简要说明

GravesMail 是一款本地优先的电子邮件客户端。您的邮件被下载到您的计算机上并留在那里。我不运营任何存储、读取或处理您邮件的服务器。我不收集个人信息。我不展示广告。我不出售数据。有关您邮件的任何信息都不会离开您的计算机；邮件服务器仅用于收取和发送您的邮件。

GravesMail 存储哪些数据

所有数据都存储在本地的用户配置文件中 — 在 Windows 上位于 %LocalAppData%\GravesMail，在 macOS、Linux、iOS 和 Android 上位于各平台的对应位置。以下是所保存的内容及其原因：

加密数据库。您的邮件以及几乎所有的辅助数据都存放在一个整库加密的存储中：每一封邮件、主题、发件人和附件，以及您的联系人、日历、签名、快速规则和高级规则、安全列表和屏蔽列表、发件人信誉、垃圾邮件过滤器训练数据、调整过的阈值和安全设置。这些数据以前是数据库旁边的零散文件；现已合并到数据库中，这加强了对它们的保护。它们并没有离开您的设备 — 您的数据存放的位置没有任何变化，变化的只是它在本地的存储方式。

留在数据库之外的文件，因为在数据库能够打开之前就需要用到它们，或者它们必须在数据库丢失后依然存在：

• 数据库密钥 — 存放在您设备自身的安全密钥库中（Windows 上为 DPAPI，macOS/iOS 上为 Keychain，Android 上为 Keystore，Linux 上为系统机密存储）。它不能存放在由它解锁的数据库内部。
• 已保存的账户凭据 — 您的 IMAP/SMTP 密码和 OAuth2 令牌，使用您的设备密钥加密，并有意与邮件数据库分开保存。
• bmk.wrap — 您的备份主密钥的封装副本。它与您的备份放在一起，而不在数据库中，正是因为备份存在的意义就是在该数据库丢失后依然存在。
• 您的 PGP 密钥环 — 以其标准的磁盘格式保存，其中私钥环由其专用的封装密钥保护。
• backups/ — 加密的备份文件（.gravesmail-backup），使用备份主密钥进行 AES-256 加密
• 备份目录 — 本地的元数据索引，用于即时浏览备份内容（绝不传输）
• 删除日志 — 已删除邮件的内容，用于恢复（保留期可配置：30–365 天）

随应用一同提供的文件 — 基线垃圾邮件模型、基线 YARA 规则和地理位置查询表 — 属于程序资源，而不是您的数据。它们在您更新时被替换，并且不纳入备份。

没有任何数据存储在此目录之外。没有任何数据存储在远程服务器上。

GravesMail 绝不收集哪些数据

• 电子邮件地址 — 无论是您的，还是任何给您发邮件的人的
• 邮件内容 — 不收集主题行、邮件正文或附件
• 发件人或收件人信息
• 密码或凭据
• 联系人列表
• 日历事件
• IP 地址
• 您的姓名、位置或任何可识别身份的信息
• 使用模式 — 我不跟踪您多久打开一次应用、阅读了哪些邮件，或者您如何与邮件交互
• 崩溃报告或诊断信息 — 绝不会自动发送任何内容
• 安装或注册数据 — 无需创建任何账户

备份隐私

GravesMail 会为您的整个本地配置文件创建加密备份：

• 计划的和手动的设备本地备份（完整和差异）使用由 GravesMail 生成并管理的备份主密钥进行 AES-256 加密。该密钥绝不以明文形式存储 — 只保存经过封装的副本，既用您设备的安全密钥库封装（因此日常备份无需密码），也用您只需设置一次的恢复口令封装。恢复口令是必需的，而不是可选的，正是它使这些备份能够在新设备或更换后的设备上还原。我绝不会收到该密钥或该口令，也无法替您找回其中任何一个。
• 便携式密码备份（文件 → 便携式密码备份…）用您选择的密码封存，采用 600,000 次迭代的 PBKDF2-SHA256 密钥拉伸。如果您丢失了该密码，备份将无法打开 — 这是有意的设计，任何人都打不开，包括我在内。
• 备份元数据目录存储在本地，绝不传输。借助它们，无需解密整个备份即可即时浏览备份内容。
• 操作前快照在破坏性操作（快速规则扫描、清除、清空废件箱）之前创建，作为一道安全保障。

所有备份文件都留在您的计算机上，除非您自己把它们复制到别处。便携式密码备份包含您的整个配置文件 — 包括已保存的账户密码和用于解锁您邮件的密钥 — 仅由您选择的密码保护，因此请把该文件存放在安全的地方。

快速规则隐私

快速规则数据存储在您的本地加密数据库中。您的规则搁置到垃圾邮件陷阱的邮件、规则的匹配列表以及规则定义本身，绝不会离开您的计算机。当您删除一条规则或清除它捕获的内容时，这些数据会从您的本地数据库中永久移除。

您的凭据是如何存储的

GravesMail 在每台设备上都对您的所有邮件和个人数据进行静态加密。加密密钥存放在您设备自身的安全密钥库中 — Windows 上为 DPAPI，macOS 和 iOS 上为 Keychain，Android 上为 Keystore，Linux 上为系统机密存储 — 因此这些数据只能在您的设备上读取。如果您保存了电子邮件凭据，它们会以同样的方式加密，并且只能在同一台计算机上由保存它们的同一用户解密。

