Un cliente de Gmail privado para Mac que nunca ve tu correo

Un cliente de correo privado es una afirmación que deberías poder comprobar. Esta página explica la arquitectura detrás de la versión de Hark de esa afirmación — tu correo nunca pasa por nuestros servidores — con detalle suficiente para hacerlo, incluido el pequeño conjunto de cosas que sí nos llegan, los terceros con los que puede tener contacto un mensaje y los ajustes que deciden cada uno.

El esquema

Dos partes: tu Mac y Google. Hark se ejecuta en la primera y se comunica con la segunda a través de las API de Gmail, Calendar, Tasks y People de Google, mediante TLS, desde tu equipo. No hay ningún tercero en ese camino. No tenemos ningún servidor que sincronice, retransmita, indexe, haga copias de seguridad o “acelere” tu correo, así que no hay ninguna copia en nuestra infraestructura que pueda ser atacada, requerida judicialmente o filtrada.

No es una decisión de política que se pueda revertir discretamente en una versión posterior; es cómo está hecha la app. El motor de sincronización vive en la app, y poner un servidor en medio obligaría a reconstruirlo en torno a él.

Dónde están tus datos, exactamente

• Tus tokens de Google: en el Llavero de macOS. Las credenciales que permiten a Hark actuar en tu cuenta se guardan como elementos del Llavero, cifrados y con acceso controlado por macOS. Nunca se escriben en los archivos propios de Hark.
• Tu caché: en Application Support, legible solo por ti. Los mensajes, eventos y tareas se guardan en una base de datos local en ~/Library/Application Support/Hark, una carpeta por cuenta, con permisos de archivo que solo permiten leerla a tu usuario. Los archivos adjuntos descargados se guardan en caché en ~/Library/Caches/Hark; las imágenes remotas, las fotos de remitentes y los logotipos en caché, en ~/Library/Caches/hark-url-cache, ~/Library/Caches/hark-image-cache y en el almacén WebKit de la app, todo dentro de tu propia carpeta Library. FileVault lo cifra todo en reposo. Hark no añade una capa de cifrado propia por encima — lo decimos claramente para que puedas decidir si FileVault te importa.
• Tu configuración: en un archivo de preferencias. La posición de las ventanas, las vistas elegidas y cosas por el estilo están en el archivo de preferencias normal de macOS para la app, junto con tus búsquedas recientes (las últimas 25) y los identificadores de las conversaciones que has silenciado. Ningún contenido de mensajes va en él.
• Al cerrar sesión: revocado, eliminado y borrado. Hark revoca su autorización en Google, elimina los elementos del Llavero y borra del disco la caché de esa cuenta.

Lo que sí nos llega, y cuándo

En el uso normal — leer, escribir, organizar, mirar tu semana —, nada sobre tu correo. Cinco cosas implican un servidor nuestro; cuatro de ellas solo ocurren cuando tú actúas:

