La arquitectura: transporte IMAP → almacenamiento local → análisis

GravesMail usa el servidor IMAP de su proveedor de correo únicamente como capa de transporte. Nunca leo de IMAP para mostrar mensajes: sería lento y poco confiable. Lo que ocurre es esto:

1. Descarga desde IMAP — Los mensajes se descargan del servidor de su proveedor a través de una conexión cifrada.
2. Espera en la DMZ — Los mensajes nuevos llegan a un área de espera local (SQLite) antes de que usted los vea.
3. Análisis de seguridad de 7 capas — Cada mensaje y cada adjunto pasan por las siete capas de protección en su equipo, incluido el análisis de malware con YARA.
4. Filtrado con reglas rápidas — Los mensajes que coinciden con sus reglas rápidas personales se archivan automáticamente según su regla: se apartan en la trampa de spam para revisarlos, se mueven o se eliminan.
5. Paso a Bandeja de entrada, Spam o Malware — Los mensajes limpios llegan a su Bandeja de entrada. El spam va a Spam. Los mensajes con malware van a una carpeta Malware aparte, con los adjuntos peligrosos retirados y retenidos.
6. Eliminación del servidor (opcional) — Si ha activado «Eliminar del servidor», el mensaje se quita de su proveedor.

SQLite es la única fuente de verdad. Todo lo que usted ve en la interfaz procede de su base de datos local, no de IMAP.

Sincronización en dos fases para buzones grandes

Cuando conecta una cuenta por primera vez, sobre todo una con miles de mensajes, GravesMail trabaja en dos fases:

Fase 1 (Inicio rápido): Primero se descargan los 500 mensajes más recientes de cada carpeta, normalmente en menos de un minuto. Puede empezar a leer y a trabajar de inmediato.

Fase 2 (Sincronización en segundo plano): Los mensajes restantes se descargan discretamente en segundo plano. Un indicador de progreso en la barra de estado muestra el porcentaje completado y el tiempo restante estimado. Puede pausar, reanudar o detener en cualquier momento. El progreso se guarda si cierra la aplicación.

Las siete capas de protección

Cada mensaje entrante y sus adjuntos pasan por siete capas de protección independientes. Cada capa busca un tipo de problema distinto y decide por sí sola. Si una sola capa da la alarma, el mensaje se trata como spam: no hay promedios ni una puntuación combinada que haya que alcanzar. Basta una alarma. Este es el modelo «OR de 7 capas».

Informes honestos, sin falsa confianza

Abra las Propiedades de cualquier mensaje para ver un desglose por capa: la puntuación de cada capa, el umbral a partir del cual da la alarma y su estado: En alarma, Limpio o No disponible. Cuando un analizador no pudo ejecutarse, GravesMail indica «No disponible». Nunca se muestra como «Limpio». Un antivirus que no logra iniciarse y aun así informa que todo está limpio es la peor clase de herramienta de seguridad, porque usted confía en un veredicto que en realidad nunca se emitió.

La pantalla Motor de seguridad (Herramientas → Motor de seguridad, o Configuración → Motor de seguridad en dispositivos móviles) le permite ajustar cada una de las siete capas por separado con un control deslizante de sensibilidad de 0 a 100 %: 0 % desactiva una capa y 100 % es la máxima sensibilidad. No hay un control global único; las capas se ajustan una a una. La misma pantalla muestra el estado del analizador de malware en tiempo real, un editor de políticas por país y un inventario de solo lectura de todos los detectores y de cuánto pesa cada uno.

Geolocalización sin consultas externas

La capa heurística tiene en cuenta dónde se originó un mensaje. Esa consulta es puramente local. GravesMail incluye una tabla integrada de países e intervalos de IP y la consulta en su dispositivo: no hay consultas DNS, ni llamadas a API externas, ni ningún servicio de terceros de por medio. Los metadatos de sus mensajes nunca salen de su dispositivo para geolocalizarse.

Usted decide qué significa el resultado. En la pantalla Motor de seguridad puede marcar países como Seguro (sin señal adicional de spam) o Amenaza (una señal fuerte). Ambas listas empiezan vacías, de modo que el correo internacional corriente nunca se penaliza hasta que usted elige una política.

Datos de geolocalización de IP de DB-IP (db-ip.com), con licencia CC BY 4.0.

Bloqueo de imágenes externas y eliminación de píxeles de rastreo

Cuando usted recibe un correo, el remitente puede incrustar imágenes externas que se cargan desde sus servidores. Cuando la imagen se carga, el remitente conoce su dirección IP, que usted abrió el correo, cuándo lo abrió y qué dispositivo usó.

GravesMail bloquea las imágenes externas de forma predeterminada. Aparte, detecta y elimina los píxeles de rastreo invisibles (imágenes de 1×1 que solo sirven para rastrear la lectura). Son controles independientes: puede cargar las imágenes sin cargar los rastreadores, o al revés.

