Si escribes una contraseña temporal en el correo, qué dejan Enviados, el reenvío y la vista previa del móvil

Operaciones pega la contraseña temporal de una base en el cuerpo del correo, pone de asunto «úsala esta noche», se la manda a un compañero y se pone en copia «por si acaso». Diez minutos después le parece una mala idea. Abre Enviados y borra el mensaje. En la pantalla de bloqueo del otro móvil sigue esa línea. El Outlook del portátil de empresa ya ha sincronizado la misma copia. Los dos lados creen que «ya lo borré». El texto plano sigue en más de un sitio que se puede abrir.

Un texto anterior preguntaba si pegas un enlace de un solo uso en Slack o WeChat, si la vista previa lo quema primero: eso es «¿gastó la tarjeta la única lectura antes de que alguien pulsara». Aquí la pregunta es otra: una vez que la contraseña misma está en el cuerpo del correo, qué copias puedes seguir abriendo. Si el secreto viaja en un enlace de un solo uso, la forma sigue siendo s.html?id=…#…. Crear y leer no piden cuenta. Las herramientas de MyPassGen se abren al momento. Esto no es un recorrido por los botones de redacción. Recorremos las páginas oficiales de ayuda y lo que ves en Enviados, en el centro de notificaciones y en la barra de direcciones.

Por qué borrar Enviados no borra la contraseña

El correo no es un papelito que se evapora al pulsar Enviar. El RFC 5321 §2.1 describe el trabajo de SMTP como transferir correo de forma fiable y eficiente: un cliente entrega un mensaje a un servidor; ese servidor puede ser el destino final o un relé. El relé guarda el mensaje y se lo pasa al siguiente salto. Cada salto es un cambio de responsabilidad. Cuando la contraseña entra en el cuerpo, viaja con todo el mensaje RFC 5322. No aparece solo un instante en la ventana de redacción que acabas de cerrar.

Tras la entrega, el mensaje suele quedarse en carpetas del servidor, no desaparecer de la red. El RFC 9051 define IMAP4rev2 como la forma en que un cliente accede y manipula el correo en un servidor; un buzón remoto es, en la práctica, equivalente a una carpeta local. El móvil, el correo web y el cliente de escritorio leen la misma copia del servidor. Borrar Enviados en el navegador solo cambia una carpeta de tu cuenta. La bandeja del destinatario, una copia ya bajada a su teléfono y cualquier diario o política de retención del inquilino de empresa no se van con ese clic.

Por eso «me lo mando a mí como copia» y «se lo mando al compañero y luego lo borro» dejan texto plano. Si te lo envías a ti, Enviados y Recibidos suelen ser dos puertas al mismo mensaje: busca el asunto o esas pocas palabras y se abre otra vez. Si se lo envías a otra persona, como mínimo tienes Enviados del remitente, Recibidos del destinatario y las primeras líneas en la notificación de bloqueo. Cerrar una de esas puertas no prueba que las otras estén vacías.

Deshacer el envío y Recuperar no deshacen el mismo paso

Deshacer el envío de Gmail está escrito en la ayuda oficial. Tras Enviar, abajo a la izquierda aparece «Mensaje enviado» y puedes pulsar Deshacer. El periodo de cancelación se elige en Ajustes: 5, 10, 20 o 30 segundos. Enviar mensajes de Gmail o deshacer el envío no dice que luego puedas sacar una copia ya entregada del otro buzón. Pasada esa ventana, el correo con la contraseña ha salido de la redacción por el camino SMTP. Es entrega retrasada, no una recuperación posterior.

El perímetro de Recuperar en Outlook es más estrecho. Microsoft, en Cómo recuperar un correo electrónico en Outlook, indica que puedes recuperar desde el Outlook nuevo o clásico para Windows, o desde Outlook en la Web, solo si ambos lados usan una cuenta profesional o educativa de Microsoft 365 en la misma organización y el destinatario aún no ha abierto el mensaje. Las cuentas personales —Gmail, Hotmail, Outlook.com— no pueden usar la recuperación de mensajes. La nota de Outlook.com es directa: las direcciones que terminan en @outlook.com, @hotmail.com, @live.com o @msn.com, una vez enviadas, salen de tu servidor de correo. Lo que sí puede usar una cuenta personal es un retraso de Deshacer el envío, también de hasta 30 segundos.

