AurionMail: suite E2EE self-hosted con UX de una sola clave

Qué es AurionMail y por qué aparece ahora

AurionMail es una suite de productividad cifrada de extremo a extremo (E2EE) que ataca un punto débil histórico del software libre: la fragmentación. El proyecto —documentado en su repositorio oficial— orquesta CryptPad, Stalwart Mail Server, Bulwark Webmail, Ory Hydra y OpenPGP bajo una única identidad y una única contraseña maestra. La promesa es concreta: la experiencia de usuario de Proton, pero con el backend 100% abierto y autoalojado.

El problema que aborda es real para cualquier equipo que valore la privacidad. CryptPad es una suite colaborativa E2EE muy respetada, pero no incluye email. Stalwart Mail Server, por su parte, ofrece un backend JMAP moderno escrito en Rust con soporte para IMAP, SMTP, CalDAV, CardDAV y WebDAV, según la documentación oficial del proyecto. Usar ambos por separado obligaba, hasta ahora, a mantener dos cuentas y dos contraseñas distintas. AurionMail las une en un solo flujo de autenticación.

Una sola contraseña para cifrar email y documentos

La pieza central del diseño es el llamado single-password encryption: el usuario introduce una contraseña maestra por sesión y, a partir de ella, el sistema deriva las claves que protegen tanto el correo como los documentos de CryptPad. Las funciones concretas que lista la documentación del proyecto son:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Single Password Encryption: autenticación y cifrado de todos los datos del usuario con una sola clave maestra.
Single Logout y Global Logout: cerrar sesión en webmail o CryptPad invalida la sesión completa, con opción de cierre remoto desde todos los dispositivos.
Cambio de contraseña sin pérdida de datos.
Key Synchronization: sincronización de claves entre dispositivos autorizados.
Web Key Directory (WKD): las claves OpenPGP importadas o generadas se vuelven automáticamente descubribles por terceros, lo que resuelve un dolor histórico del cifrado de correo.
Emergency Account Hold y Destruction: URLs secretas generadas al crear la cuenta para bloquear o destruir la cuenta si la contraseña maestra se ve comprometida.
Account install: provisioning desde LDAP con contraseña temporal y activación vía sso.domain/init.

El plugin PGP para Bulwark se encarga del cifrado OpenPGP de los mensajes, mientras que Ory Hydra gestiona los flujos OAuth2/OIDC del SSO. Un componente propio, llamado Core-API, coordina la sincronización de claves, el estado de sesión y la comunicación entre aplicaciones, asistido por pequeños Bridges que mueven secretos de forma segura durante login y logout.

El problema que resuelve frente a Proton y Nextcloud

La documentación de AurionMail incluye una tabla comparativa que resume bien la propuesta de valor. Frente a Proton Suite, la diferencia clave es el backend: Proton ofrece E2EE y una sola contraseña, pero su pila es propietaria y bloquea al usuario en su nube. AurionMail replica esa misma experiencia de uso sobre software auditable.

Frente a Nextcloud + Mail, la crítica es de UX. Nextcloud es open source y soporta estándares abiertos, pero su correo depende de un cliente IMAP tradicional que, para cifrado real, exige extensiones como Mailvelope y gestión manual de claves PGP. AurionMail lo trae listo para usar.

Frente a CryptPad estándar, la diferencia es obvia: CryptPad no tiene email. AurionMail lo añade manteniendo la identidad unificada y rediseñando la interfaz de CryptPad para que se vea coherente con el resto de la suite.

Qué hay debajo: el stack técnico

La arquitectura es modular, y el proyecto lo deja claro al marcar en negrita los componentes desarrollados por el equipo Aurion:

LDAP como fuente de identidad.
Ory Hydra para OAuth2/OIDC.
SSO Web App, el frontend que deriva claves Zero-Knowledge.
Stalwart Server, el backend JMAP de alto rendimiento.
Bulwark Webmail, la interfaz de correo.
Bulwark PGP Plugin, la extensión para cifrado OpenPGP.
Core-API, el servidor central de claves y sesiones.
Bridges, scripts ligeros para el intercambio seguro de secretos.
CryptPad personalizado, con plugin SSO y estilos unificados.

Para instalaciones más simples, el proyecto ofrece Orchestra, un binario único que empaqueta Hydra, SSO, Bulwark, Core-API, Bridges y la versión customizada de CryptPad. El equipo lo describe como una suite distribuida por diseño, pero desplegable como un solo proceso si se prefiere minimizar la superficie operativa.

Qué significa esto para tu startup

Para una startup, la decisión rara vez es filosófica: es de coste total y de riesgo operativo. Una suite como AurionMail cambia el cálculo en tres frentes:

Coste recurrente predecible: autoalojar elimina la suscripción por usuario de Proton o Google Workspace. A escala de equipo pequeño-mediano, el ahorro mensual es relevante; a escala grande, se vuelve un capítulo serio del P&L.
Cumplimiento y jurisdicción: tener los datos en tu propia infraestructura facilita responder a clientesenterprise que exigen residencia del dato o auditorías. Es un argumento de venta, no solo de privacidad.
Riesgo de vendor lock-in: el backend es open source y basado en estándares (JMAP, OpenPGP). Salir de la suite significa migrar correo estándar y documentos cifrados por separado, no reconstruir un ecosistema propietario.

Acción concreta 1: si manejas datos sensibles de clientes — salud, legal, finanzas— evalúa un piloto interno con un equipo de 5 personas. Mide tiempo de despliegue, fricción de onboarding y curva de adopción real antes de comprometerte. La promesa "una sola contraseña" solo se sostiene si tu equipo no necesita un manual para usarla.

Acción concreta 2: si hoy dependes de Proton o de un Google Workspace con planes Business, mapea qué perderías migrando a JMAP. JMAP es estándar pero todavía no universal; algunos clientes móviles y de escritorio tienen soporte parcial. Verifica la compatibilidad con tus flujos críticos (firma de correo, integraciones con CRM, archivado legal) antes de cortar el cable.

Acción concreta 3: considera el coste oculto de operar tu propio mail server. Stalwart Mail Server está descrito por su equipo como un servidor maduro, con seguridad auditada y soporte para clustering, pero "autoalojado" no significa "gratis": DNS, antispam, backups, monitoreo y un plan de respuesta a incidentes son trabajo real. Si tu equipo no tiene capacidad para eso, la opción razonable es un proveedor gestionado sobre Stalwart o un E2EE comercial.

Conclusión

AurionMail no reinventa el correo cifrado: ensambla piezas abiertas ya probadas —Stalwart, CryptPad, Bulwark, Ory Hydra— bajo una identidad unificada. Su valor está en la orquestación y en resolver la fragmentación UX que ha frenado la adopción masiva de stacks autoalojados. Para founders con requisitos estrictos de privacidad, residencia de datos o coste a escala, vale la pena seguir el proyecto de cerca y probarlo en piloto antes de cualquier migración mayor.