En este artículo sobre opciones de correo electrónico de privacidad segura, analizamos varias formas de hacer que su correo electrónico sea más, bueno ... seguro y privado. Prestamos especial atención a la relativamente nueva generación de servicios de correo web encriptados de extremo a extremo, pero también analizamos los pros y los contras de las alternativas más tradicionales..

Los mejores proveedores de correo electrónico privado seguro

A continuación, enumeramos los proveedores de correo electrónico más seguros y privados. Para obtener más información sobre cualquiera de los servicios en esta lista, desplácese hacia abajo en el artículo para obtener un resumen de cada servicio o haga clic en el sitio web del proveedor.

1. ProtonMail

   - Precio: Gratis (500 MB / 1 dirección), $ 5 por mes (5 GB / 5 direcciones).

2. Tutanota

   - Precio: Gratis (1 GB / 1 dirección), $ 1.35 por mes (1 GB (ampliable) / 5 direcciones).

3. Posteo

   - Precio: 2 € al mes (ampliable).

4. Valla de correo

   - Precio: Gratis (500 MB / 1 dirección), € 2.50 por mes (5 GB / 10 direcciones), € 7.50 por mes (20 GB / 50 direcciones)

5. StartMail

   - Precio: prueba de 7 días, $ 59.95 al año (10GB de almacenamiento / 10 direcciones).

6. Mailbox.org

   - Precio: 30 días de prueba, 1 € por mes (2 GB de almacenamiento de correo, 3 direcciones), € 2,50 por mes (5 GB de almacenamiento de correo, 25 direcciones). Los precios se pueden personalizar según sus necesidades..

7. Neomailbox

   - Precio: $ 49.95 al año (buzón de 1GB, 1 dirección), $ 79.95 por año (buzón de 5GB, 1 dirección), los niveles de precios adicionales amplían el tamaño del buzón hasta $ 240.95GB / 40GB.

El correo electrónico no es privado ni seguro

Como tecnología, el correo electrónico no se diseñó teniendo en cuenta la privacidad o la seguridad. La necesidad de tal, de hecho, nunca cruzó las mentes de los primeros pioneros de las redes. Entonces, cuando más tarde se hizo evidente que los consumidores de Internet no estaban dispuestos a pagar por las tecnologías complejas y costosas que usan todos los días y sin pensarlo dos veces, los proveedores de correo electrónico tenían una manera fácil de monetizar sus servicios..

El modelo comercial más exitoso fue desarrollado por Google, que se dio cuenta de que los datos personales de un individuo son increíblemente valiosos. Cuanto más se recolecta, más valioso es.

Después de todo, si tiene una buena idea de lo que le gusta y no le gusta a una persona, a dónde va, cuáles son sus pasatiempos y con quién sale, entonces es fácil enfocarse en ellos con productos y servicios que son Es probable que esté interesado en comprar. Cha-ching!

Además de utilizar su motor de búsqueda para rastrear los intereses de los usuarios, Google escanea todos los correos electrónicos enviados a través de su servicio de Gmail. Tenga en cuenta que esto significa que los correos electrónicos no solo pertenecen a los usuarios de Gmail, sino que también se envían a los usuarios de Gmail desde otros servicios de correo electrónico.!

En 2017, Google anunció de manera poco sincera que ya no escanearía correos electrónicos para apuntar a los usuarios con anuncios personalizados, pero esto no significa que haya dejado de escanear correos electrónicos para otros fines. Su tan promocionada función de respuesta inteligente basada en IA lo demuestra más allá de toda duda, al igual que su lista completa de todo lo que ha comprado en cualquier minorista en línea desde 2015!

Espionaje del gobierno

Cualquiera sea la situación con Google, es normal que los servicios de correo electrónico escaneen los correos electrónicos de los usuarios con fines publicitarios..

Y lo que se puede recolectar para ingresos por publicidad también es increíblemente valioso para “recolectar todo” agencias de seguridad como la NSA.

Google cooperó con la NSA para espiar a sus usuarios durante años y solo se detuvo cuando las revelaciones de Edward Snowden lo descubrieron en 2013. O al menos afirma haberse detenido. Yahoo, por otro lado, continuó traicionando a sus usuarios a la NSA hasta al menos octubre de 2016.

Paga por ello!

Como dice el viejo adagio, "si no está pagando por un producto, entonces usted es el producto".

Existen algunos servicios de correo electrónico seguros y gratuitos, sin embargo, a menudo tienen límites de datos y no incluyen todas las características que ofrece la versión premium del servicio..

