Una línea comprobable primero: el candado en un cliente de correo solo dice que este salto usó TLS. No dice que el cuerpo siga cifrado una vez que sale de ese servidor. Tras enviar, busca una contraseña canario en Enviados y en la bandeja del destinatario. Si aparece, ese mensaje sigue almacenado como texto legible. No hagas la prueba con una clave de producción en uso.
Enviar no es «una nota rápida»: es entregar texto legible a un sistema de almacenamiento
El correo de trabajo se trata con facilidad como un chat local: las palabras siguen en pantalla, así que la otra persona «solo mira». Tras pulsar Enviar, ese párrafo ha salido de esta pestaña. Ahora es un mensaje que el proveedor debe entregar, indexar y conservar. Contraseñas de base de datos, claves de acceso a la nube, tokens personales de GitHub, secretos Wi-Fi compartidos y códigos de recuperación caen en el mismo cubo que la hoja OWASP sobre registro suele mantener fuera de registros compartidos en claro. Enviados, bandeja de entrada, borradores y la copia IMAP en un móvil se convierten a menudo en una bóveda informal: fácil de buscar, menos cerrada que un gestor de contraseñas y guardada más tiempo.
HTTPS, o un banner que dice «este correo está cifrado», solo cubre la escucha en la red. No decide cuánto tiempo la otra bandeja guarda el cuerpo, si un administrador puede buscarlo o si un disco de copia de seguridad aún conserva una copia. Una nota anterior trataba las sesiones con modelos: pegar una clave en ChatGPT y el texto puede entrar en el historial y en una posible copia de entrenamiento. Enviar un secreto por email es la misma clase de exposición. El destinatario solo cambia: de «un proveedor de modelos» pasa a «al menos dos almacenes de correo, más cada relevo del camino». Antes de Enviar, la pregunta no es «¿este cliente de correo es listo?». Es «¿este párrafo contiene un secreto que no debería convertirse en un email buscable?».
Esta nota se apoya en Gmail, Exchange Online, Google Vault y Microsoft Purview porque las cifras de retención y el alcance de búsqueda de administradores están escritos en ayuda pública. Un Postfix autogestionado, el journaling de Microsoft 365 y otras bandejas alojadas siguen siendo almacenar y reenviar. Al cambiar de producto, repasa las páginas de borrado y archivo de ese proveedor. No copies la ventana de 30 días de la papelera ni los 14 días por defecto de Elementos recuperables en otro servicio.
El candado y STARTTLS protegen un salto, no de extremo a extremo
Un candado en la barra de direcciones o en el cliente de correo se lee a menudo como «cifrado hasta la otra persona». El cifrado de transporte SMTP no funciona así. La RFC 3207, sección 6, es clara: SMTP no es un mecanismo de extremo a extremo. La decisión de un par cliente/servidor SMTP de añadir TLS no protege el mensaje desde el agente de correo del remitente hasta el destinatario. Un mensaje puede pasar por dos servidores SMTP o más. TLS en un par no hace privado todo el recorrido.
De ahí una escena que parece contradictoria. El salto de tu cliente a la puerta de salida puede ir con TLS. El salto de la puerta al MX remoto puede ser STARTTLS. Al final de cada salto, el relevo aún tiene que abrir el mensaje para leer el sobre, pasar filtros antispam y entregarlo al siguiente. En esos discos, el cuerpo es legible por defecto. Un verdadero «nadie en el camino puede leer esto» exige cifrado de contenido — S/MIME u OpenPGP —, no un candado de transporte. Una contraseña escrita en una ventana de redacción corporativa casi nunca tiene esa capa.
IMAP y los clientes móviles vuelven a copiar el mensaje. El correo no es una tubería que miras un momento en una pestaña web. Es almacenamiento de objetos: bandeja de entrada, enviados, borradores y papelera son objetos. Otro portátil ya con sesión iniciada, un móvil de empresa y la caché sin conexión de un cliente de escritorio pueden leer el mismo texto legible. El cifrado de transporte frena a un observador en la red. No frena copias que ya han aterrizado en un almacén.
