Correo electrónico seguro hecho para ti

Seguridad y privacidad van de la mano

Cuando evalúes la seguridad y privacidad de cualquier servicio en línea, hazte siempre las siguientes preguntas:

1. ¿Quién paga por él? ¿Los usuarios o los anunciantes? Si la respuesta es «los anunciantes», el servicio nunca podrá ofrecer una solución verdaderamente segura y privada. Su máxima prioridad son los intereses de los anunciantes, ayudándoles a identificar audiencias objetivo a partir de los datos de los usuarios y a ofrecerles anuncios. La protección de la privacidad de los usuarios siempre queda en segundo lugar con un modelo de negocio de este tipo.

2. ¿Quién controla la pila tecnológica? Esta es una pregunta muy técnica, pero de crucial importancia. Si un servicio utiliza «tecnología» de terceros, como Dovecot, Roundcube, Google reCaptcha o Google Push, puedes estar seguro de que la seguridad y la privacidad no pueden ser su principal prioridad, ya que el proveedor filtra información a terceros a sabiendas, sin advertir de ello a los usuarios. Esta es otra razón por la que deberías elegir un servicio que sea de código abierto y no dependa de integraciones con software de código cerrado.

3. ¿Qué datos se cifran de extremo a extremo (E2E)? Muchos proveedores afirman que su servicio proporciona un correo electrónico seguro y que los datos que almacenan están «encriptados». Lo que hace que esta pregunta sea tan importante es ¿Cómo se encriptan los datos? Porque sólo cuando los datos están encriptados de extremo a extremo, son realmente inaccesibles tanto para el servicio en línea como para otros terceros. Sólo entonces puede considerarse que el servicio ofrece correo electrónico seguro. Por eso no basta con «cifrar» los datos, sino que hay que cifrarlos de extremo a extremo.

Control de la pila de software

Muchos servicios de correo electrónico, incluso los seguros, utilizan tecnología de terceros como Dovecot, Roundcube y otros para construir sus propios productos. Cada vez que un servicio supuestamente seguro utiliza aplicaciones de terceros, resulta más difícil proteger dicho servicio. La razón es sencilla: Cada servicio incluido ejecuta código. La seguridad de cualquier servicio no puede ser mejor que la de sus dependencias. Cada dependencia de código de terceros debe mantenerse y las actualizaciones de seguridad deben aplicarse inmediatamente. Además, cada servicio de terceros puede potencialmente rastrear a los usuarios, enviar datos a sus propios servidores, etc. Por eso, en Tuta sólo utilizamos código abierto que hayamos verificado nosotros mismos antes de usarlo. De esta forma nos aseguramos de que las herramientas de código abierto que utiliza Tuta son seguras: Realizamos, regularmente, revisiones de seguridad de estas herramientas, así como de nuestros propios clientes, por ejemplo cuando sacamos nuestros clientes de escritorio de beta.

Por supuesto, en Tuta tampoco podemos reinventar la rueda. Pero hemos construido todos nuestros clientes - web, Android, iOS, y todos los clientes de escritorio por nuestra cuenta. Además, tenemos un fuerte enfoque en la seguridad en todo nuestro flujo de trabajo de desarrollo. Todos los desarrolladores comparten el mismo ADN: la privacidad y la seguridad ante todo.

Una de las principales diferencias de Tuta es que nosotros mismos construimos todas las partes principales de Tuta, incluso fuera de la funcionalidad principal del correo electrónico, como nuestro captcha, nuestro servicio de notificaciones push en Android y mucho más.

Sólo con el código abierto - de nuestros propios clientes y del software del que depende Tuta - los expertos en tecnología pueden auditar el código y verificar que Tuta está haciendo lo que prometemos: proteger al máximo tus correos electrónicos privados.

Comprueba aquí por qué recomendamos elegir nuestros clientes de escritorio seguros para Linux, Windows y macOS y por qué es tan importante que hayamos construido nuestro propio captcha de código abierto, así como una alternativa a Google Push en Android.

Seguridad

Seguimos el concepto de «la seguridad es lo primero».

Al ofrecer un servicio de correo electrónico seguro, la gente confía en que su seguridad es a prueba de balas. Para nosotros, esto significa que nunca puede haber concesiones en materia de seguridad. La seguridad debe estar integrada en el código, de modo que se pueda añadir facilidad de uso, y no al revés.