Ejecutar un servicio de correo electrónico cuesta mucho dinero y tiempo, por lo que debe considerar con mucho cuidado cómo se financia ese servicio. Servicios como RiseUp y Autistici están a cargo de activistas con motivación política y están diseñados principalmente para proporcionar privacidad a activistas de mentalidad similar..

Dichos servicios están dispuestos a funcionar con pérdidas financieras gracias a la ideología política de sus fundadores. Como tales, son pequeños y no están muy bien financiados. Los usuarios deberían considerar donar para ellos si pueden permitírselo..

Los correos electrónicos cifrados con PGP se pueden enviar de forma segura a través de cualquier servicio de correo electrónico normal, pero la realidad simple es que muy pocos de sus contactos (si los hay) también usarán PGP. Esto significa que aún necesitará un servicio de correo electrónico privado para el uso diario ...

Todo el cifrado basado en el navegador es inseguro

Los servicios de correo web son muy convenientes, ya que se puede acceder fácilmente desde cualquier navegador web. Desafortunadamente, la criptografía en los navegadores se implementa usando JavaScript, y la criptografía de JavaScript en los navegadores es inherentemente insegura.

Esto se debe a que un servidor comprometido o un ataque man-in-the-middle puede enviar claves de cifrado comprometidas tanto a usted como a los navegadores de sus destinatarios..

¿Esto hace que los servicios de correo web sean inútiles? No. Todo depende de su modelo de amenaza. Para la mayoría de los usuarios, probablemente estén absolutamente bien. Pero ningún servicio de correo web será tan seguro como usar PGP con un cliente de correo electrónico dedicado.

Si accede a un servicio de correo web encriptado a través de su aplicación móvil o un cliente de correo electrónico exclusivo (es decir, no a través de un navegador), este problema no se aplica.

Use Signal en su lugar

“Recientemente he llegado a la conclusión de que el correo electrónico es fundamentalmente inseguro. Las cosas que deseamos del correo electrónico y de un sistema de correo electrónico no son fácilmente compatibles con el cifrado. Aconsejo a las personas que desean seguridad de las comunicaciones que no usen el correo electrónico, sino que usen un cliente de mensajes cifrados como OTR o Signal ”. Bruce Scheier.

Las aplicaciones de mensajería cifradas son mucho más fáciles de usar que PGP (¡¿qué no es ?!), y son mucho más seguras que cualquier tipo de correo electrónico. Signal Messenger es ampliamente considerado como la forma más segura de comunicarse con otra persona aún ideada, a excepción de susurrar algo al oído.

Signal es, por lo tanto, la mejor solución disponible actualmente para mantener seguros los contenidos reales de los mensajes. OTR también es una buena opción para usuarios de escritorio.

Servicios de correo electrónico de privacidad de extremo a extremo (e2e)

¿Por qué usar un servicio de correo electrónico centrado en la privacidad??

Si necesita que una conversación sea lo más privada posible, use Signal en lugar de correo electrónico. Pero el correo electrónico no desaparece y sigue siendo el medio de comunicación más popular en el planeta. Usar un servicio de correo electrónico privado y seguro del tipo descrito a continuación significa:

• El servicio no escaneará sus correos electrónicos (con fines publicitarios u otros fines)
• Utilizan cifrado de extremo a extremo (e2ee). Cifras y descifras tus correos electrónicos en tu propio dispositivo para que ni tu proveedor de correo electrónico ni la NSA puedan acceder a ellos..
• Sin anuncios

Los mejores servicios de correo electrónico privado

1. ProtonMail

• Precios

  Desde $ 0.00
  Hasta 500mb

ProtonMail fue el primero en un post-Snowden “nueva ola” de servicios de correo web que tienen como objetivo proporcionar toda la funcionalidad de Gmail y sus afines, pero que respetan a los usuarios’ privacidad y proporciona cifrado completo de extremo a extremo (e2ee) para correos electrónicos.

Los usuarios pueden enviar a cualquier persona un correo electrónico cifrado, al que también pueden responder de forma segura.

ProtonMail tiene su sede en Suiza, que tiene fuertes leyes de privacidad y está fuera de la NSA y GCHQ’s área de influencia directa. Por lo tanto, estar basado allí generalmente se considera una característica importante del servicio.

Sin embargo, las leyes de vigilancia del gobierno recientemente aprobadas son preocupantes y, a pesar de las garantías de ProtonMail, aún no está claro si estas leyes afectan servicios como ProtonMail.

