En bref

GravesMail est un client de courriel axé sur le stockage local. Votre courrier est téléchargé sur votre ordinateur et y reste. Je n’exploite aucun serveur qui stocke, lit ou traite votre courrier. Je ne collecte aucune information personnelle. Je n’affiche aucune publicité. Je ne vends aucune donnée. Rien concernant votre courrier ne quitte votre ordinateur ; le serveur de messagerie ne sert qu’à récupérer et à envoyer votre courrier.

Quelles données GravesMail stocke

Toutes les données sont stockées localement dans votre profil utilisateur — sous %LocalAppData%\GravesMail sous Windows, ou à l’emplacement équivalent sous macOS, Linux, iOS et Android. Voici ce qui est conservé et pourquoi :

La base de données chiffrée. Votre courrier et presque toutes les données qui l’accompagnent résident dans un seul magasin dont la base de données est chiffrée en totalité : chaque message, objet, expéditeur et pièce jointe, ainsi que vos contacts, votre calendrier, vos signatures, vos règles rapides et règles avancées, vos listes d’expéditeurs sûrs et bloqués, la réputation des expéditeurs, l’entraînement du filtre antispam, vos seuils ajustés et vos paramètres de sécurité. Il s’agissait auparavant de fichiers séparés à côté de la base de données ; ils y ont été regroupés, ce qui a renforcé leur protection. Ils n’ont pas quitté votre appareil — rien n’a changé quant à l’endroit où résident vos données, seule a changé la façon dont elles sont stockées localement.

Les fichiers qui restent hors de la base de données, parce qu’ils sont nécessaires avant qu’elle puisse être ouverte ou qu’ils doivent survivre à sa perte :

• La clé de la base de données — conservée dans le magasin de clés sécurisé de votre appareil (DPAPI sous Windows, Keychain sous macOS/iOS, Keystore sous Android, le magasin de secrets du système sous Linux). Elle ne peut pas résider dans la base de données qu’elle déverrouille.
• Les identifiants de compte enregistrés — vos mots de passe IMAP/SMTP et vos jetons OAuth2, chiffrés avec la clé de votre appareil et délibérément tenus à l’écart de la base de données de courrier.
• bmk.wrap — les copies enveloppées de votre clé maîtresse de sauvegarde. Ce fichier se trouve avec vos sauvegardes plutôt que dans la base de données, précisément parce qu’une sauvegarde existe pour survivre à la perte de cette base.
• Votre trousseau PGP — conservé dans son format standard sur disque, le trousseau privé étant protégé par sa propre clé d’enveloppe.
• backups/ — les fichiers de sauvegarde chiffrés (.gravesmail-backup), en AES-256 avec la clé maîtresse de sauvegarde
• Catalogue de sauvegardes — un index local de métadonnées pour parcourir instantanément le contenu des sauvegardes (jamais transmis)
• Journal des suppressions — le contenu des messages supprimés, en vue de leur récupération (conservation configurable : 30 à 365 jours)

Les fichiers livrés avec l’application — le modèle antispam de base, les règles YARA de base et la table de correspondance géographique — sont des ressources du programme, pas vos données. Ils sont remplacés lors d’une mise à jour et exclus des sauvegardes.

Aucune donnée n’est stockée hors de ce répertoire. Aucune donnée n’est stockée sur des serveurs distants.

Quelles données GravesMail ne collecte jamais

• Adresses de courriel — la vôtre ou celle de quiconque vous écrit
• Contenu des courriels — ni objets, ni corps de messages, ni pièces jointes
• Informations sur l’expéditeur ou le destinataire
• Mots de passe ou identifiants
• Listes de contacts
• Événements de calendrier
• Adresses IP
• Votre nom, votre localisation ou toute information permettant de vous identifier
• Habitudes d’utilisation — je ne surveille pas la fréquence à laquelle vous ouvrez l’application, les courriels que vous lisez ni la façon dont vous interagissez avec les messages
• Rapports de plantage ou diagnostics — rien n’est jamais envoyé automatiquement
• Données d’installation ou d’inscription — il n’y a aucun compte à créer

Confidentialité des sauvegardes

GravesMail crée des sauvegardes chiffrées de l’ensemble de votre profil local :