Enviados y bandeja de entrada: dos copias legibles en cuanto sale la contraseña
Tras Enviar, cuenta copias antes de hablar de Borrar. La primera es tuya: Enviados de Gmail, Elementos enviados de Outlook o Sent en la mayoría de cuentas IMAP. No es un búfer de deshacer en el navegador. Es un objeto almacenado. Dentro de dos meses aún podrás buscar esa cadena. Un administrador que pueda buscar en la bandeja también. La segunda es del destinatario: bandeja de entrada, más la etiqueta Todos los mensajes o Archivar que haya usado. Ambas copias son el cuerpo, no «solo el asunto».
Cc y Cco añaden más. Un Cc a una lista de proyecto deja una copia en cada bandeja. Cco solo oculta direcciones a otros destinatarios. No reduce el almacenamiento. Reglas de reenvío automático, journaling y pasarelas del tipo «enviar también a Slack o Teams» pueden dejar otra copia fuera del producto de correo. Esas copias no comparten un solo botón Borrar. Vaciar tu carpeta Enviados no toca la bandeja del destinatario, ni una copia que una pasarela ya escribió.
La barra de búsqueda es la prueba. Gmail, Outlook y la mayoría de webmails indexan el cuerpo. Mete una contraseña canario en la búsqueda. Si aparece, cualquiera con acceso a esa bandeja puede leerla. Es la misma clase de resto que un hash de deduplicación en la nube o un historial del portapapeles: el producto guarda texto legible porque la búsqueda es útil, no porque quiera ayudarte a olvidar un secreto.
| Dónde | Qué suele quedar | Quién aún puede leerlo |
|---|---|---|
| Enviados / Elementos enviados | Cuerpo completo y adjuntos | El remitente; quien tenga acceso a esa bandeja |
| Bandeja de entrada / Todos los mensajes | El mismo cuerpo completo | El destinatario; sus dispositivos sincronizados |
| Servidores SMTP de relevo | Un mensaje legible durante la entrega | Operadores y filtros de ese salto |
| Papelera / Elementos recuperables | Un cuerpo aún restaurable | El usuario; la interfaz de restauración antes de que acabe el plazo |
| Archivo empresarial / Vault / eDiscovery | Una copia buscable retenida por política | Administradores de archivo o cumplimiento |
Los dos pulsan Borrar. El reloj a menudo no ha terminado
«Yo lo borré y él también» se oye como si el secreto volviera. Las rutas de borrado de los proveedores son más largas. La ayuda de Gmail sobre borrado dice que un mensaje borrado va a la papelera. Durante unos 30 días aún puedes encontrarlo ahí, devolverlo a la bandeja de entrada o elegir borrarlo para siempre. Tras 30 días se elimina de forma permanente de la cuenta y ya no se recupera desde la papelera. Archivar no es borrar: Archivar solo saca el mensaje de la bandeja de entrada. Buscar en Todos los mensajes puede seguir encontrándolo.
Google Workspace añade una ventana de administrador tras ese reloj del usuario. La ayuda de Workspace sobre restauración dice que, tras los 30 días de papelera, los administradores tienen unos 25 días más para restaurar mensajes. Esa ventana extra empieza 30 días después del borrado, no en la fecha de envío. Cuando termina, la ayuda dice que los mensajes se eliminan de forma permanente de la cuenta de Workspace y ni un administrador ni Google pueden restaurarlos. La retención de Vault y las retenciones legales (holds) quedan fuera de ese botón Restaurar. Es otra copia.
Exchange Online tiene una carpeta oculta tras «desapareció». La página de Microsoft sobre retención de elementos eliminados dice que, tras borrar desde Elementos eliminados, vaciar ese folder o pulsar Mayús+Supr, el objeto pasa a Elementos recuperables → Eliminaciones. El plazo por defecto es 14 días. Un administrador puede subirlo a 30. Los usuarios aún pueden Recuperar elementos eliminados en Outlook. Si la bandeja está bajo retención por litigio (Litigation Hold), ese reloj se ignora y los borrados no se purgan a los 14 días.
Deshacer envío no recupera un secreto que ya salió. Deshacer envío de Gmail solo ofrece una ventana de 5, 10, 20 o 30 segundos. Eso retrasa la entrega real. No arranca el cuerpo del servidor del otro lado. Tras la ventana, el mensaje es un Enviados normal. El recall de Outlook solo puede funcionar en algunas organizaciones Exchange, y solo si la otra persona aún no lo leyó. No es un botón universal de «recuperar».
