freedec 1.0.0__py3-none-any.whl

freedec/__init__.py

@@ -0,0 +1,7 @@
+"""
+Freedec Application Package.
+Servicio seguro de gestión, cifrado y recuperación descentralizada de documentos y contraseñas.
+"""
+
+__version__ = "1.0.0"
+default_app_config = "freedec.apps.FreedecConfig"

freedec/admin.py

@@ -0,0 +1,486 @@
+from django import forms
+from django.contrib import admin, messages
+from django.urls import reverse
+from django.utils.html import format_html
+from django.utils.safestring import mark_safe
+from django.utils.translation import gettext_lazy as _
+
+from freedec.models import DocumentAccessLog, EncryptedDocument
+from freedec.services import DocumentManagementService
+from freedec.validators import normalize_and_validate_email_list, validate_document_file
+
+
+class EmailListAdminWidget(forms.Widget):
+    """
+    Widget interactivo para Django Admin que permite gestionar correos electrónicos
+    mediante campos de texto individuales con botones '+' y '✕', evitando la edición
+    manual de arrays JSON.
+    """
+
+    def render(self, name, value, attrs=None, renderer=None):
+        if value is None:
+            email_list = []
+        elif isinstance(value, list):
+            email_list = value
+        elif isinstance(value, str):
+            try:
+                import json
+                parsed = json.loads(value)
+                email_list = parsed if isinstance(parsed, list) else [value]
+            except Exception:
+                email_list = [e.strip() for e in value.split(",") if e.strip()]
+        else:
+            email_list = []
+
+        if not email_list:
+            email_list = [""]
+
+        rows_html = []
+        for val in email_list:
+            safe_val = str(val).replace('"', '"')
+            rows_html.append(
+                f'<div class="admin-email-row" style="display:flex; gap:8px; margin-bottom:6px; align-items:center;">'
+                f'<input type="email" name="{name}" value="{safe_val}" class="vTextField" style="max-width:380px; width:100%;" placeholder="usuario@empresa.com" required>'
+                f'<button type="button" class="button btn-remove-row" onclick="removeAdminRow(this)" style="background:#ba2121; color:#fff; border:none; border-radius:4px; padding:4px 10px; cursor:pointer;" title="Eliminar correo">✕</button>'
+                f'</div>'
+            )
+
+        rows_rendered = "\n".join(rows_html)
+
+        html = f"""
+        <div id="{name}_admin_wrapper" style="width:100%; max-width:500px;">
+            <div id="{name}_rows_container">
+                {rows_rendered}
+            </div>
+            <div style="margin-top:8px;">
+                <button type="button" class="button" onclick="addAdminRow('{name}')" style="background:#417690; color:#fff; border:none; border-radius:4px; padding:5px 12px; cursor:pointer; font-weight:bold;">
+                    ➕ Añadir otro correo
+                </button>
+            </div>
+        </div>
+        <script>
+            function addAdminRow(fieldName) {{
+                const container = document.getElementById(fieldName + '_rows_container');
+                if (!container) return;
+                const row = document.createElement('div');
+                row.className = 'admin-email-row';
+                row.style.cssText = 'display:flex; gap:8px; margin-bottom:6px; align-items:center;';
+                row.innerHTML = `
+                    <input type="email" name="${{fieldName}}" value="" class="vTextField" style="max-width:380px; width:100%;" placeholder="usuario@empresa.com" required>
+                    <button type="button" class="button btn-remove-row" onclick="removeAdminRow(this)" style="background:#ba2121; color:#fff; border:none; border-radius:4px; padding:4px 10px; cursor:pointer;" title="Eliminar correo">✕</button>
+                `;
+                container.appendChild(row);
+                updateAdminRowControls(fieldName);