Aunque la petición de recuperación salga, Microsoft lista fallos: el destinatario ya lo leyó, lo reenvió a mano o una regla de Recibidos cambió el destino. El Informe de recuperación de mensajes puede mostrar correcto, pendiente o error. Si el buzón no está disponible un rato, el servicio reintenta hasta unas 24 horas antes de marcar el fallo. En Exchange Online, la recuperación basada en la nube también puede retirar copias ya leídas, salvo que un administrador del inquilino lo desactive; el diálogo de Outlook que sigue diciendo «solo no leídos» ya no describe ese camino en la nube. Nada de eso convierte Recuperar en una quema fiable. Un buzón externo, quien ya abrió la notificación y tu propio Gmail quedan fuera de la promesa.

El modo confidencial apaga botones, no copias

El modo confidencial de Gmail se toma a menudo por «correo con quema al leer». La ayuda oficial, Enviar y abrir correos confidenciales, lista lo que sí hace: fijar un vencimiento, revocar el acceso en cualquier momento, inhabilitar Reenviar, Copiar, Imprimir y Descargar en la interfaz del destinatario, y, si se quiere, exigir una contraseña por SMS. La nota Importante del principio es más clara: el modo confidencial puede reducir el reenvío accidental, pero el destinatario puede seguir haciendo capturas o fotos; un programa malicioso en su aparato aún puede copiar o descargar el mensaje.

Quitar el acceso vive en Enviados del remitente: abre ese correo confidencial y pulsa Quitar acceso. Tras el vencimiento o la revocación, el destinatario no abre el cuerpo ni los adjuntos. La copia de Enviados del remitente se queda, salvo que la borres aparte. El vencimiento retira el enlace de acceso del otro lado. No borra el texto plano de los sistemas de Google ni quema tu Enviados a la vez. Meter una contraseña en un correo confidencial sigue entregando el texto plano a un cuerpo alojado y, encima, pone límites de interfaz. La ayuda de Google Workspace lo dice del transporte: Gmail saca el cuerpo y los adjuntos de la copia del destinatario y los sustituye por un enlace; por SMTP salen solo el asunto y ese enlace.

La contraseña por SMS no es mundial. Google lista América del Norte, América del Sur, Europa, Australia y, en Asia, solo Corea, India y Japón. Fuera de esas regiones suele tocar elegir «Sin contraseña por SMS». Sin ese paso extra, quien abra el correo lee el cuerpo. El modo confidencial responde a «Gmail muestra menos botones». No responde a «solo el navegador del destinatario ve la clave». Ese diseño es otro que el enlace de un solo uso de MyPassGen: el navegador cifra con AES-256-GCM, la clave va detrás de # en la URL y el servidor solo guarda texto cifrado. Cómo comprobar el algoritmo y que el texto plano no se subió está en Cómo comprobar que el cifrado en el navegador no sube el texto plano.

Enviados, sincronización y vista previa no son lo mismo

Cuando la misma contraseña entra en el mensaje, suelen quedar cuatro puertas abiertas. La primera es Enviados del remitente. El correo web, Outlook y Apple Mail que sincronizan Enviados con el servidor volverán a mostrar el original en cualquier otro ordenador con la misma sesión si buscas el asunto. Deslizar una notificación del móvil no borra esa copia.

La segunda es Recibidos del destinatario, más cualquier copia sin conexión ya bajada. Los clientes IMAP suelen cachear el mensaje entero en el portátil. Si pulsa Reenviar o Responder y cita el original, la contraseña se copia a un hilo nuevo. La tercera es la pantalla de bloqueo y el centro de notificaciones. Muchas apps de correo dibujan el asunto y las primeras líneas del cuerpo en el aviso. Si la contraseña es la primera frase, o el asunto es «la contraseña es xxx», la vista previa enseña el texto plano a quien pueda ver la pantalla. En el iPhone, Apple documenta Previsualización en Ajustes → Notificaciones: Siempre muestra el contenido en la pantalla de bloqueo sin desbloquear. Si está desbloqueado y Nunca ocultan ese recorte. La cuarta es la búsqueda: Gmail y Outlook encuentran correo viejo por una palabra del cuerpo. Si la propia contraseña da un acierto, nunca salió del índice del buzón.

