Строим

Methmailприватная почта

Какая почта самая защищённая

Обновлено: · Источники проверены:

Коротко. Самой защищённой почты для всех не бывает: всё зависит от того, от чего вы защищаетесь. Зато любую почту можно проверить по одному списку вопросов. Ниже 17 таких вопросов и подсказки, где искать ответы.

Что делает почту защищённой и приватной

Защищённая почта не даёт прочитать письма никому, кроме вас и ваших собеседников. При сквозном шифровании письмо могут прочитать только отправитель и получатели, а при нулевом доступе сервис хранит почту зашифрованной ключом, которого у него нет, но письмо с другого сервиса он видит в момент приёма. Приватная почта к тому же мало хранит о вас: даже в зашифрованной переписке могут оставаться видны метаданные, то есть кто кому и когда пишет. И важно, кто хранит ваши данные, где и по законам какой страны: 17 вопросов ниже проверяют всё это.

Сначала решите, от чего защищаетесь

Взлом аккаунта, утечка у сервиса, чтение писем самим сервисом, запрос властей: это разные угрозы, и почта защищает от них по-разному. Прежде чем сравнивать сервисы, ответьте себе на три вопроса из плана безопасности EFF [2]:

  • Что защищать? Содержимое писем, круг собеседников или сам факт переписки.
  • От кого? От случайных злоумышленников, от самого почтового сервиса, от властей какой-то страны.
  • Чем вы готовы платить за защиту? Удобством, деньгами, временем.

Если главное, чтобы письма не читал сам сервис, внимательнее всего смотрите раздел про шифрование. Если главное, что сервис знает о вас, смотрите раздел про данные.

Шифрование

  1. У кого ключи от хранимой почты? Хорошо, если письма хранятся зашифрованными ключом, которого у сервиса нет [1]. Если ключи у сервиса, он технически может прочитать письма, даже когда пишет, что «всё зашифровано». Подробнее в статье «Что такое сквозное шифрование».
  2. Что именно шифруется? Только текст и вложения или ещё тема, отправители и получатели, контакты? Всё, что не зашифровано, сервис видит.
  3. Можно ли переписываться зашифрованно с людьми на других сервисах? Для этого нужна совместимость с открытым стандартом OpenPGP [3]. Удобно, если ключи собеседников находятся автоматически.
  4. Своя ли у сервиса инфраструктура? Сервис, который работает поверх чужого почтового провайдера, передаёт ваши письма ещё одной компании [1].

Данные о вас

  1. Что нужно для регистрации? В идеале только имя пользователя и пароль [1]. Номер телефона и другой e-mail связывают ящик с вами.
  2. Прячет ли сервис ваш IP-адрес в письмах? У каждого письма есть служебные заголовки. Если в них попадает IP-адрес отправителя, получатель может узнать, откуда вы писали [1]. Проверить просто: отправьте письмо на другой свой адрес и посмотрите строки Received в заголовках.
  3. Есть ли понятный список того, что сервис хранит и сколько? Политика конфиденциальности должна отвечать на это прямо, а не общими словами [1, 11].
  4. Можно ли уйти со своими письмами? Хорошо, если письма выгружаются в стандартные форматы MBOX или EML [4, 5]. Сервисы иногда закрываются, и тогда выгрузка становится вашей страховкой.
  5. Можно ли подключить свой домен? Тогда адрес останется вашим, даже если вы смените сервис [1].

Защита аккаунта

  1. Какой есть второй фактор? Код из приложения-аутентификатора [6] надёжнее SMS, а ключи безопасности и passkeys [7] надёжнее кода. NIST относит проверку через телефонную сеть, то есть SMS и звонки, к ограниченным способам [8].
  2. Как защищён домен сервиса? DNSSEC, SPF, DKIM, DMARC, MTA-STS и DANE мешают подделывать письма от имени сервиса и перехватывать их по дороге [9]. Почтовый домен можно бесплатно проверить на internet.nl [10].

Доверие

  1. Известно ли, кто отвечает за сервис и по законам каких стран его могут обязать выдать данные? От этого зависит, какой суд может что-то потребовать от сервиса [1].
  2. Открыт ли код приложений? Открытый код позволяет проверить, что шифрование в приложении работает так, как описано. Но что хранит сервер, код приложения не доказывает: это может показать независимый аудит.
  3. Был ли независимый аудит и опубликован ли отчёт? Слова «проверено экспертами» без ссылки на отчёт ничего не значат.
  4. Публикует ли сервис отчёт о прозрачности? В нём видно, сколько запросов пришло от властей и что было выдано [1].
  5. Пишет ли сервис, чего его защита не может? Границы есть у любой защиты. Плохой знак, если сервис обещает, что его защиту нельзя взломать или что по письмам вас невозможно узнать [1].
  6. Следит ли за вами сайт самого сервиса? Сторонние трекеры и рекламные пиксели на сайте почтового сервиса говорят о его отношении к приватности больше, чем обещания [1].

Как читать ответы

  • Сервис не обязан отвечать «да» на всё. Важнее, чтобы ответы были честными и их можно было проверить.
  • Если ответа нет в открытом доступе, это тоже ответ.
  • Смотрите на даты. Подборки «лучших почтовых сервисов» быстро стареют, а сервисы меняются.

А что у Methmail?

Methmail ещё строится. Поэтому ни по одному пункту этого списка мы пока не можем ответить «да, проверьте сами». Аудита и отчёта о нём пока нет. Как мы собираемся отвечать на эти вопросы, написано на страницах «Кто делает Methmail», «Безопасность» и «Приватность». Когда ответ станет проверяемым, мы отметим его здесь.

Источники

  1. Privacy Guides: Email Services, раздел Criteria (обновлено 28 июня 2026). https://www.privacyguides.org/en/email/#criteria
  2. EFF, Surveillance Self-Defense: Your Security Plan. https://ssd.eff.org/module/your-security-plan
  3. RFC 9580: OpenPGP. IETF, июль 2024. https://www.rfc-editor.org/rfc/rfc9580
  4. RFC 4155: The application/mbox Media Type. IETF, сентябрь 2005. https://www.rfc-editor.org/rfc/rfc4155
  5. RFC 5322: Internet Message Format. IETF, октябрь 2008. https://www.rfc-editor.org/rfc/rfc5322
  6. RFC 6238: TOTP: Time-Based One-Time Password Algorithm. IETF, май 2011. https://www.rfc-editor.org/rfc/rfc6238
  7. W3C: Web Authentication Level 3. https://www.w3.org/TR/webauthn-3/
  8. NIST SP 800-63B, редакция 4 (2025): Authentication and Authenticator Management. https://pages.nist.gov/800-63-4/sp800-63b.html
  9. RFC 4033 (DNSSEC, март 2005) https://www.rfc-editor.org/rfc/rfc4033, RFC 7208 (SPF, апрель 2014) https://www.rfc-editor.org/rfc/rfc7208, RFC 6376 (DKIM, сентябрь 2011) https://www.rfc-editor.org/rfc/rfc6376, RFC 9989 (DMARC, май 2026) https://www.rfc-editor.org/rfc/rfc9989, RFC 8461 (MTA-STS, сентябрь 2018) https://www.rfc-editor.org/rfc/rfc8461, RFC 7672 (DANE для SMTP, октябрь 2015) https://www.rfc-editor.org/rfc/rfc7672.
  10. Internet.nl: проверка почтового домена. https://internet.nl/
  11. Регламент ЕС 2016/679 (GDPR). https://eur-lex.europa.eu/eli/reg/2016/679/oj