+                const input = row.querySelector('input');
+                if (input) input.focus();
+            }}
+
+            function removeAdminRow(btn) {{
+                const row = btn.closest('.admin-email-row');
+                const container = row.parentElement;
+                const rows = container.getElementsByClassName('admin-email-row');
+                if (rows.length > 1) {{
+                    row.remove();
+                    const wrapper = container.closest('[id$="_admin_wrapper"]');
+                    if (wrapper) {{
+                        const fieldName = wrapper.id.replace('_admin_wrapper', '');
+                        updateAdminRowControls(fieldName);
+                    }}
+                }}
+            }}
+
+            function updateAdminRowControls(fieldName) {{
+                const container = document.getElementById(fieldName + '_rows_container');
+                if (!container) return;
+                const rows = container.getElementsByClassName('admin-email-row');
+                for (let i = 0; i < rows.length; i++) {{
+                    const btn = rows[i].querySelector('.btn-remove-row');
+                    if (btn) {{
+                        btn.style.display = rows.length === 1 ? 'none' : 'inline-block';
+                    }}
+                }}
+            }}
+
+            document.addEventListener('DOMContentLoaded', function() {{
+                updateAdminRowControls('{name}');
+            }});
+        </script>
+        """
+        return mark_safe(html)
+
+    def value_from_datadict(self, data, files, name):
+        if hasattr(data, "getlist"):
+            return data.getlist(name)
+        val = data.get(name)
+        return [val] if val else []
+
+
+class EncryptedDocumentAddForm(forms.ModelForm):
+    """
+    Formulario de alta para Django Admin:
+    El admin sube el archivo original, la contraseña en plano y los correos autorizados.
+    El sistema se encarga de aplicar el cifrado AES-Fernet, computar el hash SHA-256
+    y derivar el código Zero-Knowledge.
+    """
+
+    original_file = forms.FileField(
+        label=_("Archivo Documental Original"),
+        help_text=_(
+            "Formatos admitidos: PDF, LibreOffice (.odt, .ods, .odp, .odg) o Microsoft Office (.docx, .xlsx, .pptx, .doc, .xls, .ppt)."
+        ),
+    )
+    plain_password = forms.CharField(
+        label=_("Contraseña (Opcional)"),
+        required=False,
+        widget=forms.PasswordInput(
+            attrs={"placeholder": _("Dejar en blanco para autogenerar una clave segura...")}
+        ),
+        help_text=_(
+            "Opcional. Si se deja en blanco, el sistema genera automáticamente una clave de 24 caracteres."
+        ),
+    )
+    allowed_emails = forms.CharField(
+        label=_("Correos Autorizados"),
+        required=True,
+        widget=EmailListAdminWidget(),
+        help_text=_("Destinatarios autorizados. Use '+' para añadir más direcciones (sin JSON)."),
+    )
+
+    class Meta:
+        model = EncryptedDocument
+        fields = ("original_file", "plain_password", "allowed_emails")
+
+    def clean_original_file(self):
+        file_obj = self.cleaned_data.get("original_file")
+        if not file_obj:
+            raise forms.ValidationError("Debe seleccionar un archivo.")
+        return validate_document_file(file_obj)
+
+    def clean_allowed_emails(self):
+        if hasattr(self.data, "getlist"):
+            raw_entries = self.data.getlist("allowed_emails")
+        else:
+            raw_val = self.cleaned_data.get("allowed_emails") or self.data.get("allowed_emails") or ""
+            raw_entries = [raw_val] if isinstance(raw_val, str) else list(raw_val)
+
+        return normalize_and_validate_email_list(raw_entries)
+
+
+class EncryptedDocumentChangeForm(forms.ModelForm):
+    """
+    Formulario de consulta/modificación en Django Admin:
+    Permite modificar o añadir correos con el widget '+' y consultar los datos criptográficos.
