Ringkasnya

GravesMail ialah klien e-mel yang mengutamakan storan setempat. E-mel anda dimuat turun ke komputer anda dan kekal di situ. Saya tidak mengendalikan pelayan yang menyimpan, membaca, atau memproses e-mel anda. Saya tidak mengumpul maklumat peribadi. Saya tidak memaparkan iklan. Saya tidak menjual data. Tiada apa-apa tentang e-mel anda keluar dari komputer anda; pelayan mel hanya digunakan untuk mengambil dan menghantar e-mel anda.

Data yang Disimpan oleh GravesMail

Semua data disimpan secara setempat dalam profil pengguna anda — di bawah %LocalAppData%\GravesMail pada Windows, atau lokasi yang setara pada macOS, Linux, iOS, dan Android. Berikut ialah apa yang disimpan dan sebabnya:

Pangkalan data yang disulitkan. Mel anda dan hampir semua data sokongan anda berada dalam satu stor yang disulitkan pada peringkat keseluruhan pangkalan data: setiap mesej, subjek, penghantar, dan lampiran, serta kenalan, kalendar, tandatangan, Peraturan Pantas dan peraturan lanjutan, senarai selamat dan senarai sekatan, reputasi penghantar, latihan penapis spam, ambang yang ditala, dan tetapan keselamatan anda. Dahulu semua ini ialah fail berasingan di samping pangkalan data; ia telah disatukan ke dalamnya, dan itu mengukuhkan perlindungannya. Data itu tidak berpindah keluar dari peranti anda — tiada apa-apa yang berubah tentang tempat data anda berada, hanya cara ia disimpan secara setempat.

Fail yang kekal di luar pangkalan data, kerana ia diperlukan sebelum pangkalan data boleh dibuka atau mesti terus wujud jika pangkalan data hilang:

• Kunci pangkalan data — disimpan dalam stor kunci selamat peranti anda sendiri (DPAPI pada Windows, Keychain pada macOS/iOS, Keystore pada Android, stor rahsia sistem pada Linux). Ia tidak boleh berada di dalam pangkalan data yang dibukanya.
• Bukti kelayakan akaun yang disimpan — kata laluan IMAP/SMTP dan token OAuth2 anda, disulitkan dengan kunci peranti anda dan sengaja diasingkan daripada pangkalan data mel.
• bmk.wrap — salinan berbalut Kunci Induk Sandaran anda. Ia terletak bersama sandaran anda dan bukan dalam pangkalan data, kerana sandaran wujud justeru untuk terus ada apabila pangkalan data itu hilang.
• Gelang kunci PGP anda — disimpan dalam format standardnya pada cakera, dengan gelang kunci peribadi di bawah kunci pembalutnya sendiri.
• backups/ — fail sandaran yang disulitkan (.gravesmail-backup), AES-256 di bawah Kunci Induk Sandaran
• Katalog sandaran — indeks metadata setempat untuk menyemak imbas kandungan sandaran serta-merta (tidak pernah dihantar)
• Log pemadaman — kandungan mesej yang dipadam untuk pemulihan (pengekalan boleh dikonfigurasi: 30–365 hari)

Fail yang disertakan bersama aplikasi — model spam garis dasar, peraturan YARA garis dasar, dan jadual carian geografi — ialah aset program, bukan data anda. Ia diganti apabila anda mengemas kini dan dikecualikan daripada sandaran.

Tiada data disimpan di luar direktori ini. Tiada data disimpan pada pelayan jauh.

