Bezpieczeństwo

Hasła aplikacji zamiast hasła do poczty

Gmail pozwala utworzyć osobne hasło do aplikacji, a Onet przy weryfikacji dwuetapowej. Takie hasło działa tylko w programach pocztowych i unieważnisz je u dostawcy w każdej chwili. multiboxi traci wtedy dostęp, a Twoje główne hasło się nie zmienia.

Niektórzy dostawcy (np. DreamHost) nie mają haseł aplikacji. Wtedy łączysz skrzynkę jej hasłem.

Szyfrowanie

Hasła do skrzynek przechowujemy zaszyfrowane algorytmem AES-256-GCM. Każde konto ma własny klucz, a klucz główny nie jest przechowywany w bazie danych.

To nie jest szyfrowanie end-to-end: serwer multiboxi musi odszyfrować hasło, żeby połączyć się z Twoją skrzynką. Dlatego chronimy też sam serwer i dostęp do niego.

Połączenia z dostawcami poczty są szyfrowane (TLS), a strona i aplikacja działają wyłącznie przez HTTPS.

Logowanie do multiboxi

• Logowanie dwuetapowe jest obowiązkowe: hasło i kod z aplikacji uwierzytelniającej.
• Kody zapasowe na wypadek utraty telefonu.
• E-mail, gdy ktoś zaloguje się z nowego urządzenia.
• Lista zalogowanych urządzeń i wylogowanie wszędzie jednym przyciskiem.
• Limity prób logowania i blokada po wielu błędnych kodach.

Co przechowujemy, a czego nie

Przechowujemy: Twoje konto, ustawienia skrzynek, zaszyfrowane hasła do skrzynek oraz listę folderów z liczbą wiadomości.

Nie przechowujemy treści wiadomości ani załączników. multiboxi pobiera wiadomość od dostawcy, gdy ją otwierasz.

W przyszłości dodamy tryby z kopią wiadomości (szybsze wyszukiwanie w treści). Będą wyłączone, dopóki sam ich nie włączysz dla wybranej skrzynki, i wtedy powiemy dokładnie, co zapisujemy.

Wyświetlanie wiadomości

Treść wiadomości jest oczyszczana z kodu, który mógłby zaszkodzić, i wyświetlana w odizolowanej ramce. Obrazy z internetu są zablokowane, dopóki ich nie pokażesz, więc nadawca nie dowie się w ten sposób, że otworzyłeś wiadomość.

Kto ma dostęp do Twojej poczty

W aplikacji nie ma funkcji, która dawałaby komuś innemu, także administratorowi multiboxi, wgląd w Twoje skrzynki.

Hasła szyfrujemy, ale klucze są na naszym serwerze, więc technicznie osoba z dostępem do serwera mogłaby je odszyfrować. Dostęp do serwera ma tylko usługodawca. Wyjątki (usunięcie awarii za Twoją zgodą, naruszenie bezpieczeństwa, obowiązek prawny) opisze Regulamin usługi.

Nie czytamy Twojej poczty i nie używamy jej do reklam, profilowania ani trenowania sztucznej inteligencji.

Gdzie są dane

Serwery multiboxi działają w Unii Europejskiej, w OVHcloud. Kopie zapasowe bazy trafiają do innego centrum danych OVHcloud w UE i są chronione przed usunięciem przez 30 dni. Nie ma w nich treści maili, bo jej nie przechowujemy.

Jeśli dodasz skrzynkę u dostawcy spoza Europejskiego Obszaru Gospodarczego (np. DreamHost w USA), kreator powie o tym przy dodawaniu i poprosi o Twoją zgodę.

Jak sprawdzamy multiboxi

Każdą wersję przed wydaniem sprawdzają testy automatyczne, przegląd kodu przez dwa agenty AI działające na różnych modelach i próbny atak prowadzony przez agenta AI. To nie jest zewnętrzny audyt bezpieczeństwa.

Usunięcie konta

Konto usuniesz w ustawieniach. Usuwamy wtedy konto, ustawienia i zaszyfrowane hasła; z kopii zapasowych znikną w ciągu ok. 32 dni. Dłużej zostają tylko dane, które musimy przechowywać, np. potwierdzenie akceptacji Regulaminu i dziennik zdarzeń bezpieczeństwa, bez adresów skrzynek i treści wiadomości. Poczta u Twoich dostawców zostaje nietknięta.

Zgłoś problem z bezpieczeństwem

Jeśli znajdziesz błąd bezpieczeństwa, napisz na info@multiboxi.com. Odpowiemy i poinformujemy, co poprawiliśmy.