+    """
+
+    allowed_emails = forms.CharField(
+        label=_("Correos Autorizados"),
+        required=True,
+        widget=EmailListAdminWidget(),
+        help_text=_("Destinatarios autorizados. Use '+' para añadir o modificar direcciones."),
+    )
+
+    class Meta:
+        model = EncryptedDocument
+        fields = "__all__"
+
+    def clean_allowed_emails(self):
+        if hasattr(self.data, "getlist"):
+            raw_entries = self.data.getlist("allowed_emails")
+        else:
+            raw_val = self.cleaned_data.get("allowed_emails") or self.data.get("allowed_emails") or ""
+            raw_entries = [raw_val] if isinstance(raw_val, str) else list(raw_val)
+
+        return normalize_and_validate_email_list(raw_entries)
+
+
+class DocumentAccessLogInline(admin.TabularInline):
+    """Muestra el historial y la auditoría de accesos dentro de la vista del documento."""
+
+    model = DocumentAccessLog
+    extra = 0
+    can_delete = False
+    readonly_fields = ("email", "action", "ip_address", "timestamp")
+    fields = ("timestamp", "email", "action", "ip_address")
+    verbose_name = _("Registro de acceso")
+    verbose_name_plural = _("Historial de accesos y trazabilidad de clave")
+
+    def has_add_permission(self, request, obj=None):
+        return False
+
+
+@admin.register(EncryptedDocument)
+class EncryptedDocumentAdmin(admin.ModelAdmin):
+    """
+    Panel de administración para EncryptedDocument integrado nativamente en Django Admin.
+    """
+
+    inlines = [DocumentAccessLogInline]
+
+    list_display = (
+        "original_filename",
+        "short_file_hash",
+        "access_count",
+        "last_accessed_at",
+        "last_accessed_by",
+        "download_link",
+        "delete_action_button",
+    )
+    list_filter = ("created_at", "last_accessed_at")
+    search_fields = ("original_filename", "file_hash", "last_accessed_by")
+
+    def get_form(self, request, obj=None, **kwargs):
+        if obj is None:
+            return EncryptedDocumentAddForm
+        return EncryptedDocumentChangeForm
+
+    def get_fieldsets(self, request, obj=None):
+        if obj is None:
+            return (
+                (
+                    _("Cifrado y Registro de Nuevo Documento"),
+                    {
+                        "fields": ("original_file", "plain_password", "allowed_emails"),
+                        "description": _(
+                            "Suba el archivo original. La contraseña y el código de acceso se generarán automáticamente mediante algoritmos de alta entropía."
+                        ),
+                    },
+                ),
+            )
+        return (
+            (
+                _("Nombre e Identificación Criptográfica"),
+                {
+                    "fields": ("original_filename", "file_hash"),
+                    "description": _("Nombre original y hash SHA-256 del archivo calculado en la subida."),
+                },
+            ),
+            (
+                _("Almacenamiento Cifrado"),
+                {
+                    "fields": ("encrypted_file", "encrypted_password"),
+                    "description": _(
+                        "El archivo y la contraseña se encuentran cifrados en reposo con Fernet (AES-128-CBC + HMAC)."
+                    ),
+                },
+            ),
+            (
+                _("Seguridad y Control de Acceso"),
+                {
+                    "fields": ("access_code", "allowed_emails"),
+                    "description": _(
+                        "El código de acceso se almacena mediante hash PBKDF2 (Zero-Knowledge). Los correos pueden modificarse usando el botón '+'."
+                    ),
+                },
+            ),
+            (
+                _("Auditoría y Trazabilidad de Accesos"),
+                {
+                    "fields": (
+                        "access_count",
+                        "last_accessed_at",
+                        "last_accessed_by",
+                        "created_at",
+                        "updated_at",
+                    ),
+                    "description": _(
+                        "Registro de actividad y fecha del último acceso o despacho de contraseña."