Cifrado de extremo a extremo (OpenPGP)

GravesMail es compatible con OpenPGP, el estándar abierto e interoperable para el correo cifrado y firmado de extremo a extremo. Puede intercambiar correo privado con cualquiera que use PGP, en cualquier sistema de correo (Proton Mail, Thunderbird, gpg y otros), no solo con otros usuarios de GravesMail. Es PGP/MIME auténtico, no un dialecto de GravesMail.

Claves

Genere una clave en el Administrador de claves PGP: se recomienda Ed25519/Curve25519, y RSA-4096 está disponible por compatibilidad con software PGP más antiguo. Exporte su clave pública para que otros puedan escribirle, e importe las de ellos para escribirles. Tras la importación, GravesMail muestra la huella digital de la clave; confírmela con la persona por un canal aparte (una llamada, o en persona) y márquela como verificada. Una clave no verificada funciona igualmente, pero sigue señalada como no verificada, porque esa señal significa exactamente una cosa: usted aún no ha confirmado que esta clave pertenezca realmente a esa persona.

Las claves se identifican por su huella digital, no por la dirección de correo. Tener dos claves para una misma dirección es normal (una antigua y una nueva, o una RSA y una Ed25519 a la vez), así que cada acción actúa sobre la clave que usted seleccionó, no sobre la primera que casualmente coincida con la dirección.

Puede vincular una clave a un contacto, de modo que cifrar para esa persona funcione sin tener que buscar en el Administrador de claves. Vincular una clave no activa el cifrado; usted lo sigue eligiendo mensaje a mensaje.

Enviar y leer

Redactar tiene un control Seguridad con tres modos: Firmar, Cifrar o Firmar + Cifrar (recomendado para el correo privado). De forma predeterminada está desactivado, así que el correo corriente no cambia. El correo cifrado que usted recibe se descifra automáticamente y muestra un candado cerrado 🔒; el correo firmado muestra el estado de su firma, y una firma no válida se muestra de forma bien visible, no discreta. Un mensaje cifrado para una clave que usted no tiene en ese dispositivo lo dice explícitamente en lugar de mostrarle un cuerpo en blanco.

Cuando envía correo cifrado, GravesMail lo cifra también para su propia clave, de modo que la copia de su carpeta Enviados siga siendo legible para usted. Sin eso, usted no podría descifrar la copia que conserva. Esto está siempre activado.

La regla que no se dobla

Si usted elige cifrar y un destinatario no tiene una clave utilizable, el envío se bloquea. GravesMail se detiene y pregunta: cancelar, o elegir explícitamente enviar sin cifrar; una segunda acción deliberada que nombra a los destinatarios en riesgo, nunca un valor predeterminado y nunca automática. No existe ninguna ruta en el código en la que elegir el cifrado produzca discretamente un envío en texto sin cifrar. Eso se impone en el propio motor, no solo en la interfaz, y lo cubre una prueba automatizada.

Qué protege PGP y qué no

PGP cifra el cuerpo y los adjuntos del mensaje. No oculta el asunto, los campos Para/De/Cc ni cuándo se envió un mensaje: eso viaja sin cifrar. Es el mismo límite que tiene todo sistema PGP/MIME, incluido Proton; no es un defecto de GravesMail, pero conviene que lo sepa antes de confiar en él.

PGP protege su correo en tránsito: de la interceptación y de su proveedor de correo. No es una herramienta antiforense: una vez descifrado, el correo se guarda en caché en la base de datos local cifrada de GravesMail para que usted pueda buscarlo y leerlo sin conexión.

Dos límites más, dichos con claridad: GravesMail no hace búsquedas automáticas en servidores de claves ni por WKD, y no tiene red de confianza; usted importa las claves y verifica las huellas digitales por su cuenta, una decisión deliberada para no confiar en un servicio de red sobre quién es alguien. Y los mensajes con firma en claro insertada en el texto se muestran como texto legible sin verificación de firma; GravesMail los muestra en lugar de afirmar una firma que en realidad no ha verificado.

Interoperabilidad

El PGP de GravesMail está verificado en ambos sentidos frente a GnuPG, la implementación de referencia de OpenPGP, con claves generadas por GravesMail, tanto Ed25519 como RSA-4096: GravesMail cifra y gpg descifra, gpg cifra y GravesMail descifra, y las firmas se verifican en los dos sentidos. Es un conjunto de pruebas automatizadas, no una verificación manual aislada.

Proton Mail también está confirmado, a mano y no mediante una prueba automatizada. Se ha enviado y leído correo cifrado real en ambos sentidos entre GravesMail y una cuenta de Proton real. Esas pruebas son también las que encontraron tres defectos reales, que se corrigieron por el camino: la validación estricta de claves de Proton rechazaba las claves Ed25519 de GravesMail, un error de caducidad de claves y la pérdida silenciosa de adjuntos del correo cifrado al descifrarlo. Los tres están corregidos, y la interoperabilidad con Proton funciona en ambos sentidos.

