CifraMail: la recensione completa

Che cos'è CifraMail

CifraMail (ciframail.it) è un servizio di posta elettronica con indirizzi @ciframail.it e una webmail, che si può installare come app sul telefono. Si presenta come posta cifrata «fatta in Italia», con i dati su server nell'Unione europea, ed è gestito da un'impresa con sede a Roma, indicata con ragione sociale e partita IVA in fondo a ogni pagina del sito. Il fornitore dei server non è ancora nominato: nell'informativa privacy, al posto del suo nome, c'è uno spazio da completare.

Le promesse sono due: una casella che nemmeno il gestore può leggere e un prezzo pagato una volta sola. Questa recensione le mette a confronto con ciò che CifraMail scrive nelle sue pagine (Sicurezza, Prezzi, Domande frequenti, la guida per il telefono, Termini, Privacy, Rimborsi), lette il 17 ottobre 2026. Le citazioni tra virgolette vengono da lì.

Come funziona la cifratura

1. La password resta nel browser. Quando la scrivi, il browser la trasforma con Argon2id (64 MiB di memoria, 3 passaggi, un sale casuale di 16 byte) e ne ricava due chiavi da 256 bit. La chiave di accesso va al server per farti entrare, e il server ne conserva solo l'impronta; la seconda, che CifraMail chiama chiave della cassaforte, non lascia il dispositivo.
2. Le chiavi OpenPGP nascono nel browser. Alla registrazione il browser genera una coppia di chiavi OpenPGP su curva 25519. Il server conosce la chiave pubblica e riceve la chiave privata solo cifrata (AES-256) con la chiave della cassaforte, più una seconda copia cifrata con la frase di recupero.
3. La posta in arrivo è cifrata appena arriva. Il server cifra ogni messaggio con la tua chiave pubblica (formato PGP/MIME, AES-256) e lo salva così: testo e allegati diventano illeggibili per chi non ha la chiave privata, gestore compreso.
4. La decifri solo tu. Quando entri, il browser apre la chiave privata nella sua memoria, dove resta finché non chiudi o ricarichi la pagina, e decifra i messaggi sul dispositivo. Le bozze e la copia dei messaggi inviati le cifra il browser prima di salvarle.

Le librerie dichiarate, «aperte e diffuse», sono OpenPGP.js per la crittografia e hash-wasm per Argon2id. Il formato OpenPGP è uno standard aperto, e CifraMail lo presenta come garanzia di non restare legati al servizio («Nessun formato chiuso che ti lega a noi»); le pagine consultate non spiegano però come esportare la propria chiave privata.

Il modello si chiama zero-access, e non coincide con la cifratura end-to-end descritta in Crittografia end-to-end: che cosa protegge. Un messaggio che arriva da Gmail o da Outlook giunge al server in chiaro, e CifraMail lo dice apertamente: «Per quei pochi istanti, il tempo di riceverlo e di fare i controlli antispam, il messaggio è leggibile dal server. Poi viene cifrato.» Una copia, aggiunge, resta presso il mittente e il suo fornitore.

End-to-end: che cosa c'è oggi

Tra le funzioni, la home page elenca la cifratura «End-to-end tra utenti»: tra caselle CifraMail, e verso chi pubblica una chiave OpenPGP, il messaggio partirebbe già cifrato dal browser. La pagina Sicurezza, più dettagliata, scrive che tra caselle CifraMail il messaggio «verrà cifrato già nel browser di chi scrive, con la chiave del destinatario» e segna la funzione come «in arrivo». Al 17 ottobre 2026 le due pagine non dicono la stessa cosa.

Verso gli altri servizi il messaggio viaggia come una normale email, protetta in transito con TLS quando il server del destinatario lo supporta (che cosa protegge il TLS lo spiega Come criptare un'email e gli allegati). Per la consegna passa da due fornitori con server nella regione UE, Mailgun e, di riserva, SMTP2GO, che vedono mittente, destinatari e oggetto e, se il messaggio non è cifrato end-to-end, anche il contenuto durante la consegna. La copia che resta nei tuoi Inviati è cifrata. La posta tra caselle CifraMail, precisa il servizio, resta sui suoi server.