+                    ),
+                },
+            ),
+        )
+
+    def get_readonly_fields(self, request, obj=None):
+        if obj is None:
+            return ()
+        return (
+            "original_filename",
+            "file_hash",
+            "encrypted_file",
+            "encrypted_password",
+            "access_code",
+            "access_count",
+            "last_accessed_at",
+            "last_accessed_by",
+            "created_at",
+            "updated_at",
+        )
+
+    def save_model(self, request, obj, form, change):
+        if not change:
+            # Creación a través de la tubería criptográfica completa
+            service = DocumentManagementService()
+            original_file = form.cleaned_data["original_file"]
+            plain_password = form.cleaned_data.get("plain_password") or None
+            allowed_emails = form.cleaned_data["allowed_emails"]
+
+            doc, raw_access_code = service.upload_and_encrypt_document(
+                original_file=original_file,
+                plain_password=plain_password,
+                allowed_emails=allowed_emails,
+            )
+
+            obj.pk = doc.pk
+            obj.id = doc.id
+            obj.original_filename = doc.original_filename
+            obj.file_hash = doc.file_hash
+            obj.encrypted_file = doc.encrypted_file
+            obj.access_code = doc.access_code
+            obj.encrypted_password = doc.encrypted_password
+            obj.allowed_emails = doc.allowed_emails
+            obj.created_at = doc.created_at
+            obj.updated_at = doc.updated_at
+
+            # Adjuntar código y contraseña para el mensaje flash
+            request._raw_access_code = raw_access_code
+            request._raw_password = getattr(doc, "generated_password", plain_password)
+        else:
+            super().save_model(request, obj, form, change)
+
+    def response_add(self, request, obj, post_url_continue=None):
+        raw_code = getattr(request, "_raw_access_code", None)
+        raw_pwd = getattr(request, "_raw_password", None)
+        if raw_code:
+            pwd_html = ""
+            if raw_pwd:
+                pwd_html = format_html(
+                    "<strong>🔐 CONTRASEÑA ASIGNADA / GENERADA:</strong><br>"
+                    "<div style='font-size: 1.15rem; font-family: monospace; background: #0f172a; color: #34d399; padding: 10px; border-radius: 6px; margin: 6px 0; border: 1px solid #10b981; user-select: all;'>"
+                    "<strong>{}</strong>"
+                    "</div><br>",
+                    raw_pwd,
+                )
+
+            download_html = ""
+            if obj.encrypted_file:
+                enc_name = f"{obj.original_filename}.enc"
+                download_html = format_html(
+                    "<strong>📥 ARCHIVO CIFRADO PARA DISTRIBUCIÓN:</strong><br>"
+                    "<div style='margin: 8px 0;'>"
+                    "<a href='{}' download='{}' class='button' style='background: #0284c7; color: white; padding: 6px 14px; text-decoration: none; border-radius: 4px; font-weight: bold; display: inline-block;'>"
+                    "📥 Descargar Archivo Cifrado ({})"
+                    "</a>"
+                    "</div><br>",
+                    obj.encrypted_file.url,
+                    enc_name,
+                    enc_name,
+                )
+
+            import urllib.parse
+            creds_text = (
+                "================================================================================\n"
+                "FREEDEC - CREDENCIALES DE RECUPERACIÓN Y CONTROL DE DOCUMENTO\n"
+                "================================================================================\n\n"
+                f"DOCUMENTO ORIGINAL:  {obj.original_filename}\n"
+                f"ARCHIVO CIFRADO:     {obj.original_filename}.enc\n"
+                f"HASH SHA-256:        {obj.file_hash}\n"
+                f"FECHA DE REGISTRO:   {obj.created_at.strftime('%Y-%m-%d %H:%M:%S UTC') if obj.created_at else ''}\n\n"
+                "--------------------------------------------------------------------------------\n"
+                "1. CÓDIGO SECRETO DE ACCESO (ZERO-KNOWLEDGE):\n"
+                "--------------------------------------------------------------------------------\n"
+                f"{raw_code}\n\n"
+                "* Entregue este código al destinatario autorizado a través de un canal seguro\n"
+                "  fuera de banda (Signal, SMS o en persona).\n\n"
+                "--------------------------------------------------------------------------------\n"
+                "2. CONTRASEÑA O CLAVE DE DESCIFRADO:\n"
+                "--------------------------------------------------------------------------------\n"
+                f"{raw_pwd or '(No definida)'}\n\n"
+                "* Esta clave descifra el archivo .enc y permite recuperar el archivo original.\n"
+                "  El sistema se la enviará automáticamente al destinatario cuando éste la\n"