Thunderbird no lo he probado específicamente con PGP, así que aquí no lo afirmaré. Es un cliente OpenPGP estándar y debería funcionar, pero «debería» no es lo mismo que verificado, y prefiero decirle lo que de verdad se ha comprobado.

Correo protegido con contraseña (sin clave)

PGP es la herramienta adecuada cuando su corresponsal también usa PGP. Cuando no lo usa, y la mayoría de la gente no lo usa, emplee en su lugar la opción de protección con contraseña que se describe a continuación.

A veces hay que enviar algo privado a alguien que no tiene claves de cifrado ni software especial: solo una cuenta de correo corriente. La opción Proteger con contraseña (sin clave) de GravesMail sella su mensaje y sus adjuntos dentro de un ZIP cifrado con AES-256 real y estándar, que el destinatario abre con software gratuito y corriente en cualquier plataforma.

Se usa el formato WinZip AES-256 (AE-2), estándar del sector: el mismo cifrado fuerte que ya entienden 7-Zip, Keka y las aplicaciones de archivos comprimidos para dispositivos móviles. No es un contenedor exclusivo de GravesMail, y no es el «ZipCrypto» débil y vulnerable que usaban las herramientas ZIP antiguas. La interoperabilidad está demostrada con software estándar real de archivos comprimidos, y el formato de cifrado AE-2 del archivo queda fijado por una prueba automatizada, de modo que lo que sale es un archivo verdaderamente estándar, no algo que solo aparenta funcionar entre dos copias de la misma aplicación.

Lo que realmente sale es un único adjunto, protected-message.zip. Su mensaje real y todos los adjuntos van cifrados dentro de él; el cuerpo visible del correo solo contiene instrucciones en lenguaje sencillo para abrirlo. Los nombres de los adjuntos dentro del archivo comprimido se sustituyen por marcadores neutros, y los nombres reales se guardan en un manifiesto cifrado que aparece cuando el destinatario escribe la contraseña, de modo que los nombres de archivo tampoco se filtran.

Al enviar, GravesMail le pide que establezca una contraseña segura (al menos 12 caracteres, con mayúsculas y minúsculas, dos dígitos y dos símbolos), con una lista de verificación en tiempo real y un campo de confirmación, para que un error al escribir nunca deje fuera al destinatario. Después muestra la contraseña una sola vez, con un botón Copiar, y le recuerda que la comunique por un canal aparte: por teléfono, por mensaje de texto o por chat. GravesMail nunca ofrece enviar la contraseña por correo, y nunca la almacena ni la transmite a ninguna parte. GravesMail también puede abrir, en el propio programa, los mensajes protegidos que recibe, en todas las plataformas.

Reglas rápidas: su clasificación personal del correo

Las reglas rápidas le permiten crear reglas de clasificación de un solo clic para remitentes, dominios o patrones de asunto concretos. Cada regla tiene su propio botón en la barra de herramientas. Cuando aplica una regla a un mensaje, el remitente se agrega automáticamente a la lista de coincidencias de esa regla: la regla se vuelve más inteligente con el uso.

Una regla puede enviar el correo coincidente a la trampa de spam para apartarlo y revisarlo, moverlo a una carpeta, eliminarlo o eliminarlo automáticamente al cabo de un número de días. Las reglas pueden configurarse para aplicarse automáticamente durante la sincronización, de modo que los mensajes coincidentes nunca lleguen a su Bandeja de entrada, y usted puede analizar carpetas enteras en segundos para atrapar correo antiguo en bloque. Todo lo que una regla atrapó se puede revisar, restaurar o purgar en cualquier momento.

Sus reglas tienen prioridad sobre el filtro de spam. Un mensaje que coincide con una de sus reglas se archiva según su regla antes de que el filtro de spam pueda desviarlo, de modo que un remitente para el que usted ha escrito una regla no irá a parar a Spam por error. El filtro se ejecuta igualmente y puntúa el mensaje, y usted puede ver su veredicto en Propiedades; simplemente no anula su regla. La única excepción es el malware: el análisis de malware siempre gana, así que una regla nunca puede entregar un adjunto peligroso en su Bandeja de entrada.

La lista Capturas de hoy muestra todo lo atrapado por todas sus reglas dentro de un intervalo de tiempo móvil (de 1 a 96 horas en el escritorio, 24 de forma predeterminada). Cada lista de revisión (Reglas, Capturas de hoy y Spam) tiene su propio cuadro de búsqueda.

