Опись: что мы будем о вас хранить

Опись печатается по мере решений: решённое становится её первыми строками.

Что будем хранить

Что будем хранить, зачем и сколько, и то, что вы включите сами.

Аккаунт и вход

• Ваши адреса и алиасы. Зачем: без них письмо не найдёт ваш ящик. Сколько: пока есть аккаунт.
• Запись для входа по паролю (OPAQUE). Сам пароль к нам не будет попадать даже при входе. Зачем: чтобы проверять пароль, не узнавая его. Сколько: пока есть аккаунт.
• Ваши ключи, только в обёртках, которые будут открываться вашим паролем, фразой восстановления или passkey. Открыть их без вас мы не сможем. Новое устройство будет получать ключ со старого в зашифрованном виде: по дороге прочитать его мы не сможем. Зачем: чтобы ключи получали ваши устройства, а мы нет. Сколько: пока есть аккаунт.
• Открытые ключи ваших адресов, в открытом журнале ключей. Зачем: чтобы другие могли шифровать письма вам, а подмену ключа можно было обнаружить: Methmail будет сверять ключи с журналом. Исключить подмену заранее журнал не сможет, а внешние PGP-программы его не проверяют. Сколько: журнал будет только дописываться.
• Запись о вашем адресе в журнале ключей после удаления аккаунта. Адрес и так будет храниться там не открыто, а необратимым хэшем с доказательством (VRF). После удаления ключ заменится отметкой удаления; хэш адреса и технические данные для проверки журнала (commitments) останутся. Прочитать адрес по хэшу нельзя, но мы сможем подтвердить или опровергнуть чужую догадку, был ли у нас такой адрес. Зачем: чтобы журнал нельзя было тихо переписать. Сколько: навсегда.
• Хэш удалённого адреса или алиаса на домене Methmail. Сам адрес хранить не будем. Зачем: чтобы адрес нельзя было занять повторно, иначе новый владелец получал бы письма прежнего, в том числе сбросы паролей от других сервисов. Сколько: навсегда.
• Открытые части ваших passkeys и аппаратных ключей и счётчик использований каждого: так устроен стандарт (WebAuthn). У passkeys, которые синхронизируются между устройствами, он обычно равен нулю. Зачем: чтобы проверять вход. Сколько: пока ключ не удалён.
• Секрет для кодов 2FA из приложения-аутентификатора, зашифрованный нашим служебным ключом. Сервер должен его знать, чтобы проверять коды: так устроен TOTP. Passkey такого секрета не требует. Зачем: чтобы проверять коды. Сколько: пока включена 2FA.
• Ваши сессии: случайный номер; открытая часть ключа устройства, которым будет подписан каждый запрос; название устройства, зашифрованное вашим ключом: его будете видеть только вы. Даты сессии будем хранить с точностью до дня: день входа и день последнего использования, без времени. Зачем: чтобы вы видели и отзывали любую сессию и понимали, каким устройством давно не пользовались. Сколько: до выхода, отзыва или 30 дней без использования, но не дольше 90 дней после входа.
• Резервный e-mail, только хэшем. Он будет необязательным. Если вы его укажете, мы будем хранить только его хэш: при сбросе пароля вы введёте адрес сами. Выдать ваш резервный адрес мы не сможем, а сможем лишь подтвердить или опровергнуть чужую догадку. Когда вы будете указывать резервный адрес и сбрасывать пароль, сервер будет видеть его: чтобы посчитать хэш и отправить ссылку. При сбросе почтовый сервис этого адреса увидит письмо от Methmail, но адреса вашего ящика в нём не будет. По решению суда нас смогут обязать записать адрес в один из этих моментов (исключения: раздел 4). Зачем: чтобы вы могли восстановить доступ, а у нас не было вашего второго адреса. Сколько: пока адрес указан.
• Служебное состояние аккаунта: день создания; уровень доверия для отправки, «новый» или «проверенный»; статус отправки: разрешена или приостановлена, и одна причина из четырёх: жалобы, недоставка, проверка задержала письмо, решение команды; отложенные изменения безопасности и час, когда они вступят в силу: внешняя пересылка, новые способы восстановления (в том числе passkey, у которого включено восстановление доступа), сброс пароля и удаление аккаунта без фразы восстановления или passkey, у которого включено восстановление доступа, смена пароля или второго фактора из сессии младше 7 суток без фразы или passkey, у которого включено восстановление доступа; статусы доставки ваших писем на внешние адреса, с часом, до которого статус хранится: по нему будет виден час отправки. Зачем: лимиты против спама будут расти с возрастом аккаунта; эти отложенные изменения будут вступать в силу через 7 суток (через 72 часа, если на каком-то вашем устройстве вход выполнен больше недели назад); чтобы показать, дошло ли письмо. Сколько: пока есть аккаунт; приостановка отправки, пока её не снимут, а после снятия её не останется в данных аккаунта, но действие сотрудника останется в журнале действий сотрудников (1 год); отложенные изменения до срабатывания или отмены; статусы доставки, пока ваше устройство их не забрало, но не дольше 48 часов.
• Счёт отправки за сутки: сколько писем и получателей ушло с ящика на другие сервисы за текущие сутки. Зачем: дневные и часовые пределы отправки. Сколько: до конца суток по UTC, потом будет удалён; в ежедневные копии не попадёт.
• Час последнего письма у нового ящика: в первые 7 дней после создания ящика будем хранить час последнего письма на другие сервисы, только за текущие сутки. Зачем: предел писем в час для новых ящиков. Сколько: до конца суток; в ежедневные копии не попадёт.