Che cosa protegge e che cosa no

CifraMail non promette l'anonimato («No, e non lo promettiamo»): protegge il contenuto, non l'identità. E scrive che, se riceve un ordine valido secondo la legge italiana, può consegnare solo ciò che ha: mittenti, destinatari, orari, oggetti e indirizzi IP di accesso, non il contenuto dei messaggi salvati, per il quale non ha le chiavi. Resta poi un limite che nessun servizio supera: se il computer o il telefono è infetto, chi lo controlla vede ciò che vedi tu.

Sul telefono e con le app di posta

Le strade sono due. La consigliata è l'app CifraMail: la webmail installata sulla schermata Home, senza passare da uno store (su iPhone da Safari, con iOS 16.4 o successivo; su Android da Chrome). La posta si decifra sul telefono come nel browser. Le notifiche mostrano solo il mittente, o solo «Hai un nuovo messaggio» con le notifiche discrete, mai l'oggetto né il testo, e arrivano cifrate attraverso il servizio di notifiche di Apple o di Google.

La seconda è l'app di posta che hai già (Gmail, Mail di iPhone, Outlook, Thunderbird), via IMAP e SMTP, con una password per app diversa per ogni dispositivo. È il compromesso più importante del servizio, e CifraMail lo segnala da sé: con l'opzione attiva i nuovi messaggi restano sul server senza la cifratura con la tua chiave, e quelli già cifrati si leggono solo dalla webmail e dall'app CifraMail. L'opzione è spenta di default; disattivandola, le password per app vengono revocate e la cifratura torna per i nuovi messaggi. Per l'app Outlook la guida aggiunge un avvertimento: sincronizza gli account IMAP attraverso i server di Microsoft, che ricevono la password per app e una copia dei messaggi.

Le altre funzioni

• Alias. Indirizzi alternativi che arrivano nella tua casella, per iscriversi a siti e newsletter senza dare l'indirizzo principale; si spengono quando cominciano a ricevere spam. Sono 10 con la prova e con Lifetime, illimitati con Mensile e Lifetime Plus.
• Immagini remote bloccate. Chi ti scrive non sa se hai aperto il messaggio.
• Frase di recupero. Alla registrazione ricevi 24 parole: sono l'unico modo per riaprire la posta se dimentichi la password. Se perdi sia la password sia la frase, la posta salvata resta illeggibile per sempre, anche per il gestore.
• Indirizzo definitivo. Il nome scelto alla registrazione non si può cambiare; per altri nomi ci sono gli alias.
• Limiti di invio. Al massimo 50 destinatari per messaggio e, verso altri servizi, 50 destinatari al giorno nei primi 7 giorni, poi 300; durante la prova, 50 invii al giorno e 5 destinatari per messaggio. Servono, spiega il servizio, a fermare chi apre account per mandare spam.

Prezzi e piani

Con Lifetime e Lifetime Plus si possono aggiungere 50 GB a 10 € all'anno; il passaggio da Lifetime a Lifetime Plus costa 50 €. Mensile e Lifetime Plus hanno le stesse funzioni: il secondo, osserva il servizio, costa come due anni del primo. Si paga con carta sulla pagina di Stripe, e i dati della carta non passano dai server di CifraMail. Il piano Professionisti, per studi e piccole aziende (più caselle, dominio personalizzato, gestione centralizzata), è in preparazione, con una lista d'attesa.

Che cosa vuol dire «Lifetime». Non la vita dell'utente: per i termini, «il piano resta attivo finché il servizio CifraMail è attivo». Che cosa succede ai piani se il servizio cessa non è ancora scritto: nella bozza, al suo posto, c'è uno spazio da completare. Per qualunque servizio venduto «a vita» è la clausola da leggere prima di pagare.

