Вкратце

GravesMail — почтовый клиент с приоритетом локального хранения. Ваша почта загружается на ваш компьютер и остаётся там. У меня нет серверов, которые хранят, читают или обрабатывают вашу почту. Я не собираю личную информацию. Я не показываю рекламу. Я не продаю данные. Никакие сведения о вашей почте не покидают ваш компьютер; почтовый сервер нужен только для получения и отправки вашей почты.

Какие данные хранит GravesMail

Все данные хранятся локально в вашем профиле пользователя — в папке %LocalAppData%\GravesMail в Windows или в аналогичном расположении на macOS, Linux, iOS и Android. Вот что хранится и зачем:

Зашифрованная база данных. Ваша почта и почти все сопутствующие данные находятся в одном хранилище, зашифрованном целиком как база данных: каждое сообщение, тема, отправитель и вложение, а также ваши контакты, календарь, подписи, быстрые и расширенные правила, списки безопасных и заблокированных отправителей, репутация отправителей, обучение спам-фильтра, настроенные пороги и настройки безопасности. Раньше это были отдельные файлы рядом с базой данных; они были объединены в неё, что усилило их защиту. Они не покинули ваше устройство — место, где находятся ваши данные, не изменилось, изменился только способ их локального хранения.

Файлы, которые остаются вне базы данных, потому что они нужны до того, как её можно открыть, или должны пережить её утрату:

• Ключ базы данных — хранится в собственном защищённом хранилище ключей вашего устройства (DPAPI в Windows, Keychain в macOS/iOS, Keystore в Android, системное хранилище секретов в Linux). Он не может находиться внутри базы данных, которую сам открывает.
• Сохранённые учётные данные — ваши пароли IMAP/SMTP и токены OAuth2, зашифрованные ключом вашего устройства и намеренно хранящиеся отдельно от почтовой базы данных.
• bmk.wrap — обёрнутые копии вашего мастер-ключа резервного копирования. Файл лежит вместе с резервными копиями, а не в базе данных, именно потому, что резервная копия существует, чтобы пережить утрату этой базы данных.
• Ваша связка ключей PGP — хранится в стандартном дисковом формате, причём связка закрытых ключей защищена собственным ключом-обёрткой.
• backups/ — зашифрованные файлы резервных копий (.gravesmail-backup), AES-256 с мастер-ключом резервного копирования
• Каталог резервных копий — локальный индекс метаданных для мгновенного просмотра содержимого резервных копий (никогда не передаётся)
• Журнал удалений — содержимое удалённых сообщений для восстановления (настраиваемый срок хранения: 30–365 дней)

Файлы, которые поставляются вместе с приложением — базовая модель спама, базовые правила YARA и таблица географического поиска, — это ресурсы программы, а не ваши данные. Они заменяются при обновлении и не включаются в резервные копии.

Никакие данные не хранятся вне этого каталога. Никакие данные не хранятся на удалённых серверах.

Какие данные GravesMail никогда не собирает

• Адреса электронной почты — ни ваш, ни тех, кто вам пишет
• Содержимое писем — ни темы, ни тела сообщений, ни вложения
• Сведения об отправителях и получателях
• Пароли и учётные данные
• Списки контактов
• События календаря
• IP-адреса
• Ваше имя, местоположение или любые идентифицирующие сведения
• Закономерности использования — я не отслеживаю, как часто вы открываете приложение, какие письма читаете и что делаете с сообщениями
• Отчёты о сбоях и диагностика — ничего и никогда не отправляется автоматически
• Данные об установке и регистрации — учётную запись создавать не нужно

Конфиденциальность резервных копий

GravesMail создаёт зашифрованные резервные копии всего вашего локального профиля:

• Резервные копии на устройстве, создаваемые по расписанию и вручную (полные и разностные), зашифрованы AES-256 мастер-ключом резервного копирования, который GravesMail создаёт и которым управляет. Ключ никогда не хранится в открытом виде — хранятся только обёрнутые копии, причём обёрнутые и защищённым хранилищем ключей вашего устройства (поэтому обычным резервным копиям пароль не нужен), и фразой восстановления, которую вы задаёте один раз. Фраза восстановления обязательна, а не опциональна, и именно она позволяет восстановить эти резервные копии на новом или заменённом устройстве. Я никогда не получаю ни ключ, ни фразу и не могу восстановить за вас ни то, ни другое.
• Переносная копия с паролем («Файл» → «Переносная копия с паролем…») запечатывается паролем, который выбираете вы, с помощью растяжения ключа PBKDF2-SHA256 с 600 000 итераций. Если вы потеряете этот пароль, резервную копию открыть нельзя — так задумано, и не сможет никто, включая меня.
• Каталоги метаданных резервных копий хранятся локально и никогда не передаются. Они позволяют мгновенно просматривать содержимое резервной копии, не расшифровывая её целиком.
• Снимки перед операцией создаются перед разрушающими операциями (сканирование быстрыми правилами, очистка, очистка корзины) для подстраховки.

Все файлы резервных копий остаются на вашем компьютере, если вы сами не скопируете их куда-то ещё. Переносная копия с паролем содержит весь ваш профиль — включая сохранённые пароли учётных записей и ключи, открывающие вашу почту, — и защищена только выбранным вами паролем, поэтому храните файл в надёжном месте.

Конфиденциальность быстрых правил

Данные быстрых правил хранятся в вашей локальной зашифрованной базе данных. Сообщения, отложенные вашими правилами в ловушку для спама, списки совпадений и сами определения правил никогда не покидают ваш компьютер. Когда вы удаляете правило или очищаете то, что оно поймало, данные безвозвратно удаляются из вашей локальной базы данных.

Как хранятся ваши учётные данные

GravesMail хранит всю вашу почту и личные данные в зашифрованном виде на каждом устройстве. Ключ шифрования находится в собственном защищённом хранилище ключей вашего устройства — DPAPI в Windows, Keychain в macOS и iOS, Keystore в Android и системное хранилище секретов в Linux, — поэтому данные можно прочитать только на вашем устройстве. Если вы сохраняете учётные данные электронной почты, они шифруются так же и могут быть расшифрованы только на том же компьютере тем же пользователем, который их сохранил.

GravesMail никогда не передаёт ваши учётные данные ни на какой сервер, кроме почтового сервера вашего поставщика почты, и только для входа в систему.

Для учётных записей Microsoft/Outlook с аутентификацией OAuth2 GravesMail использует стандартную процедуру Microsoft Identity Platform. Токены аутентификации хранятся локально с тем же шифрованием. GravesMail не имеет доступа к паролю вашей учётной записи Microsoft.

Геолокация выполняется локально

GravesMail определяет географическое происхождение входящей почты — это один из признаков спама. Определение происходит целиком на вашем устройстве, по встроенной в приложение таблице соответствия стран диапазонам IP-адресов. Нет ни DNS-запросов, ни обращений к внешним API, ни сторонней службы поиска. Метаданные ваших сообщений никуда не отправляются для геолокации.

Данные геолокации по IP — DB-IP (db-ip.com), по лицензии CC BY 4.0.

Блокировка внешних изображений и защита от пикселей отслеживания

Внешние изображения по умолчанию блокируются, чтобы отправители не узнали ваш IP-адрес, сам факт открытия письма, время и устройство, с которого оно открыто.

Пиксели отслеживания (невидимые изображения 1×1, используемые исключительно для отслеживания прочтения) обнаруживаются и удаляются отдельно. Это независимые элементы управления — можно загружать изображения, не загружая трекеры.

Сквозное шифрование (OpenPGP)

GravesMail поддерживает стандартный OpenPGP для сквозного шифрования и подписи почты. Всё происходит на вашем устройстве: ключи создаются локально, ваш секретный ключ никогда не покидает ваш компьютер, а шифрование и расшифровку выполняет приложение. Нет ни депонирования ключей, ни выгрузки на серверы ключей, ни какой-либо моей службы на пути письма — у меня нет копии ваших ключей, и я не могу прочитать вашу зашифрованную почту.

Что PGP скрывает: тело сообщения и вложения.

Чего PGP не скрывает: тему письма, поля «Кому», «От» и «Копия» и то, когда сообщение было отправлено. Они передаются в открытом виде и остаются видимыми почтовой инфраструктуре, включая вашего поставщика. Это ограничение самого PGP/MIME, общее для всех клиентов, которые его реализуют, включая Proton, — GravesMail не может это исправить, и я не стану намекать на обратное.