La gran noticia es que ProtonMail introdujo el soporte completo de OpenPGP en 2018. Esto significa que los usuarios pueden enviar correos electrónicos encriptados PGP a contactos que no sean de ProtonMail, y abrir correos electrónicos encriptados PGP enviados a su cuenta de ProtonMail.

Consulte nuestra revisión de ProtonMail para ver en profundidad este servicio.

2. Tutanota

Precio: Gratis (1 GB / 1 dirección), $ 1.35 por mes (1 GB (ampliable) / 5 direcciones).

• Precios

  Desde $ 0.00
  / mes

Tutanota es similar en muchos aspectos a ProtonMail, tienen su sede en Alemania. Esto tiene leyes estrictas de privacidad, pero también practica una vigilancia generalizada propia, proporciona la base para la NSA’s extensas operaciones europeas, y se sabe que colabora con la NSA. Pero todos los correos electrónicos se almacenan cifrados e2e, por lo que esto no debería’no importa.

Tutanota cifra los mensajes con un cifrado AES-128, un protocolo de enlace RSA-2048 y un secreto directo perfecto, en lugar de utilizar PGP. Esto le permite cifrar las líneas de asunto del correo electrónico cuando se envía a otros usuarios de Tutanota, pero significa que el sistema no es interoperable con “regular” Usuarios de PGP.

3. Posteo

Precio: 2 € al mes (ampliable).

• Precios

  Desde $ 1.13
  / mes

También con sede en Alemania, Posteo es una bestia algo diferente a Tutanota y ProtonMail. Es un servicio de correo electrónico seguro que encripta las conexiones de su servidor con TLS (usando DANE y el secreto de reenvío perfecto), y almacena todos los correos electrónicos en discos duros cifrados con AES (tamaño de clave desconocido).

Por defecto, Posteo no es un servicio encriptado e2e. El cifrado de correo electrónico e2e es compatible, sin embargo, a través de “un click” Soporte OpenPGP y S / MIME dentro del navegador. Los destinatarios deben tener el mismo tipo de software de encriptación instalado en sus computadoras (OpenPGP o S / MIME, lo que se use), pero no necesitan ser usuarios de Posteo.

Posteo también ejecuta su propio directorio de claves PGP, que es más privado que los servidores de claves PGP convencionales. La interfaz web Roundcube funciona bien dentro de los navegadores móviles, pero Posteo no tiene aplicaciones móviles dedicadas. Sin embargo, la compatibilidad con IMAP significa que se pueden usar aplicaciones de correo electrónico de terceros con el servicio.

En 2013, este servicio demostró su capacidad de privacidad al resistir con éxito las demandas de la policía de la identidad del titular de una cuenta de Posteo que se creía que estaba utilizando el servicio con fines ilícitos. El hecho de que no almacena ningún dato sobre las identidades de sus clientes hizo imposible la entrega de dicha información.

4. Mailfence

Precio: Gratis (500 MB / 1 dirección), € 2.50 por mes (5 GB / 10 direcciones), € 7.50 por mes (20 GB / 50 direcciones)

• Precios

  Desde $ 0.00
  / mes

Mailfence tiene su sede en Bélgica, un país con fuertes leyes de privacidad y sin antecedentes de cooperación con la NSA y el GCHQ. Se requiere que los ISP realicen una amplia retención general de datos, pero el acceso a estos datos está estrictamente regulado y requiere una orden judicial.

Mailfence utiliza fácil “un click” El cifrado OpenPGP para proteger los correos electrónicos y los correos electrónicos enviados a otros usuarios de Mailfence se cifran automáticamente (y no dejan Mailfence’s servidores).

Los correos electrónicos a los que no son miembros pueden enviarse cifrados por PGP, o enviados sin cifrar pero firmados digitalmente con una clave PGP. Alternativamente, se pueden enviar correos electrónicos cifrados simétricamente a usuarios que no son PGP utilizando un secreto compartido para asegurarlos.

Y debido a que Mailfence usa una implementación estándar de OpenPGP con administración completa de claves disponible, el servicio es interoperable con “regular” Usuarios de PGP. Mailbox ejecuta su propio servidor de claves. Las claves PGP se generan en el navegador y se almacenan en Mailfence’s servidores que utilizan un cifrado AES-256.

El cifrado PGP basado en navegador es de código abierto, pero gran parte del entorno de fondo es de código cerrado. Los mensajes eliminados se guardan durante dos semanas con fines de copia de seguridad. Más preocupante es que Mailfence registra todos los metadatos de correo electrónico, incluidos “Direcciones IP, ID de mensaje’s, direcciones de remitente y destinatario, asuntos, versiones del navegador, países y marcas de tiempo.”

