Email crittografata vs trasferimento file crittografato
Confronta email crittografata e trasferimento file crittografato per trovare il metodo migliore per inviare documenti sensibili e file grandi in sicurezza.
L'email crittografata (PGP, S/MIME, o servizi come ProtonMail) funziona bene per messaggi sensibili brevi e documenti sotto i 25 MB circa, il limite degli allegati Gmail che la maggior parte dei server riceventi applica ancora. Il trasferimento file crittografato (HexaTransfer, SwissTransfer, Tresorit Send) gestisce payload fino a 10 GB o più, genera link di download monouso, e disaccoppia il file dalla policy di conservazione della tua casella di posta. Scegli l'email quando hai bisogno di conversazioni in thread più allegati piccoli. Scegli il trasferimento file per qualsiasi cosa di grandi dimensioni, time-sensitive, o che non dovrebbe persistere indefinitamente negli archivi mail. Spesso vorrai entrambi.
Il muro delle dimensioni nell'email
SMTP è stato progettato nel 1982 per telegrammi ASCII a 7 bit. Gli allegati si aggiungono tramite codifica MIME base64, che gonfia i dati binari di circa il 33%. Quel video da 20 MB diventa un'email da 27 MB. Gmail rifiuta i messaggi sopra i 25 MB, Outlook.com ha un limite di 20 MB, e la maggior parte dei server Exchange aziendali imposta limiti tra 10 MB e 35 MB.
Raggiunto il limite, le opzioni diventano scomode: dividere lo .zip in parti con volumi 7-Zip, caricare su un servizio cloud e incollare un link (vanificando la crittografia), o cambiare strumento. I servizi di trasferimento file saltano questo interamente — HexaTransfer sposta un .psd da 10 GB direttamente, WeTransfer gestisce 2 GB nel suo piano gratuito, e strumenti enterprise dedicati come Signiant possono spingere terabyte.
Come differisce effettivamente la crittografia
PGP (RFC 4880) cifra i corpi dei messaggi con una chiave di sessione AES-256 casuale, poi avvolge quella chiave con la chiave pubblica RSA-4096 o Curve25519 del destinatario. S/MIME (RFC 8551) fa la stessa cosa usando certificati X.509 emessi da una CA. Entrambi sono end-to-end — il tuo provider mail archivia ciphertext.
Il trasferimento file crittografato usa tipicamente un modello diverso. Il file si cifra lato client con AES-256-GCM, il server archivia solo ciphertext, e la chiave di decrittografia viaggia in un frammento URL (#key=...) che non raggiunge mai il server. Nessuna PKI, nessuna web-of-trust, nessun keyserver. Il compromesso: la crittografia email autentica il mittente in modo crittografico; i link di file autenticano solo chiunque detenga l'URL.
Confronto a colpo d'occhio
| Funzionalità | Email crittografata (PGP/S-MIME) | Trasferimento file crittografato | |---|---|---| | Limite di dimensione tipico | 25 MB | 2 GB – 10 GB+ | | Autenticazione del mittente | Forte (firmata) | Debole (basata su link) | | Configurazione chiave destinatario | Richiesta in anticipo | Nessuna necessaria | | Persistenza | Per sempre nella casella di posta | 7 giorni tipici | | Metadati esposti | Oggetto, intestazioni | Nome file opzionale | | Funziona con destinatari non tecnici | Raramente | Sempre | | Idoneità normativa | Email HIPAA (con BAA) | GDPR Art 32, HIPAA |
Persistenza: archivi mail vs link con scadenza
Un'email crittografata rimane in ~/Mail/INBOX.mbox o sui server Gmail per anni. Se il dispositivo del destinatario viene successivamente compromesso o la sua chiave privata PGP viene esportata, ogni messaggio storico si decrittografa. La lunga conservazione è ottima per i trail di audit e pessima per il raggio d'impatto delle violazioni.
