Outlook no puede abrir correos cifrados después de la renovación del certificado: solución

Después de renovar su certificado digital, Outlook puede negarse a abrir correos cifrados que recibió antes de la renovación. Verá un error como “Outlook no puede abrir este elemento” o “La firma digital no es válida”. Esto ocurre porque el certificado antiguo que se utilizó para cifrar el mensaje ya no está disponible en el almacén de certificados. Este artículo explica por qué ocurre el problema y proporciona una solución paso a paso para restaurar el acceso a sus mensajes cifrados.

Por qué Outlook no puede abrir correos cifrados después de la renovación del certificado

Cuando renueva un certificado digital, el certificado antiguo se reemplaza por uno nuevo con un par de claves diferente. Los correos cifrados están bloqueados con la clave pública del certificado que estaba activo cuando se envió el mensaje. Si el certificado antiguo se elimina de su almacén de certificados durante la renovación, Outlook no puede encontrar la clave privada correspondiente para descifrar esos mensajes. El error aparece porque la clave privada del certificado antiguo falta en el almacén de certificados de Windows.

El proceso de renovación puede eliminar el certificado antiguo automáticamente, especialmente si utiliza una autoridad de certificación de terceros o la herramienta de gestión de certificados de su organización. En algunos casos, el certificado antiguo permanece pero se marca como expirado. Outlook aún necesita la clave privada del certificado antiguo para descifrar mensajes enviados mientras ese certificado era válido. Sin ella, el descifrado falla.

Almacenamiento de certificados en Windows

Windows almacena los certificados digitales en el Administrador de certificados, accesible mediante certmgr.msc. Los certificados se colocan en el almacén Personal bajo Usuario actual. Cuando se renueva un certificado, se agrega el nuevo, pero el antiguo puede eliminarse o dejarse expirado. Para que Outlook pueda descifrar un correo, debe localizar el certificado exacto con la clave privada que coincida con la clave pública utilizada para cifrar el mensaje.

Cómo maneja Outlook la renovación de certificados

Outlook utiliza el Administrador de certificados para recuperar la clave privada para el descifrado. Si el certificado antiguo falta, Outlook no puede descifrar el correo y muestra un error. La solución es volver a importar el certificado antiguo con su clave privada en el almacén Personal. Esto restaura la capacidad de Outlook para descifrar mensajes antiguos mientras sigue usando el nuevo certificado para el cifrado futuro.

Pasos para restaurar el acceso de descifrado a correos cifrados antiguos

Necesita el archivo de certificado antiguo con su clave privada. Si tiene una copia de seguridad, impórtela. Si no tiene una copia, es posible que deba obtenerla de su autoridad de certificación o del departamento de TI. Los siguientes pasos asumen que tiene el archivo de certificado antiguo en formato PFX o P12.

1. Abra el Administrador de certificados
   Presione Win + R, escriba certmgr.msc y presione Enter. Se abre la ventana del Administrador de certificados.
2. Navegue al almacén Personal
   En el panel izquierdo, expanda Personal y haga clic en Certificados. Esto muestra todos los certificados disponibles para su cuenta de usuario.
3. Localice el certificado antiguo
   Busque el certificado que se usó antes de la renovación. Puede tener una fecha de expiración anterior o un número de serie diferente. Si lo ve, omita al paso 5. Si falta, continúe para importarlo.
4. Importe el certificado antiguo
   Haga clic derecho en Personal y seleccione Todas las tareas > Importar. Se abre el Asistente para importar certificados. Haga clic en Siguiente. Busque la ubicación de su archivo PFX o P12 antiguo y selecciónelo. Haga clic en Siguiente. Ingrese la contraseña de la clave privada si se le solicita. Marque Marcar esta clave como exportable para permitir copias de seguridad futuras. Haga clic en Siguiente. Elija Colocar todos los certificados en el siguiente almacén y asegúrese de que Personal esté seleccionado. Haga clic en Siguiente y luego en Finalizar.
5. Verifique que el certificado esté presente
   Después de la importación, el certificado antiguo aparece en el almacén Personal. Haga doble clic en él para confirmar que tiene una clave privada. La nota “Tiene una clave privada que corresponde a este certificado” debe aparecer en la pestaña General.
6. Configure Outlook para usar el certificado correcto
   Abra Outlook y vaya a Archivo > Opciones > Centro de confianza > Configuración del Centro de confianza. Seleccione Seguridad de correo electrónico. En Correo cifrado, haga clic en Configuración. En el cuadro de diálogo, verifique que la sección Certificados y algoritmos muestre el certificado correcto. Para firmar, seleccione el nuevo certificado. Para el descifrado, Outlook usará automáticamente el certificado antiguo ahora que está en el almacén. Haga clic en Aceptar dos veces.
7. Pruebe abrir un correo cifrado antiguo
   Abra un correo cifrado que se envió antes de la renovación. Ahora debería descifrarse y mostrar el mensaje. Si el error persiste, cierre y reinicie Outlook, e intente nuevamente.

Si Outlook aún no puede abrir correos cifrados después de la solución

El certificado antiguo no tiene una clave privada

Si el certificado importado no incluye una clave privada, el descifrado falla. Obtenga una copia de seguridad que incluya la clave privada. Si no tiene una, contacte a su autoridad de certificación o al departamento de TI. Es posible que puedan reemitir el certificado antiguo con el mismo par de claves.

El certificado está marcado como no exportable

Algunos certificados se emiten con la clave privada marcada como no exportable. En este caso, no puede crear un archivo PFX de respaldo. Debe exportar el certificado desde la computadora original antes de que expire. Si la computadora original no está disponible, puede perder el acceso a los correos cifrados antiguos.

Múltiples certificados con nombres similares

Si tiene varios certificados con el mismo nombre de sujeto, Outlook puede seleccionar el incorrecto. En Outlook, vaya a Archivo > Opciones > Centro de confianza > Configuración del Centro de confianza > Seguridad de correo electrónico > Configuración. En Certificados y algoritmos, haga clic en Elegir y seleccione manualmente el certificado antiguo para el descifrado. Luego haga clic en Aceptar.

Outlook usa la configuración de seguridad incorrecta

En casos raros, Outlook está configurado para usar S/MIME pero el mensaje fue cifrado con un formato diferente. Verifique las propiedades del mensaje: haga clic derecho en el correo, seleccione Propiedades y observe la sección de seguridad. Si dice “Cifrado con S/MIME”, la solución del certificado aplica. Si dice “Cifrado con un método diferente”, contacte a su departamento de TI para obtener la herramienta de descifrado correcta.

Certificado antiguo vs. certificado nuevo: diferencias clave para el descifrado

Elemento	Certificado antiguo	Certificado nuevo
Propósito	Descifra correos enviados antes de la renovación	Cifra y firma nuevos correos
Ubicación en el almacén	Personal > Certificados (puede estar expirado)	Personal > Certificados (actual)
Clave privada necesaria	Requerida para el descifrado	Requerida para firmar y descifrar nuevos correos
Exportable	Debe marcarse como exportable durante la importación	Puede marcarse como exportable durante la renovación
Período de validez	Expirado o próximo a expirar	Válido para el nuevo período

Después de importar el certificado antiguo, Outlook puede descifrar todos los mensajes enviados mientras ese certificado estaba activo. El nuevo certificado maneja todo el cifrado y firma futuros. Mantenga ambos certificados en su almacén Personal para evitar la pérdida de datos. Haga una copia de seguridad de su certificado antiguo antes de que expire para prevenir problemas de acceso futuros.