Коротко. Метаданные письма: это сведения о письме, а не его текст. Кто, кому, когда, откуда и какого размера. Шифрование содержимого их не прячет: без адресов письмо не доставить. По метаданным одних только писем можно восстановить круг общения, распорядок дня и места, откуда человек пишет.
Что входит в метаданные письма
У каждого письма есть служебные заголовки [1]. Самые важные:
- От кого и кому (From, To, Cc): адреса отправителя и получателей.
- Когда (Date): время отправки с точностью до секунды и часовой пояс.
- Тема (Subject). В классических OpenPGP и S/MIME тема не шифруется [2].
- Путь письма (Received). Каждый почтовый сервер по дороге добавляет строку о себе [3]. Некоторые сервисы записывают туда и IP-адрес отправителя [4].
- Чем отправлено (User-Agent или X-Mailer): программа и иногда её версия.
- Размер письма и имена вложений.
Кроме заголовков, сами почтовые серверы видят, с какого IP-адреса вы входите и когда.
Что по ним можно узнать
Одно письмо говорит немного. Много писем говорят очень много [5]:
- с кем вы общаетесь и как часто;
- когда вы не спите и когда работаете: по времени отправки;
- где вы бываете: по IP-адресам входа;
- с какими организациями связаны: по доменам адресов, например врача, юриста или банка.
Поэтому глоссарий NIST, определяя сквозное шифрование, отдельно оговаривает, что сведения о маршруте при нём остаются видны [6].
Почему метаданные так трудно спрятать
- Доставке нужны адреса. Серверы должны знать, откуда и куда идёт письмо.
- Серверы видят соединения. Кто подключается и когда, видно в момент доставки.
- Защита темы только появляется. Стандарт защиты заголовков вышел в 2025 году [2], но поддерживают его пока не все программы.
Что может сделать почтовый сервис
Совсем без метаданных почта не работает, но хранить их можно по-разному. Хороший сервис:
- хранит отправителей и получателей хранимых писем зашифрованными;
- не хранит точное время получения там, где хватит даты;
- не вставляет ваш IP-адрес в заголовки писем [4];
- держит технические журналы коротко и пишет, что в них.
Что можете сделать вы
- Не пишите в теме то, что не хотите показывать: тема видна почтовым серверам.
- Если важно скрыть IP-адрес, входите в почту через Tor [7].
- Перед отправкой удаляйте служебные данные из вложений: координаты в фото, автора в документах.
- Используйте разные адреса для разных целей: так круг общения сложнее связать в одно целое.
- Помните, что почтовый сервис получателя тоже видит метаданные вашего письма.
Как с метаданными будет в Methmail
Мы не будем хранить, кто кому пишет: отправитель и получатели будут лежать зашифрованными вместе с письмом. В технических журналах приёма 7 дней будут храниться минута, домен и хэш остальной части адреса на ключе, который через 7 дней будет уничтожен. В журнале отправки 7 дней будут храниться минута и вместо ящика и получателя псевдонимы на ключе, который будет меняться каждые сутки и нигде не будет записываться: за сутки по ним будет видно, что один ящик писал одному адресату несколько раз, но не кто это. Пока ключ жив, по хэшу можно будет проверить догадку, в том числе для адресов наших пользователей. Письмо на внешний адрес будет ждать в очереди отправки до 48 часов, а в архиве изменений базы 24–48 часов будет точное время записи писем. В момент доставки сервер будет видеть, кто кому пишет; по решению суда нас смогут обязать начать это записывать и выдать журналы за последние 7 дней. Границы этой защиты описаны в разделе «Чего Methmail не сможет».
У самого письма дату получения будем хранить только с точностью до дня. Точное время останется лишь в технических журналах доставки (7 дней) и в архиве изменений базы (24–48 часов). По умолчанию мы не будем хранить ваши IP-адреса: ни в журналах, ни в базе. В технических журналах будут только заранее утверждённые поля, без ваших IP-адресов и без содержимого писем; поля и срок каждого журнала указаны в описи. Суд или власти США, где зарегистрирована компания, страны, где стоят наши серверы, или страны, где живут люди из команды, смогут обязать нас начать записывать IP-адреса конкретного аккаунта; задним числом это невозможно. Что ещё нас смогут обязать сделать, сказано на странице «Приватность».
Источники
- RFC 5322: Internet Message Format. IETF, октябрь 2008. https://www.rfc-editor.org/rfc/rfc5322
- RFC 9788: Header Protection for Cryptographically Protected Email. IETF, август 2025. https://www.rfc-editor.org/rfc/rfc9788
- RFC 5321: Simple Mail Transfer Protocol. IETF, октябрь 2008. https://www.rfc-editor.org/rfc/rfc5321
- Privacy Guides: Email Services, раздел Criteria (обновлено 28 июня 2026). https://www.privacyguides.org/en/email/#criteria
- EFF, Surveillance Self-Defense: Why Metadata Matters (проверено EFF в июле 2024). https://ssd.eff.org/module/why-metadata-matters
- NIST SP 800-12 Rev. 1, глоссарий CSRC: end-to-end encryption. https://csrc.nist.gov/glossary/term/end_to_end_encryption
- EFF, Surveillance Self-Defense: How to Use Tor. https://ssd.eff.org/module/how-to-use-tor