Porquê confiarnum cliente feito por uma pessoa?
Pela minha palavra? Não devias — e esta página não to pede. Cada promessa abaixo nomeia o mecanismo que a faz cumprir: para onde vai a tua palavra-passe, o que um modelo pode tocar, como sais, e como isto é pago. O que não está publicado não está nesta página.
Os compromissos
- A tua palavra-passe
- Desta máquina para o teu fornecedor, e fica por aí — guardada no porta-chaves do sistema, ou num ficheiro cifrado que só a tua conta abre. Os clientes que a fazem passar por uma nuvem própria guardam lá também uma cópia do teu correio; aqui não há nada por onde a fazer passar.
- O armazenamento
- O teu correio é um ficheiro SQLCipher no teu próprio disco. A chave está no teu porta-chaves, ou atrás de um envelope Argon2id que a tua frase-passe abre — e o índice de pesquisa está cifrado em repouso com uma chave derivada dessa mesma.
- O que um modelo pode tocar
- Nada, até ligares um. O consentimento é por funcionalidade e por conta, em três níveis — completo, só o envelope, ou desligado, em que desligado significa que nenhum modelo lê essa conta de todo. Apertá-lo apaga o que já tinha sido derivado; uma conta que acrescentes começa no completo.
- Quando sai
- Mandar uma conversa a um fornecedor que configuraste levanta um aviso que o nomeia, uma vez por conversa. O teu próprio rascunho e os teus próprios termos de pesquisa não o levantam — essas são palavras tuas, não do teu correspondente.
- O que um agente pode fazer
- Ler, pesquisar, arquivar e escrever rascunhos. O envio está desligado até o concederes, e a recusa acontece em Rust, não na interface. Cada ação fica num registo de auditoria com um Reverter ao lado; as duas sem retorno — um rascunho e um envio — recusam em vez de fingir.
- A saída
- Qualquer mensagem se escreve como .eml a partir dos bytes que chegaram, e di-lo no seu próprio cabeçalho onde esses não foram guardados. O correio volta a entrar a partir de mbox e .eml. Não há botão para exportar a caixa inteira: o armazenamento já é um ficheiro que tens.
- Nada está a observar
- Sem publicidade, sem analítica, sem telemetria. As imagens remotas ficam bloqueadas até autorizares o remetente, os pixéis de rastreio são retirados mesmo para remetentes autorizados, e nada do que envias leva um. Os relatórios de falhas estão desligados até os ligares, e o único endereço que alcança sozinho e que não é o teu fornecedor é o GitHub, a perguntar por atualizações.
- O que fala
- IMAP com CONDSTORE e QRESYNC, JMAP com push e Sieve do lado do servidor, Gmail pela sua própria API, Microsoft 365 por Graph, POP3. O OpenPGP assina e cifra nos dois sentidos, indo buscar chaves ao próprio domínio do teu correspondente. O S/MIME só lê — verifica e decifra, e nunca assina.
- A parte que podes ler
- O modelo de capacidade em que a bateria corre é o @kumbatio/energy-system — MIT, no npm e no GitHub, por isso o que decide quando o teu correio fica retido é legível. O cliente em si não é de código aberto: ainda não foi escolhida licença.
Como isto é pago
- O preço
- Por decidir. Não há nenhum número neste sítio, nenhuma tabela de planos e nada a pagar — a beta pede um endereço e mais nada.
- Já excluído
- Nunca uma licença vitalícia — é a promessa que esta categoria quebra com mais frequência. Nunca uma barreira paga no adiamento, no envio diferido, na anulação, nas regras, na caixa unificada ou na pesquisa: cobrar por isso é cobrar-te por ser um cliente de correio.
- Não é pago por
- Publicidade — não há código publicitário na aplicação. O teu correio — nenhum assunto, remetente ou corpo é mandado para outro lado que não o teu fornecedor. Revenda — não se recolhe nada que pudesse ser revendido.
- Se eu parar
- O teu correio é um ficheiro SQLCipher no teu próprio disco com uma chave que tens, e cada mensagem se escreve num formato normal. Sair não exige em momento algum que eu ainda cá esteja. O que não vais ter é um plano de encerramento que não construí.
- O formulário desta página
- Guarda o teu endereço, o que usas agora e o que detestas nisso. É essa a tabela toda.