+                "  solicite desde el portal público con su código de acceso.\n\n"
+                "--------------------------------------------------------------------------------\n"
+                "3. DESTINATARIOS AUTORIZADOS:\n"
+                "--------------------------------------------------------------------------------\n"
+                + "\n".join(f"- {e}" for e in (obj.allowed_emails or [])) + "\n\n"
+                "--------------------------------------------------------------------------------\n"
+                "4. PORTALES DE ACCESO:\n"
+                "--------------------------------------------------------------------------------\n"
+                f"- Solicitar Contraseña:  {request.build_absolute_uri(reverse('freedec:gui-public-request'))}\n"
+                f"- Descifrar Archivo:     {request.build_absolute_uri(reverse('freedec:gui-public-decrypt'))}\n"
+                f"- Panel de Control:      {request.build_absolute_uri(reverse('admin:index'))}\n"
+                "================================================================================\n"
+            )
+            txt_filename = f"{obj.original_filename}_credenciales.txt"
+            encoded_creds = urllib.parse.quote(creds_text)
+            txt_data_uri = f"data:text/plain;charset=utf-8,{encoded_creds}"
+
+            txt_download_html = format_html(
+                "<strong>📄 ARCHIVO DE CONTROL Y CREDENCIALES (.TXT):</strong><br>"
+                "<div style='margin: 8px 0; display: flex; gap: 10px; align-items: center; flex-wrap: wrap;'>"
+                "<a id='auto-dl-creds' href='{}' download='{}' class='button' style='background: #10b981; color: #0f172a; padding: 6px 14px; text-decoration: none; border-radius: 4px; font-weight: bold; display: inline-block;'>"
+                "📄 Descargar Credenciales ({})"
+                "</a>"
+                "<span style='color: #94a3b8; font-size: 0.85rem;'>(Se ha iniciado la descarga automática del archivo .txt en tu navegador)</span>"
+                "</div>"
+                "<script>"
+                "(function() {{"
+                "    setTimeout(function() {{"
+                "        var el = document.getElementById('auto-dl-creds');"
+                "        if (el) {{ el.click(); }}"
+                "    }}, 400);"
+                "}})();"
+                "</script><br>",
+                mark_safe(txt_data_uri),
+                txt_filename,
+                txt_filename,
+            )
+
+            messages.success(
+                request,
+                format_html(
+                    "<strong>✅ Documento '{}' cifrado y registrado exitosamente (SHA-256: {})</strong><br><br>"
+                    "{}"
+                    "{}"
+                    "<strong>🔑 CÓDIGO SECRETO DE ACCESO (Zero-Knowledge):</strong><br>"
+                    "<div style='font-size: 1.15rem; font-family: monospace; background: #0f172a; color: #fde68a; padding: 10px; border-radius: 6px; margin: 6px 0; border: 1px solid #f59e0b; user-select: all;'>"
+                    "<strong>{}</strong>"
+                    "</div><br>"
+                    "{}"
+                    "<em>⚠️ Guarde y entregue el código de acceso al destinatario por canal seguro (Signal, SMS o en persona). La contraseña le será enviada por correo cuando la solicite.</em>",
+                    obj.original_filename,
+                    obj.file_hash,
+                    txt_download_html,
+                    download_html,
+                    raw_code,
+                    pwd_html,
+                ),
+            )
+        return super().response_add(request, obj, post_url_continue=post_url_continue)
+
+    @admin.display(description=_("Hash SHA-256"))
+    def short_file_hash(self, obj):
+        return f"{obj.file_hash[:12]}...{obj.file_hash[-6:]}"
+
+    @admin.display(description=_("Descargar Cifrado"))
+    def download_link(self, obj):
+        if obj.encrypted_file:
+            enc_name = f"{obj.original_filename}.enc"
+            return format_html(
+                '<a href="{}" download="{}" class="button" style="padding: 4px 10px; font-size: 0.8rem; background: #0284c7; color: white; border-radius: 4px; text-decoration: none; font-weight: bold;">📥 {}</a>',
+                obj.encrypted_file.url,
+                enc_name,
+                enc_name,
+            )
+        return "—"
+
+    @admin.display(description=_("Eliminar"))
+    def delete_action_button(self, obj):
+        url = reverse("admin:freedec_encrypteddocument_delete", args=[obj.pk])
+        return format_html(
+            '<a class="button" href="{}" style="background-color: #ba2121; color: white; padding: 4px 10px; border-radius: 4px; text-decoration: none; font-size: 0.8rem; font-weight: bold;">🗑️ Eliminar</a>',
+            url,
+        )
+
+
+@admin.register(DocumentAccessLog)
+class DocumentAccessLogAdmin(admin.ModelAdmin):
+    """
+    Panel de auditoría histórica para ver todos los accesos a documentos y peticiones de claves.