El archivo empresarial y la búsqueda de administradores son copias extra que no puedes borrar
El reloj de papelera de una cuenta personal y el almacén de cumplimiento de una empresa no son el mismo interruptor. La búsqueda de Vault para Gmail está hecha para encontrar mensajes por palabra clave en el cuerpo y adjuntos (Google habla del primer ~1 MB de texto y adjuntos). Los administradores pueden previsualizar, imprimir y descargar adjuntos. Borradores y borradores autoguardados entran en el alcance. Una regla de retención por defecto de Vault puede mantener el correo buscable después de que un usuario vacíe la papelera. Ese es el trabajo del producto: encontrar lo que un empleado ya borró.
Microsoft Purview eDiscovery trata las bandejas igual. Buscar contenido en buzones dice que una búsqueda por palabra clave cubre el asunto, el cuerpo y muchas propiedades de participantes. Las propiedades indexadas incluyen fechas de envío y recepción, remitente y destinatario, nombres de archivos adjuntos y texto del cuerpo. El objetivo de diseño es «aún podemos encontrar esto después de que el usuario pulsó Borrar», no «honrar el arrepentimiento del remitente».
Así que «solo lo sabemos nosotros dos» suele fallar en un buzón de empresa. Quien pueda abrir Vault, lanzar eDiscovery o exportar una bandeja puede leer esa contraseña como parte del puesto. No es una acusación de que un proveedor espíe por diversión. Es el permiso que describen las páginas de ayuda. Un Gmail personal no tiene administrador de Workspace. Eso no hace ilegible el texto legible de Enviados para quien se siente en un ordenador ya con sesión iniciada.
El modo confidencial frena un reenvío descuidado, no el archivo ni una captura
El modo confidencial de Gmail se lee a menudo como «email que se destruye al leer». El alcance oficial es más estrecho. La ayuda de Gmail sobre modo confidencial dice que puedes fijar caducidad, revocar acceso después, desactivar reenvío / copia / impresión / descarga y exigir un código SMS. La misma página advierte que el destinatario aún puede hacer captura o foto, y que un destinatario con malware puede copiar o descargar. La copia de Workspace también es explícita sobre la implementación: Gmail quita el cuerpo y los adjuntos de la copia del destinatario y los sustituye por un enlace al contenido. Lo que sale por SMTP es sobre todo el asunto y ese enlace.
Caducidad o revocación pueden cerrar el cuerpo para el destinatario. No borran la copia dentro de la organización del remitente. Las notas de Vault sobre modo confidencial dicen que, si la organización activó el modo confidencial, Vault puede retener, buscar y exportar mensajes en modo confidencial enviados por usuarios de la organización después del 30 de noviembre de 2018. Esos mensajes siguen disponibles para Vault aunque el usuario fijara caducidad o revocara el acceso del destinatario. Busca con label:confidentialmode. La vista previa oculta el contenido por defecto; el operador puede elegir mostrarlo. No es una quema. Es una puerta cerrada para el destinatario y otra abierta para cumplimiento.
La documentación de administración de Workspace añade otra copia interna. Para que Vault lea correo en modo confidencial, Gmail puede adjuntar una copia de ese contenido al mensaje del destinatario cuando remitente y destinatario están en la misma organización. La ayuda dice que esa copia es solo para Vault. Remitentes y destinatarios no pueden abrirla desde Gmail, y herramientas de archivo de terceros no la ven. Borrar cada copia sigue significando borrarla de la cuenta del remitente y de cada cuenta destinataria. El modo confidencial es un control de errores. No es un canal de clave de un solo uso. El mismo proveedor sigue alojando el cuerpo. El asunto sigue yendo por SMTP normal. Las capturas quedan fuera del alcance en la propia página de Google. Si el objetivo es «el servidor solo guarda cifrado, las lecturas se destruyen al contador y la clave no entra en HTTP», es otro reparto — no el mismo mensaje marcado como confidencial.
