Forced TLS y cifrado TLS de las conexiones, explicado
¿Qué es forced TLS?
TLS (Transport Layer Security) es el estándar de seguridad que cifra una conexión, la misma técnica que hace posible el candado de tu navegador. En el correo, TLS protege la conexión entre servidores de correo y entre tu dispositivo y tu servidor de correo, para que el contenido no sea legible por el camino para quien intercepte la conexión.
Normalmente TLS es «oportunista»: si el cifrado funciona, perfecto; si no, a veces el mensaje sigue adelante sin cifrar. Forced TLS cierra esa puerta trasera: si no hay una conexión cifrada válida, el correo no se entrega. Es decir, seguridad antes que comodidad. Tienes más sobre el cifrado en un sentido más amplio en correo cifrado: qué se puede y qué no.
Por qué importa una conexión cifrada
El correo viaja por defecto a través de varios servidores y redes. Sin cifrado es como una postal: cualquiera que la tenga en las manos por el camino puede leerla. No es un riesgo teórico en redes públicas o compartidas, donde el tráfico se intercepta con relativa facilidad. TLS mete esa postal en un sobre cerrado durante la parte del viaje entre los servidores.
Para quien trabaja con datos personales, eso no es un detalle. El Reglamento General de Protección de Datos (RGPD) exige medidas técnicas apropiadas al tratar datos personales, y una conexión cifrada forma parte de lo básico. En la comunidad security.nl alguien lo resumió acertadamente: con forced TLS, el correo es perfectamente utilizable para datos personales básicos. Como regla general es cierto, siempre que entiendas qué protege TLS y qué no. Sobre qué puedes enviar exactamente por correo, consulta datos personales por correo y el RGPD. Ante cualquier duda, consulta a un especialista.
Cómo funciona
TLS protege la conexión, no el mensaje almacenado. Así funciona en la práctica.
- Tu servidor de envío se conecta con el servidor de destino y propone usar TLS.
- Ambos servidores intercambian certificados y establecen un túnel cifrado.
- El mensaje viaja por ese túnel: ilegible por el camino para quien mire.
- Al llegar se descifra de nuevo y se guarda en el servidor del destinatario.
Con forced TLS se añade un requisito estricto: si el paso 2 falla, tu servidor se niega a enviar el mensaje en lugar de reenviarlo sin protección. Cambias así un pequeño riesgo de retraso por la seguridad de que nada salga sin cifrar.
Ten en cuenta que en el servidor final el mensaje se guarda de forma legible. TLS protege exclusivamente el viaje, no el destino. Quien tiene acceso al propio buzón ve el contenido; de eso se encargan otras medidas, como una contraseña segura y la verificación en dos pasos. El cifrado en tránsito y la protección del acceso son, por tanto, dos capas distintas que necesitas las dos.
Es importante entenderlo: esto es cifrado en tránsito, no cifrado de extremo a extremo. TLS protege el mensaje mientras va de un servidor a otro. En los propios servidores el correo se guarda legible, y el lado receptor también tiene que admitir TLS. Si quieres que solo el destinatario final pueda leerlo, necesitas una capa de cifrado aparte; esa diferencia se explica en correo cifrado.
En la práctica, la diferencia entre «oportunista» y «forzado» es la más importante. El TLS oportunista intenta cifrar, pero ante un problema vuelve en silencio al tráfico sin cifrar, sin que te enteres. Precisamente esa vuelta atrás es lo que un atacante puede provocar. Forced TLS cierra esa salida: sin conexión segura válida, no hay entrega. Obtienes certeza en lugar de un «casi siempre va bien».
En qué fijarte
- TLS ≠ de extremo a extremo. Protege el viaje entre servidores, no el almacenamiento posterior. Para documentos realmente confidenciales puede hacer falta un cifrado adicional.
- Los dos lados tienen que participar. Si el servidor de destino no admite TLS, forced TLS bloquea la entrega. Es seguro, pero puede retrasar la entrega.
- No regula el acceso. El cifrado por el camino no dice nada sobre quién puede entrar en el buzón. Por eso, combínalo con una protección de acceso sólida como la 2FA.
- Los certificados tienen que ser válidos. Un certificado caducado o incorrecto rompe la conexión cifrada.
- Es sobre todo trabajo del proveedor. Como usuario, rara vez configuras TLS tú mismo; forma parte de un entorno de correo bien montado.
Una decisión práctica es la que hay entre seguridad y garantía de entrega. Un forced TLS estricto protege al máximo, pero puede bloquear el correo hacia destinatarios sin TLS. Para la mayoría de la correspondencia profesional eso no es un problema, porque las entidades serias admiten TLS. Si trabajas con datos sensibles, la protección pesa más que la rara molestia. Es justo el tipo de decisión que puedes dejar en manos de un proveedor que monta el entorno con estándares modernos.
Y en Mailflux
En Mailflux tu correo funciona sobre una infraestructura montada con estándares modernos, con conexiones cifradas (TLS) entre tu dispositivo y nuestros servidores y en el transporte de los mensajes. Así tu correo queda protegido por el camino sin que tengas que trastear tú.
Tienes correo profesional con tu propio dominio, alojado en Europa y conforme al RGPD, con filtrado mediante aprendizaje automático (machine learning) contra spam, phishing y malware, antivirus, antispam y antimalware de serie, copias de seguridad automáticas y verificación en dos pasos opcional. Un precio claro por buzón, con facturación anual, con la base de seguridad bien cuidada.
FAQ
Preguntas frecuentes
¿Es forced TLS lo mismo que el cifrado de extremo a extremo?
No. Forced TLS cifra la conexión por la que viaja tu correo, para que nadie pueda leerlo por el camino. El cifrado de extremo a extremo cifra el propio contenido, para que solo el destinatario final pueda leerlo, también en el servidor. TLS es seguridad en el transporte; para el contenido más sensible hace falta una capa extra.
¿Es el correo con forced TLS lo bastante seguro para datos personales?
Para datos personales básicos, una conexión cifrada es una medida básica importante. El RGPD exige una seguridad apropiada, y eso depende de lo sensibles que sean los datos. Para categorías especiales, como los datos de salud, puede hacer falta más. Ante cualquier duda, consulta a un especialista.
¿Tengo que configurar forced TLS yo mismo?
Normalmente no, como usuario. TLS y su aplicación obligatoria forman parte de un entorno de correo bien montado y los gestiona tu proveedor. En la práctica apenas lo notas, salvo porque tus mensajes solo se envían y reciben a través de conexiones seguras.