Come installare un certificato S/MIME su Outlook

Un certificato S/MIME consente di firmare digitalmente le tue email, così i destinatari possono verificare che il messaggio provenga davvero da te e non sia stato alterato, e di cifrarle, così solo il destinatario previsto può leggerle. È un certificato per email, non il certificato SSL/TLS che protegge un sito web, e i due non sono intercambiabili, anche se entrambi provengono da una Certificate Authority.

La configurazione ha due metà che le guide tendono a confondere tra loro: far entrare il certificato in Windows e comunicare a Outlook di usarlo. Quale Outlook hai determina la seconda metà, perché ora ne esistono tre con tre schermate di impostazioni diverse.

Cosa ti serve prima di iniziare

• Il file del certificato, con la sua chiave privata. Si tratta di un file PKCS#12, con estensione .p12 o .pfx. Di solito lo scarichi dall’account del tuo fornitore di certificati email dopo aver seguito il link di attivazione, e imposti una password durante il download.
• Quella password. Senza di essa il file non può essere importato, e non può essere recuperata dal file.
• Un certificato emesso per l’indirizzo da cui invii effettivamente. Outlook confronta l’indirizzo email del certificato con l’account che invia il messaggio. Un certificato emesso per un indirizzo non firmerà la posta di un altro, il che è una sorpresa comune per chi ha alias o più account in un unico profilo.

Conserva il file scaricato. Se lo perdi, insieme alla chiave privata al suo interno, perdi definitivamente la possibilità di leggere qualsiasi messaggio che è stato cifrato per te con quel certificato. Fanne un backup in un luogo sicuro prima di procedere oltre.

Passo 1: Installare il certificato in Windows

Ogni variante di Outlook legge i certificati dall’archivio certificati di Windows, quindi questo passaggio è identico indipendentemente da quale utilizzi. Il nuovo Outlook, in particolare, non lo farà per te: Microsoft afferma chiaramente che “non importa automaticamente i certificati digitali. Devi installare il certificato manualmente o chiedere al tuo amministratore di configurare le policy per installare automaticamente i certificati.”

1. Fai doppio clic sul file .p12 o .pfx. Si apre la Importazione certificati.
2. Scegli Utente corrente come posizione dell’archivio. Un certificato email appartiene a te, non alla macchina, quindi questa è la gerarchia corretta. Fai clic su Avanti.
3. Confermare il percorso del file e fare clic su Avanti.
4. Inserisci la password che hai impostato durante il download del file. Seleziona Contrassegna questa chiave come esportabile se dovrai spostare questo certificato su un altro computer o telefono in seguito, cosa molto probabile per un certificato email. Fai clic su Avanti.
5. Scegli Inserisci tutti i certificati nel seguente archivio e seleziona Personale. Fai clic su Avanti, quindi su Fine.

Verifica che sia stato installato correttamente aprendo la Gestione certificati:

certmgr.msc

In Personale, poi Certificati, il tuo certificato dovrebbe essere elencato con il tuo indirizzo email, e i suoi Scopi previsti dovrebbero includere Posta elettronica protetta. Se quella colonna indica qualcos’altro, hai installato un certificato che non è un certificato S/MIME e Outlook non lo proporrà.

Il classico Outlook può anche importare il file direttamente, in Sicurezza posta elettronica, usando il pulsante Importa/Esporta in ID digitali (certificati). Funziona, ma aiuta solo il classico Outlook. Importare in Windows una volta copre tutte e tre le varianti e qualsiasi altra cosa sulla macchina che necessiti del certificato.

Passo 2: Comunicare a Outlook di usarlo

Trova la tua variante qui sotto. Se non sei sicuro di quale hai, cerca un menu File in alto a sinistra: il classico Outlook ne ha uno, il nuovo Outlook no.

Nuovo Outlook per Windows

1. Apri Impostazioni, poi Posta, poi S/MIME.
2. Attiva Scegli automaticamente il miglior certificato per la firma digitale, che rileva il certificato importato nel passo 1.
3. Decidi le impostazioni predefinite. Aggiungi una firma digitale a tutti i messaggi che invio è sicuro da lasciare attivo ed è il modo in cui i destinatari ottengono il tuo certificato. Cifra il contenuto e gli allegati per tutti i messaggi che invio non lo è, perché qualsiasi messaggio a qualcuno di cui non possiedi il certificato non verrà inviato.

La stessa schermata offre l’importazione e l’esportazione degli ID digitali, se preferisci farlo qui piuttosto che tramite Windows.

Outlook classico

1. Seleziona File, poi Opzioni.
2. Seleziona Centro protezione, poi il pulsante Impostazioni Centro protezione.
3. Seleziona Sicurezza posta elettronica nel riquadro sinistro.
4. In Posta elettronica cifrata, fai clic su Impostazioni.
5. Assegna un nome al profilo in Nome impostazioni sicurezza.
6. In Certificati e algoritmi, fai clic su Scegli accanto a Certificato di firma e seleziona il tuo certificato. Fai lo stesso accanto a Certificato di cifratura. Nella maggior parte dei casi è lo stesso certificato per entrambi.
7. Lascia gli algoritmi di hash e cifratura sui valori predefiniti, a meno che una policy non indichi diversamente. Outlook moderno usa già di default SHA-256 e AES, e le guide più vecchie che ti dicono di cambiare SHA-1 in SHA-256 descrivono una versione che non stai utilizzando.
8. Fai clic su OK per chiudere ogni finestra di dialogo.

