Arsitektur: Transpor IMAP → Penyimpanan Lokal → Analisis

GravesMail menggunakan server IMAP penyedia email Anda semata-mata sebagai lapisan transpor. Saya tidak pernah membaca dari IMAP untuk menampilkan pesan — itu akan lambat dan tidak andal. Sebagai gantinya, inilah yang terjadi:

1. Ambil dari IMAP — Pesan diunduh dari server penyedia Anda melalui koneksi terenkripsi.
2. Tahan di DMZ — Pesan baru mendarat di area penampungan lokal (SQLite) sebelum Anda melihatnya.
3. Analisis keamanan 7 lapisan — Setiap pesan dan lampiran melewati ketujuh lapisan perlindungan di komputer Anda, termasuk pemindaian malware YARA.
4. Penyaringan aturan cepat — Pesan yang cocok dengan aturan cepat pribadi Anda ditangani otomatis oleh aturan Anda: disisihkan ke perangkap spam untuk ditinjau, dipindahkan, atau dihapus.
5. Naikkan ke Kotak Masuk, Spam, atau Malware — Pesan yang bersih sampai ke Kotak Masuk Anda. Spam masuk ke Spam. Pesan yang positif malware masuk ke folder Malware tersendiri dengan lampiran berbahaya dilepas dan ditahan.
6. Hapus dari server (opsional) — Jika Anda mengaktifkan “Hapus dari server setelah unduh”, pesan dihapus dari penyedia Anda.

SQLite adalah satu-satunya sumber kebenaran. Semua yang Anda lihat di antarmuka berasal dari basis data lokal Anda, bukan dari IMAP.

Sinkronisasi Dua Fase untuk Kotak Surat Besar

Saat Anda pertama kali menghubungkan sebuah akun — terutama yang berisi ribuan pesan — GravesMail memakai pendekatan dua fase:

Fase 1 (Mulai cepat): 500 pesan terbaru per folder diambil lebih dulu, biasanya dalam waktu kurang dari satu menit. Anda dapat langsung mulai membaca dan bekerja.

Fase 2 (Sinkron latar belakang): Pesan selebihnya diunduh diam-diam di latar belakang. Indikator kemajuan di bilah status menunjukkan persentase penyelesaian dan perkiraan sisa waktu. Anda dapat menjeda, melanjutkan, atau menghentikannya kapan saja. Kemajuan disimpan jika Anda menutup aplikasi.

Tujuh Lapisan Perlindungan

Setiap pesan masuk beserta lampirannya melewati tujuh lapisan perlindungan yang independen. Tiap lapisan mencari jenis masalah yang berbeda dan memutuskan sendiri. Jika satu lapisan saja membunyikan alarm, pesan diperlakukan sebagai spam — tidak ada perata-rataan dan tidak ada skor gabungan yang harus dicapai. Satu alarm sudah cukup. Inilah model “OR 7 lapisan”.

Pelaporan yang jujur — tanpa rasa aman palsu

Buka Properti pesan mana pun untuk melihat rincian per lapisan: skor tiap lapisan, ambang saat lapisan itu membunyikan alarm, dan statusnya — Dialarmkan, Bersih, atau Tidak tersedia. Ketika sebuah pemindai tidak dapat berjalan, GravesMail melaporkan “Tidak tersedia”. Statusnya tidak pernah ditampilkan sebagai “Bersih”. Antivirus yang gagal dijalankan lalu tetap melaporkan bersih adalah jenis alat keamanan yang paling buruk, karena Anda memercayai putusan yang sebenarnya tidak pernah dijatuhkan.

Layar Mesin keamanan (Alat → Mesin keamanan, atau Pengaturan → Mesin keamanan di perangkat seluler) memungkinkan Anda menyetel masing-masing dari tujuh lapisan secara terpisah dengan penggeser sensitivitas 0–100% — 0% mematikan sebuah lapisan, 100% adalah yang paling sensitif. Tidak ada satu kendali global; Anda menyetel lapisan satu per satu. Layar yang sama menampilkan status pemindai malware secara langsung, editor kebijakan negara, dan inventaris hanya-baca atas setiap detektor beserta seberapa besar bobotnya.

Geolokasi Tanpa Pencarian Keluar

Lapisan heuristik mempertimbangkan dari mana sebuah pesan berasal. Pencarian itu sepenuhnya lokal. GravesMail dikirimkan dengan tabel negara-ke-rentang-IP yang tertanam dan memeriksanya di perangkat Anda — tidak ada kueri DNS, tidak ada panggilan API eksternal, dan tidak ada layanan pihak ketiga di jalurnya. Metadata pesan Anda tidak pernah meninggalkan perangkat Anda untuk digeolokasi.