+    """
+
+    list_display = ("document", "email", "action", "ip_address", "timestamp")
+    list_filter = ("action", "timestamp")
+    search_fields = ("email", "document__original_filename", "document__file_hash", "ip_address")
+    readonly_fields = ("document", "email", "action", "ip_address", "timestamp")
+
+    def has_add_permission(self, request):
+        return False

freedec/apps.py

@@ -0,0 +1,47 @@
+import base64
+import logging
+from django.apps import AppConfig
+from django.conf import settings
+from django.core.exceptions import ImproperlyConfigured
+
+logger = logging.getLogger(__name__)
+
+
+class FreedecConfig(AppConfig):
+    default_auto_field = "django.db.models.BigAutoField"
+    name = "freedec"
+    verbose_name = "Freedec - Cifrado y Recuperación Segura"
+
+    def ready(self):
+        """
+        Hook de verificación de seguridad en el arranque de la aplicación.
+        Garantiza que la clave maestra Fernet (FREEDEC_FERNET_KEY) esté definida y cumpla
+        con los requisitos criptográficos (32 bytes codificados en base64 url-safe).
+        """
+        fernet_key = getattr(settings, "FREEDEC_FERNET_KEY", None)
+
+        if not fernet_key:
+            # En entornos de testing o desarrollo inicial, permitir fallback con advertencia
+            if getattr(settings, "TESTING", False):
+                logger.warning(
+                    "[FREEDEC SECURITY WARNING] No se detectó 'FREEDEC_FERNET_KEY'. "
+                    "Se generará una clave efímera para pruebas."
+                )
+                return
+            raise ImproperlyConfigured(
+                "[FREEDEC SECURITY CRITICAL] Falta la configuración 'FREEDEC_FERNET_KEY' en settings.py. "
+                "Debe ser una cadena base64 url-safe de 32 bytes generada con cryptography.fernet.Fernet.generate_key()."
+            )
+
+        # Validación estructural de la clave
+        try:
+            raw_key = base64.urlsafe_b64decode(fernet_key)
+            if len(raw_key) != 32:
+                raise ImproperlyConfigured(
+                    f"[FREEDEC SECURITY CRITICAL] 'FREEDEC_FERNET_KEY' debe decodificarse en exactamente "
+                    f"32 bytes criptográficos (se obtuvieron {len(raw_key)} bytes)."
+                )
+        except Exception as exc:
+            raise ImproperlyConfigured(
+                f"[FREEDEC SECURITY CRITICAL] 'FREEDEC_FERNET_KEY' no es una clave válida Fernet/Base64: {exc}"
+            ) from exc

freedec/forms.py

@@ -0,0 +1,112 @@
+from django import forms
+from django.conf import settings
+from django.core.exceptions import ValidationError
+from django.utils.translation import gettext_lazy as _
+
+from freedec.validators import validate_document_file, validate_safe_email
+
+DEFAULT_MAX_FILE_SIZE = 50 * 1024 * 1024
+
+
+class PublicPasswordRequestForm(forms.Form):
+    """
+    Formulario web para la interfaz gráfica pública.