Un gran atractivo para este servicio es que proporciona calendarios seguros y exportables y almacenamiento seguro de documentos.

Desafortunadamente, Mailfence actualmente no ofrece ninguna aplicación móvil, aunque los mensajes se pueden sincronizar con dispositivos iOS y Android usando Microsoft Exchange ActiveSync y el soporte para POP e IMAC significa que puede usar aplicaciones de terceros con el servicio (solo usuarios pagos). También ofrece una interfaz web reducida especialmente diseñada para dispositivos móviles..

5. StartMail

• Precios

  Desde $ 4.99
  / mes

StartMail es un servicio de correo electrónico centrado en la privacidad operado por las personas que también ejecutan el motor de búsqueda de privacidad StartPage.

Debido a su uso integrado de PGP, StartMail es totalmente interoperable con otros usuarios de PGP. También es posible enviar correos electrónicos cifrados a usuarios que no son PGP, quienes deben conocer un secreto elegido por usted para abrir el correo electrónico..

Una de las características más notables de este servicio es que el cifrado PGP se realiza en el servidor. En otras palabras, no es de extremo a extremo. StartPage cita los problemas muy reales con el cifrado de navegador basado en JavaScript que discutimos en la introducción de este artículo como la razón de esto, pero sin duda es una decisión controvertida..

Esta situación no se ve favorecida por el hecho de que StartPage utiliza una combinación de componentes de código abierto y de código cerrado..

StartMail tiene su sede en los Países Bajos. Al igual que Suiza, este es un país tradicionalmente considerado como respetuoso con la privacidad, pero que recientemente ha aprobado nuevas y alarmantes leyes de vigilancia..

Una cosa que realmente nos gusta de StartMail es la capacidad de crear direcciones de correo electrónico desechables ilimitadas. No hay aplicaciones móviles dedicadas, pero la compatibilidad total con IMAP y SMTP significa que puede usar cualquier aplicación de correo electrónico de terceros con el servicio.

6. Mailbox.org

• Precios

  Desde $ 0
  / mes

Al igual que Tutanota, buzón.org tiene su sede en Alemania. Esto tiene leyes estrictas de privacidad, pero también practica una vigilancia generalizada propia, proporciona la base para la NSA’s extensas operaciones europeas, y se sabe que colabora con la NSA.

El cifrado PGP se puede realizar en el servidor por conveniencia, pero esto no es de extremo a extremo. buzón.org mitiga este problema al requerir también una contraseña para acceder a correos electrónicos encriptados, lo cual es conocido solo por el usuario de la cuenta. Sin embargo, todavía se requiere un cierto nivel de confianza..

Alternativamente, puede encriptar e2e correos electrónicos PGP en su navegador usando el complemento de navegador Mailvelope, que ha sido preconfigurado para trabajar con buzón.org sin requerir ningún paso de configuración adicional.

Todos los correos electrónicos enviados y recibidos se almacenan opcionalmente en un buzón Guard cifrado con PGP. Los correos electrónicos no cifrados siguen siendo vulnerables a la intercepción durante el tránsito, pero deben estar seguros en reposo. Al igual que con el cifrado PGP completo del servidor de correos electrónicos individuales, los buzones de Guard están protegidos por una contraseña que solo el usuario conoce.

No hay aplicaciones móviles, pero buzón.org admite IMAP y POP para usar con aplicaciones de correo electrónico de terceros. Los contactos y calendarios se pueden sincronizar con dispositivos móviles a través de ActiveSync.

7. Neomailbox

• Precios

  Desde $ 0
  / mes

Neomailbox tiene su sede en Suiza. Como discutimos en nuestro análisis de ProtonMail, la incertidumbre sobre cómo se ejercerán sus nuevas leyes de vigilancia socava este país’s reputación tradicional por ser respetuoso con la privacidad.

Neomailbox no le permite enviar o recibir correos electrónicos cifrados con PGP, pero ofrece la opción de cifrar automáticamente los correos electrónicos almacenados en sus servidores utilizando su clave PGP pública. Esto significa que Neomailbox no puede acceder a sus correos electrónicos, pero requiere el uso de herramientas externas como Mailvelope o Gpg4win para generar su par de claves PGP.

Se permiten alias ilimitados sin configuración avanzada, aunque todos usan su nombre de subdominio único. Estos alias se pueden bloquear y desbloquear a voluntad, lo que los hace ideales para usar como direcciones desechables.