Un buzón de empresa puede añadir otro salto. Un texto anterior cubría cómo Vínculos seguros de Microsoft Defender reescribe y escanea URL: eso es un problema de vista previa de enlace y de pasarela. Cuando la contraseña está en el cuerpo, el escáner no mira s.html?id=…. Mira texto plano. Si una pasarela, una regla de diario o eDiscovery guarda otra copia depende del inquilino. Eso no se lee en un eslogan de producto. Lo que puedes abrir en el momento sigue siendo Enviados, Recibidos, la vista previa de la notificación y la búsqueda.

Qué queda de una contraseña en el correo

Usa la misma contraseña de prueba y el mismo asunto en un envío normal, en una cancelación de Deshacer el envío dentro de la ventana, en una recuperación de Outlook y en el modo confidencial de Gmail. Las páginas que puedes abrir no son las mismas. La tabla se escribe por «sitios que puedes pulsar», no por nombres de marketing.

No mezcles la quinta fila con las cuatro primeras. Pegar un s.html?id=…#… completo en el correo sigue dejando una credencial en el hilo: el servidor no ve la clave, pero una persona puede copiar la cadena entera. Los robots de vista previa casi nunca reciben el trozo detrás de #. Si partes el id y la clave, la búsqueda del buzón no encuentra un enlace completo que funcione. La URL entera sigue siendo una credencial. No la guardes como marcador.

Compruébalo en el momento

Estos pasos no dependen de ninguna promesa de marca. Usa una contraseña de prueba que nunca vaya a iniciar sesión en una cuenta real, por ejemplo orange-lake-7, con asunto «prueba — no abrir producción». No ensayes con una contraseña maestra en servicio, una clave de producción ni un enlace de un solo uso de verdad.

1. Desde un buzón personal de prueba, envíate un mensaje cuyo cuerpo sea solo la contraseña de prueba. Abre Enviados al momento y confirma que el original está. Abre la notificación de correo del móvil y mira si la pantalla de bloqueo o el centro muestran la contraseña de prueba o el asunto. No uses un buzón de producción de empresa en este paso.
2. En el correo web, busca orange-lake-7. Un acierto significa que el cuerpo se indexó. Anota cada puerta que aún abre: Enviados, Recibidos, vista de conversación. Borra Enviados y busca otra vez: ¿Recibidos o Todos siguen dando acierto?
3. Abre los ajustes de Gmail y lee Deshacer el envío. Anota si el periodo es 5, 10, 20 o 30 segundos. Envía el mismo correo de prueba y pulsa Deshacer dentro de la ventana. Enviados y Recibidos deberían quedar sin esa copia. Envía otro, deja vencer la ventana y confirma que ambos lados muestran el original. Esto solo prueba el límite del retraso. No prueba una recuperación posterior.
4. Si tienes dos cuentas de prueba de Microsoft 365 en la misma organización, envía a un buzón de compañero sin leer y sigue los pasos oficiales de Recuperar. Abre el Informe de recuperación de mensajes y lee si fue correcto o falló. Un mensaje de control a Gmail o Outlook.com no debería ofrecer una recuperación usable. Las cuentas personales, según Microsoft, usan el retraso de Deshacer el envío.
5. Si tu Gmail muestra el modo confidencial, envía una contraseña de prueba confidencial a un segundo buzón de prueba tuyo. Comprueba: ¿Reenviar y Copiar no están disponibles; una captura del sistema sigue pillando la contraseña de prueba; tras Quitar acceso en Enviados, el destinatario aún abre el cuerpo; Enviados del remitente sigue mostrando el original?
6. Crea un enlace de un solo uso de MyPassGen con la misma frase de prueba, caducidad 24 horas, lecturas en 1. En el correo, pega solo la parte anterior a la almohadilla, s.html?id=…. Di la clave por teléfono o en persona. Se abre sin cuenta. Con solo el id, el destinatario debería ver un enlace incompleto; hacen falta las dos mitades para descifrar. Tras leer, sobrescribe el portapapeles. No guardes en Enviados una dirección que aún lleve #.

En un buzón de empresa, añade medio paso: cuenta cuántas veces se reenvió el correo de prueba en la conversación y si la vista previa del móvil sigue mostrando la contraseña de prueba. MyPassGen no te dirá si una pasarela concreta guardó otra copia. Fíate de las ventanas que acabas de abrir.

