¿Quién puede leer mi correo? Las claves y los bytes

La custodia del correo son dos preguntas, no una: quién tiene las claves que descifran sus mensajes y quién tiene los bytes en los que esos mensajes están guardados. Casi toda afirmación de privacidad en el hosting de correo responde a una de las dos y deja la otra en silencio. Las claves deciden quién puede leer su correo. Los bytes deciden quién puede retenerlo, perderlo o verse obligado a entregarlo.

Cruce las dos y salen cuatro combinaciones. Todo producto de correo del mercado está en una de ellas, y cada una falla a su manera característica.

¿Dónde cae cada una de las cuatro combinaciones?

Claves	Bytes	Quién funciona así	De qué protege realmente
Proveedor	Proveedor	Gmail, Microsoft 365, la mayoría del hosting compartido y de cPanel	De un disco robado o retirado del servicio
Usted	Proveedor	Proveedores de acceso cero: Proton Mail, Tuta	De que el proveedor lea su correo guardado
Proveedor	Usted	Un servicio de enrutado que cifra el correo y lo escribe en un almacenamiento suyo, guardando la clave en el servidor	De perder el archivo por el sistema de cuentas o la jurisdicción de un proveedor
Usted	Usted	Servidor de correo propio; buzones con custodia en el dispositivo, con claves generadas en su navegador	De las dos cosas, y le entrega todos los modos de fallo

La tercera fila es la que la gente no espera, porque “cifrado, en un bucket propio” suena a la opción más fuerte por fuerza. Es un diseño real y defendible — el proveedor necesita la clave para dibujar el buzón en un navegador y para filtrar el correo entrante — pero un servicio que tiene la clave puede leer cualquier cosa que descargue, esté el archivo donde esté físicamente.

¿Por qué “cifrado en reposo” es solo media respuesta?

Porque en casi todos los productos esa frase significa cifrado con claves que administra el proveedor, y por tanto un proveedor que descifra de forma transparente en cada lectura. Google, Microsoft y AWS cifran los datos de sus clientes en reposo con AES-256 y claves propias. Es ingeniería de verdad y defiende de una amenaza concreta: discos que salen del edificio. No dice nada sobre quién puede leer su buzón desde dentro.

La prueba es una sola pregunta. Si mañana obligan a alguien del proveedor a producir su correo, ¿qué sale: mensajes legibles o un archivo que nadie de los implicados puede abrir? Todo lo demás de una página de privacidad es un comentario sobre esa respuesta.

¿Qué sale mal en cada cuadrante?

Cosas distintas, y saber a cuál está expuesto importa más que elegir la opción teóricamente más fuerte.

Claves del proveedor, bytes del proveedor. Una orden judicial produce correo legible. También lo produce una cuenta de administrador comprometida o un empleado que abusa de su acceso; los controles son políticas y registros de auditoría, no matemáticas. El contenido está disponible para el proveedor por construcción, que es como funcionan el filtro de spam, la búsqueda, las respuestas sugeridas y, en su día, la publicidad segmentada. Si suspenden la cuenta, el archivo se va con ella. En la práctica este cuadrante está bien para la mayoría del correo y es catastrófico para la fracción pequeña que no querría oír leída en voz alta.

Sus claves, bytes del proveedor. El problema de lectura está resuelto y el de disponibilidad empeora. Un requerimiento produce texto cifrado más todo lo que queda fuera: registros de facturación, direcciones IP de inicio de sesión, registros del sobre, a veces los asuntos. Una suspensión sigue separándole del archivo, y ahora nadie puede devolvérselo, porque el proveedor no puede descifrar lo que guarda. Olvidar la contraseña sin frase de recuperación destruye el buzón para siempre. No es un defecto — es la garantía funcionando — pero es la forma más común de perder un archivo de acceso cero.

Claves del proveedor, sus bytes. Su archivo sobrevive al proveedor: está en su propia cuenta de nube, en su propia relación de facturación, en una región que usted eligió, y ninguna suspensión lo alcanza. Con eso viajan dos matices. El proveedor sigue pudiendo leer los mensajes que procesa, y una orden judicial que pide la clave es de las más fáciles de cumplir. Y el archivo solo es suyo en un sentido útil si el formato en disco está documentado; si el software del proveedor es lo único capaz de interpretarlo, usted tiene bytes y no correo.

Sus claves, sus bytes. No hay nada a lo que dirigir un requerimiento salvo los metadatos de transporte que guardan los relés de otras personas, y no hay cuenta que nadie pueda suspender. El precio es que ahora cada fallo es definitivo y suyo: una frase de paso perdida, un bucket borrado, una política de almacenamiento permisiva que publica un archivo entero, una copia de seguridad que dejó de ejecutarse en marzo sin que nadie lo notara. El servidor propio añade la cola de operaciones — renovación de certificados, vigilancia de listas negras, DNS inverso, calentamiento de la IP — y la entrega saliente la deciden los sistemas de reputación de otras empresas por correcta que sea su configuración.

¿Qué combinación conviene elegir?

Elija el cuadrante que cubre el fallo que de verdad no sobreviviría, y luego trabaje sobre el que ese cuadrante deja abierto.

Si su preocupación es que un proveedor o un gobierno lea su correspondencia, necesita sus claves, y toca aceptar que perder la credencial es perder el correo. Si su preocupación es quedarse sin acceso — una cuenta suspendida, una adquisición, una subida de precio, una empresa que cierra, una jurisdicción que no puede usar — necesita los bytes, y la custodia de las claves es una decisión aparte que puede tomar después. Si un requisito escrito dice que los datos viven en una cuenta que usted controla, solo las dos filas de abajo lo cumplen, y ninguna promesa comercial lo sustituye.

Casi nadie necesita la carga de operaciones del cuarto cuadrante para obtener sus garantías, y por eso las dos filas de abajo se han convertido en una categoría real en los últimos años.

Una costumbre vale más que todo este análisis. Haga las dos preguntas por separado y por escrito: quién tiene las claves y quién tiene los bytes. Los proveedores que lo han pensado contestan con una frase cada una. Los que no, contestarán dos veces a la de las claves.