Anda yang memutuskan arti hasilnya. Di layar Mesin keamanan Anda dapat menandai negara sebagai Aman (tanpa sinyal spam tambahan) atau Ancaman (sinyal yang kuat). Kedua daftar awalnya kosong, sehingga surat internasional biasa tidak pernah dirugikan sampai Anda memilih sebuah kebijakan.

Data geolokasi IP oleh DB-IP (db-ip.com), dilisensikan di bawah CC BY 4.0.

Pemblokiran Gambar Eksternal & Pembuangan Piksel Pelacak

Saat Anda menerima email, pengirim dapat menyematkan gambar eksternal yang dimuat dari server mereka. Ketika gambar itu dimuat, pengirim mengetahui alamat IP Anda, bahwa Anda membuka email itu, kapan Anda membukanya, dan perangkat apa yang Anda gunakan.

GravesMail memblokir gambar eksternal secara default. Secara terpisah, GravesMail mendeteksi dan membuang piksel pelacak tak terlihat (gambar 1×1 yang dipakai semata-mata untuk melacak apakah pesan dibaca). Keduanya adalah kendali yang independen — Anda dapat memuat gambar tanpa memuat pelacak, atau sebaliknya.

Enkripsi Ujung ke Ujung (OpenPGP)

GravesMail mendukung OpenPGP — standar terbuka dan interoperabel untuk email yang dienkripsi ujung ke ujung dan ditandatangani. Anda dapat bertukar surat pribadi dengan siapa pun yang menggunakan PGP, di sistem surat mana pun (Proton Mail, Thunderbird, gpg, dan lainnya), bukan hanya dengan sesama pengguna GravesMail. Ini adalah PGP/MIME yang sebenarnya, bukan dialek GravesMail.

Kunci

Buat kunci di Pengelola Kunci PGP — Ed25519/Curve25519 disarankan, dan RSA-4096 tersedia demi kompatibilitas dengan perangkat lunak PGP yang lebih lama. Ekspor kunci publik Anda agar orang lain dapat menulis kepada Anda, dan impor kunci mereka agar Anda dapat menulis kepada mereka. Setelah mengimpor, GravesMail menampilkan sidik jari kunci itu; pastikan sidik jari itu dengan orangnya lewat jalur lain — telepon, atau bertemu langsung — lalu tandai terverifikasi. Kunci yang belum terverifikasi tetap berfungsi tetapi tetap ditandai belum terverifikasi, karena tanda itu berarti tepat satu hal: Anda belum memastikan bahwa kunci ini benar-benar milik orang itu.

Kunci dikenali dari sidik jarinya, bukan dari alamat email. Memiliki dua kunci untuk satu alamat itu wajar — yang lama dan yang baru, atau kunci RSA dan kunci Ed25519 berdampingan — sehingga setiap tindakan berlaku pada kunci yang Anda pilih, bukan kunci pertama yang kebetulan cocok dengan alamatnya.

Anda dapat menautkan kunci ke sebuah kontak, sehingga mengenkripsi untuk orang itu langsung berjalan tanpa perlu mencari-cari di Pengelola Kunci. Menautkan kunci tidak menyalakan enkripsi; Anda tetap memilihnya per pesan.

Mengirim dan membaca

Jendela Tulis memiliki kendali Keamanan dengan tiga mode — Tanda tangani, Enkripsi, atau Tanda tangani + Enkripsi (disarankan untuk surat pribadi). Defaultnya mati, sehingga surat biasa tidak berubah. Surat terenkripsi yang Anda terima didekripsi otomatis dan menampilkan gembok tertutup 🔒; surat yang ditandatangani menampilkan status tanda tangannya, dan tanda tangan yang tidak valid ditampilkan dengan mencolok, bukan diam-diam. Pesan yang dienkripsi untuk kunci yang tidak Anda miliki di perangkat itu menyatakannya secara eksplisit, alih-alih menampilkan isi kosong.

Saat Anda mengirim surat terenkripsi, GravesMail juga mengenkripsinya untuk kunci Anda sendiri, sehingga salinan di folder Terkirim tetap dapat Anda baca. Tanpa itu, salinan yang Anda simpan sendiri tidak akan dapat didekripsi. Ini selalu aktif.