I link di trasferimento file di solito scadono. HexaTransfer elimina i trasferimenti dopo 7 giorni. SwissTransfer ha un limite di 30 giorni. SendGB offre da 24 ore a 30 giorni. Una volta scaduto il timer, il ciphertext viene eliminato e la chiave di decrittografia diventa inutile — anche se l'URL trapela anni dopo, non c'è nulla da sbloccare. Questo si adatta perfettamente ai principi di minimizzazione dei dati del GDPR Articolo 5(1)(e) ed è il motivo per cui i flussi di lavoro legali e sanitari preferiscono sempre più i servizi di trasferimento per le divulgazioni occasionali.
Attrito per il destinatario
Il problema di usabilità di PGP è leggendario. Uno studio del Carnegie Mellon del 2015 ha rilevato che 10 su 10 partecipanti non sono riusciti a inviare un'email crittografata correttamente al primo tentativo. Due decenni dopo che Phil Zimmermann ha rilasciato PGP, il destinatario ha ancora bisogno di generare una coppia di chiavi, pubblicarla da qualche parte, verificare le impronte digitali e configurare Thunderbird o GPG Suite. S/MIME è marginalmente migliore all'interno degli ambienti aziendali che distribuiscono automaticamente i certificati tramite Active Directory.
I trasferimenti file riducono tutto questo a: clicca un link, eventualmente digita una password. Il destinatario non ha bisogno di alcuna configurazione preventiva. Ecco perché gli strumenti di trasferimento file crittografato vincono negli scenari rivolti ai clienti — un commercialista che invia i moduli fiscali a un cliente, un radiologo che inoltro studi DICOM a un medico riferente, un avvocato che consegna bundle .pdf di discovery.
Dove si sovrappongono: documenti sensibili di piccole dimensioni
Un contratto firmato, un passaporto scansionato, un risultato di laboratorio medico da 2 MB — questi rientrano nella zona ambigua. Entrambi i metodi funzionano. L'email vince se hai bisogno di un record duraturo legato a un thread di conversazione ("come discusso martedì..."). Il trasferimento file vince se hai bisogno che il documento scompaia dopo la consegna, se il destinatario è fuori dalla tua cerchia PGP, o se vuoi una ricevuta di download che confermi che il file è stato effettivamente recuperato.
Alcuni team adottano un flusso di lavoro diviso: ProtonMail o Tutanota per scambi basati su thread sotto i 25 MB, e un servizio di trasferimento dedicato per qualsiasi cosa di dimensioni maggiori o qualsiasi cosa che dovrebbe scadere. Entrambi lasciano al provider solo ciphertext, il che soddisfa in modo pulito HIPAA 45 CFR 164.312(e)(1) e PCI DSS 4.0 Requisito 4.2.1 per i dati in transito.
Conformità e linee di conservazione
Le normative raramente impongono uno strumento specifico — impongono risultati. Il GDPR Articolo 32 richiede "misure tecniche appropriate" per i dati personali. La Security Rule di HIPAA richiede la crittografia delle ePHI a riposo e in movimento. PCI DSS 4.0 blocca il PAN non cifrato nei canali di messaggistica. Qualsiasi soluzione E2EE, email o trasferimento file, può soddisfare questi requisiti se configurata correttamente e supportata da un Business Associate Agreement firmato (per HIPAA) o da un Data Processing Addendum (per il GDPR).
La differenza pratica è la postura di conservazione. I sistemi mail predefiniscono all'archiviazione indefinita; i sistemi di trasferimento file predefiniscono all'eliminazione. Per le richieste di diritto alla cancellazione ai sensi del GDPR Articolo 17, il modello di trasferimento file è strettamente più semplice — i dati sono già scomparsi nel momento in cui arriva una richiesta.
Scegliere lo strumento giusto per il lavoro
Usa l'email crittografata per conversazioni in corso con contatti conosciuti, allegati piccoli e comunicazioni legalmente significative dove conta un trail di audit firmato. Usa il trasferimento file crittografato per invii singoli di grandi dimensioni, documenti sensibili a destinatari non tecnici, file che dovrebbero auto-distruggersi, e qualsiasi cosa che altrimenti rimbalzerebbe su un limite di allegati da 25 MB. I due sono complementari, non in competizione.
Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file