Если вы включите сами. По умолчанию этого не будет:

• Серверные правила фильтрации. Они будут храниться открыто, и вы увидите об этом предупреждение. Зачем: чтобы правило работало, пока ваши устройства выключены. Сколько: пока правило есть.
• Адрес пересылки на другой сервис. Пересылаться будут только письма, пришедшие с других сервисов без шифрования, и уходить они будут открытым текстом; вы увидите об этом предупреждение. Письма от пользователей Methmail и по PGP сервер переслать не сможет. Зачем: чтобы пересылать. Сколько: пока пересылка включена.
• Журнал ваших входов с IP. Он будет зашифрован вашим ключом, прочитать его сможете только вы. Зачем: чтобы вы видели, откуда входили. Сколько: 90 дней, потом журнал удалится; вы сможете удалить его раньше.
• Сколько записей в журнале входов по неделям, если вы его включите, то есть сколько раз в неделю выполнялся вход. Сами записи (время, устройство, IP) будут зашифрованы вашим ключом. Зачем: чтобы стирать записи через 90 дней, не читая их. Сколько: 90 дней.

Почта

Содержимое будем хранить только зашифрованным вашими ключами: текст, вложения, тему, отправителя и получателей, дату с часами, черновики, контакты, названия папок и меток, фильтры (кроме серверных правил, которые вы включите сами), подписи, автоответы, настройки. Поисковый индекс будет строиться на ваших устройствах. Если его копия будет попадать на сервер, то только зашифрованной вашими ключами. Границы этой защиты описаны в разделе «Чего Methmail не сможет».

Открыто сервер будет хранить:

• Номера писем, папок и меток и что в какой лежит. Номера будут случайными, без времени внутри; названия ваших папок и меток будут зашифрованы. Зачем: чтобы класть входящие во «Входящие» или «Спам» и синхронизировать ваши устройства. Сколько: пока письмо есть.
• Какая папка в какой лежит, без названий. Зачем: чтобы на всех ваших устройствах было одно дерево папок. Сколько: пока папка есть.
• Число вложений знать не будем: вложения будут лежать внутри письма, одним зашифрованным сообщением, и сервер будет знать только ступеньку размера всего письма.
• Число пачек контактов. Контакты будут храниться пачками до 250, одинакового размера, поэтому сколько у вас контактов, мы будем видеть только с точностью до 250. Зачем: синхронизация контактов. Сколько: пока есть контакты.
• Отметки «прочитано» и «важное». Зачем: чтобы на всех устройствах было одинаково. Сколько: пока письмо есть.
• Размер письма, округлённый до ступеньки. Зачем: чтобы считать место; по ступеньке содержимое не угадать. Сколько: пока письмо есть.
• Дата получения: только день, без часов и минут. Точное время останется лишь в технических журналах (7 дней) и в архиве изменений базы (24–48 часов). Зачем: чтобы показывать письма по порядку. Сколько: пока письмо есть.
• Решение антиспама: спам или нет. Зачем: чтобы письмо сразу легло в нужную папку. Сколько: пока письмо есть.
• Откуда письмо: от пользователя Methmail (со сквозным шифрованием) или с другого сервиса (зашифровано при приёме). Зачем: чтобы показать вам, как защищено письмо. Сколько: пока письмо есть.
• Счётчик синхронизации. Зачем: чтобы устройства знали, что изменилось. Сколько: пока есть аккаунт.
• Занятое место. Зачем: тариф и лимиты. Сколько: пока есть аккаунт.

