Proton vs Tuta vs SimpleLogin nel 2026: crittografia post-quantistica, alias e giurisdizioni

L'email privata nel 2026, le tre scuole

Tre fornitori dominano oggi il segmento dell'email privata end-to-end encrypted accessibile al grande pubblico: Proton Mail (Ginevra, dal 2014), Tuta (ex Tutanota, Hannover, dal 2011), e più recentemente SimpleLogin, un servizio di alias acquisito da Proton nel 2022 e ora profondamente integrato nell'ecosistema Proton Pass. I tre sono solidi; non servono gli stessi bisogni.

Questo articolo calibra la decisione senza hype e senza FUD, leggendo onestamente dove ciascun servizio eccelle e dove fallisce.

Tuta, la crittografia più radicale

La singolarità tecnica di Tuta: è l'unico fornitore che cifra gli oggetti delle email per default. Laddove Proton lascia l'oggetto in chiaro lato server (perché lo standard PGP storico copre solo il corpo), Tuta ha costruito il suo protocollo custom che cifra l'insieme: oggetto, corpo, attachments, metadati non-routabili.

Seconda singolarità, più recente: Tuta è ahead sul post-quantistico. Lo schema ibrido combinando Kyber-1024 (KEM post-quantistico) e l'ECC X25519 classica è stato distribuito in produzione su Tuta nel 2024-2025, prima dei concorrenti. Per un utente che prende la minaccia quantica sul serio come threat model a 10-15 anni, è un argomento decisivo.

Trade-off Tuta:

• Nessun IMAP / SMTP, Tuta impone l'uso del client ufficiale (web, Android, iOS, desktop). È una decisione di sicurezza (nessun plain text in chiaro sui protocolli legacy) ma è anche una perdita di flessibilità.
• Ecosistema meno esteso, nessun Drive, nessuna VPN, nessun bundle Pass. Tuta resta un email provider focused.
• Giurisdizione tedesca, sotto BND e BfV, con leggi di sorveglianza che sono evolute sfavorevolmente nel 2023-2025. Tuta ha documentato diversi ordini di giustizia ai quali si è conformata per i metadati non cifrati.

Proton, l'ecosistema integrato

Proton gioca un'altra carta: l'integrazione. Mail + Drive + Calendar + VPN + Pass in un unico account, un unico piano tariffario, un'unica auth. Per un utente che vuole sostituire in blocco Google o Microsoft 365 con uno stack privacy-aware, Proton è la risposta maturità.

Forze protocolari:

• OpenPGP-compatible lato server, potete esportare la vostra chiave e comunicare con utenti PGP fuori Proton
• IMAP / SMTP bridge disponibile sui piani a pagamento, permette l'uso di client terzi (Thunderbird, Mailmate) con una bridge che cifra / decifra localmente
• Ricerca sul server via Search Index cifrato, il server non legge le email ma permette una ricerca locale rapida
• Giurisdizione svizzera, la Svizzera ha rifiutato nel 2023 l'estensione del Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs ai fornitori di email privati. Posizione confortevole ma non assoluta.

Debolezze:

• Oggetti in chiaro lato server, limite dell' approccio PGP-compatible. Proton conserva i metadata non cifrati per il routing e il threading. La posizione Proton è che ciò è necessario per la compatibilità SMTP, il che è tecnicamente vero.
• Post-quantistico in ritardo, Proton ha annunciato la sua roadmap PQ per il 2026-2027 ma non ha ancora distribuito in produzione al momento della pubblicazione.
• Pricing più caro di Tuta sui tier professionali (ma include Drive / VPN / Pass).

SimpleLogin (Proton), il sistema di alias

Acquisito da Proton nel 2022 e ora cuore del prodotto Proton Pass, SimpleLogin è un servizio di alias, non un mailbox provider. Il principio:

• Generi un alias casuale (abc123@simplelogin.io) o un alias custom su un dominio che possiedi
• Quando qualcuno scrive a quell'alias, SimpleLogin inoltra verso la tua vera mailbox (Proton, Tuta, Gmail, qualsiasi)
• Puoi rispondere via l'alias, SimpleLogin gestisce lo spoof inverso
• Puoi disattivare l'alias in qualsiasi momento se il servizio ti spamma o è compromesso

SimpleLogin è il giusto strumento per due usi: (1) signup su servizi terzi dove non vuoi rivelare la tua vera indirizzo, e (2) compartimentazione delle identità (banca vs forum vs commercio). Con un alias per servizio, una compromissione di un servizio terzo non dà accesso alla tua mailbox.

Tuta propone alias nativi (15 o 30 a seconda del piano, illimitati su custom domain) ma con meno granularità di gestione di SimpleLogin. AnonAddy / addy.io resta un'alternativa open-source credibile se vuoi self-host o evitare l'ecosistema Proton.

I trabocchetti giurisdizionali

Tre domande da porsi sulla giurisdizione:

1. Il paese ha un obbligo legale di divulgazione su ordine giudiziario? Svizzera: sì, ma con controllo giudiziario rafforzato. Germania: sì, con obbligo di cooperazione internazionale estesa post-2023. USA: sì, con NSL (National Security Letters) che impediscono anche la divulgazione dell'ordine.
2. Il paese può forzare la decryption? Svizzera: no sull'utente, ma possibilità di ordinare al fornitore di modificare il suo servizio per facilitare una sorveglianza futura (il famoso problema «Lavabit scenario»). Germania: uguale. USA: possibile via la All Writs Act, giurisprudenza incerta.
3. Il fornitore ha un canary warrant? Proton pubblica un transparency report e un warrant canary annuale. Tuta pubblica un transparency report. Seguite entrambi.

Griglia di raccomandazione per profilo

• Utente lambda che vuole lasciare Google → Proton Mail + Pass. L'ecosistema integrato + l'UX matura rendono la transizione la meno dolorosa.
• Privacy-maximalista con minaccia post-quantistica → Tuta. La crittografia degli oggetti + il deployment PQ sono senza concorrenza nel 2026.
• Utente professionale multi-identità → Proton Mail come mailbox principale + SimpleLogin (o Tuta con custom domain) per l'aliasing granulare.
• Self-hosting capable → AnonAddy / addy.io self-hosted + Tuta o Proton come mailbox forward finale. Mantieni il controllo del layer alias; il fornitore vede solo il forward.
• Anonimato estremo + Tor obbligatorio → Proton propone un hidden service .onion (protonmail.com.onion). Tuta non ne ha ancora uno in produzione nel 2026. Su questo asse, Proton è avanti.

L'angolo pratico, per il directory

La nostra categoria Email referenzia Proton, Tuta, Cock.li, Cove, GoyMail, e diversi altri. Nessuno di questi servizi è strettamente no-KYC nel senso dei servizi della nostra categoria Cards (Goblin Cards) o SMS (HeroSMS), Proton e Tuta ti chiedono tipicamente un indirizzo email di recupero o una challenge telefonica anti-spam, e Cock.li / Cove sono essi stessi dei fornitori che accettano l'anonimato stretto. La posizione del directory: Proton e Tuta sono scelte eccellenti per il «mainstream privacy»; Cock.li / Cove sono scelte più radicali per chi vuole un signup realmente anonimo. Gli alias vengono in layer sopra, e SimpleLogin resta il miglior servizio del segmento anche per un utente Tuta principale.