Cómo configurar un certificado S/MIME en Mozilla Thunderbird

Si la opción de firma digital no está disponible o aparece una advertencia de cifrado al intentar enviar un mensaje, generalmente significa que Thunderbird aún no tiene el certificado personal correcto asociado a la identidad de correo electrónico que está utilizando. La configuración S/MIME consta de dos partes: importar un certificado que incluya su clave privada y, a continuación, asignarlo a la cuenta correcta. Esta guía explica tanto el método común de archivo de certificado como la nueva ruta de solicitud de firma de certificado de Thunderbird.

S/MIME significa Extensiones de Correo de Internet Seguras y Multiusos. Es un estándar para firmar y cifrar correos electrónicos. Una firma digital permite a los destinatarios verificar que un mensaje fue firmado con su certificado y que no ha sido alterado posteriormente. El cifrado codifica el contenido del mensaje para que solo los destinatarios previstos con las claves privadas correspondientes puedan leerlo. Estas son acciones independientes: configurar un certificado no implica automáticamente que todos los mensajes estén cifrados.

Antes de empezar: ¿qué archivo de certificado tiene?

Un certificado S/MIME personal vincula una identidad de correo electrónico a una clave pública. Su clave privada correspondiente es la que permite firmar mensajes y descifrar el correo que se recibe. Una autoridad de certificación (CA) emite o valida el certificado. Thunderbird necesita el certificado y su clave privada para tu cuenta; un certificado público por sí solo no es suficiente para firmar o descifrar.

• Un archivo .p12 o .pfx: Se trata de un paquete PKCS#12 protegido con contraseña que suele incluir un certificado y una clave privada. Consíguelo del administrador de tu organización o del proveedor de certificados, y obtén la contraseña de importación a través de un canal de confianza.
• Un archivo .cer, .crt o .pem: Estos archivos suelen contener únicamente un certificado público. Pueden ser para un destinatario, una CA o el certificado emitido después de que usted haya creado una solicitud. Confirme con el emisor si la clave privada correspondiente ya está almacenada en Thunderbird o si se proporciona por separado.
• Una CSR ( Solicitud de Firma de Certificado) contiene una clave pública e información de identificación del emisor. No es un certificado y no se puede usar para firmar correo electrónico. Thunderbird puede crear una a partir de la versión 128; la CA (Autoridad de Certificación) devuelve el certificado firmado para que lo importes.

Para el correo electrónico del trabajo, consulte primero la política de certificados de su organización. Utilice un certificado emitido para la dirección de correo electrónico o identidad exacta que planea configurar. Si tiene una tarjeta inteligente o un token de hardware, siga las instrucciones de su organización; no importe un archivo de clave privada si la clave debe permanecer en ese dispositivo.

Opción 1: Importar un certificado .p12 o .pfx

Esta es la ruta más corta cuando su proveedor le entregó un paquete de certificado personal que contiene su clave privada. La redacción del menú puede variar ligeramente según el sistema operativo y la versión de Thunderbird, pero el administrador de certificados está disponible en la configuración de la cuenta y en la configuración de certificados de Thunderbird.

1. Abra Thunderbird y seleccione el menú de la aplicación (≡) > Configuración de la cuenta . Elija la cuenta de correo electrónico o identidad que coincida con el certificado y, a continuación, abra Cifrado de extremo a extremo .
2. En la sección S/MIME, seleccione Administrar certificados S/MIME o el botón de gestión de certificados de nombre similar.
3. En el Administrador de certificados, abra Sus certificados y seleccione Importar . Seleccione el archivo .p12 o .pfx de su proveedor.
4. Introduzca la contraseña que protege el paquete de certificados. Esta no tiene por qué ser la misma que la contraseña principal de Thunderbird. Si se le solicita que establezca o desbloquee una contraseña principal, lea atentamente el mensaje; protege la información de clave privada almacenada localmente.
5. Vuelva a la sección "Sus certificados" y confirme que aparece el certificado personal. Selecciónelo y elija " Ver" si necesita verificar su identidad de correo electrónico, emisor, fechas de validez y finalidad del certificado.

Realice una copia de seguridad del certificado antes de confiar en él.

En Certificados , seleccione el certificado y elija Copia de seguridad o Exportar para crear una copia de seguridad protegida. Guarde la copia de seguridad en una ubicación segura, separada del equipo, y anote su contraseña en un gestor de contraseñas. Una copia de seguridad que contenga su clave privada debe tratarse como una credencial confidencial: no la adjunte a correos electrónicos, no la guarde en una carpeta de la nube pública ni la comparta con el destinatario. Perder la clave privada puede hacer que los mensajes cifrados antiguos sean ilegibles.

Opción 2: Solicitar un certificado mediante Thunderbird (versión 128 o posterior).

Utilice esta opción cuando desee que Thunderbird cree el par de claves y su CA acepte una solicitud de firma de certificado (CSR). Según las instrucciones actuales de Mozilla, esta función está disponible a partir de Thunderbird 128. Thunderbird crea la clave privada localmente y guarda un archivo de solicitud que contiene la clave pública; la CA emite un certificado basado en dicha solicitud. Mozilla no recomienda ninguna CA en particular, por lo que le sugerimos elegir la que mejor se adapte a sus necesidades personales o de su organización.