Menciones honoríficas

Disroot y Runbox son servicios de correo electrónico amigables con la privacidad que almacenan correos electrónicos en discos duros encriptados. Sin embargo, no ofrecen ningún tipo de cifrado de extremo a extremo. Kolab Now también es un servicio de correo electrónico respetuoso con la privacidad, pero no almacena correos cifrados.

Cuando publicamos inicialmente este artículo hace unos tres años, el servicio Lavabit recientemente resucitado parecía prometedor. Sin embargo, la mayoría de las características de privacidad y seguridad prometidas aún no se han materializado, y tenemos dificultades para recomendar cualquier servicio con sede en los EE. UU..

Bastante buena privacidad (PGP)

PGP fue desarrollado como un protocolo para encriptar correos electrónicos de forma segura, y aunque el estándar original ya no es de código abierto (ahora es propiedad de Symantec), el Fundación para el software libre ha tomado el banner de código abierto en forma de interoperable al 100 por ciento OpenPGP estándar.

La forma más tradicional (y aún la más segura) de usar PGP es GNU Privacy Guard (también conocido como GnuPG o simplemente GPG). Está disponible para Windows, macOS y Linux, con un cliente de correo electrónico independiente como Claw-Mail o Thunderbird.

Aunque el programa básico utiliza una interfaz de línea de comandos simple, hay versiones más sofisticadas disponibles para Windows (Gpg4win) y Mac (GPGTools). Tenemos una guía para asegurar su correo electrónico con la guía Gpg4win en otra parte. Puede valer la pena leerlo para ayudar a comprender cómo funciona OpenPGP.

Tenga en cuenta que con PGP, los metadatos (direcciones de correo electrónico del remitente y destinatario, fecha y hora de envío y el asunto del correo electrónico) no están encriptados. Solo el cuerpo y cualquier apego. Y cualquier servicio que desee ser compatible con PGP sufrirá necesariamente las mismas limitaciones..

Otro problema con PGP es que no utiliza Secreto directo perfecto (PFS) Entonces, una vez que se rompen las claves de un correo electrónico cifrado, todos los demás correos electrónicos cifrados con las mismas claves también se verán comprometidos. Esta es un área donde los servicios web de correo electrónico PGP e2e brillan porque el uso de intercambios de claves Diffie-Hellman o ECDE en sus conexiones TLS introduce PFS.

Debemos tener en cuenta que este es un problema que afecta a todas las implementaciones de PGP, incluidos los proveedores de correo electrónico enumerados en este artículo.

Mailvelope: facilitando PGP

Incluso una mirada casual a través de nuestro Guía de gpg4win demostrará ampliamente por qué PGP no ha atrapado al público. Es complejo hasta el punto de ser confuso y es difícil de corregir. La mayoría de los servicios de correo web e2e enumerados anteriormente usan PGP, pero apuntan a que sea lo más fácil de usar y "a prueba de idiotas" posible.

En esto, tienen mucho éxito, pero a un precio en seguridad. Como ya se discutió, la criptografía basada en navegador es profundamente defectuosa. Sin embargo, existe una tercera opción que proporciona una especie de "vía intermedia".

Mailvelope es un complemento de navegador OpenPGP que es mucho más fácil de usar que la configuración más tradicional (aunque no es tan fácil como las soluciones de correo web de "un clic").

Correo electrónico alojado

Una opción más extrema a todo lo anterior es autohospedar su propio servidor de correo electrónico. Esto puede hacerse en su propia PC o en un servidor alquilado. Hacer eso garantiza que Google y otras grandes corporaciones no estarán husmeando en sus correos electrónicos (al menos directamente, aún podrán leer correos electrónicos sin cifrar enviados a otros usuarios de sus servicios).

Sin embargo, configurar y mantener su propio servidor de correo electrónico es un trabajo no trivial incluso para los más inclinados técnicamente. Y garantizar que sea seguro es aún más difícil. De hecho, si no se hace correctamente, ejecutar su propio servidor de correo electrónico puede ser activamente peligroso, ya que puede proporcionar una falsa sensación de seguridad.

Esto no quiere decir que sea imposible, y ciertamente hay fanáticos de la privacidad que juran por su propia cuenta de correo electrónico. Este es ciertamente un tema para el que podemos escribir una guía en algún momento en el futuro!

Software como Mail-in-a Box y Mailcow facilita el trabajo automatizando el proceso, pero para obtener la máxima seguridad, debe crear su propio servidor desde cero (por así decirlo). Se pueden encontrar excelentes tutoriales sobre cómo hacer esto aquí y aquí.