Cómo convertir a PDF un correo cifrado con S/MIME (sin entregar tus claves)

Abriste el correo y lo leíste sin problema. Luego intentaste convertirlo a PDF y la herramienta lo rechazó, o te quedaste con un archivo smime.p7m inútil. La respuesta corta: no puedes subir un correo cifrado tal cual, porque el archivo sigue conteniendo el sobre bloqueado y no el texto que viste en pantalla. Primero creas una copia sin cifrar reenviándote el mensaje con el cifrado desactivado y después conviertes esa copia. Nunca subes tu clave privada a nadie.

Esta distinción importa a abogados, notarios y a cualquiera que archive correspondencia sensible. El descifrado tiene que ocurrir en tu equipo, donde ya está tu clave. Esta guía explica por qué y te lleva paso a paso por el método seguro.

Puntos clave

• Un archivo de correo cifrado (smime.p7m) contiene un sobre bloqueado. Tu cliente de correo lo descifra solo para mostrarlo, no para guardarlo.

• «Guardar como .msg» o arrastrar el correo al escritorio guarda ese sobre todavía cifrado, así que cualquier conversor recibe un archivo ilegible.

• La solución fiable: abre el correo, reenvíalo a tu propia dirección con el cifrado desactivado y convierte la copia recibida.

• No subas nunca una clave privada .pfx o .p12 a un servicio en línea. Un certificado .cer es solo la clave pública y no puede descifrar nada.

• Los correos firmados (smime.p7s) son totalmente legibles y se convierten sin problemas. Solo los correos cifrados (smime.p7m) quedan bloqueados.

¿Qué significa realmente «cifrado con S/MIME»?

S/MIME es el estándar que protege el correo con un par de claves criptográficas, definido en RFC 8551 (IETF, 2019). Cada participante tiene una clave pública, que cualquiera puede usar para cifrar un mensaje, y una clave privada, que solo posee su titular. Ambas están vinculadas matemáticamente, pero no son intercambiables.

Cuando alguien te envía un correo cifrado, lo bloquea con tu clave pública. A partir de ese momento, solo tu clave privada puede desbloquearlo. El estándar envuelve el resultado en un sobre PKCS#7, el archivo smime.p7m que a veces ves como adjunto.

Por eso tu propio Outlook o Apple Mail muestran el mensaje con normalidad. Tu clave privada ya está en ese cliente de correo, que descifra el sobre en cuanto abres el correo. Un servicio externo no tiene esa clave, y las matemáticas no le dan ningún atajo.

S/MIME bloquea un correo con la clave pública del destinatario. Solo su clave privada, que ya está en su cliente de correo, puede desbloquearlo.

¿Por qué PDFengine (o cualquier herramienta en línea) no puede abrir mi correo cifrado?

Ningún conversor en línea puede leer tu correo cifrado, porque el descifrado exige tu clave privada y ningún servicio responsable te la pedirá jamás. PDFengine detecta deliberadamente los correos cifrados con S/MIME y los omite, en lugar de pedir claves que no tiene por qué guardar.

Aquí está lo que confunde a la gente. El «certificado» que puedes compartir, un archivo .cer o .crt, es solo la clave pública. Sirve para cifrar, pero no para descifrar. Enviarlo a un servicio no desbloquea tu correo.

La clave privada es distinta. Vive en un archivo .pfx o .p12, el formato PKCS#12 descrito en RFC 7292 (IETF). Ese archivo es tu identidad digital. Quien lo tenga puede leer todos los mensajes cifrados que hayas recibido y firmar correspondencia en tu nombre.

Para un despacho de abogados o una notaría, subir ese archivo a un servicio web es un riesgo serio de responsabilidad, no una comodidad. Por eso PDFengine hace lo contrario. Cuando encuentra un correo cifrado, indica el motivo y sigue adelante. El mensaje actual dice: «Este correo está cifrado con S/MIME y no se puede convertir. Descifra primero el correo con tu cliente de correo y vuelve a intentarlo.»

¿Por qué «Guardar como» sigue dando un archivo ilegible?

Guardar un correo cifrado guarda el sobre bloqueado, no el texto de tu pantalla, porque tu cliente de correo descifra solo para mostrar. Es la trampa en la que cae casi todo el mundo, y casi ninguna guía la explica.