+    El usuario final sube su copia del archivo, el access_code y su correo electrónico.
+    """
+
+    file = forms.FileField(
+        label=_("Documento"),
+        help_text=_("Seleccione el archivo que desea consultar."),
+        widget=forms.FileInput(attrs={"class": "form-file-input", "id": "public_file"}),
+    )
+    access_code = forms.CharField(
+        label=_("Código de Acceso"),
+        widget=forms.TextInput(
+            attrs={
+                "class": "form-control font-mono",
+                "placeholder": _("Introduzca su código de acceso..."),
+                "id": "access_code",
+                "autocomplete": "off",
+            }
+        ),
+        help_text=_("Código facilitado por el emisor del documento."),
+    )
+    email = forms.CharField(
+        label=_("Correo Electrónico"),
+        widget=forms.EmailInput(
+            attrs={
+                "class": "form-control",
+                "placeholder": _("su-correo@ejemplo.com"),
+                "id": "email",
+            }
+        ),
+        help_text=_("Dirección de correo donde se enviará la contraseña."),
+    )
+
+    def clean_file(self):
+        file_obj = self.cleaned_data.get("file")
+        if not file_obj:
+            raise ValidationError(_("Debe proporcionar un archivo."))
+
+        max_size = getattr(settings, "FREEDEC_MAX_FILE_SIZE", DEFAULT_MAX_FILE_SIZE)
+        if file_obj.size > max_size:
+            max_mb = max_size // (1024 * 1024)
+            raise ValidationError(
+                _("El archivo excede el tamaño máximo permitido de %(max_size)s MB.")
+                % {"max_size": max_mb}
+            )
+
+        name_lower = (file_obj.name or "").lower()
+        if name_lower.endswith(".enc"):
+            return file_obj
+
+        return validate_document_file(file_obj)
+
+    def clean_email(self):
+        raw_email = self.cleaned_data.get("email", "")
+        return validate_safe_email(raw_email)
+
+
+class PublicDecryptDocumentForm(forms.Form):
+    """
+    Formulario público para descifrar un archivo .enc proporcionando la contraseña
+    recibida por correo electrónico.
+    """
+
+    file = forms.FileField(
+        label=_("Archivo Cifrado (.enc)"),
+        help_text=_("Seleccione el archivo con extensión .enc que desea descifrar."),
+        widget=forms.FileInput(attrs={"class": "form-file-input", "id": "enc_file"}),
+    )
+    password = forms.CharField(
+        label=_("Contraseña de Descifrado"),
+        widget=forms.PasswordInput(
+            attrs={
+                "class": "form-control font-mono",
+                "placeholder": _("Pegue la contraseña recibida por correo..."),
+                "id": "decrypt_password",
+                "autocomplete": "off",
+            }
+        ),
+        help_text=_("Contraseña que le fue remitida a su correo electrónico tras la verificación."),
+    )
+
+    def clean_file(self):
+        file_obj = self.cleaned_data.get("file")
+        if not file_obj:
+            raise ValidationError(_("Debe proporcionar un archivo."))
+
+        max_size = getattr(settings, "FREEDEC_MAX_FILE_SIZE", DEFAULT_MAX_FILE_SIZE)
+        if file_obj.size > max_size:
+            max_mb = max_size // (1024 * 1024)
+            raise ValidationError(
+                _("El archivo excede el tamaño máximo permitido de %(max_size)s MB.")
+                % {"max_size": max_mb}
+            )
+        return file_obj
+
+    def clean_password(self):
+        pwd = self.cleaned_data.get("password", "")
+        if not pwd or not pwd.strip():
+            raise ValidationError(_("Debe introducir la contraseña de descifrado."))
+        return pwd.strip()