Este concepto de «la seguridad es lo primero» nos ha llevado a tomar varias decisiones de desarrollo que hoy garantizan la seguridad de primera categoría de Tuta:

• No utilizamos PGP, sino una implementación ligeramente diferente de AES y RSA, que nos permite cifrar muchos más datos (líneas de asunto), así como cifrar todas las demás funciones que añadimos a Tuta, como los contactos y los calendarios, que están cifrados al 100%. Hemos reemplazado RSA con ECDH (x25519) Kyber-1024 para liberar criptografía cuántica a todos los usuarios de Tuta. En el futuro, planeamos apoyar también el secreto hacia adelante.

• No buscamos en tus datos en el servidor porque están encriptados allí. En su lugar, Tuta construye un índice de búsqueda cifrado, que se almacena localmente en tu dispositivo o en tu navegador y se busca allí. Esto te permite buscar en todos tus correos electrónicos (remitente, destinatario, asunto, cuerpo, archivo adjunto) localmente mientras proteges tu privacidad.

• No ofrecemos IMAP, ya que sólo funcionaría si enviáramos datos descifrados a tu dispositivo. En su lugar, hemos creado nuestros propios clientes de escritorio de código abierto, que almacenan tus datos encriptados. Los clientes de escritorio también están firmados para que todo el mundo pueda verificar que el cliente está ejecutando exactamente el mismo código que el código publicado en GitHub.

Cuando creas una dirección de correo electrónico segura con Tuta, puedes estar seguro de que tus datos se mantienen seguros.

Cifrado TLS

Asegurando el protocolo de correo electrónico

Cuando envías correos electrónicos con Tuta, has elegido claramente la opción más segura, ya que Tuta permite encriptar automáticamente los correos electrónicos de extremo a extremo.

Sin embargo, a veces puede que quieras enviar y recibir correos electrónicos sin encriptar a y de contactos que no usan Tuta, cuando compartir una contraseña con ellos sería inconveniente. Es mucho más difícil proteger estos correos porque en tal caso el proveedor de correo sólo puede cifrar la transmisión, no los datos en sí. Además, hay otros servicios implicados, como el proveedor de correo electrónico del destinatario, que necesitan asegurarse de que la transmisión se completa de forma segura.

Para asegurar los correos electrónicos no cifrados lo mejor posible, nos adherimos a los estándares más altos posibles del protocolo de correo electrónico SMTP.

Tuta soporta MTA-STS. Este estándar ya debería ser soportado por todos los servicios de correo electrónico porque es para un correo electrónico lo que HTTPS estricto es para un sitio web: Impone el cifrado de transporte (TLS) siempre que TLS sea posible.

Tuta también soporta SPF, DKIM y DMARC. Estos tres protocolos son necesarios para reforzar la infraestructura contra la intrusión de correos electrónicos de phishing y spam.

Tuta utiliza CSP (Content Security Policy) estricto, un desinfectante HTML para mostrar contenido desconocido (en correos electrónicos) para prevenir ataques XSS, y, por defecto, no carga contenido externo de otros servidores (imágenes y vídeos en correos electrónicos). El usuario puede elegir que se muestre contenido externo con un solo clic o toque, si confía en el remitente.

Comprueba aquí la puntuación de Tuta en Securityheaders.io.

Máxima protección de inicio de sesión

Tuta nunca transmite tu contraseña al servidor.

Cuando te conectas a tu buzón seguro, Tuta aplica «hash» y «salt» a tu contraseña antes de transmitir el «hash» a nuestros servidores. Es imposible deducir la contraseña real a partir de este «hash», por lo que nadie puede conocer tu contraseña, ni siquiera nosotros en Tuta. Para proteger tu contraseña, utilizamos «bcrypt» y «SHA256».

Tuta también proporciona autenticación de dos factores (2FA) para añadir una capa extra de seguridad. Para asegurar tus credenciales de inicio de sesión, puedes utilizar TOTP o U2F. Recomendamos utilizar U2F con un dispositivo de seguridad, ya que es la forma más segura de autenticación de dos factores. Esto garantiza que sólo el usuario autorizado pueda acceder a su cuenta.

Consulta nuestra guía de seguridad en línea sobre cómo mantener tus correos electrónicos a salvo de piratas informáticos.