Приглашения и оплата

• Сколько приглашений у вас осталось: число, без того, кому вы их отдали. Зачем: лимит в 5 приглашений в год на платных тарифах. Сколько: пока есть аккаунт.
• Хэши использованных кодов. Кто выдал и кто использовал, записано не будет. Зачем: чтобы код нельзя было использовать дважды. Сколько: пока действует партия кодов, потом удалим. Как устроены приглашения, ниже.
• Тариф и до какого дня он оплачен. Зачем: чтобы тариф работал. Сколько: пока есть аккаунт.
• Хэши использованных подтверждений оплаты. Кто платил и за какой ящик, записано не будет. Зачем: чтобы одно подтверждение нельзя было использовать дважды. Сколько: квартал, пока ключ выдаёт подтверждения, и ещё квартал.
• В платёжном сервисе, по каждому заказу: номер заказа, номинал, способ оплаты и месяц. Ни ящика, ни подтверждения. Зачем: бухгалтерия и возвраты. Сколько: срок по закону.
• На нашем сервере приёма криптовалюты (BTCPay), по каждому счёту: номер заказа, сумма и курс, адрес Bitcoin или счёт Lightning, транзакции и точное время счёта и оплаты. Ни ящика, ни аккаунта. Зачем: чтобы принять платёж и сверить его. Сколько: срок по закону.
• В платёжном сервисе, если вы попросите вернуть криптовалюту: адрес для возврата рядом с заказом. Зачем: чтобы вернуть деньги. Сколько: до решения по возврату, потом адрес сотрётся.
• В платёжном сервисе, по каждой подписке: номер подписки у Stripe, хэш секрета подписки и подтверждения на будущие сроки, пока ваше устройство их не заберёт. Ни ящика, ни аккаунта. Зачем: чтобы продлевать, не связывая подписку с ящиком. Сколько: пока подписка действует; готовые подтверждения: до получения, но не дольше льготного срока и ещё 30 дней.

В бете оплаты не будет.

Технические журналы

Сроки у строк разные: 7 дней, 30 дней и 1 год.

• Журнал приёма писем на Methmail: минута; домен и хэш остальной части адреса на ключе, который будет меняться каждые сутки и уничтожаться через 7 дней; код ответа сервера; версия TLS; ступенька размера; решение антиспама без подробностей о содержимом. Пока ключ жив, по хэшу можно будет проверить догадку, в том числе для адресов наших пользователей. Зачем: чтобы разбирать, почему письмо не дошло. Сколько: 7 дней.
• Журнал отправки писем на другие сервисы, по строке на каждого получателя и попытку: минута; псевдонимы ящика и получателя на ключе, который будет меняться каждые сутки; итог и код ответа сервера получателя; правило TLS; номер попытки; размер, округлённый до ступеньки. Без адресов, доменов и IP. Зачем: чтобы разбирать, почему письмо не ушло. Сколько: 7 дней.
• IP чужих почтовых серверов, которые присылают письма на Methmail. Не ваш IP. Зачем: репутация отправителей и защита от спама. Сколько: до 30 дней.
• Журнал запросов веб-версии к серверу: минута, какой запрос, результат, длительность. Номер аккаунта попадёт туда, только если без него не разобрать сбой, и тогда хэшем на суточном ключе. IP там не будет. Зачем: чтобы чинить сбои. Сколько: 7 дней.
• Попытки входа: успех или отказ и тип фактора. IP там не будет. Зачем: чтобы видеть атаки на вход. Сколько: 7 дней.
• Журнал действий сотрудников: кто, когда и что сделал с инфраструктурой. Зачем: чтобы любое действие с системой было видно и его нельзя было изменить. Сколько: 1 год.