• Les sauvegardes planifiées et manuelles locales à l’appareil (complètes et différentielles) sont chiffrées en AES-256 avec une clé maîtresse de sauvegarde que GravesMail génère et gère. La clé n’est jamais stockée en clair — seules des copies enveloppées sont conservées, enveloppées à la fois par le magasin de clés sécurisé de votre appareil (pour que les sauvegardes courantes n’exigent aucun mot de passe) et par une phrase secrète de récupération que vous définissez une seule fois. La phrase secrète de récupération est obligatoire, non facultative, et c’est elle qui permet de restaurer ces sauvegardes sur un appareil neuf ou de remplacement. Je ne reçois jamais la clé ni la phrase secrète, et je ne peux retrouver ni l’une ni l’autre pour vous.
• La Sauvegarde portable par mot de passe (Fichier → Sauvegarde portable par mot de passe…) est scellée avec un mot de passe que vous choisissez, par un étirement de clé PBKDF2-SHA256 à 600 000 itérations. Si vous perdez ce mot de passe, la sauvegarde ne peut pas être ouverte — c’est voulu, et par personne, moi compris.
• Les catalogues de métadonnées des sauvegardes sont stockés localement et jamais transmis. Ils permettent de parcourir instantanément le contenu des sauvegardes sans déchiffrer la sauvegarde entière.
• Les instantanés pré-opération sont créés avant les opérations destructrices (analyses par les règles rapides, purges, vidage de la corbeille) à titre de filet de sécurité.

Tous les fichiers de sauvegarde restent sur votre ordinateur, sauf si vous les copiez vous-même ailleurs. Une Sauvegarde portable par mot de passe contient l’intégralité de votre profil — y compris les mots de passe de compte enregistrés et les clés qui déverrouillent votre courrier —, protégée uniquement par le mot de passe que vous avez choisi ; conservez donc le fichier en lieu sûr.

Confidentialité des règles rapides

Les données des règles rapides sont stockées dans votre base de données locale chiffrée. Les messages que vos règles mettent de côté dans le Piège à spam, leurs listes de correspondances et les définitions des règles elles-mêmes ne quittent jamais votre ordinateur. Quand vous supprimez une règle ou purgez ce qu’elle a capturé, les données sont définitivement retirées de votre base de données locale.

Comment vos identifiants sont stockés

GravesMail conserve tout votre courrier et toutes vos données personnelles chiffrés au repos sur chaque appareil. La clé de chiffrement est conservée dans le magasin de clés sécurisé de votre appareil — DPAPI sous Windows, Keychain sous macOS et iOS, Keystore sous Android et le magasin de secrets du système sous Linux —, de sorte que les données ne sont lisibles que sur votre appareil. Si vous enregistrez vos identifiants de courriel, ils sont chiffrés de la même manière et ne peuvent être déchiffrés que sur le même ordinateur, par l’utilisateur qui les a enregistrés.

GravesMail ne transmet jamais vos identifiants à un serveur autre que le serveur de courrier de votre fournisseur de courriel, aux seules fins de connexion.

Pour les comptes Microsoft/Outlook qui utilisent l’authentification OAuth2, GravesMail suit le flux standard de la Microsoft Identity Platform. Les jetons d’authentification sont stockés localement avec le même chiffrement. GravesMail n’a pas accès au mot de passe de votre compte Microsoft.

La géolocalisation est locale

GravesMail recherche l’origine géographique du courrier entrant ; c’est l’un de ses signaux de spam. Cette recherche se fait entièrement sur votre appareil, dans une table de correspondance entre pays et plages d’adresses IP intégrée à l’application. Il n’y a aucune requête DNS, aucun appel à une API externe, aucun service de recherche tiers. Les métadonnées de vos messages ne sont jamais envoyées où que ce soit pour être géolocalisées.

Données de géolocalisation IP fournies par DB-IP (db-ip.com), sous licence CC BY 4.0.

Blocage des images externes et protection contre les pixels de suivi

Les images externes sont bloquées par défaut pour empêcher les expéditeurs de connaître votre adresse IP, de savoir que vous avez ouvert leur courriel, quand et depuis quel appareil.

Les pixels de suivi (des images invisibles de 1×1 servant uniquement au suivi par accusé de lecture) sont détectés et supprimés séparément. Ce sont des réglages indépendants — vous pouvez charger les images sans charger les traceurs.

Chiffrement de bout en bout (OpenPGP)

GravesMail prend en charge l’OpenPGP standard pour le courrier chiffré de bout en bout et signé. Tout se passe sur votre appareil : les clés sont générées localement, votre clé secrète ne quitte jamais votre machine, et le chiffrement comme le déchiffrement sont effectués par l’application. Il n’y a aucun séquestre de clés, aucun envoi vers un serveur de clés et aucun service à moi sur le trajet — je n’ai aucune copie de vos clés et je ne peux pas lire votre courrier chiffré.

Ce que PGP masque : le corps du message et les pièces jointes.

Ce que PGP ne masque pas : l'objet, les champs À/De/Cc et le moment où le message a été envoyé. Ces éléments circulent en clair et restent visibles pour l’infrastructure de messagerie, y compris votre fournisseur. C’est une limite de PGP/MIME lui-même, commune à tous les clients qui l’implémentent, Proton compris — GravesMail ne peut pas y remédier, et je ne laisserai pas entendre le contraire.