PGP защищает почту в пути — от перехвата и от вашего поставщика почты. Это не средство противодействия криминалистическому анализу. После расшифровки сообщение кэшируется в локальной зашифрованной базе данных GravesMail, чтобы вы могли искать по нему и читать его без подключения к сети, а значит, на диске его защищает шифрование вашего устройства, а не PGP.

Если вы потеряете секретный ключ, зашифрованная для него почта станет безвозвратно недоступной. Я не могу восстановить его за вас — депонированной копии нет, и это то же самое проектное решение, благодаря которому никто другой тоже не может прочитать вашу почту.

Почта, защищённая паролем

Когда вы отправляете сообщение с параметром «Защитить паролем (ключ не нужен)», тело сообщения и все вложения шифруются на вашем устройстве в стандартный ZIP-архив AES-256 до того, как сообщение уйдёт. Запечатывание происходит локально — для этого ничего не выгружается ни мне, ни в какую-либо службу, и никакого сервера на пути нет.

Пароль принадлежит только вам. GravesMail показывает его вам один раз, никогда не отправляет его по почте, никогда не сохраняет и никогда не передаёт. У меня нет его копии и нет способа открыть то, что вы отправили. Вы сообщаете его получателю по другому каналу — по телефону, в текстовом сообщении или в зашифрованном чате.

Защита — это пароль и больше ничего. Нет ни срока действия, ни удалённого отзыва, потому что для обоих потребовался бы сервер, которого у меня намеренно нет. Как и у любого электронного письма, тема сообщения, поля «Кому» и «От» и время отправки по-прежнему передаются в открытом виде.

Ещё одно ограничение, о котором говорю прямо, потому что лучше вам услышать это от меня, чем обнаружить самим: формат ZIP шифрует содержимое файлов, а не структуру архива. Любой, кто перехватит сообщение, всё равно увидит, сколько файлов внутри, их примерные размеры и метки времени — но не их имена, которые заменены нейтральными заполнителями, и не их содержимое. Если одни только эти метаданные могут сообщить кому-то то, что вам нужно сохранить в тайне, эта функция для такого сообщения не подходит.

Сборки для пяти платформ

• Windows — сборка для Microsoft Store подписана корпорацией Microsoft
• Linux — скоро
• macOS — скоро
• iOS — скоро
• Android — скоро

Все пять платформ одинаковы в том, что касается конфиденциальности. Ни одна платформа не отправляет данные разработчику и не ведёт себя иначе в вопросах конфиденциальности. Одна возможность действительно различается по платформам, и это ограничение обнаружения, а не конфиденциальности: уровень защиты «АВ системы» использует установленный антивирус в Windows и недоступен на macOS, Linux и мобильных устройствах, где он сообщает «Недоступно», а не создаёт видимость проверки, которой не было.

Сторонние службы

GravesMail подключается только к вашему поставщику почты (по зашифрованным соединениям TLS/SSL) и, для учётных записей Microsoft, к Microsoft Identity Platform для аутентификации OAuth2. GravesMail не использует никаких рекламных сетей, аналитических служб, служб отчётов о сбоях или платформ отслеживания.

Покупки

Покупки GravesMail через Microsoft Store обрабатывает Microsoft. GravesWare, LLC не получает и не хранит данные платёжных карт.

Открыто для проверки

Ваша база данных, файлы резервных копий и журнал удалений — обычные локальные файлы под вашим контролем: на вашем диске, в вашем профиле пользователя, где их можно увидеть, скопировать или удалить. Ничто не спрятано в службе, которую вы не можете проверить, и ничто не отправляет данные разработчику.

Конфиденциальность детей

GravesMail сознательно не собирает никакой информации ни о ком, включая детей младше 13 лет. Поскольку GravesMail по умолчанию не собирает личную информацию, он не создаёт особых рисков для конфиденциальности детей.

Изменения этой политики

Если эта политика конфиденциальности будет обновлена, изменения будут опубликованы на этой странице с новой датой «Последнее обновление». Поскольку GravesMail не собирает адреса электронной почты и контактные данные, я не могу уведомить вас об изменениях напрямую. Советую время от времени заглядывать на эту страницу.

Контакты

Итог