Список полей журналов опубликуем. Новое поле без проверки на безопасность не появится.

Резервные копии

• Ежедневные копии всех данных из разделов «Аккаунт и вход», «Почта» и «Приглашения и оплата»: шифротекст и открытые поля, поверх ещё раз зашифрованные нашим ключом. Они будут лежать у второго провайдера в другой стране. Технические журналы в копии не попадут: они будут храниться только на своих узлах, в пределах своих сроков. Зачем: чтобы не потерять вашу почту при аварии. Сколько: 30 дней; удалённое вами физически исчезнет из копий не позже чем через 30 дней.
• Архив изменений базы для восстановления на нужный момент. В нём будет точное время записи. Зачем: откат после сбоя. Сколько: 24–48 часов.

Если вы удалите аккаунт, живые данные и все обёртки ваших ключей удалим с наших серверов, как только удаление вступит в силу: через 72 часа, если у вас есть устройство, на котором вы вошли больше недели назад, а если такого нет, через 7 суток. Сразу оно вступит в силу, только если подтвердить его фразой восстановления или passkey, у которого включено восстановление доступа. Пока идёт отсчёт, удаление можно будет отменить, аккаунт и адреса останутся вашими и почта будет приходить. Удаление аккаунта само не сотрёт копии на ваших устройствах: Methmail предложит стереть копии и в браузере, решать будете вы. В резервных копиях обёртки пролежат ещё до 30 дней, а потом исчезнут и физически. Прочитать резервные копии без вас будет нельзя: для этого нужен ваш пароль, фраза восстановления, passkey или устройство, на котором вы входили в аккаунт. Адреса на домене Methmail, включая алиасы, останутся занятыми навсегда, в том числе для вас: так их не получит новый владелец. Адресами на собственном домене будет распоряжаться владелец домена.

Что вы пришлёте нам сами

• Если вы сообщите о подмене ключа (кнопка «Сообщить нам»): адрес собеседника, оба отпечатка, доказательство журнала, номер версии Methmail и время с точностью до минуты. Без вашего аккаунта и IP-адреса. Текста письма, темы и других получателей в отчёте не будет, и всё, что уйдёт, вы увидите до отправки. Зачем: чтобы разобраться, была ли атака. Сколько: до разбора, но не дольше 90 дней.

Остальное печатается.

Чего в этом списке не будет

Текста и вложений, темы, отправителей и получателей, контактов, названий папок в открытом виде. Поискового индекса в открытом виде: если его копия будет попадать на сервер, то только зашифрованной вашими ключами. Точного времени писем: оно останется лишь в технических журналах (7 дней), в архиве изменений базы (24–48 часов) и в очереди отправки, пока письмо на внешний адрес ждёт доставки (до 48 часов). Час отправки письма на внешний адрес будет виден в статусе доставки, пока ваше устройство его не забрало, но не дольше 48 часов. Вашего IP, кроме журнала входов, который вы включите сами и прочитать сможете только вы. Номера телефона. Резервного адреса: только хэш. Адреса удалённого аккаунта: только хэш. Того, кто кого пригласил (как устроены приглашения). Данных карты.

Что может потребовать суд: раздел 4.

Что будем видеть, но не хранить

То, что будет проходить через сервер в момент доставки и нигде не будет храниться, кроме очереди отправки и отдельных полей технических журналов на ограниченный срок.

