Писать обещания легко. Труднее заметить, где обещание сильнее продукта. Мы ищем такие места нарочно: поймать себя на слове неприятно, но лучше самим, чем читателям. Вот пять случаев, найденных до публикации.
Правило
Каждое обещание до публикации мы сверяем с тем, как устроен продукт. И снова находим места, где слова сильнее устройства. Тогда меняем слова или устройство, а разницу не прячем.
Формат у каждого случая один: что мы писали, что пишем теперь и почему.
Пять случаев
Приглашения: слова поправили дважды
- Было. Сначала мы написали, что не будем знать, кто кого пригласил.
- Первая поправка. Сверка показала, что сервер видел бы, кому выдаёт код. Честно было только «не будем хранить», и мы так и написали.
- Стало. Потом мы поменяли устройство. Мы не будем знать, кто кого пригласил. Код приглашения создаст устройство пригласившего, а наш сервер заверит его вслепую, не видя самого кода. Поэтому связать код с тем, кто его выдал, и с тем, кто им воспользуется, сервер не сможет.
- Что осталось. Сервер будет видеть, когда аккаунт берёт приглашение и когда кто-то им пользуется. Если в это время почти никто больше приглашений не брал и не использовал, связь можно будет угадать по времени.
Удаление аккаунта: поменяли устройство, а не слова
- Было. Аккаунт удалится сразу.
- Стало. Удаление аккаунта вступит в силу не сразу: через 72 часа, если у вас есть устройство, на котором вы вошли больше недели назад, а если такого нет, через 7 суток. Пока идёт отсчёт, удаление можно отменить, а почта по-прежнему приходит. Сразу оно вступит в силу, только если подтвердить его фразой восстановления или passkey, у которого включено восстановление доступа.
- Почему. Удалённый адрес на домене Methmail никто не сможет занять снова, даже вы: иначе новый владелец получал бы чужие письма, в том числе сбросы паролей от других сервисов. Но тогда тот, кто узнал ваш пароль, мог бы удалить аккаунт и отнять адрес навсегда. Задержка даёт владельцу время заметить это и отменить удаление. Короче она там, где есть старое устройство: угонщик с паролем заводит только свежие сеансы, а владелец успеет остановить его со старого устройства, когда откроет Methmail.
Поисковый индекс
- Было. Поисковый индекс будет только на ваших устройствах.
- Стало. Поисковый индекс будет строиться на ваших устройствах. Если его копия будет попадать на сервер, то только зашифрованной вашими ключами.
- Почему. Копию индекса для синхронизации устройств мы планируем, и слово «только» перестало бы быть правдой, как только она появится. Поэтому мы пишем условие, а не обещание. Границы шифрования описаны в разделе «Чего Methmail не сможет».
Фильтры спама
- Было. Фильтры ничего не сохранят.
- Стало. Содержимого они не сохранят: останется только решение, спам это или нет.
- Почему. Без этого решения письмо не положить в «Спам».
«Задним числом»
- Было. Задним числом это невозможно.
- Стало. Задним числом нельзя будет получить то, чего мы не будем хранить. А то, что ещё не удалено, выдать мы сможем: письма на другие сервисы без PGP в очереди отправки (до 48 часов) и технические журналы в пределах их сроков.
- Почему. У очереди и у журналов есть срок жизни, и пока он не вышел, данные существуют.
Чем мы за это платим
- Меньше громких слов. Там, где хочется написать «никогда» или «только», мы пишем, что будет на самом деле.
- Оговорки стоят рядом с обещаниями. Не мелким шрифтом внизу, а в той же строке или в том же абзаце.
- На сайте о шифровании говорим в будущем времени, и после запуска тоже, пока нет опубликованного аудита.
Что дальше
С первой публикации такие поправки будут видны в журнале изменений описи на странице «Приватность», с датой и причиной.
Опись лежит на странице «Приватность», а чего Methmail не сможет, перечислено на странице «Безопасность».