Si el correo es el único canal, parte la credencial

Para una entrega uno a uno que el otro puede abrir ahora, no pongas la contraseña en el cuerpo. Genérala en este aparato y envuélvela en un enlace de un solo uso. El generador de contraseñas de MyPassGen usa un modo aleatorio de 6 a 128 caracteres, 16 por defecto, y avisa por debajo de 8. Se abre sin cuenta. El resultado no se sube como dato de negocio. Al crear, el navegador cifra con AES-256-GCM. Una nota tope es 32 KB. Las lecturas empiezan en 1 y el tope es 10. La caducidad puede ser 1 hora, 24 horas, 7 días, o solo por recuento sin TTL. El servidor solo guarda texto cifrado. Por qué la clave va detrás de # está en Cuando envías una contraseña una sola vez, por qué la clave de descifrado va detrás del # en la URL.

Cuando el correo es obligatorio, parte el canal. El mensaje lleva solo el id y la frase «la clave va por teléfono». No pegues un enlace completo en un buzón que sincroniza, indexa y dibuja vistas previas de notificación. Una llamada, una entrega en persona u otra cuenta de mensajería lleva solo el trozo detrás de #. Ninguna mitad descifra sola. Eso es un uso, no un valor por defecto del producto. La página de creación sigue emitiendo un enlace completo, cómodo para un envío uno a uno. En una lista grande o un canal que dibuja tarjetas de vista previa, prueba primero un enlace de ensayo y mira si la vista previa cuenta una lectura antes de mandar un secreto vivo.

Un paquete de certificados o una exportación de más de 32 KB no caben en un enlace de texto de un solo uso. Usa la caja de cifrado de archivos: AES-256-GCM en flujo en el navegador, un archivo de hasta 5 GB, salida .lock / .enc, contraseña por otro canal. El disco o un adjunto del correo deberían guardar solo texto cifrado. Ver Antes de dejar un archivo en la nube, quién puede leer el texto plano. Una hoja sin cifrar adjunta al correo es el mismo tipo de problema que una contraseña en el cuerpo: el adjunto viaja con Enviados y con cada reenvío.

Cuando hayas comprobado «¿la búsqueda sigue acertando después de borrar Enviados» y «¿la vista previa de la notificación muestra la contraseña de prueba», ya puedes responder a la pregunta del artículo: una vez que la contraseña está en el cuerpo del correo, Enviados, Recibidos, una cadena de reenvíos y la vista previa del móvil pueden volver a mostrar el texto plano. Deshacer el envío cubre decenas de segundos. Recuperar cubre el correo de la misma organización, y aun así puede fallar. El modo confidencial cubre botones, no capturas. El correo sirve para un id. Es un mal canal para la contraseña misma.

Preguntas frecuentes

Si borro Enviados, ¿el otro ya no lo ve?

Vaciar tu carpeta no vacía la suya. IMAP deja el mensaje en el servidor y en los aparatos que ya sincronizaron. Busca la contraseña de prueba: Recibidos, Todos y la notificación del móvil. Si ya lo leyó o lo reenvió, Recuperar no aplica. No trates «borré Enviados» como un cambio de contraseña.

¿El modo confidencial de Gmail puede sustituir un enlace de un solo uso?

No. Google escribe que puede reducir reenvíos accidentales, pero las capturas y las fotos siguen valiendo, y un programa malicioso aún puede copiar. Tras el vencimiento o Quitar acceso, Enviados del remitente suele seguir con una copia. El cuerpo lo aloja el servicio; el texto plano no aparece solo en el navegador del destinatario. Para comprobar «¿el servidor vio algo aparte del texto cifrado», usa un enlace de un solo uso y Red. No sustituyas el modo confidencial.

¿En qué es mejor pegar la URL completa de un solo uso que la contraseña en el cuerpo?

Los registros del servidor y las vistas previas que solo toman HTML suelen no ver la clave detrás de #, y la página de lectura espera al script que pide el texto cifrado antes de contar. El hilo, Enviados y una vista previa de notificación pueden seguir guardando la URL entera. Quien la copie puede abrirla antes de que se queme. Más seguro: el correo solo lleva el id; la clave va por otro canal.

¿Hace falta cuenta para crear y leer? Si me equivoco de canal, ¿soporte puede recuperarlo?

No hace falta registrarse. Crear y leer son públicos para un visitante. Cuando el texto cifrado se quema por recuento o caducidad, no hay copia de texto plano en el servidor ni un buzón de soporte que pueda recuperarlo. Genera una contraseña nueva y un enlace nuevo. No recargues la misma URL a ver si vuelve.