Data yang Tidak Pernah Dikumpul oleh GravesMail

• Alamat e-mel — milik anda atau sesiapa yang menghantar e-mel kepada anda
• Kandungan e-mel — tiada baris subjek, kandungan mesej, atau lampiran
• Maklumat penghantar atau penerima
• Kata laluan atau bukti kelayakan
• Senarai kenalan
• Acara kalendar
• Alamat IP
• Nama anda, lokasi anda, atau apa-apa maklumat pengenalan
• Corak penggunaan — saya tidak menjejak kekerapan anda membuka aplikasi, e-mel yang anda baca, atau cara anda berinteraksi dengan mesej
• Laporan ranap atau diagnostik — tiada apa-apa yang dihantar secara automatik, sama sekali
• Data pemasangan atau pendaftaran — tiada akaun untuk dicipta

Privasi Sandaran

GravesMail mencipta sandaran disulitkan bagi keseluruhan profil setempat anda:

• Sandaran setempat peranti yang berjadual dan manual (penuh dan pembezaan) disulitkan dengan AES-256 di bawah Kunci Induk Sandaran yang dijana dan diurus oleh GravesMail. Kunci itu tidak pernah disimpan dalam bentuk teks jelas — hanya salinan berbalut yang disimpan, dibalut di bawah stor kunci selamat peranti anda (supaya sandaran rutin tidak memerlukan kata laluan) dan juga di bawah frasa laluan pemulihan yang anda tetapkan sekali. Frasa laluan pemulihan itu wajib, bukan pilihan, dan itulah yang membolehkan sandaran ini dipulihkan pada peranti baharu atau peranti gantian. Saya tidak pernah menerima kunci atau frasa laluan itu, dan saya tidak dapat memulihkan mana-mana satu daripadanya untuk anda.
• Sandaran Kata Laluan Mudah Alih (Fail → Sandaran Kata Laluan Mudah Alih…) dimeterai dengan kata laluan yang anda pilih, menggunakan peregangan kunci PBKDF2-SHA256 pada 600,000 lelaran. Jika anda kehilangan kata laluan itu, sandaran tidak dapat dibuka — memang begitu reka bentuknya, dan tidak oleh sesiapa pun, termasuk saya.
• Katalog metadata sandaran disimpan secara setempat dan tidak pernah dihantar. Katalog ini membolehkan kandungan sandaran disemak imbas serta-merta tanpa menyahsulit sandaran penuh.
• Syot kilat pra-operasi dicipta sebelum operasi yang memusnahkan data (imbasan Peraturan Pantas, penghapusan, pengosongan sampah) sebagai jaring keselamatan.

Semua fail sandaran kekal pada komputer anda melainkan anda sendiri menyalinnya ke tempat lain. Sandaran Kata Laluan Mudah Alih mengandungi keseluruhan profil anda — termasuk kata laluan akaun yang disimpan dan kunci yang membuka mel anda — dilindungi hanya oleh kata laluan yang anda pilih, jadi simpan fail itu di tempat yang selamat.

Privasi Peraturan Pantas

Data Peraturan Pantas disimpan dalam pangkalan data setempat anda yang disulitkan. Mesej yang diasingkan oleh peraturan anda ke Perangkap Spam, senarai padanannya, dan takrifan peraturan itu sendiri tidak pernah meninggalkan komputer anda. Apabila anda memadam peraturan atau menghapuskan apa yang ditangkapnya, data itu dibuang secara kekal daripada pangkalan data setempat anda.

Cara Bukti Kelayakan Anda Disimpan

GravesMail menyimpan semua mel dan data peribadi anda dalam keadaan disulitkan semasa disimpan pada setiap peranti. Kunci penyulitan disimpan dalam stor kunci selamat peranti anda sendiri — DPAPI pada Windows, Keychain pada macOS dan iOS, Keystore pada Android, dan stor rahsia sistem pada Linux — jadi data itu hanya boleh dibaca pada peranti anda. Jika anda menyimpan bukti kelayakan e-mel anda, ia disulitkan dengan cara yang sama dan hanya boleh dinyahsulit pada komputer yang sama, oleh pengguna yang sama yang menyimpannya.

GravesMail tidak pernah menghantar bukti kelayakan anda ke mana-mana pelayan selain pelayan mel pembekal e-mel anda bagi tujuan log masuk.

