Безпека

Паролі додатків замість пароля до пошти

Gmail дозволяє створити окремий пароль додатка, а Onet теж, якщо ввімкнено двоетапну перевірку. Такий пароль працює тільки в поштових програмах, і ви можете будь-коли відкликати його в провайдера. multiboxi тоді втрачає доступ, а ваш основний пароль не змінюється.

Деякі провайдери (наприклад, DreamHost) не мають паролів додатків. Тоді ви підключаєте скриньку її паролем.

Шифрування

Паролі до скриньок ми зберігаємо в зашифрованому вигляді (AES-256-GCM). Кожен обліковий запис має власний ключ, а головний ключ не зберігається в базі даних.

Це не наскрізне шифрування (end-to-end): сервер multiboxi мусить розшифрувати пароль, щоб підключитися до вашої скриньки. Тому ми захищаємо і сам сервер, і доступ до нього.

З’єднання з поштовими провайдерами зашифровані (TLS), а сайт і застосунок працюють тільки через HTTPS.

Вхід до multiboxi

• Двоетапний вхід обов’язковий: пароль і код із додатка для автентифікації.
• Резервні коди на випадок утрати телефона.
• Лист, коли хтось входить із нового пристрою.
• Список пристроїв, з яких виконано вхід, і вихід на всіх пристроях однією кнопкою.
• Обмеження кількості спроб входу і блокування після багатьох неправильних кодів.

Що ми зберігаємо, а чого ні

Зберігаємо: ваш обліковий запис, налаштування скриньок, зашифровані паролі до скриньок і список папок із кількістю листів.

Не зберігаємо вмісту листів і вкладень. multiboxi завантажує лист від провайдера, коли ви його відкриваєте.

У майбутньому додамо режими з копією листів (швидший пошук у вмісті). Вони будуть вимкнені, доки ви самі не ввімкнете їх для вибраної скриньки, і тоді ми точно скажемо, що зберігаємо.

Показ листів

Вміст листа очищується від коду, який міг би зашкодити, і показується в ізольованій рамці. Зображення з інтернету заблоковані, доки ви їх не покажете, тож відправник не дізнається в такий спосіб, що ви відкрили лист.

Хто має доступ до вашої пошти

У застосунку немає функції, яка давала б комусь іншому, зокрема адміністраторові multiboxi, доступ до ваших скриньок.

Ми шифруємо паролі, але ключі зберігаються на нашому сервері, тож технічно людина з доступом до сервера могла б їх розшифрувати. Доступ до сервера має тільки постачальник послуг. Винятки (усунення збою за вашою згодою, порушення безпеки, юридичний обов’язок) опишуть Правила сервісу.

Ми не читаємо вашу пошту і не використовуємо її для реклами, профілювання чи навчання штучного інтелекту.

Де зберігаються дані

Сервери multiboxi працюють у Європейському Союзі, в OVHcloud. Резервні копії бази даних потрапляють до іншого центру обробки даних OVHcloud в ЄС і захищені від видалення протягом 30 днів. Вмісту листів у них немає, бо ми його не зберігаємо.

Якщо ви додаєте скриньку провайдера з-поза Європейської економічної зони (наприклад, DreamHost у США), майстер повідомить про це під час додавання і попросить вашої згоди.

Як ми перевіряємо multiboxi

Кожну версію перед випуском перевіряють автоматичні тести, перевірка коду двома агентами ШІ на різних моделях і пробна атака, яку проводить агент ШІ. Це не зовнішній аудит безпеки.

Видалення облікового запису

Обліковий запис можна видалити в налаштуваннях. Тоді ми видаляємо обліковий запис, налаштування і зашифровані паролі; з резервних копій вони зникнуть приблизно за 32 дні. Довше залишаються тільки дані, які ми мусимо зберігати, наприклад підтвердження прийняття Правил і журнал подій безпеки, без адрес скриньок і вмісту листів. Пошту у ваших провайдерів ми не чіпаємо.

Повідомте про проблему з безпекою

Якщо ви знайшли помилку безпеки, напишіть на info@multiboxi.com. Ми відповімо і розповімо, що виправили.