除了为登录目的而发送给您的电子邮件服务提供商的邮件服务器之外，GravesMail 绝不会把您的凭据传输到任何其他服务器。

对于使用 OAuth2 身份验证的 Microsoft/Outlook 账户，GravesMail 采用标准的 Microsoft Identity Platform 流程。身份验证令牌使用同样的加密方式存储在本地。GravesMail 无法获取您的 Microsoft 账户密码。

地理位置查询在本地进行

GravesMail 会查询来信的地理来源，作为其垃圾邮件判断信号之一。该查询完全在您的设备上进行，依据的是内嵌在应用中的国家/地区与 IP 范围对照表。没有 DNS 查询，没有外部 API 调用，也没有第三方查询服务。您的邮件元数据绝不会被发送到任何地方去进行地理定位。

IP 地理定位数据由 DB-IP（db-ip.com）提供，依据 CC BY 4.0 许可。

外部图片屏蔽与跟踪像素防护

外部图片默认被屏蔽，以防止发件人得知您的 IP 地址、您打开了他们的邮件、打开的时间以及使用的设备。

跟踪像素（仅用于已读回执跟踪的不可见 1×1 图片）会被单独检测并剥离。两者分别控制 — 您可以加载图片而不加载跟踪器。

端到端加密（OpenPGP）

GravesMail 支持标准的 OpenPGP，用于端到端加密和签名邮件。一切都在您的设备上进行：密钥在本地生成，您的私钥绝不离开您的计算机，加密和解密均由应用完成。没有密钥托管，没有上传到密钥服务器，传输路径上也没有我的任何服务 — 我没有您密钥的副本，也无法阅读您的加密邮件。

PGP 隐藏什么：邮件正文和附件。

PGP 不隐藏什么：主题行、收件人/发件人/抄送，以及邮件的发送时间。这些信息以明文传输，对包括您的服务提供商在内的邮件基础设施始终可见。这是 PGP/MIME 本身的限制，所有实现它的客户端都一样，Proton 也不例外 — 这不是 GravesMail 能够解决的问题，我也不会暗示并非如此。

PGP 保护的是传输途中的邮件 — 使其免遭截获，也不被您的邮件服务提供商读取。它不是反取证工具。邮件一经解密，就会缓存在 GravesMail 的本地加密数据库中，以便您离线搜索和阅读，这意味着它在磁盘上受到的是您设备加密的保护，而不是 PGP 的保护。

如果您丢失了私钥，用它加密的邮件将永久无法恢复。我无法替您找回它 — 没有托管副本，而正是同一个设计决定保证了其他任何人也无法阅读您的邮件。

受密码保护的电子邮件

当您使用密码保护（无需密钥）发送邮件时，邮件正文和每一个附件都会在邮件发出之前，在您的设备上加密成一个标准的 AES-256 ZIP。封存过程在本地完成 — 不会为此向我或任何服务上传任何内容，传输路径上也没有服务器。

密码只属于您一个人。GravesMail 只向您显示一次，绝不用电子邮件发送它，绝不存储它，也绝不传输它。我没有它的副本，也没有任何办法打开您发送的内容。您通过其他渠道把它告知收件人 — 通过电话、短信或加密聊天。

保护手段就是密码，别无其他。没有过期时间，也没有远程撤销，因为这两者都需要一台服务器，而我有意不运营服务器。与任何电子邮件一样，邮件的主题、收件人/发件人以及发送时间仍然以明文传输。

还有一项限制，我在此直言相告，因为您应该从我这里听到，而不是自己去发现：ZIP 格式加密的是文件内容，而不是压缩包的结构。任何截获邮件的人仍然可以看到里面有多少个文件，以及它们的大致大小和时间戳 — 但看不到文件名称（已被替换为中性的占位名称），也看不到文件内容。如果仅凭这些元数据就会让别人得知您需要保密的事情，那么此功能就不适合用于那封邮件。

五个平台的构建版本

• Windows — Microsoft Store 版本由 Microsoft 签名
• Linux — 即将推出
• macOS — 即将推出
• iOS — 即将推出
• Android — 即将推出

全部五个平台具有完全相同的隐私特性。没有任何平台会向外回传数据，也没有任何平台在隐私方面表现不同。确实有一项能力因平台而异，但它是检测能力上的限制，而不是隐私上的限制：“系统杀毒”防护层在 Windows 上使用您已安装的杀毒软件，在 macOS、Linux 和移动端不可用，在这些平台上它会报告“不可用”，而不是暗示进行过一次它从未执行的扫描。

第三方服务

GravesMail 只连接到您的电子邮件服务提供商（通过加密的 TLS/SSL 连接），对于 Microsoft 账户，还会连接到 Microsoft Identity Platform 以进行 OAuth2 身份验证。GravesMail 不使用任何广告网络、分析服务、崩溃报告服务或跟踪平台。

购买

通过 Microsoft Store 购买 GravesMail 的交易由 Microsoft 处理。GravesWare, LLC 不会收到也不会存储支付卡详细信息。

可供查验

您的数据库、备份文件和删除日志都是由您掌控的普通本地文件 — 位于您的磁盘上、您的用户配置文件中，您可以看到它们、复制它们或删除它们。没有任何东西藏在您无法查验的服务里，也没有任何东西会向外回传。

儿童隐私

GravesMail 不会在知情的情况下收集任何人的任何信息，包括 13 岁以下的儿童。由于 GravesMail 默认不收集个人信息，它不会对儿童隐私构成特定风险。

本政策的变更

如果本隐私政策有更新，变更内容将发布在本页面上，并标注新的“最后更新”日期。由于 GravesMail 不收集电子邮件地址或联系信息，我无法直接通知您变更情况。建议您定期查看本页面。

联系方式

总结