Bagi akaun Microsoft/Outlook yang menggunakan pengesahihan OAuth2, GravesMail menggunakan aliran standard Microsoft Identity Platform. Token pengesahihan disimpan secara setempat menggunakan penyulitan yang sama. GravesMail tidak mempunyai akses kepada kata laluan akaun Microsoft anda.

Geolokasi Dilakukan Secara Setempat

GravesMail mencari asal geografi mel masuk sebagai salah satu isyarat spamnya. Carian itu berlaku sepenuhnya pada peranti anda, terhadap jadual negara-ke-julat-IP yang terbenam dalam aplikasi. Tiada pertanyaan DNS, tiada panggilan API luaran, dan tiada perkhidmatan carian pihak ketiga. Metadata mesej anda tidak pernah dihantar ke mana-mana untuk digeolokasikan.

Data geolokasi IP oleh DB-IP (db-ip.com), dilesenkan di bawah CC BY 4.0.

Sekatan Imej Luaran & Perlindungan Piksel Penjejakan

Imej luaran disekat secara lalai untuk menghalang penghantar daripada mengetahui alamat IP anda, bahawa anda membuka e-mel mereka, bila, dan daripada peranti apa.

Piksel penjejakan (imej 1×1 tidak kelihatan yang digunakan semata-mata untuk penjejakan resit baca) dikesan dan dibuang secara berasingan. Ini ialah kawalan yang berasingan — anda boleh memuatkan imej tanpa memuatkan penjejak.

Penyulitan Hujung ke Hujung (OpenPGP)

GravesMail menyokong OpenPGP standard untuk mel yang disulitkan hujung ke hujung dan ditandatangani. Semuanya berlaku pada peranti anda: kunci dijana secara setempat, kunci rahsia anda tidak pernah meninggalkan mesin anda, dan penyulitan serta penyahsulitan dilakukan oleh aplikasi. Tiada eskrow kunci, tiada muat naik ke pelayan kunci, dan tiada perkhidmatan saya dalam laluan itu — saya tidak mempunyai salinan kunci anda dan tidak dapat membaca mel anda yang disulitkan.

Apa yang disembunyikan oleh PGP: kandungan mesej dan lampiran.

Apa yang tidak disembunyikan oleh PGP: baris subjek, medan Kepada/Daripada/SK, dan bila mesej dihantar. Semua itu dihantar dalam bentuk teks jelas dan kekal kelihatan kepada infrastruktur mel, termasuk pembekal anda. Ini had PGP/MIME itu sendiri, yang dikongsi oleh setiap klien yang melaksanakannya, termasuk Proton — bukan sesuatu yang dapat dibetulkan oleh GravesMail, dan bukan sesuatu yang akan saya bayangkan sebaliknya.

PGP melindungi mel semasa dalam perjalanan — daripada pemintasan dan daripada pembekal mel anda. Ia bukan alat antiforensik. Setelah mesej dinyahsulit, ia dicache dalam pangkalan data setempat GravesMail yang disulitkan supaya anda boleh mencari dan membacanya di luar talian, yang bermaksud ia dilindungi pada cakera oleh penyulitan peranti anda dan bukan oleh PGP.

Jika anda kehilangan kunci rahsia anda, mel yang disulitkan kepadanya tidak dapat dipulihkan selama-lamanya. Saya tidak dapat memulihkannya untuk anda — tiada salinan eskrow, dan pilihan reka bentuk yang sama itulah yang bermaksud tiada orang lain dapat membaca mel anda juga.

E-mel Dilindungi Kata Laluan

Apabila anda menghantar mesej dengan Lindungi dengan kata laluan (tiada kunci diperlukan), kandungan mesej dan setiap lampiran disulitkan pada peranti anda ke dalam ZIP AES-256 standard sebelum mesej itu keluar. Pemeteraian berlaku secara setempat — tiada apa-apa yang dimuat naik kepada saya atau kepada mana-mana perkhidmatan untuk melakukannya, dan tiada pelayan dalam laluan itu.