1. Abra Configuración de la cuenta > la página de Cifrado de extremo a extremo de la cuenta correspondiente . Desplácese hasta S/MIME y elija Generar y guardar un archivo CSR como… .
2. Guarda el archivo de solicitud en un lugar donde puedas encontrarlo fácilmente. Si te pregunta sobre la configuración criptográfica y no tienes una política que seguir, Mozilla recomienda usar la configuración predeterminada.
3. Envíe el texto completo de la CSR a una CA que acepte CSR. La primera línea debe decir -----BEGIN CERTIFICATE REQUEST-----. Siga los pasos de verificación de la CA y descargue el certificado emitido.
4. Vuelve al administrador de certificados de Thunderbird. Para un certificado emitido para la clave creada en Thunderbird, impórtalo desde la pestaña Personas , tal como se describe en las instrucciones de Mozilla. Luego, revisa la sección Tus certificados para confirmar que Thunderbird lo haya asociado con la clave privada almacenada localmente.
5. Si la CA proporciona certificados intermedios, siga sus instrucciones y las recomendaciones de Mozilla para importarlos. Un certificado intermedio ayuda a establecer la cadena de confianza; no marque una CA desconocida como de confianza sin una razón clara. Si la CA devuelve un archivo .p12 o .pfx después de que usted haya enviado una CSR, pregunte si contiene la clave privada generada por Thunderbird. Mozilla indica que este tipo de archivo puede significar que la CA generó una clave privada diferente, que no coincidiría con la solicitud almacenada en Thunderbird.

Asigne el certificado para la firma y el cifrado.

Vuelva a Configuración de la cuenta > la cuenta o identidad correspondiente > Cifrado de extremo a extremo . En la sección S/MIME, seleccione « Certificado personal para firma digital» , elija su certificado y confirme. Repita el proceso para «Certificado personal para cifrado» . Si Thunderbird le pregunta si desea usar el mismo certificado para ambos fines, confirme solo si el certificado está destinado a ambos propósitos y la política de su organización lo permite.

Deja la configuración predeterminada de firma y cifrado según tus necesidades. Muchos usuarios comienzan con "no firmar por defecto" y "no cifrar por defecto", y luego eligen la acción para cada mensaje. Para una prueba de firma, abre un mensaje nuevo y usa el menú Seguridad para seleccionar " Firmar digitalmente este mensaje" . Envía un mensaje de bajo riesgo a una cuenta que puedas verificar y comprueba que el mensaje recibido aparezca como firmado. No envíes contenido confidencial durante esta prueba.

Lo que necesitas antes de cifrar para otra persona

Tu certificado personal por sí solo no te permite cifrar mensajes para todos tus contactos. Thunderbird necesita un certificado S/MIME público válido para cada destinatario del mensaje, incluidos los destinatarios en copia. Una forma común de obtener el certificado público de un contacto es recibir un correo electrónico firmado digitalmente de esa persona; también puedes importar un certificado que comparta contigo a través de la pestaña Personas . Para un intercambio privado, verifica que el certificado pertenezca a la dirección prevista antes de usarlo. Si un certificado ha caducado, ha sido revocado, no es de confianza o se ha emitido a una dirección diferente, detén la comunicación y resuelve el problema con el emisor o el destinatario en lugar de ignorar la advertencia.

Problemas comunes que se deben evitar

• La opción de firma no aparece o presenta errores: Confirme que el certificado figura en la sección "Sus certificados", incluye la clave privada correspondiente, no ha caducado y está seleccionado para la identidad de envío exacta. Un archivo público .cer o .pem por sí solo no puede firmar su correo electrónico.
• Thunderbird sigue solicitando una contraseña: compruebe si le pide la contraseña de importación de archivos .p12/.pfx o la contraseña principal de Thunderbird. Si la contraseña es rechazada, pida al emisor que la confirme; no intente adivinarla repetidamente ni modifique la configuración de confianza.
• El cifrado no está disponible: importe u obtenga un certificado público válido para cada destinatario. Confirme que el certificado esté asociado a la dirección de correo electrónico real del destinatario y que la cadena de certificados sea de confianza.
• El certificado es visible pero no seleccionable: compruebe la dirección y la identidad que figuran en él, su período de validez y los usos permitidos. Si utilizó una solicitud de firma de certificado (CSR), confirme que la autoridad de certificación (CA) devolvió un certificado para esa solicitud específica y que Thunderbird lo asoció con la clave privada.
• Estás mezclando S/MIME y OpenPGP: son sistemas de seguridad de correo electrónico diferentes. Una clave OpenPGP no puede seleccionarse como certificado S/MIME, y los certificados S/MIME no reemplazan las claves OpenPGP.

Lista de verificación final

La configuración está lista para firmar cuando el certificado correcto aparece en la sección "Tus certificados" , se selecciona en el campo de firma digital de la cuenta correspondiente y se recibe un mensaje de prueba con un indicador de firma válida. La configuración está lista para cifrar mensajes a una persona específica solo cuando Thunderbird también dispone del certificado público válido de ese destinatario y permite cifrar un mensaje dirigido a él. Guarda la copia de seguridad de la clave privada en un lugar seguro, anota la fecha de caducidad del certificado y renuévalo o reemplázalo antes de que caduque.

Referencias oficiales de Thunderbird

• Instrucciones para el certificado S/MIME y el CSR de Mozilla
• Guía de configuración de certificados de Thunderbird de Mozilla
• Requisitos previos de Mozilla para enviar mensajes cifrados