Proton vs Tuta vs SimpleLogin en 2026: cifrado post-cuántico, alias y jurisdicciones

El email privado en 2026, las tres escuelas

Tres proveedores dominan hoy el segmento del email privado con cifrado end-to-end accesible al gran público: Proton Mail (Ginebra, desde 2014), Tuta (antiguo Tutanota, Hannover, desde 2011), y más recientemente SimpleLogin, un servicio de aliases adquirido por Proton en 2022 y ahora profundamente integrado en el ecosistema Proton Pass. Los tres son sólidos; no sirven las mismas necesidades.

Este artículo calibra la decisión sin hype y sin FUD, leyendo honestamente dónde cada servicio sobresale y dónde falla.

Tuta, el cifrado más radical

La singularidad técnica de Tuta: es el único proveedor que cifra las líneas de asunto por defecto. Donde Proton deja el asunto en claro del lado del servidor (porque el estándar PGP histórico solo cubre el cuerpo), Tuta ha construido su protocolo custom que cifra el conjunto: asunto, cuerpo, adjuntos, metadatos no enrutables.

Segunda singularidad, más reciente: Tuta está adelantado en lo post-cuántico. El esquema híbrido combinando Kyber-1024 (KEM post-cuántico) y la ECC X25519 clásica fue desplegado en producción en Tuta en 2024-2025, antes que los competidores. Para un usuario que toma la amenaza cuántica en serio como threat model a 10-15 años, es un argumento decisivo.

Trade-offs de Tuta:

• Sin IMAP / SMTP, Tuta fuerza el uso del cliente oficial (web, Android, iOS, escritorio). Es una decisión de seguridad (sin plain text en claro por los protocolos legacy) pero también es una pérdida de flexibilidad.
• Ecosistema menos extenso, sin Drive, sin VPN, sin bundle Pass. Tuta sigue siendo un proveedor de email enfocado.
• Jurisdicción alemana, bajo BND y BfV, con leyes de vigilancia que han evolucionado desfavorablemente en 2023-2025. Tuta ha documentado varias órdenes judiciales a las que se ha conformado por los metadatos no cifrados.

Proton, el ecosistema integrado

Proton juega otra carta: la integración. Mail + Drive + Calendar + VPN + Pass en una sola cuenta, un solo plan tarifario, una sola autenticación. Para un usuario que quiere reemplazar en bloque Google o Microsoft 365 por un stack privacy-aware, Proton es la respuesta de madurez.

Fuerzas protocolarias:

• Compatible con OpenPGP del lado del servidor, puedes exportar tu clave y comunicarte con usuarios PGP fuera de Proton
• Bridge IMAP / SMTP disponible en los planes de pago, permite el uso de clientes de terceros (Thunderbird, Mailmate) con una bridge que cifra / descifra localmente
• Búsqueda en el servidor vía Search Index cifrado, el servidor no lee los emails pero permite una búsqueda local rápida
• Jurisdicción suiza, Suiza rechazó en 2023 la extensión del Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs a los proveedores de email privados. Posición cómoda pero no absoluta.

Debilidades:

• Asuntos en claro del lado del servidor, límite de la aproximación PGP-compatible. Proton conserva los metadata no cifrados para el routing y el threading. La posición de Proton es que esto es necesario para la compatibilidad SMTP, lo cual es técnicamente cierto.
• Post-cuántico con retraso, Proton anunció su roadmap PQ para 2026-2027 pero aún no ha desplegado en producción en el momento de la publicación.
• Pricing más caro que Tuta en los niveles profesionales (pero incluye Drive / VPN / Pass).

SimpleLogin (Proton), el sistema de aliases

Adquirido por Proton en 2022 y ahora núcleo del producto Proton Pass, SimpleLogin es un servicio de aliases, no un proveedor de mailbox. El principio:

• Generas un alias aleatorio (abc123@simplelogin.io) o un alias custom en un dominio que posees
• Cuando alguien escribe a ese alias, SimpleLogin reenvía a tu mailbox real (Proton, Tuta, Gmail, cualquiera)
• Puedes responder vía el alias, SimpleLogin gestiona el spoof inverso
• Puedes desactivar el alias en cualquier momento si el servicio te spamea o es comprometido

SimpleLogin es la herramienta adecuada para dos usos: (1) registros en servicios de terceros donde no quieres revelar tu dirección real, y (2) compartimentación de identidades (banco vs foro vs comercio). Con un alias por servicio, una compromisión de un servicio de terceros no da acceso a tu mailbox.

Tuta propone aliases nativos (15 o 30 según el plan, ilimitados en custom domain) pero con menos granularidad de gestión que SimpleLogin. AnonAddy / addy.io sigue siendo una alternativa open-source creíble si quieres self-host o evitar el ecosistema Proton.

Las trampas jurisdiccionales

Tres preguntas que hacerse sobre la jurisdicción:

1. ¿El país tiene una obligación legal de divulgación por orden judicial? Suiza: sí, pero con control judicial reforzado. Alemania: sí, con obligación de cooperación internacional ampliada post-2023. USA: sí, con NSL (National Security Letters) que incluso impiden la divulgación de la orden.
2. ¿El país puede forzar el descifrado? Suiza: no sobre el usuario, pero posibilidad de ordenar al proveedor que modifique su servicio para facilitar una vigilancia futura (el famoso problema « escenario Lavabit »). Alemania: igual. USA: posible vía la All Writs Act, jurisprudencia confusa.
3. ¿El proveedor tiene un canary warrant? Proton publica un transparency report y un warrant canary anual. Tuta publica un transparency report. Sigue ambos.

Cuadro de recomendación por perfil

• Usuario lambda que quiere dejar Google → Proton Mail + Pass. El ecosistema integrado + la UX madura hacen la transición la menos dolorosa.
• Privacy-maximalista con amenaza post-cuántica → Tuta. El cifrado de asuntos + el despliegue PQ son sin competencia en 2026.
• Usuario profesional multi-identidades → Proton Mail como mailbox principal + SimpleLogin (o Tuta con custom domain) para el aliasing granular.
• Capaz de self-hosting → AnonAddy / addy.io self-hosted + Tuta o Proton como mailbox de reenvío final. Mantienes el control de la capa aliases; el proveedor solo ve el reenvío.
• Anonimato extremo + Tor obligatorio → Proton propone un hidden service .onion (protonmail.com.onion). Tuta aún no tiene uno en producción en 2026. En este eje, Proton está adelante.

El ángulo práctico, para el directorio

Nuestra categoría Email referencia Proton, Tuta, Cock.li, Cove, GoyMail, y varios otros. Ninguno de estos servicios es estrictamente no-KYC en el sentido de los servicios de nuestra categoría Cards (Goblin Cards) o SMS (HeroSMS), Proton y Tuta te piden típicamente una dirección email de recuperación o un challenge telefónico anti-spam, y Cock.li / Cove son ellos mismos proveedores que aceptan el anonimato estricto. La posición del directorio: Proton y Tuta son elecciones excelentes para el « mainstream privacy »; Cock.li / Cove son elecciones más radicales para quien quiere un signup realmente anónimo. Los aliases vienen en capa encima, y SimpleLogin sigue siendo el mejor servicio del segmento incluso para un usuario Tuta principal.