Aturan yang tidak bisa ditawar

Jika Anda memilih untuk mengenkripsi dan seorang penerima tidak memiliki kunci yang dapat dipakai, pengiriman diblokir. GravesMail berhenti dan bertanya: batal, atau secara eksplisit memilih mengirim tanpa enkripsi — tindakan kedua yang disengaja dan menyebutkan penerima yang berisiko, tidak pernah menjadi default dan tidak pernah otomatis. Tidak ada jalur kode di mana memilih enkripsi diam-diam menghasilkan pengiriman teks polos. Hal itu ditegakkan di mesinnya sendiri, bukan hanya di antarmuka, dan dicakup oleh pengujian otomatis.

Apa yang dilindungi PGP, dan apa yang tidak

PGP mengenkripsi isi pesan dan lampiran. PGP tidak menyembunyikan baris subjek, Kepada/Dari/Cc, atau kapan sebuah pesan dikirim — semua itu berjalan tanpa enkripsi. Itu batasan yang sama pada setiap sistem PGP/MIME, termasuk Proton; ini bukan kekurangan GravesMail, tetapi Anda perlu mengetahuinya sebelum mengandalkannya.

PGP melindungi surat Anda dalam perjalanan — dari penyadapan dan dari penyedia surat Anda. PGP bukan alat anti-forensik: setelah didekripsi, surat disimpan dalam cache di basis data lokal terenkripsi GravesMail agar Anda dapat mencari dan membacanya secara luring.

Dua batasan lagi, dinyatakan terus terang: GravesMail tidak melakukan pencarian otomatis ke keyserver atau WKD dan tidak memiliki web-of-trust — Anda mengimpor kunci sendiri dan memverifikasi sidik jari sendiri, sebuah pilihan yang disengaja agar tidak perlu memercayai layanan jaringan tentang siapa seseorang. Dan pesan clearsigned inline ditampilkan sebagai teks yang dapat dibaca tanpa verifikasi tanda tangan; GravesMail menampilkannya alih-alih mengklaim tanda tangan yang sebenarnya belum diperiksanya.

Interoperabilitas

PGP di GravesMail diverifikasi dua arah terhadap GnuPG — implementasi acuan OpenPGP — dengan kunci yang dibuat GravesMail, baik untuk Ed25519 maupun RSA-4096: GravesMail mengenkripsi dan gpg mendekripsi, gpg mengenkripsi dan GravesMail mendekripsi, dan tanda tangan terverifikasi di kedua arah. Itu adalah rangkaian pengujian otomatis, bukan pemeriksaan manual sekali jalan.

Proton Mail juga sudah dikonfirmasi — secara manual, bukan dengan pengujian otomatis. Surat terenkripsi sungguhan telah dikirim dan dibaca di kedua arah antara GravesMail dan sebuah akun Proton yang aktif. Pengujian itu pula yang menemukan dan memperbaiki tiga cacat nyata di sepanjang jalan: validasi kunci Proton yang ketat menolak kunci Ed25519 GravesMail, bug kedaluwarsa kunci, dan lampiran yang diam-diam hilang dari surat terenkripsi saat didekripsi. Ketiganya sudah diperbaiki, dan interoperabilitas dengan Proton berfungsi di kedua arah.

Thunderbird belum saya uji khusus untuk PGP, jadi saya tidak akan mengklaimnya di sini. Thunderbird adalah klien OpenPGP standar dan seharusnya berfungsi, tetapi “seharusnya” tidak sama dengan terverifikasi, dan saya lebih suka memberi tahu Anda apa yang benar-benar telah diperiksa.

Email yang Dilindungi Kata Sandi (Tanpa Kunci)

PGP adalah alat yang tepat ketika lawan korespondensi Anda juga menggunakan PGP. Ketika tidak — dan kebanyakan orang tidak — gunakan opsi perlindungan kata sandi di bawah ini.

Kadang Anda perlu mengirim sesuatu yang bersifat pribadi kepada orang yang tidak memiliki kunci enkripsi dan tidak memiliki perangkat lunak khusus — hanya akun email biasa. Opsi Lindungi dengan kata sandi (tanpa kunci) di GravesMail menyegel pesan Anda beserta lampiran apa pun di dalam ZIP terenkripsi AES-256 yang asli dan standar, yang dibuka penerima dengan perangkat lunak biasa yang gratis di platform mana pun.

Ini memakai format standar industri WinZip AES-256 (AE-2) — enkripsi kuat yang sama yang sudah dipahami 7-Zip, Keka, dan aplikasi pengarsip di perangkat seluler. Ini bukan wadah khusus GravesMail, dan bukan “ZipCrypto” yang lemah dan mudah dibobol yang dipakai alat ZIP lama. Interoperabilitasnya dibuktikan terhadap perangkat lunak pengarsip standar yang sungguhan, dengan format enkripsi AE-2 pada arsip dikunci oleh pengujian otomatis — sehingga yang keluar adalah berkas yang benar-benar standar, bukan sesuatu yang hanya tampak berfungsi di antara dua salinan aplikasi yang sama.