Piensa en lo que hace realmente Outlook. Al abrir un mensaje cifrado, descifra el contenido en memoria para que puedas leerlo. Pero el mensaje en disco no cambia. «Guardar como .msg» o arrastrar el correo al escritorio copia el sobre original smime.p7m, todavía bloqueado.

Así que subes ese archivo guardado esperando el correo legible, y el conversor recibe texto cifrado. Según Microsoft Support, el correo cifrado y protegido por derechos también puede impedir la impresión, por lo que «Imprimir en PDF» a veces falla por el mismo motivo. El descifrado es para tus ojos, no para exportar.

«Guardar como» conserva el sobre bloqueado, así que el conversor recibe texto cifrado. Reenviarte el correo con el cifrado desactivado produce una copia que PDFengine puede leer.

¿Cómo convierto un correo cifrado a PDF de forma segura?

Reenvíate el correo con el cifrado desactivado y convierte la copia que recibas. Funciona en cualquier versión de Outlook, mantiene tu clave privada en tu equipo y le da a PDFengine un archivo limpio que procesar.

Sigue estos pasos en Outlook:

1. Abre el correo cifrado. Se descifra automáticamente en pantalla, porque tu clave privada ya está ahí.

2. Haz clic en Reenviar, no en Guardar como. Al reenviar, el mensaje se reconstruye a partir del contenido descifrado.

3. En la pestaña Opciones, comprueba que Cifrar esté DESACTIVADO. A veces Outlook arrastra el cifrado original al reenvío, lo que anularía el propósito. Compruébalo siempre.

4. Envía el mensaje a tu propia dirección de correo.

5. Abre la copia que recibas. Ahora es un correo normal sin cifrar.

6. Guarda esa copia como .eml o .msg y súbela a la herramienta de correo a PDF de PDFengine.

Tu clave privada nunca sale de tu ordenador. El descifrado ocurre exactamente donde debe, con el titular de la clave, y solo el resultado limpio sigue adelante.

Apple Mail sigue la misma lógica. Abre el mensaje descifrado y luego reenvíalo o redirígelo a ti mismo sin cifrado S/MIME. Exporta la copia recibida y súbela.

¿Por qué no imprimir tú mismo a PDF? Puedes, pero pierdes lo que añade PDFengine: adjuntos convertidos, encabezados y metadatos completos como prueba, y un formato de archivo PDF/A limpio. Reenviártelo le entrega a PDFengine un correo completo y legible que puede procesar por entero.

Un archivo .cer o .crt es solo la clave pública y no puede descifrar nada. La clave privada vive en un archivo .pfx o .p12 protegido con contraseña que nunca debe salir de tu equipo.

Firmado o cifrado: ¿qué correos se convierten sin problema?

Los correos firmados se convierten sin ningún problema; solo los cifrados quedan bloqueados. Esta distinción importa porque los hilos de los foros confunden a menudo ambos casos, y la solución es totalmente distinta.

Un correo firmado lleva un adjunto smime.p7s o usa multipart/signed. La firma demuestra quién envió el mensaje y que no se alteró, pero el cuerpo sigue siendo totalmente legible. PDFengine los convierte sin quejas.

Un correo cifrado lleva smime.p7m con datos envueltos (enveloped-data), según la RFC 8551 (IETF, 2019). El cuerpo está bloqueado. Solo este tipo hace que PDFengine lo omita.

La confusión se ve en hilos reales. Un usuario de Microsoft Q&A podía abrir los adjuntos PDF en el escritorio, pero en Outlook para Android solo veía smime.p7m. Un informe del foro de EspoCRM trataba de un mensaje firmado, no cifrado, en el que el flujo de trabajo fallaba igualmente. Mismo síntoma, causa distinta.

¿Y las pruebas legales o los casos forenses?

Para trabajo probatorio, el modo email-to-evidence de PDFengine puede generar un informe de autenticidad de un correo cifrado, aunque no descifre el cuerpo. Registra que el mensaje estaba firmado o cifrado, un hecho que de por sí merece conservarse en un expediente.

