Emails enviados sin cifrado TLS (STARTTLS)

Qué significa

Cuando tu servidor entrega un email a otro servidor, los dos pueden ponerse de acuerdo para cifrar la conexión. Esto se llama TLS, y el comando que lo inicia en una conexión de correo normal es STARTTLS.

Tu email se entregó sin cifrado. Cualquiera capaz de observar la red entre los dos servidores podría leerlo.

Por qué importa

• Gmail muestra un candado rojo abierto en los emails recibidos sin cifrado, lo que preocupa a los lectores.
• Gmail y Yahoo esperan que los remitentes masivos usen TLS.
• Los emails suelen contener información personal o profesional que no debería viajar sin cifrar.
• Delivmail resta una pequeña parte de la puntuación por una entrega sin cifrar.

Cómo comprobarlo

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe. La línea «Cifrado (TLS)» indica si el email llegó cifrado.
• En Gmail, abre un email recibido, haz clic en la pequeña flecha bajo el nombre del remitente y mira la línea «seguridad».

Cómo solucionarlo

Si usas un proveedor

Google Workspace, Microsoft 365 y todas las herramientas de newsletters serias usan TLS automáticamente. Si tu prueba no muestra TLS, probablemente el email pasó por otro sistema: una web, una impresora, una aplicación de empresa o un servidor de relay antiguo. Encuéntralo y haz que envíe a través de tu proveedor.

Si tienes tu propio servidor de correo

1. Consigue un certificado para el nombre de tu servidor, por ejemplo mail.yourdomain.com. Un certificado gratuito de Let's Encrypt funciona bien.
2. Activa TLS saliente. En Postfix, por ejemplo:

   smtp_tls_security_level = may
   smtp_tls_loglevel = 1

   El ajuste may cifra siempre que el otro servidor lo admite, y hoy casi todos lo hacen.
3. Activa también TLS entrante, para que los demás puedan enviarte emails de forma segura:

   smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
   smtpd_tls_key_file = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
   smtpd_tls_security_level = may

4. Recarga el servidor y busca en sus logs líneas que mencionen TLS.
5. Renueva el certificado automáticamente. Un certificado caducado puede romper la entrega cifrada.

Si envías desde una aplicación

En los ajustes SMTP de tu aplicación, elige el puerto 587 con STARTTLS, o el puerto 465 con SSL/TLS. Evita el puerto 25 sin cifrado. Así proteges la conexión entre tu aplicación y tu proveedor; después tu proveedor se encarga del TLS hasta el destinatario.

Comprueba que está solucionado

Envía un nuevo email de prueba desde la página de inicio con el mismo servidor o la misma herramienta. La línea «Cifrado (TLS)» debería decir sí. En Gmail, el candado rojo debería haber desaparecido. Si sigue diciendo no, comprueba que el email salió de verdad por el servidor que modificaste y busca en sus logs errores de TLS, como un certificado caducado o no fiable.