• Письмо с другого сервиса: текст, тему, адреса. В момент приёма, в памяти, пока будем проверять его на спам и вирусы. Потом сразу зашифруем его вашим ключом и только после этого подтвердим приём. На диск открытым текстом оно не попадёт.
• Письмо, которое вы отправите на другой сервис без PGP. Оно будет лежать в очереди отправки до 48 часов, на томе, зашифрованном нашим ключом, и удалится сразу после доставки или отказа. Копия в ваших «Отправленных» будет шифротекстом, который создаст ваше устройство.
• Кто кому пишет. Мы не будем хранить, кто кому пишет: отправитель и получатели будут лежать зашифрованными вместе с письмом. В технических журналах приёма 7 дней будут храниться минута, домен и хэш остальной части адреса на ключе, который через 7 дней будет уничтожен. В журнале отправки 7 дней будут храниться минута и вместо ящика и получателя псевдонимы на ключе, который будет меняться каждые сутки и нигде не будет записываться: за сутки по ним будет видно, что один ящик писал одному адресату несколько раз, но не кто это. Пока ключ жив, по хэшу можно будет проверить догадку, в том числе для адресов наших пользователей. Письмо на внешний адрес будет ждать в очереди отправки до 48 часов, а в архиве изменений базы 24–48 часов будет точное время записи писем. В момент доставки сервер будет видеть, кто кому пишет; по решению суда нас смогут обязать начать это записывать и выдать журналы за последние 7 дней (исключения: раздел 4).
• Ваш IP при подключении. По умолчанию записывать его не будем. В памяти из него будут считаться счётчики против перебора пароля и спама, по ключу, который меняется: до 24 часов для входа, до 7 дней для репутации. Исключения: раздел 4.
• Адреса картинок из писем, если вы решите их показать. Картинку вместо вас скачает наш прокси; адрес мы не запишем, а ваш IP наружу не передадим. По умолчанию картинки загружаться не будут.
• Приглашения. Когда вы будете брать приглашение, сервер увидит, что ваш аккаунт взял одно, но не увидит сам код: его создаст ваше устройство, а сервер заверит вслепую. Когда кто-то будет регистрироваться по коду, сервер увидит код, но не узнает, кто его выдал. Сервер будет видеть, когда аккаунт берёт приглашение и когда кто-то им пользуется: если в это время почти никто больше приглашений не брал и не использовал, связь можно будет угадать по времени.
• Письма на другие сервисы. Письма на другие сервисы уходят открытым текстом. Чтобы с наших адресов не рассылали спам, мы считаем, сколько писем уходит с ящика, и следим за жалобами и недоставкой. Текст писем на другие сервисы автоматически проверяется на шаблоны массовых ложных угроз (например, «минирований»); при совпадении письмо задерживается до проверки человеком. Содержимое писем внутри Methmail мы не проверяем.
• Адрес получателя на другом сервисе, когда мы ищем его ключ PGP. Запрос пойдёт через наш прокси, только когда адрес введён полностью; записывать и кешировать его не будем.
• Ваш IP-адрес, когда вы будете отправлять отчёт о подмене ключа. В момент отправки отчёта; записывать его не будем.
• Оплата. В момент оплаты сервер увидит заказ, время и IP-адрес. Платёжный сервис будет хранить только месяц заказа, наш сервер приёма криптовалюты ещё и точное время счёта и оплаты, а у аккаунта будет записан день, до которого оплачен тариф. IP не будет храниться нигде.
• Включение оплаченного тарифа. Сервер увидит, какой аккаунт включает тариф какого номинала. Хранить будет только новый срок, а хэш подтверждения будет держать отдельно от аккаунта.
• Продление подписки. Когда вы откроете Methmail около даты продления, ваше устройство заберёт подтверждение у платёжного сервиса; в этот момент связь тоже можно будет увидеть по времени и адресу.
• Что Stripe или BTCPay пришлют о покупке. Будем хранить номер заказа, сумму, статус и месяц. Остальное сохранять не будем.
• Ваш резервный адрес, когда вы будете его указывать и сбрасывать пароль: чтобы посчитать хэш и отправить ссылку. Записывать его не будем. Исключения: раздел 4.

Остальное печатается.

Что получат другие

Кто вне Methmail что-то увидит о вас и что именно.