La prova. Dura 7 giorni, con le funzioni di Lifetime e senza carta di credito; una per persona (dallo stesso dispositivo o dalla stessa rete non se ne apre un'altra per 24 ore). Se alla scadenza non attivi un piano, la casella passa in sola lettura: puoi entrare, leggere ed esportare la posta, ma le mail in arrivo vengono rifiutate e non puoi inviare. Al trentesimo giorno dall'iscrizione arriva un ultimo avviso; sette giorni dopo la casella può essere chiusa e l'indirizzo liberato. I termini precisano che nessuna casella viene cancellata in automatico.

La garanzia. Ogni acquisto (per il Mensile, il primo pagamento) ha 14 giorni «soddisfatti o rimborsati», senza dover spiegare il motivo: il rimborso è completo, sullo stesso metodo di pagamento, e revoca il piano, mentre la posta resta leggibile. CifraMail collega la garanzia al recesso dai contratti a distanza (artt. 52 e seguenti del Codice del consumo) e scrive di riconoscerla anche se il servizio è già stato usato. Anche la pagina dei rimborsi, però, è una bozza.

Privacy: che cosa raccoglie

Oltre ai dati dell'account e ai metadati della posta, l'informativa elenca: gli indirizzi IP e gli orari di accesso, conservati per un periodo che il testo lascia ancora da completare; un registro degli accessi alla webmail con la rete troncata (mai l'indirizzo IP completo) e il paese, tenuto 90 giorni; statistiche di visita contate dal server, senza cookie e senza servizi esterni, cancellate dopo 31 giorni; per la prova gratuita, un'impronta non reversibile dell'indirizzo IP e del dispositivo, tenuta 24 ore; per i pagamenti, gli identificativi di Stripe, senza i dati della carta.

Una parte riguarda Meta, con due consensi distinti. Il primo è il banner dei cookie («Accetta» o «Rifiuta», senza scelte preimpostate): se accetti, le pagine pubbliche del sito caricano il pixel di Meta, che registra le pagine viste; nelle pagine di registrazione, accesso e pagamento e nella webmail lo script non viene caricato, e da lì il browser comunica a Meta solo alcuni eventi (come la registrazione completata e l'acquisto), senza email né nome utente. Il secondo è una casella facoltativa, non spuntata, in registrazione o nelle impostazioni: con quella CifraMail comunica a Meta dal proprio server la creazione dell'account e l'acquisto, con le email in forma pseudonimizzata (hash SHA-256), l'indirizzo IP e il tipo di browser. Nessun dato della posta, scrive il servizio, arriva a Meta.

Su questo punto le pagine non sono ancora allineate: la pagina Sicurezza dice che il sito e la webmail non caricano script da altri server («niente pixel»), e la sezione dell'informativa sui cookie parla di un solo cookie tecnico e dice che non serve un banner di consenso, mentre la sezione 3 della stessa informativa descrive il banner e i cookie di Meta.

Termini e privacy: a che punto sono

Al 17 ottobre 2026 i Termini di servizio, l'informativa privacy e la pagina Rimborsi si aprono con la stessa avvertenza:

«Questo testo è una bozza non ancora verificata da un legale e non è vincolante. Le parti evidenziate sono da completare.»

Nei termini mancano, tra l'altro, l'età minima per registrarsi, la sorte dei piani Lifetime se il servizio cessa, il preavviso per le modifiche di prezzi e termini, le limitazioni di responsabilità e i tempi di cancellazione dei dati alla chiusura dell'account. Nell'informativa mancano il nome del fornitore dei server, la durata di conservazione degli indirizzi IP, il termine di cancellazione dei dati, il ruolo di Stripe e di Meta e gli accordi con i fornitori della consegna. Anche l'indirizzo per segnalare le vulnerabilità è indicato come casella «da attivare».

Le regole già scritte (legge italiana, foro del consumatore, garanzia di 14 giorni) si possono leggere, ma il servizio stesso le dichiara non ancora vincolanti. I diritti che la legge riconosce al consumatore non dipendono da quel testo.

