Почта без номера телефона: строим Methmail

Methmail: приватная почта, которую мы строим. Для регистрации не понадобятся ни номер телефона, ни другой e-mail. Как без номера мы будем защищаться от ботов и спама, рассказываем ниже.

Регистрации пока нет: мы строим Methmail. Откроемся закрытой бетой по приглашениям.

Как попасть

Почему мы не будем спрашивать номер

Номер почти везде привязан к человеку. Он записан в договоре со связью, а во многих странах SIM-карту регистрируют только по документу [1]. Почта с номером перестаёт быть отдельной от вас.
SMS слабо защищает вход. Номер можно перевыпустить на чужую SIM-карту, и тогда коды из SMS получит злоумышленник [2]. NIST относит проверку через телефонную сеть к ограниченным способам [3]. Поэтому SMS как второй фактор мы использовать не будем.
Задним числом получить то, чего мы не будем хранить, нельзя. Номера телефона у нас не будет, поэтому выдать его будет нечего. Что нас смогут обязать сделать, описано в описи.

Как мы будем защищаться от спама без номера

Приглашения. Пока идёт закрытая бета, попасть можно будет только по приглашению: ссылке или QR-коду.
Задача для браузера. Иногда браузер будет решать небольшую вычислительную задачу: так мы отсекаем ботов без слежки.
Лимит нового ящика. У нового ящика будет лимит на отправку писем на другие сервисы: сколько адресатов в сутки. Он будет расти вместе с репутацией ящика.
Массовая регистрация. Массово создавать ящики не получится: в закрытой бете у каждого аккаунта будет всего несколько приглашений, а регистрацию будут сдерживать задача для браузера и лимиты частоты.
Несколько адресов. В одном аккаунте можно будет завести несколько адресов. Много ящиков для работы появятся позже, в платных тарифах на своём домене.

Как вернуть доступ без телефона

Фраза восстановления, устройство или passkey. Если вы забудете пароль, доступ сразу и вместе со старыми письмами вернут фраза восстановления, устройство, на котором выполнен вход, или passkey, у которого включено восстановление доступа. Если останется только резервный e-mail, доступ к адресу вернётся через 7 суток (через 72 часа, если на каком-то вашем устройстве вход выполнен больше недели назад), а старые письма не откроются: ключей от них у нас не будет. Если потерять всё, старые письма в вашем ящике не откроет никто, в том числе мы. Остальные ограничения описаны в разделе «Чего Methmail не сможет».
Резервный e-mail, только хэшем. Он будет необязательным. Если вы его укажете, мы будем хранить только его хэш: при сбросе пароля вы введёте адрес сами. Выдать ваш резервный адрес мы не сможем, а сможем лишь подтвердить или опровергнуть чужую догадку. Когда вы будете указывать резервный адрес и сбрасывать пароль, сервер будет видеть его: чтобы посчитать хэш и отправить ссылку. При сбросе почтовый сервис этого адреса увидит письмо от Methmail, но адреса вашего ящика в нём не будет. По решению суда нас смогут обязать записать адрес в один из этих моментов (исключения).

Чего эта почта не обещает

Анонимности. Обещать анонимность в почте было бы нечестно: почта не доставит письмо, не зная адресов. Вместо обещаний мы перечислим, что будем хранить и что видеть: это опись. Что на самом деле раскрывает человека в почте, разобрано в отдельной статье.
Временного ящика. Это не временная почта: это постоянный ящик, а не адрес на одну регистрацию. Чем временная почта отличается от алиаса и постоянного ящика, объясняем в статье.

Как выбрать почту без номера уже сегодня

Если ящик нужен сейчас, задайте четыре вопроса любому сервису, который обещает регистрацию без телефона:

Как вы вернёте доступ, если забудете пароль?
Что сервис хранит о вас и где это написано?
Кто отвечает за сервис и по законам каких стран его могут обязать выдать данные?
Можно ли уйти от него со своими письмами?

Подробный список вопросов в статье о том, как проверить защиту почтового сервиса самостоятельно.

Вопросы

Нужен ли номер телефона? Нет. Для регистрации не понадобятся ни номер телефона, ни другой e-mail. Резервный адрес для восстановления можно будет указать по желанию. Иногда браузер будет решать небольшую вычислительную задачу: так мы отсекаем ботов без слежки.

Можно ли зарегистрироваться сейчас? Пока нет: мы строим Methmail. Откроемся закрытой бетой по приглашениям, а как в неё попасть, рассказываем на странице «Как попасть».

Как вернуть доступ без телефона? Фраза восстановления, устройство, на котором выполнен вход, или passkey, у которого включено восстановление доступа, вернут доступ сразу, вместе со старыми письмами. С одним резервным e-mail доступ к адресу вернётся через 7 суток (через 72 часа, если на каком-то вашем устройстве вход выполнен больше недели назад), а старые письма не откроются. Резервный адрес мы будем хранить только хэшем; что сервер видит, когда вы его указываете, сказано выше.

Можно ли завести несколько ящиков? В одном аккаунте можно будет завести несколько адресов. Массово создавать ящики не получится; много ящиков для работы появятся позже, в платных тарифах на своём домене.

Будет ли работать в моей стране?

Обещать не можем. Некоторые страны ограничивают доступ к почтовым сервисам, которые не выполняют местные требования о хранении и выдаче данных; с зарубежными сервисами так уже бывало. Methmail управляет METHMINE LLC: это компания из штата Вайоминг, США. Имён людей мы не называем. Принудить нас могут суды и власти США, где зарегистрирована компания, стран, где стоят наши серверы, и стран, где живут люди из команды: что они смогут от нас потребовать.

Дальше

Источники

GSMA: Access to Mobile and Proof of Identity: A global snapshot of linkages, challenges and opportunities. Февраль 2018. https://www.gsma.com/solutions-and-impact/connectivity-for-good/mobile-for-development/programme/digital-identity/access-mobile-proof-identity-global-snapshot-linkages-challenges-opportunities/
ФБР, IC3: Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public. 8 февраля 2022. https://www.ic3.gov/PSA/2022/PSA220208
NIST SP 800-63B, редакция 4 (2025): Authentication and Authenticator Management. https://pages.nist.gov/800-63-4/sp800-63b.html