Arquitectura de conocimiento cero

Tuta utiliza una arquitectura de conocimiento cero, lo que significa que los datos del usuario nunca se almacenan en texto plano en los servidores de Tuta. Los servidores de Tuta sólo almacenan los datos cifrados, y la clave de descifrado sólo está disponible para el usuario. Esto garantiza que incluso si los servidores de Tuta son pirateados, los datos permanecen seguros.

Compatible con RGPD

El RGPD europeo obliga a las empresas a proteger los correos electrónicos que contengan datos sensibles de ciudadanos de la UE. Las empresas están obligadas a salvaguardar los datos personales, incluso en tránsito.

Ahorra tiempo y dinero alojando todos tus correos electrónicos empresariales cifrados en los servidores seguros de Tuta. Con Tuta no hay necesidad de utilizar un plugin o un complicado software de cifrado además de una solución de correo electrónico empresarial hinchada que solía ser una buena opción para las empresas hace una década.

El cifrado de correo electrónico garantiza el cumplimiento del RGPD, y Tuta ofrece la solución de correo electrónico más segura para las empresas con pleno cumplimiento del RGPD.

Tuta sigue los principios de minimización de datos y privacidad por diseño.

Somos responsables de la protección de tus datos personales, y nos tomamos esta responsabilidad muy en serio. Por lo tanto:

• Tuta se basa en los principios de privacidad de datos de «minimización de datos» y «privacidad por diseño».

• Todos los datos del usuario se almacenan cifrados de extremo a extremo en Tuta (excepto los metadatos como las direcciones de correo electrónico de los remitentes y destinatarios de los correos electrónicos, ya que esta información es necesaria para que el protocolo de correo electrónico entregue el correo electrónico a la dirección correcta).

• Contamos con medidas técnicas y organizativas que protegen tus datos al máximo.

• Tuta proporciona un Acuerdo de Procesamiento de Pedidos con garantías de protección de datos legalmente vinculantes para ayudarte a demostrar tu cumplimiento del RGPD.

Por favor, lee nuestra completa declaración de privacidad para más detalles.

Nuestro cifrado integrado y el hecho de que te permitimos enviar un correo electrónico cifrado a cualquier destinatario en el mundo hacen de Tuta una opción perfecta cuando se busca el mejor correo electrónico seguro para tu negocio. Tuta te ayuda a enviar fácilmente datos personales sensibles encriptados de extremo a extremo, asegurándose así de que tu empresa cumple con la RGPD.

Lee en nuestro blog para descubrir cómo Tuta puede ayudar a tu empresa a lograr el cumplimiento del RGPD.

Privacidad hecha en Alemania

Alemania tiene una de las leyes de protección de datos más estrictas.

La normativa sobre privacidad de datos de la Unión Europea (UE) es una de las más estrictas del mundo y, entre todos los Estados miembros europeos, Alemania tiene una de las políticas más estrictas: la Ley Federal de Protección de Datos (Bundesdatenschutzgesetz). El Reglamento General de Protección de Datos (RGPD) de la UE se diseñó en gran parte basándose en la Ley Federal de Protección de Datos alemana.

Esta ley protege a los usuarios de servicios de internet. Pone al usuario al mando de lo que debe hacerse con sus datos: Las empresas (=nosotros) no están autorizadas a recopilar ninguna información personal sin el permiso expreso de un individuo (=tú), (por ejemplo, nombre, fecha de nacimiento, dirección IP).

Además, en Alemania no existe ninguna ley que pueda obligarnos a someternos a una orden de mordaza o a implantar una puerta trasera.

Puedes encontrar información detallada sobre las leyes alemanas de protección de datos en nuestro blog y en nuestro Informe de Transparencia.

Datos almacenados en Alemania

Tuta almacena todos los datos cifrados en centros de datos de alta seguridad en Alemania.

Todos los datos de Tuta se almacenan cifrados de extremo a extremo en nuestros propios servidores en centros de datos con certificación ISO 27001 en Alemania.

Nadie tiene acceso a nuestros servidores excepto nuestros administradores permanentes, que necesitan pasar una autenticación de múltiples factores antes de obtener acceso. Todos los sistemas productivos se supervisan 24 horas al día, 7 días a la semana, para detectar accesos no autorizados y actividades extraordinarias.