Yang sebenarnya dikirim adalah satu lampiran, protected-message.zip. Pesan Anda yang sebenarnya dan setiap lampiran dienkripsi di dalamnya; isi email yang terlihat hanya memuat petunjuk dalam bahasa sederhana untuk membukanya. Nama lampiran di dalam arsip diganti dengan nama pengganti yang netral, sedangkan nama aslinya disimpan dalam manifes terenkripsi yang muncul setelah penerima memasukkan kata sandi — sehingga nama berkas pun tidak bocor.

Saat Anda mengirim, GravesMail meminta Anda menetapkan kata sandi yang kuat (minimal 12 karakter dengan huruf besar dan kecil, dua angka, dan dua simbol), dengan daftar periksa langsung dan kolom konfirmasi agar salah ketik tidak pernah membuat penerima terkunci di luar. Sesudahnya GravesMail menampilkan kata sandi itu satu kali, dengan tombol Salin, dan mengingatkan Anda untuk menyampaikannya lewat jalur lain — lewat telepon, SMS, atau obrolan. GravesMail tidak pernah menawarkan untuk mengirim kata sandi lewat email, dan tidak pernah menyimpan atau mengirimkannya ke mana pun. GravesMail juga dapat membuka pesan terlindung yang diterimanya, langsung di tempat, di setiap platform.

Aturan cepat: Pemilahan Email Pribadi Anda

Aturan cepat memungkinkan Anda membuat aturan pemilahan sekali klik untuk pengirim, domain, atau pola subjek tertentu. Setiap aturan mendapat tombol bilah alatnya sendiri. Saat Anda menerapkan sebuah aturan pada pesan, pengirimnya otomatis ditambahkan ke daftar kecocokan aturan itu — aturan makin pintar seiring Anda memakainya.

Sebuah aturan dapat mengirim surat yang cocok ke perangkap spam untuk disisihkan dan ditinjau, memindahkannya ke folder, menghapusnya, atau menghapusnya otomatis setelah sejumlah hari. Aturan dapat diatur agar diterapkan otomatis selama sinkronisasi, sehingga pesan yang cocok tidak pernah sampai ke Kotak Masuk Anda, dan Anda dapat memindai seluruh folder dalam hitungan detik untuk menangkap surat lama secara massal. Apa pun yang ditangkap aturan dapat ditinjau, dipulihkan, atau dibersihkan kapan saja.

Aturan Anda didahulukan atas filter spam. Pesan yang cocok dengan salah satu aturan Anda ditangani oleh aturan Anda sebelum filter spam dapat mengalihkannya — sehingga pengirim yang telah Anda buatkan aturan tidak akan keliru dikirim ke Spam. Filter tetap berjalan dan tetap menilai pesan itu, dan Anda dapat melihat putusannya di Properti; filter hanya tidak mengesampingkan aturan Anda. Satu-satunya pengecualian adalah malware: pemindaian malware selalu menang, sehingga sebuah aturan tidak akan pernah dapat mengantarkan lampiran berbahaya ke Kotak Masuk Anda.

Daftar Tangkapan hari ini menampilkan semua yang ditangkap oleh seluruh aturan Anda dalam jendela waktu bergulir (1 sampai 96 jam di desktop, default 24). Setiap daftar tinjauan — Aturan, Tangkapan hari ini, dan Spam — memiliki kotak pencariannya sendiri.

Buka pesan yang tertangkap, dan tab pertamanya adalah Pratinjau aman: pesan ditampilkan seperti tampilannya di panel baca Anda, tetapi dengan skrip dilumpuhkan, piksel pelacak diblokir, dan gambar jarak jauh hanya dimuat untuk pengirim tepercaya. Ada tombol Balas, Balas semua, dan Teruskan, sehingga Anda dapat menjawab pesan yang tertangkap tanpa memulihkannya ke Kotak Masuk terlebih dahulu — pesan itu tetap di tempatnya dan balasan Anda dikirim sebagai pesan biasa.