Abra un mensaje atrapado y la primera pestaña es Vista previa segura: el mensaje representado tal como se vería en su panel de lectura, pero con los scripts neutralizados, los píxeles de rastreo bloqueados y las imágenes remotas cargadas solo para los remitentes de confianza. Tiene los botones Responder, Responder a todos y Reenviar, de modo que puede contestar a un mensaje atrapado sin restaurarlo antes a su Bandeja de entrada: el mensaje se queda donde está y su respuesta sale como un mensaje normal.

Adjuntos retenidos

Cuando YARA o el antivirus de su sistema detectan malware en un adjunto, GravesMail hace automáticamente lo siguiente:

• Mensaje apartado — se mueve a una carpeta Malware específica, separada de Spam.
• Adjunto retirado — el archivo peligroso se quita del mensaje. El cuerpo del mensaje se conserva para que usted pueda ver quién lo envió.
• Datos conservados: los bytes del adjunto se guardan localmente. Puede revisar cada elemento retenido, ver por qué se retuvo, guardarlo en disco si confía en él o eliminarlo permanentemente, desde Adjuntos retenidos. Los elementos retenidos se conservan hasta que usted decida; nunca se pierden sin aviso.
• Explicación completa: las propiedades del mensaje muestran exactamente qué regla YARA o qué motor antivirus se activó, qué archivo se vio afectado y qué acción se tomó.

También puede hacer clic derecho en cualquier adjunto, en cualquier momento, y elegir Analizar en busca de malware para ejecutar un análisis bajo demanda. Las reglas YARA se pueden actualizar manualmente en Configuración o automáticamente con una programación semanal.

Copias de seguridad cifradas automáticas

GravesMail crea automáticamente copias de seguridad cifradas de todo su perfil: no solo la base de datos de correo, sino también sus contactos, calendario, reglas, listas de remitentes seguros y bloqueados, umbrales ajustados, reputación de remitentes, filtro de spam entrenado, anillo de claves PGP y credenciales de cuenta guardadas. (Los archivos que se entregan con la aplicación y se reemplazan al actualizar, como la tabla de búsqueda geográfica y el modelo base de spam, se excluyen deliberadamente.)

• Copias completas: una copia íntegra del perfil, cifrada con AES-256
• Copias diferenciales: solo lo que cambió desde la última copia completa; al restaurar una, se recorre automáticamente la cadena hacia atrás
• Instantáneas previas a la operación: antes de cualquier operación destructiva (análisis de Reglas rápidas, purga, vaciado de la papelera)

Usted controla la programación desde el Administrador de copias de seguridad: bien un intervalo (desactivado, diario, semanal o un número personalizado de horas, con una copia completa cada N días), bien una cuadrícula semanal en la que cada día se establece en Ninguna, Completa o Diferencial. Los límites de retención de las copias completas, diferenciales e instantáneas son configurables y nunca eliminan su única copia.

Cómo se cifran estas copias de seguridad

Las copias de seguridad programadas y manuales propias de GravesMail se sellan con una clave maestra de copia que la aplicación genera y administra por usted. La clave en sí nunca se escribe en disco sin cifrar: solo se almacenan copias envueltas, y se envuelve de dos maneras:

• El almacén de claves seguro de su dispositivo: así las copias rutinarias se hacen en silencio, sin pedir contraseña, nunca.
• Su frase de recuperación: desenvuelve la misma clave en cualquier computadora, sin que intervenga ningún almacén de claves.

Esa segunda envoltura es lo que hace que estas copias sean independientes del dispositivo. Las versiones anteriores ataban las copias automáticas a una única computadora física; ya no ocurre que solo se puedan restaurar donde se hicieron.

La frase de recuperación se establece una sola vez, la primera vez que hace una copia de seguridad. Es obligatoria y no se puede omitir: la copia no se completará hasta que haya una establecida, precisamente para que nunca acabe con copias que no puede recuperar. Después, las copias se ejecutan sin más avisos. Puede cambiarla en cualquier momento desde el Administrador de copias de seguridad, y al cambiarla todas las copias existentes siguen siendo restaurables.

El Administrador de copias de seguridad le permite explorar el contenido de cualquier copia, buscar en todas las copias, comparar con su base de datos actual y recuperar de forma selectiva mensajes individuales. Una restauración verifica que la copia está completa e intacta antes de tocar su perfil actual (una copia truncada o dagregue se rechaza y sus datos existentes quedan intactos) y, al terminar, le muestra lo que se recuperó, conjunto de datos por conjunto de datos.

Registro de eliminaciones y recuperación

Cada mensaje eliminado se captura en un registro de eliminaciones local con el contenido completo del cuerpo. Puede explorar, buscar y recuperar con un clic los mensajes eliminados durante un máximo de 90 días (configurable). No hace falta ningún archivo de copia de seguridad: la recuperación es instantánea desde el registro de eliminaciones.