PGP protège le courrier en transit — contre l’interception et contre votre fournisseur de courriel. Ce n’est pas un outil anti-forensique. Une fois un message déchiffré, il est mis en cache dans la base de données locale chiffrée de GravesMail pour que vous puissiez y rechercher et le lire hors ligne ; il est donc protégé sur le disque par le chiffrement de votre appareil et non par PGP.

Si vous perdez votre clé secrète, le courrier chiffré pour elle est définitivement irrécupérable. Je ne peux pas la retrouver pour vous — il n’existe aucune copie sous séquestre, et c’est ce même choix de conception qui fait que personne d’autre ne peut lire votre courrier non plus.

Courriel protégé par mot de passe

Quand vous envoyez un message avec Protéger par mot de passe (aucune clé requise), le corps du message et chaque pièce jointe sont chiffrés sur votre appareil dans un ZIP AES-256 standard avant que le message ne parte. Le scellement se fait localement — rien n’est envoyé chez moi ni à un quelconque service pour l’effectuer, et il n’y a aucun serveur sur le trajet.

Le mot de passe n’appartient qu’à vous. GravesMail vous l’affiche une seule fois, ne l’envoie jamais par courriel, ne le stocke jamais et ne le transmet jamais. Je n’en ai aucune copie et je n’ai aucun moyen d’ouvrir ce que vous avez envoyé. Vous le communiquez à votre destinataire par un autre canal — par téléphone, par SMS ou par messagerie chiffrée.

La protection, c’est le mot de passe et rien d’autre. Il n’y a ni expiration ni révocation à distance, car l’une et l’autre exigeraient un serveur que je choisis délibérément de ne pas exploiter. Comme pour tout courriel, l’objet du message, les champs À/De et le moment de l’envoi circulent toujours en clair.

Une limite supplémentaire, énoncée franchement parce qu’il vaut mieux que vous l’appreniez de moi plutôt que de la découvrir : le format ZIP chiffre le contenu des fichiers, pas la structure de l’archive. Quiconque intercepte le message peut encore voir combien de fichiers elle contient, ainsi que leurs tailles approximatives et leurs horodatages — mais pas leurs noms, qui sont remplacés par des noms neutres, ni leur contenu. Si ces métadonnées suffisent à révéler à quelqu’un une chose que vous devez garder privée, cette fonction n’est pas le bon outil pour ce message.

Versions pour cinq plateformes

• Windows — la version du Microsoft Store est signée par Microsoft
• Linux — bientôt disponible
• macOS — bientôt disponible
• iOS — bientôt disponible
• Android — bientôt disponible

Les cinq plateformes ont des caractéristiques de confidentialité identiques. Aucune plateforme n’envoie de données à l’éditeur ni ne se comporte différemment en matière de confidentialité. Une capacité diffère réellement selon la plateforme, et c’est une limite de détection, non de confidentialité : la couche de protection AV du système utilise votre antivirus installé sous Windows et n’est pas disponible sous macOS, sous Linux ni sur mobile, où elle indique « indisponible » au lieu de laisser croire à une analyse qu’elle n’a jamais effectuée.

Services tiers

GravesMail ne se connecte qu’à votre fournisseur de courriel (par des connexions chiffrées TLS/SSL) et, pour les comptes Microsoft, à la Microsoft Identity Platform pour l’authentification OAuth2. GravesMail n’utilise aucun réseau publicitaire, aucun service d’analyse d’audience, aucun service de rapport de plantage ni aucune plateforme de suivi.

Achats

Les achats de GravesMail effectués sur le Microsoft Store sont traités par Microsoft. GravesWare, LLC ne reçoit ni ne stocke les données de carte de paiement.

Ouvert à l’inspection

Votre base de données, vos fichiers de sauvegarde et votre journal des suppressions sont tous des fichiers locaux ordinaires, sous votre contrôle — sur votre disque, dans votre profil utilisateur, où vous pouvez les voir, les copier ou les supprimer. Rien n’est caché dans un service que vous ne pouvez pas inspecter, et rien ne communique avec l’éditeur.

Confidentialité des enfants

GravesMail ne collecte sciemment aucune information auprès de qui que ce soit, y compris les enfants de moins de 13 ans. Comme GravesMail ne collecte pas d’informations personnelles par défaut, il ne présente pas de risques particuliers pour la confidentialité des enfants.

Modifications de cette politique

Si cette politique de confidentialité est mise à jour, les modifications seront publiées sur cette page avec une nouvelle date de « Dernière mise à jour ». Comme GravesMail ne collecte ni adresses de courriel ni coordonnées, je ne peux pas vous informer directement des modifications. Je vous invite à consulter cette page régulièrement.

Contact

Résumé