Tornando alla pagina Sicurezza posta elettronica, puoi impostare i valori predefiniti con Aggiungi firma digitale ai messaggi in uscita e Cifra il contenuto e gli allegati per i messaggi in uscita. Vale la stessa cautela: firmare per impostazione predefinita va bene, cifrare per impostazione predefinita bloccherà i messaggi verso chiunque di cui non hai il certificato.

Outlook sul web

La versione browser richiede un componente ausiliario, perché una pagina web non può accedere autonomamente al tuo archivio certificati.

1. Vai su Impostazioni, poi Posta, poi S/MIME.
2. Seleziona il link per installare il controllo S/MIME, e scegli Esegui o Apri quando richiesto.
3. Potrebbe poi essere necessario autorizzare il tuo dominio aziendale nelle impostazioni dell’estensione S/MIME del browser prima che la firma e la cifratura appaiano.

Questo percorso dipende dalla configurazione Exchange della tua organizzazione, quindi se l’opzione S/MIME è completamente assente, si tratta di un’impostazione dell’amministratore piuttosto che qualcosa che puoi risolvere dal client.

Invia un messaggio firmato o cifrato

Componi un messaggio, apri la scheda Opzioni, e attiva Firma o Cifra per quel messaggio. Al primo invio, Windows chiede l’autorizzazione affinché Outlook usi la tua chiave privata; approvala.

Per confermare che ha funzionato, invia un messaggio firmato a te stesso. La copia ricevuta porta un badge di firma su cui puoi fare clic per ispezionare il certificato, l’indirizzo del firmatario e il risultato della validazione. Quel badge è anche il modo più veloce per diagnosticare un problema in seguito, perché indica cosa è andato storto piuttosto che limitarsi a rifiutare.

Perché non puoi ancora cifrare per qualcuno

Questa è la parte che blocca la maggior parte delle persone, e non è un errore di configurazione. La cifratura utilizza il certificato pubblico del destinatario, non il tuo. Il tuo certificato ti permette di firmare, e permette agli altri di cifrare per te. Finché non possiedi una copia del certificato di qualcuno, Outlook non può cifrare nulla per loro e si rifiuterà di inviare.

Il modo normale per ottenerlo è che ti inviino un messaggio firmato. Una firma digitale porta con sé il certificato del mittente, quindi una volta che l’hai ricevuto e salvato, la cifratura verso quella persona inizia a funzionare. In pratica:

• Invia loro un messaggio firmato affinché abbiano il tuo.
• Chiedi loro di rispondere con un messaggio firmato affinché tu abbia il loro.
• Nel classico Outlook, aggiungi il mittente ai tuoi contatti da quel messaggio firmato, il che memorizza il loro certificato nel contatto.
• All’interno di un’organizzazione che utilizza Exchange, i certificati sono solitamente pubblicati nella directory, quindi la cifratura verso i colleghi funziona senza lo scambio di posta firmata.

Poiché entrambe le parti hanno bisogno di certificati, S/MIME funziona bene all’interno di un’organizzazione o con un corrispondente abituale, e male per la posta occasionale a estranei. È una proprietà della tecnologia, non qualcosa che un’impostazione può risolvere. L’idea sottostante è la crittografia a chiave pubblica standard: cifri con la loro chiave pubblica, loro decifrano con la chiave privata che solo loro possiedono.

Non eliminare mai un certificato S/MIME scaduto

I certificati S/MIME scadono, e quando succede al tuo ne ottieni uno nuovo e proseguo. L’istinto è poi quello di eliminare quello vecchio. Non farlo.

Ogni messaggio che qualcuno ha cifrato per te con il vecchio certificato può essere decifrato solo con quella vecchia chiave privata. Eliminala e quei messaggi diventano permanentemente illeggibili, incluse le email attualmente presenti nella tua casella di posta. Un certificato scaduto impedisce di firmare nuova posta, che è lo scopo della scadenza, ma continua a decifrare la posta vecchia indefinitamente. Lascia in posizione ogni certificato email ritirato, e se migri su un nuovo computer, esportali e importali insieme a quello attuale. La nostra guida su come rimuovere i certificati da Windows illustra il passaggio di esportazione, quello da eseguire prima di qualsiasi pulizia.

Risoluzione dei problemi

• Il pulsante Firma o Cifra non fa nulla, oppure Outlook dice che nessun certificato è disponibile. Outlook non trova un certificato il cui indirizzo email corrisponda all’account da cui stai inviando. Controlla l’indirizzo sul certificato in certmgr.msc rispetto all’account in Outlook.
• Il certificato non viene proposto nella finestra Scegli. Controlla Scopi previsti in certmgr.msc. Deve includere Posta elettronica protetta. Un certificato TLS o un certificato di firma del codice non appariranno qui, e nessuna impostazione può cambiare questo.
• Hai importato il file ma non appare nulla. Probabilmente hai importato nella gerarchia Computer locale piuttosto che Utente corrente. Outlook legge dal tuo archivio utente. Importa di nuovo, scegliendo Utente corrente.
• La cifratura fallisce per un destinatario. Non possiedi il certificato di quella persona. Chiedi loro un messaggio firmato.
• I destinatari vedono un avviso sulla tua posta firmata. La catena non è attendibile sul loro dispositivo, il certificato è scaduto, oppure l’indirizzo su di esso non corrisponde a quello da cui hai inviato. Il badge di firma sul messaggio indica quale sia il problema.
• Funziona sul desktop ma non sul tuo telefono. Il certificato deve essere installato separatamente su ogni dispositivo. Non esiste sincronizzazione delle chiavi private tra installazioni di Outlook.

Domande frequenti