• Почтовый сервис вашего адресата на другом сервисе. Письмо без PGP будет уходить к нему незашифрованным, и он сможет его прочитать. Тема и адреса будут видны ему всегда.
• Ваш прежний почтовый сервис, если вы переносите почту. Он увидит, что вы запросили выгрузку всех писем, а если письма скачивает почтовая программа, то её вход по паролю приложения, IP-адрес вашего устройства и то, что программа скачивает письма. По этим следам он может понять, что вы переезжаете. Если вы включите пересылку, он будет знать ваш новый адрес.
• Stripe, если вы платите картой. Имя, карту, страну, IP и данные устройства для защиты от мошенничества. Какой ящик оплачен, Stripe знать не будет, если подписка не связана с ящиком.
• Любой, если вы платите в Bitcoin. Платёж в Bitcoin увидит любой в публичном блокчейне.
• Узлы Lightning и сервис вашего кошелька, если вы платите через Lightning. Узлы на пути платежа увидят сумму и время, а сервис вашего кошелька может понять, что вы платите Methmail.
• Почтовый сервис вашего резервного адреса. Когда вы будете сбрасывать пароль, он получит письмо от Methmail со ссылкой. Адреса вашего ящика Methmail в письме не будет.
• Любой, кто спросит каталог ключей. Он узнает, существует ли адрес на Methmail, и получит его открытый ключ. Так работают открытые ключи: иначе вам не смогут написать зашифрованное письмо. Частота запросов будет ограничена. Удалённый адрес каталог будет показывать как несуществующий.
• Провайдеры, у которых будут стоять наши серверы и резервные копии. У них будут наши диски: на них шифротекст и поля из раздела «Что будем хранить»; копии будут ещё раз зашифрованы нашим ключом.
• Сервисы репутации отправителей. Они получат IP чужих почтовых серверов, которые присылают письма на Methmail. Ваших данных там не будет.

Остальное печатается.

Что нас смогут обязать сделать

Что может потребовать суд и чего не может.

• Смогут обязать. Суд страны, где будут стоять наши серверы, или страны, где живут люди из команды, сможет обязать нас начать записывать IP-адреса конкретного аккаунта; сохранять его будущие входящие письма с других сервисов до шифрования; копировать его будущие письма на другие сервисы без PGP; записать резервный адрес в момент, когда его указывают или вводят при сбросе пароля; выдать то, что перечислено в разделе «Что будем хранить» (технические журналы там тоже есть, в пределах их сроков), и письма на внешние адреса, которые ещё ждут отправки (до 48 часов, пока они лежат в очереди).
• Веб-версия. Веб-версия Methmail будет загружать код с нашего сервера при каждом входе. Поэтому нельзя будет полностью исключить, что одному человеку отдадут изменённую версию, если наш сервер взломают или нас к этому принудят. Приложений у Methmail к запуску не будет: если вам угрожает тот, кто может этого от нас добиться, учитывайте этот риск.
• Не смогут. Получить задним числом то, чего мы не будем хранить. Выдать хранимые письма и ключи: у нас их не будет в открытом виде. Узнать, кто кого пригласил: даже по приказу связь кода с пригласившим мы не узнаем, сервер кода не увидит. Останется догадка по времени.
• Оплата. По приказу мы сможем выдать по ящику только то, до какого дня он оплачен: чем и кем, мы знать не будем. Вместе с записями Stripe или сервера приёма криптовалюты этот день может указать на плательщика, если в тот день этот тариф оплатили немногие.
• Что защитит вас и от нас. К запуску веб-версия Methmail будет доступна через Tor: в Tor Browser на компьютере, на стандартном уровне безопасности. Tor скрывает ваш IP даже от нас. Письма, которые отправитель сам зашифровал на настоящий ключ получателя (PGP или Methmail), мы не сможем прочитать и при приёме. Подмену ключа Methmail сможет обнаружить по журналу ключей, но не исключить заранее; внешние PGP-программы журнал не проверяют (см. «Чего Methmail не сможет»).
• Как будем отвечать на запросы. Будем проверять законность, при сомнении оспаривать, выдавать минимум и уведомлять вас, если это не запрещено. Раз в полгода будем публиковать отчёт о прозрачности: сколько запросов пришло от властей, сколько мы исполнили и что выдали.

Остальное печатается.