Kata laluan itu milik anda seorang. GravesMail menunjukkannya kepada anda sekali, tidak pernah menghantarnya melalui e-mel, tidak pernah menyimpannya, dan tidak pernah menghantarnya ke mana-mana. Saya tidak mempunyai salinannya dan tiada cara untuk membuka apa yang anda hantar. Anda berkongsinya dengan penerima melalui saluran lain — melalui telefon, mesej teks, atau sembang yang disulitkan.

Perlindungannya ialah kata laluan itu dan tiada yang lain. Tiada tarikh luput dan tiada pembatalan jarak jauh, kerana kedua-duanya memerlukan pelayan yang sengaja tidak saya kendalikan. Seperti mana-mana e-mel, subjek mesej, medan Kepada/Daripada, dan masa penghantaran masih dihantar dalam bentuk teks jelas.

Satu lagi had, dinyatakan dengan terus terang kerana anda patut mendengarnya daripada saya dan bukan menemuinya sendiri: format ZIP menyulitkan kandungan fail, bukan struktur arkib. Sesiapa yang memintas mesej itu masih boleh melihat bilangan fail di dalamnya serta anggaran saiz dan cap masanya — tetapi tidak namanya, yang diganti dengan nama ganti yang neutral, dan tidak kandungannya. Jika metadata itu sahaja sudah memberitahu seseorang perkara yang perlu anda rahsiakan, ciri ini bukan alat yang sesuai untuk mesej tersebut.

Binaan untuk Lima Platform

• Windows — binaan Microsoft Store ditandatangani oleh Microsoft
• Linux — akan datang
• macOS — akan datang
• iOS — akan datang
• Android — akan datang

Kelima-lima platform mempunyai ciri privasi yang serupa. Tiada platform yang menghantar data pulang atau berkelakuan berbeza dari segi privasi. Satu keupayaan memang berbeza mengikut platform, dan ia had pengesanan, bukan had privasi: Lapisan Perlindungan AV Sistem menggunakan antivirus yang anda pasang pada Windows dan tidak tersedia pada macOS, Linux, atau peranti mudah alih; di situ ia melaporkan “tidak tersedia” dan tidak membayangkan imbasan yang tidak pernah dijalankannya.

Perkhidmatan Pihak Ketiga

GravesMail hanya menyambung kepada pembekal e-mel anda (melalui sambungan TLS/SSL yang disulitkan) dan, bagi akaun Microsoft, kepada Microsoft Identity Platform untuk pengesahihan OAuth2. GravesMail tidak menggunakan sebarang rangkaian pengiklanan, perkhidmatan analitik, perkhidmatan pelaporan ranap, atau platform penjejakan.

Pembelian

Pembelian GravesMail melalui Microsoft Store diproses oleh Microsoft. GravesWare, LLC tidak menerima atau menyimpan butiran kad pembayaran.

Terbuka untuk Diperiksa

Pangkalan data, fail sandaran, dan log pemadaman anda semuanya fail setempat biasa di bawah kawalan anda — pada cakera anda, dalam profil pengguna anda, di tempat anda boleh melihatnya, menyalinnya, atau memadamnya. Tiada apa-apa yang disembunyikan dalam perkhidmatan yang tidak dapat anda periksa, dan tiada apa-apa yang menghubungi pelayan asal.

Privasi Kanak-kanak

GravesMail tidak mengumpul sebarang maklumat daripada sesiapa pun dengan sedar, termasuk kanak-kanak di bawah umur 13 tahun. Oleh sebab GravesMail tidak mengumpul maklumat peribadi secara lalai, ia tidak menimbulkan risiko khusus terhadap privasi kanak-kanak.

Perubahan pada Dasar Ini

Jika dasar privasi ini dikemas kini, perubahannya akan disiarkan pada halaman ini dengan tarikh “Kemas kini terakhir” yang baharu. Oleh sebab GravesMail tidak mengumpul alamat e-mel atau maklumat hubungan, saya tidak dapat memaklumkan perubahan kepada anda secara langsung. Saya menggalakkan anda menyemak halaman ini dari semasa ke semasa.

Hubungi

Ringkasan