Lampiran ditahan

Ketika YARA atau antivirus sistem Anda mendeteksi malware dalam sebuah lampiran, GravesMail otomatis mengambil tindakan berikut:

• Pesan disisihkan — dipindahkan ke folder Malware khusus, terpisah dari Spam.
• Lampiran dilepas — berkas berbahaya dihapus dari pesan. Isi pesan dipertahankan agar Anda dapat melihat siapa pengirimnya.
• Data dipertahankan — byte lampiran disimpan secara lokal. Anda dapat meninjau setiap item yang ditahan, melihat alasan penahanannya, menyimpannya ke disk jika Anda memercayainya, atau menghapusnya secara permanen, melalui Lampiran ditahan. Item yang ditahan disimpan sampai Anda memutuskan; item tidak pernah hilang diam-diam.
• Penjelasan lengkap — properti pesan menunjukkan dengan tepat aturan YARA atau mesin AV mana yang terpicu, berkas mana yang terdampak, dan tindakan apa yang diambil.

Anda juga dapat mengeklik kanan lampiran mana pun kapan saja dan memilih Pindai malware untuk menjalankan pemindaian sesuai permintaan. Aturan YARA dapat diperbarui secara manual di Pengaturan atau secara otomatis dengan jadwal mingguan.

Cadangan terenkripsi otomatis

GravesMail secara otomatis membuat cadangan terenkripsi dari seluruh profil Anda — bukan hanya basis data email, melainkan juga kontak, kalender, aturan, daftar aman dan daftar blokir, ambang yang telah disetel, reputasi pengirim, filter spam yang telah dilatih, keyring PGP, dan kredensial akun yang tersimpan. (Berkas yang disertakan bersama aplikasi dan diganti saat pembaruan, seperti tabel pencarian geografis dan model spam dasar, sengaja tidak disertakan.)

• Cadangan penuh — salinan profil lengkap, terenkripsi AES-256
• Cadangan diferensial — hanya yang berubah sejak cadangan penuh terakhir; memulihkannya secara otomatis menelusuri rantai ke belakang
• Snapshot praoperasi — sebelum setiap operasi yang merusak (pemindaian Aturan cepat, pembersihan permanen, pengosongan tong sampah)

Anda mengatur jadwalnya dari Pengelola cadangan: pilih interval (mati, harian, mingguan, atau jumlah jam kustom, dengan cadangan penuh setiap N hari) atau kisi mingguan yang setiap harinya diatur ke Tidak ada, Penuh, atau Diferensial. Batas retensi untuk cadangan penuh, diferensial, dan snapshot dapat dikonfigurasi dan tidak pernah memangkas satu-satunya salinan Anda.

Cara cadangan ini dienkripsi

Cadangan terjadwal dan manual milik GravesMail sendiri disegel dengan Kunci Utama Cadangan yang dibuat dan dikelola aplikasi untuk Anda. Kunci itu sendiri tidak pernah ditulis ke disk dalam bentuk terbuka — hanya salinan terbungkus yang disimpan, dan kunci itu dibungkus dengan dua cara:

• Penyimpanan kunci aman perangkat Anda — sehingga cadangan rutin berjalan diam-diam, tanpa pernah meminta kata sandi.
• Frasa sandi pemulihan Anda — yang membuka bungkus kunci yang sama di mesin mana pun, tanpa melibatkan penyimpanan kunci.

Bungkus kedua itulah yang membuat cadangan ini tidak bergantung pada perangkat. Versi sebelumnya mengikat cadangan otomatis ke satu mesin fisik; kini cadangan tidak lagi hanya dapat dipulihkan di tempat pembuatannya.

Anda mengatur frasa sandi pemulihan satu kali, saat pertama kali membuat cadangan. Frasa sandi ini wajib, tidak dapat dilewati — cadangan tidak akan selesai sampai frasa sandi diatur, justru agar Anda tidak pernah memegang cadangan yang tidak dapat Anda pulihkan. Setelah itu, cadangan berjalan tanpa permintaan lagi. Anda dapat mengubahnya kapan saja dari Pengelola cadangan, dan mengubahnya tetap membuat setiap cadangan yang ada dapat dipulihkan.

Pengelola cadangan memungkinkan Anda menelusuri isi cadangan mana pun, mencari di semua cadangan, membandingkan dengan basis data Anda saat ini, dan memulihkan pesan satu per satu secara selektif. Pemulihan memverifikasi bahwa cadangan lengkap dan utuh sebelum menyentuh profil Anda saat ini — cadangan yang terpotong atau rusak ditolak dan data Anda yang ada tidak disentuh — dan setelah selesai, pemulihan menunjukkan apa saja yang kembali, kumpulan data demi kumpulan data.

Log penghapusan & pemulihan

Setiap pesan yang dihapus dicatat dalam log penghapusan lokal beserta isi lengkapnya. Anda dapat menelusuri, mencari, dan memulihkan pesan yang dihapus dengan satu klik selama hingga 90 hari (dapat dikonfigurasi). Tidak perlu berkas cadangan — pemulihan langsung dari log penghapusan.