Certificados S/MIME

Un certificado S/MIME cumple dos funciones:

• Cifra el cuerpo del correo electrónico y cualquier archivo adjunto utilizando la clave pública del destinatario, de modo que solo la clave privada del destinatario puede descifrarlo.
• Aplica una firma digital mediante la clave privada del remitente, lo que demuestra quién envió el correo y que nada fue alterado tras el envío.

Los destinatarios verifican esa firma con la clave pública del remitente.

Esta protección defiende contra ataques de phishing y ataques de intermediario (man-in-the-middle) a nivel del mensaje.

S/MIME funciona de manera diferente a TLS en tu servidor de correo. TLS protege la conexión entre servidores mientras los correos están en tránsito, pero una vez que un mensaje llega a una bandeja de entrada, queda sin cifrar en el servidor. S/MIME cifra el mensaje en sí, manteniéndolo protegido desde el momento en que sale de tu bandeja de salida hasta que el destinatario lo abre.

Los Requisitos de Referencia S/MIME del CA/Browser Forum, vigentes desde septiembre de 2023, definen cuatro tipos de validación que determinan qué información de identidad contiene un certificado:

• Mailbox-Validated (MV) confirma que controlas la dirección de correo electrónico. Sin verificaciones de identidad más allá de eso. Ideal para correo personal o una configuración rápida. Los certificados Sectigo Basic y Pro de SSL Dragon pertenecen a esta categoría.
• Individual-Validated (IV) verifica la identidad real del titular del certificado mediante un documento de identidad emitido por el gobierno. Adecuado para autónomos y profesionales que necesitan demostrar quiénes son en su correspondencia.
• Organization-Validated (OV) verifica la existencia legal de la organización y muestra el nombre de la empresa en el certificado. Una opción sólida para empresas que envían desde direcciones compartidas o departamentales. Sectigo Enterprise utiliza este nivel de validación.
• Sponsor-Validated (SV) es emitido por una organización a sus empleados, confirmando tanto la empresa como el representante individual. DigiCert Secure Email for Business utiliza validación de patrocinador, y es el estándar para implementaciones a nivel empresarial.

• Las organizaciones sanitarias que manejan información de salud protegida (PHI) necesitan cifrado de correo electrónico para cumplir con los requisitos de HIPAA. Un certificado de correo electrónico aplicado a las cuentas de médicos y personal administrativo satisface esa obligación.
• Los despachos de abogados y las instituciones financieras se enfrentan a estrictas normas de confidencialidad con los clientes y a una creciente exposición a ataques de Business Email Compromise (BEC). Un correo electrónico firmado digitalmente permite a los clientes confirmar que el mensaje proviene de su abogado o asesor real.
• Las empresas que operan bajo el GDPR deben proteger los datos personales en tránsito. Cifrar el correo electrónico con S/MIME proporciona una salvaguarda clara y auditable.
• Las empresas reguladas por la FDA que envían datos a través del Electronic Submissions Gateway (ESG) pueden utilizar los certificados de correo electrónico seguro de DigiCert, que cumplen con los requisitos de conformidad de la FDA ESG. Tipos de certificados relacionados, como los de firma de código y firma de documentos, cubren otros escenarios de cumplimiento.