Servicio de correo electrónico anónimo: Sin seguimiento ni anuncios

Tuta es un servicio de correo electrónico anónimo que no te rastrea.

Nuestro modelo de negocio es diferente al de la mayoría de los servicios de correo electrónico: Debido a la encriptación, no podemos escanear tus correos electrónicos. No te rastreamos. No enviamos publicidad dirigida a tu buzón. Esto significa que tus datos no se utilizan para ningún otro fin que no sea proporcionar servicios de correo electrónico y calendario. Esto garantiza que tus datos nunca se compartan con terceros anunciantes u otras entidades, lo que podría comprometer tu privacidad.

Por defecto, Tuta no registra las direcciones IP cuando inicias sesión o cuando envías un correo electrónico. Al registrarte no necesitas proporcionar ningún dato personal (por ejemplo, no se requiere ningún número de teléfono), incluso cuando te registras a través del navegador Tor. Tuta elimina las direcciones IP de los correos electrónicos enviados de las cabeceras de correo para que tu ubicación permanezca desconocida. A pesar de todas estas protecciones, es posible que quieras mantener tu dirección IP oculta incluso para nosotros, por lo que nunca añadiremos una VPN o un navegador a nuestra oferta. En particular, ofrecer una VPN no tiene ningún sentido porque, si lo hiciéramos, nosotros, como proveedor de correo electrónico, seguiríamos siendo capaces de averiguar las direcciones IP originales de los usuarios si se conectaran a través de esta VPN. Por razones de privacidad, es mejor mantener estos servicios separados.

Funciones de privacidad mejoradas

Tuta es un servicio de correo electrónico construido con la privacidad en su corazón.

A las empresas les encanta el correo electrónico para las campañas de marketing. Porque, por defecto, el correo electrónico no respeta tu privacidad. Cuando recibes un boletín de marketing, el correo electrónico suele cargar contenido externo (por ejemplo, imágenes, vídeos). En este caso, se realiza un seguimiento: Tu dirección IP, el navegador que estás utilizando, y más información está siendo transmitida al remitente.

Tuta ofrece un servicio de correo electrónico que protege automáticamente de esos métodos de seguimiento:

• Tuta bloquea las imágenes por defecto. No se carga ningún contenido externo cuando abres un correo electrónico a menos que lo permitas activamente.

• Tuta elimina toda la información del encabezado (dirección IP) de los correos electrónicos enviados para proteger tu privacidad.

• Tuta te avisa cuando el remitente técnico difiere del remitente en el campo «desde». Falsificar el remitente es un método típico utilizado en los ataques de phishing. En nuestro blog puedes encontrar más consejos sobre cómo prevenir el email phishing.

Supervisar y cerrar sesiones a distancia

Comprueba si alguien ha accedido a tu buzón encriptado de Tuta.

Tuta te permite comprobar las sesiones activas y cerradas como una función opcional. Esto te permite verificar que nadie más que tú, ha accedido a tu cuenta. Las sesiones cerradas se eliminan automáticamente al cabo de una semana. La gestión de sesiones de Tuta también te permite cerrar sesiones de forma remota. Si pierdes tu teléfono móvil y sigues conectado con la aplicación de Tuta, puedes cerrar esta sesión desde cualquier otro dispositivo. Al cerrar la sesión de forma remota, te aseguras de que nadie pueda acceder a tus correos electrónicos seguros en el teléfono perdido.

Las direcciones IP de las sesiones abiertas y cerradas se almacenan siempre encriptadas y se eliminan automáticamente al cabo de una semana. Debido a la encriptación sólo tú puedes acceder a esta información. Nosotros en Tuta no tenemos absolutamente ningún acceso a esta información.

Comprometidos con el código abierto

Correos electrónicos gratuitos y de código abierto para todos.

Tuta se centra en la seguridad y la privacidad. Para nosotros, el código abierto es esencial para lograr ambas cosas. Hemos publicado el cliente web de Tuta, los clientes de escritorio de Tuta, así como las aplicaciones para Android e iOS, como software de código abierto en GitHub.

De esta forma, todo el mundo puede comprobar el código y verificar que no hay errores ni vulnerabilidades de seguridad en la base de código. Al ser de código abierto, los posibles problemas pueden detectarse y solucionarse mucho más rápido que en el caso de las aplicaciones de código cerrado.