Punti di forza e limiti

Che cosa convince

• La posta salvata è cifrata con standard aperti (OpenPGP, AES-256, Argon2id) e librerie note; password e chiave privata non arrivano mai in chiaro al server.
• Le pagine dicono con precisione che cosa non è protetto: oggetto e metadati, posta in arrivo da servizi non cifrati, app di posta, dispositivo infetto. Non promettono l'anonimato.
• Sito e documentazione sono in italiano, con server nell'Unione europea, legge italiana e foro del consumatore.
• La prova non chiede la carta, e alla scadenza la posta resta leggibile ed esportabile.
• Oltre al Mensile c'è un'offerta senza rinnovi, con una garanzia di 14 giorni.

Che cosa non convince, o non ancora

• Oggetto, mittente, destinatari e orari restano in chiaro sul server.
• La cifratura end-to-end tra caselle CifraMail è annunciata ma, secondo la pagina Sicurezza, non ancora attiva.
• Con le app di posta attive la posta nuova non è più zero-access.
• Come per ogni webmail cifrata, bisogna fidarsi che il codice inviato al browser sia quello giusto: lo scrive lo stesso servizio. Le pagine consultate non indicano un codice sorgente pubblicato né verifiche indipendenti.
• I piani a pagamento non si possono ancora acquistare dalla pagina Prezzi, e «Lifetime» dipende dalla vita del servizio, con la cessazione ancora da regolare.
• Termini, privacy e rimborsi sono bozze dichiarate non vincolanti; il fornitore dei server non è indicato; le pagine non sono allineate sul pixel di Meta.

Per chi è

CifraMail risponde a un'esigenza precisa: tenere la posta archiviata illeggibile per chi gestisce il server e per chi ne sottraesse i dati, con un servizio in italiano e la possibilità di pagare una volta sola. Non è pensato per chi cerca l'anonimato o vuole riservati anche i destinatari e l'oggetto dei messaggi, né, per ora, per chi ha bisogno della cifratura end-to-end tra caselle o di un piano per uno studio o un'azienda. Per i professionisti che trattano dati dei clienti, le regole sono in Professionisti e imprese: cifratura e GDPR; per mandare un documento riservato a chi usa Gmail o Outlook resta il metodo dell'allegato cifrato, con la password comunicata per un'altra strada, descritto in Come criptare un'email e gli allegati.

Casi frequenti

• «CifraMail è end-to-end?» La posta salvata è zero-access: cifrata con la tua chiave appena arriva. La cifratura nel browser di chi scrive, tra caselle CifraMail, è indicata nella pagina Sicurezza come «in arrivo»; verso Gmail e Outlook i messaggi viaggiano come email normali.
• «Se dimentico la password perdo la posta?» Non se hai la frase di recupero di 24 parole. Se perdi sia la password sia la frase, la posta salvata non si apre più, nemmeno con l'aiuto del gestore.
• «Posso usarla con Mail di iPhone o con Outlook?» Sì, attivando l'opzione per le app di posta; da quel momento, però, i nuovi messaggi restano sul server senza la cifratura con la tua chiave.
• «Che cosa succede alla fine della prova?» La casella passa in sola lettura: leggi ed esporti, ma non ricevi e non invii. Al trentesimo giorno dall'iscrizione arriva un ultimo avviso, e sette giorni dopo la casella può essere chiusa.
• «Lifetime vuol dire per sempre?» Vuol dire senza rinnovi, finché il servizio è attivo. Che cosa succede ai piani se il servizio cessa, i termini non lo dicono ancora.

Fonti

Pagine di CifraMail (ciframail.it) consultate il 17 ottobre 2026: home page, Prezzi, Sicurezza, Domande frequenti, CifraMail sul telefono, Termini di servizio (bozza), Informativa privacy (bozza), Rimborsi e garanzia (bozza), Contatti. Le citazioni tra virgolette sono tratte da quelle pagine. Verificato il 17 ottobre 2026.