No pruebes con una contraseña viva, una clave API de producción o una cadena de conexión sin enmascarar. Usa un canario desechable, por ejemplo canary-mail-2026-do-not-reuse. Compruebas Enviados y coincidencias de búsqueda, no vuelves a difundir un secreto real. Si una clave real ya salió por email, revócala primero en el emisor y luego cambia cómo envías la siguiente.
Comprobar en el acto: un canario en dos buzones de prueba, luego buscar en Enviados
Un eslogan que dice «este email está cifrado» no se demuestra solo. Lo que puedes ver en una sesión son cuatro cosas: si Enviados aún tiene el texto fuente, si un buzón de prueba del destinatario lo tiene, si la papelera o Elementos recuperables lo guardan tras Borrar, y si el candado se confundió con «el servidor no puede leer esto». Este paso solo prueba qué copias legibles dejó este mensaje de prueba. No prueba la política de archivo de un proveedor. Ese lado solo se contrasta con la ayuda oficial. Network no puede sustituirlo.
Usa dos buzones que controles. No uses la libreta de producción. Escribe un canario reconocible que no choque con una contraseña real — por ejemplo canary-mail-2026-do-not-reuse. Mantén un asunto normal. Pon solo el canario en el cuerpo. No añadas número de ticket ni nombre de host real. Tras Enviar, busca esa cadena en la cuenta remitente. Enviados debería encontrarla. Inicia sesión en el buzón de prueba del destinatario y busca de nuevo. La bandeja de entrada debería encontrarla. Dos coincidencias significan al menos dos copias en claro. Borra la copia del remitente hacia la papelera. Abre la papelera dentro de la ventana de 30 días. En Gmail debería seguir ahí. Eso prueba que Borrar no es «recuperar».
Si necesitas comprobar que una clave no entró en HTTP, no metas la clave en un email. Usa en su lugar un enlace de un solo uso. Tras crearlo, la barra de direcciones debería parecerse a s.html?id= más una clave #. Abre Network en las herramientas de desarrollo. La línea de petición debería mostrar solo el id. El segmento tras la almohadilla no debería aparecer. Esa comprobación prueba la forma del enlace. No prueba nada sobre un cuerpo de email. Una vez enviado el cuerpo, Network no retira un almacenamiento que ya aterrizó.
- Desde dos buzones de prueba, envía un cuerpo que solo contenga un canario, por ejemplo
canary-mail-2026-do-not-reuse. No uses una clave real. - Busca esa cadena en Enviados del remitente y en la bandeja del destinatario. Ambos deberían encontrarla.
- Borra la copia del remitente y abre la papelera o Recuperar elementos eliminados; confirma que sigue ahí dentro del plazo.
- Cuando una clave real deba llegar a una persona, pasa al enlace de un solo uso. Usa el email solo para un aviso sin clave o para un adjunto ya cifrado.
La prueba es estrecha. En esta sola pasada, el texto legible aterrizó como cuerpo de email en al menos dos almacenes, y Borrar no borró al instante la copia del remitente. No prueba que una extensión nunca guardó una tercera copia. No prueba que la otra empresa activó Vault. Tras cambiar de producto de correo, vuelve a lanzar el canario contra las páginas de borrado y archivo de ese proveedor.
Separar el aviso del secreto con un enlace de un solo uso, sin cuenta
Si quieres «el cuerpo nunca se convierte en almacenamiento de correo» como gesto repetible, empieza por el enlace de un solo uso de MakePwd. Se abre sin cuenta ni inicio de sesión. El texto legible solo aparece en la pestaña del creador. El navegador cifra con Web Crypto y AES-256-GCM. Los campos que salen son el cifrado, la caducidad y el número de lecturas. El servidor solo guarda el cifrado y devuelve un id. La página añade después la clave como fragmento: s.html?id={id}#{clave}. Según la RFC 9110, la URI objetivo no incluye el fragmento, así que la línea de petición no debería mostrar el segmento tras la almohadilla.
