPL, no una sustitución: conserva todos los derechos que la licencia libre concede a cualquiera.
Servidor OPRF gestionado
No tener que operar la infraestructura ni custodiar la clave. Disponibilidad, límite de tasa y rotación incluidos.
Negocio distinto y complementario. Puede necesitar uno, el otro, los dos o ninguno.
Qué hay dentro
Cifrado híbrido X25519 + ML-KEM-1024 y firma híbrida Ed25519 + ML-DSA-87 — los parámetros que exige el mandato CNSA 2.0 de la NSA —, con opción de X-Wing-768 interoperable (borrador CFRG, conforme a sus vectores oficiales) y de firma triple que suma SLH-DSA: tres esquemas, y las tres firmas tienen que validar. Custodia de claves por umbral (Shamir), autopruebas de arranque con vectores del RFC 5869, y un laboratorio de seguridad que se ataca a sí mismo.
Modos que un cifrado normal no cubre: cifrado discreto (sin cabecera en claro, indistinguible de bytes al azar), cifrado perforable (la clave se destruye al abrir, con registro encadenado de cada apertura) y evaluación ciega online por VOPRF conforme a la RFC 9497.
Verificado, no solo afirmado. Su ML-KEM y su ML-DSA se comparan byte a byte, en los tres niveles de seguridad, contra tres implementaciones independientes: la referencia C de pq-crystals, libcrux (formalmente verificada) y AWS-LC (de producción). Coincidir con tres que no se conocen entre sí es la prueba de que el estándar está bien implementado, no solo afirmado.
El código es auditable y se entrega a quien quiera auditarlo, con su firma y su suma SHA-256. Desde agosto de 2026 no se distribuye por registros públicos —ni crates.io, ni PyPI, ni npm, ni GitHub— y el motivo es la seguridad: los ataques encadenados de ciberdelincuentes contra esas plataformas durante 2026 hicieron que alojar ahí una librería de criptografía dejara de ser una decisión neutra. No cambia la licencia ni el producto: sigue siendo AGPL-3.0 y sigue siendo gratis. Se pide por el formulario de contacto — cómo pedirlo, qué llega y por qué se decidió así.