Esto importa a administrativos jurídicos y notarios que necesitan una cadena defendible y no solo una copia legible. El informe recoge detalles estructurales y de autenticidad sin tocar nunca tu clave privada. Si además necesitas el contenido real, usa primero el método de reenviártelo y pasa después la copia sin cifrar por la herramienta.

Para el archivado cotidiano, basta el flujo estándar de correo a PDF una vez que tienes un archivo limpio y sin cifrar.

PDFengine frente a Adobe Acrobat para correo cifrado

Ambos pueden producir un PDF, pero por caminos distintos. Acrobat es potente y de escritorio; PDFengine funciona en línea y nunca quiere tus claves.

Si tus claves ya están configuradas en tu propio escritorio, Acrobat puede gestionar el mensaje en local. PDFengine adopta la postura deliberada de mantenerse totalmente al margen de tu almacén de claves, lo que conviene a equipos que no pueden acercar una clave privada a un servicio web.

Preguntas frecuentes

¿Por qué solo veo un archivo smime.p7m y no el contenido del correo?

El archivo smime.p7m es el sobre cifrado. Tu cliente de correo no pudo descifrarlo para mostrarlo, a menudo porque falta la clave privada en ese dispositivo. El hilo de Microsoft Q&A muestra esto en Outlook para Android mientras el escritorio lo abre sin problema.

¿Por qué mi archivo .msg guardado de un correo cifrado sigue saliendo cifrado?

Porque «Guardar como» copia el sobre bloqueado original, no el texto de la pantalla. Tu cliente descifra solo para verlo. Reenvíate el correo con el cifrado desactivado y guarda la copia recibida.

¿Puedo adjuntar los correos cifrados a un mensaje nuevo y enviármelo?

No, y es la misma trampa que «Guardar como». Cuando adjuntas un correo (lo arrastras o usas «Reenviar como adjunto»), adjuntas el archivo de mensaje guardado, que en un correo cifrado sigue siendo el sobre bloqueado smime.p7m. El mensaje exterior que envías no está cifrado, pero cada mensaje adjunto sigue bloqueado, así que PDFengine los extrae y vuelve a toparse con archivos cifrados. Usa en su lugar Reenviar en línea, con el cifrado desactivado, para que tu cliente reconstruya el mensaje a partir del contenido descifrado del cuerpo.

¿Puedo convertir un correo cifrado de Outlook a PDF sin subir mi clave privada?

Sí. Reenvía el correo a tu propia dirección con la opción Cifrar desactivada, abre la copia que recibas, guárdala como .eml o .msg y súbela. Tu clave privada nunca sale de tu ordenador.

¿Qué diferencia hay entre un correo firmado (smime.p7s) y uno cifrado (smime.p7m)?

Un correo firmado demuestra el origen y la integridad, pero sigue siendo totalmente legible. Un correo cifrado bloquea el cuerpo para que solo lo abra la clave privada del destinatario, según la RFC 8551. Solo los correos cifrados impiden la conversión.

¿Debo enviar mi certificado .cer o .pfx a un servicio en línea para leer correo cifrado?

No, y no deberías. Un archivo .cer es solo la clave pública y no puede descifrar nada. Un archivo .pfx o .p12 contiene tu clave privada, tu identidad digital completa, y subirlo a cualquier sitio es un riesgo de seguridad.

¿Por qué puedo leer el correo en el escritorio pero no en el móvil?

Tu clave privada está instalada en el escritorio, pero normalmente no en el móvil. Sin esa clave, Outlook para Android o iOS muestra el sobre smime.p7m sin procesar en lugar del mensaje descifrado.

Convierte tu correo una vez sin cifrar

Cuando tienes una copia limpia y sin cifrar, convertirla es sencillo. Sube el archivo .eml o .msg a la herramienta de correo a PDF de PDFengine y se encarga del cuerpo, los adjuntos y los encabezados, con formato de archivo PDF/A.

Para trabajo legal o forense, email-to-evidence añade un informe de autenticidad. Registra si un mensaje estaba firmado o cifrado, incluso cuando no puede leer el cuerpo bloqueado, lo que te da un registro defendible para el expediente.

El principio es el mismo en todo momento: descifra donde ya está tu clave y convierte después la copia limpia. Tu clave privada no tiene motivo para viajar a ninguna parte.

Daan van Tongeren, fundador de PDFengine.