Practica solo con canarios. Crea una frase desechable, envía el enlace completo a un destinatario de prueba y escribe en el cuerpo del email solo «abre el enlace; no reenvíes la cadena que incluye la almohadilla». Tras confirmar y recuperar, volver a abrir el mismo id debería mostrar un estado ya destruido, no otro cuerpo legible. Un enlace azul puede seguir en un chat o un email. Eso es un localizador. Una vez borrado el cifrado al contador fijado, esos caracteres no desbloquean nada. El detalle está en Qué queda en el servidor después de leer una vez un enlace de un solo uso y en Por qué el fragmento # de una URL encaja para una clave y cuándo esa protección falla.
No vuelvas a «un ZIP con contraseña como adjunto» para un archivo entero que contiene claves. Cifrar archivo convierte el archivo en .lock / .enc en esta pestaña con AES-256-GCM (un archivo, 5 GB como máximo). El cifrado puede ir por email o por un drive. Envía la frase por otro canal. Si una contraseña de acceso ya salió por email, revócala primero en el emisor y luego usa el generador de contraseñas en este dispositivo para una cadena nueva de 6 a 128 caracteres (16 por defecto; por debajo de 8, aviso de debilidad). Ninguno de estos pasos exige inicio de sesión.
Preguntas frecuentes
Si el correo usó HTTPS, ¿solo el destinatario puede leer la contraseña?
No. La RFC 3207 dice que SMTP no es un mecanismo de extremo a extremo: TLS entre un par de servidores no protege el mensaje desde el cliente del remitente hasta el destinatario. Cada salto puede descifrar, inspeccionar y reenviar. Enviados, bandeja de entrada y el almacenamiento de esos servidores siguen siendo, por defecto, un cuerpo legible.
Si ambos borraron el mensaje, ¿ha desaparecido la contraseña?
Puede seguir ahí. Gmail mete los borrados en la papelera durante unos 30 días. Exchange Online guarda los elementos eliminados de forma permanente en Elementos recuperables 14 días por defecto, hasta 30. Un administrador de Workspace puede tener unos 25 días más tras vaciar la papelera. Una retención por litigio ignora ese reloj. Si la organización archiva el correo, un administrador puede seguir buscando y exportando el cuerpo.
Tras caducar el modo confidencial de Gmail, ¿el cuerpo ha salido del sistema?
El destinatario ya no puede abrir el cuerpo tras la caducidad o una revocación. Para Vault en la organización del remitente, Google escribe que Vault puede seguir reteniendo, buscando y exportando correos en modo confidencial enviados dentro de la organización, incluso después de una fecha de caducidad o de revocar el acceso. Capturas y fotos quedan fuera del alcance en la misma página de ayuda.
Si de verdad hay que pasar una contraseña a un compañero, ¿para qué sirve aún el email?
Usa el correo para un aviso sin clave o para un adjunto ya cifrado. Envía la contraseña real una sola vez con un enlace de un solo uso y deja la clave en el fragmento # de la URL. Crear y leer se abren sin cuenta. El servidor solo guarda el cifrado. No pegues el mismo texto legible en el cuerpo del email.
Tres cosas a recordar antes del próximo email
Primero: Enviar escribe en disco. Enviados, bandeja de entrada, dispositivos sincronizados y relevos pueden guardar cada uno un cuerpo legible. Editar la página actual no recupera una copia que ya aterrizó. Segundo: Borrar solo arranca un reloj. La papelera de Gmail son unos 30 días. Elementos recuperables de Exchange, 14 por defecto. Los administradores de Workspace pueden tener unos 25 días más tras la papelera. El archivo empresarial y Vault son otro juego, y el usuario no puede borrarlos. Tercero: el modo confidencial y Deshacer envío frenan errores. No son de extremo a extremo. Una clave real que deba llegar va por enlace de un solo uso. Una contraseña ya filtrada se revoca primero y luego se sustituye.
Si la siguiente pregunta es qué queda en el servidor después de leer una vez un secreto de un solo uso, lee Qué queda en el servidor después de leer una vez un enlace de un solo uso. Si necesitas comprobar si la clave tras la almohadilla entra en HTTP, lee Por qué el fragmento # de una URL encaja para una clave y cuándo esa protección falla. Esta nota solo traza una línea que puedes escribir en una conclusión: tras poner una contraseña en el cuerpo de un email, qué pueden seguir guardando Enviados, las copias de seguridad y el administrador del correo.