• Contar los Mac activos. Una vez al día, mientras Hark está abierto, envía a logs.harkmail.app un identificador de uso aleatorio creado solo para esto, la fecha, la versión, la compilación y el canal de actualización de Hark, y la versión principal de macOS. No está vinculado a ninguna cuenta y no lleva nada de tu correo; el servidor no guarda ninguna dirección IP y elimina los registros al cabo de 13 meses.
• Buscar actualizaciones. Una vez que permites las comprobaciones automáticas (Hark lo pregunta la segunda vez que lo abres), descarga un pequeño archivo con la lista de actualizaciones desde updates.harkmail.app aproximadamente una vez al día (cada hora en las versiones beta), y descarga desde ahí una versión nueva cuando aceptas instalarla. Aparte, incluso con las comprobaciones automáticas desactivadas, Hark lee ese mismo archivo público al abrirse y una vez al día, reintentándolo cada 15 minutos mientras no lo alcanza, solo para saber si tu versión sigue siendo compatible. No se envía ningún identificador: el servidor ve tu dirección IP y la hora, el User-Agent de la solicitud lleva la versión de la app y de macOS, y la solicitud lleva tu preferencia de Accept-Language. Nada sobre tu cuenta.
• Un informe de error que envías. “Help › Report a Bug” envía a logs.harkmail.app lo que escribiste, si lo marcaste como error o como petición, qué área elegiste, las imágenes que tú mismo adjuntes, el campo de nombre o correo (rellenado con la dirección con la que iniciaste sesión y editable — bórralo para enviar el informe de forma anónima) y datos sobre la app y el equipo: versión, compilación y commit de la app, versión de macOS, modelo de hardware, número de núcleos de CPU, cantidad de memoria, espacio libre en disco, configuración regional, zona horaria, estado térmico, modo de bajo consumo, horas desde el arranque, la hora de envío, cuántas cuentas hay conectadas (un número) y un identificador aleatorio por instalación. Nunca envía el contenido de los mensajes, asuntos, direcciones de otras personas, tokens ni registros. Las imágenes son lo que hay que pensar: una captura de pantalla de tu bandeja de entrada es tu bandeja de entrada.
• Informes de fallos, solo si los activas. Desactivados por defecto. Con el interruptor activado en la configuración, un cierre inesperado envía la traza de la pila, el tipo de excepción, la señal y el motivo de finalización, qué hilo falló, cuándo ocurrió y el identificador que macOS asigna a ese fallo, la versión, la compilación y el commit de la app, y la versión de macOS y el modelo de hardware. Ningún campo de ese informe puede llevar correo.
• Adjuntar un archivo de Google Drive. El selector de archivos de Google es un componente web, así que elegir un archivo de Drive abre una página en harkmail.app en tu navegador. Nuestro servidor ve lo mismo que ve cualquier sitio web — tu IP, la hora, un identificador de un solo uso — y no tu dirección, tus archivos ni cuál elegiste. La credencial de Google del selector se crea en tu navegador y solo puede dar acceso a los archivos que tú mismo elijas.

Una más, más adelante: una cuenta de facturación, si te suscribes cuando termine la beta. Es una identidad separada de tu cuenta de Google — una dirección de correo que tú eliges, o un inicio de sesión con Google a través de un cliente que no tiene acceso a Gmail —, y la lista completa de lo que guarda está en la política de privacidad.

Los terceros con los que puede tener contacto un mensaje

El correo electrónico no es un sistema cerrado, y un cliente que no te mostrara nada de fuera de Google te mostraría muchos mensajes rotos. Estas son las conexiones externas que puede provocar un mensaje, y el ajuste que controla cada una:

• Imágenes remotas en un mensaje. Los boletines y los recibos cargan sus imágenes desde los servidores del remitente. Con la opción por defecto, “Always display external images”, Hark las carga directamente, lo que le dice a ese servidor tu dirección IP y que se abrió el mensaje. Elige “Ask before displaying external images” en “Settings › General” y no se descarga nada hasta que hagas clic.
• Logotipos y avatares de los remitentes. La foto de una persona viene de Google, por la misma conexión que tu correo. El logotipo de una empresa puede venir del registro publicado por la propia marca (una consulta del dominio del remitente a través del servicio DNS de Google y después el archivo del logotipo desde el servidor de la marca) o del servicio de favicons de Google. Ambos siguen el mismo ajuste “External images”: ponlo en “Ask” y no se hace ninguna de las dos consultas.
• Gravatar, solo si lo activas. Desactivado por defecto. Si lo activas, Hark envía un hash de la dirección de cada contacto a gravatar.com para buscar una imagen, lo que revela a ese servicio con quién te escribes. El propio ajuste lo indica junto al interruptor.

Cómo comprobarlo tú mismo

No tienes por qué fiarte de lo que dice esta página. Un firewall de salida en tu Mac muestra cada servidor con el que se comunica una app. Con Hark en uso normal deberías ver accounts.google.com al iniciar sesión y los servidores de las API de Google (googleapis.com y sus subdominios) para el correo, el calendario, las tareas y los contactos, y el servidor de imágenes de Google (en la práctica, lh3.googleusercontent.com) para las fotos de los contactos. Deberías ver updates.harkmail.app cuando busca actualizaciones, y logs.harkmail.app una vez al día para el recuento anónimo de Mac activos y, por lo demás, solo cuando envías un informe (o, si activaste los informes de fallos, después de un fallo). Con “External images” en “Ask”, no deberías ver el servidor de ningún remitente hasta que pidas las imágenes. Si alguna vez ves otra cosa, queremos saberlo: support@souplin.com.

Hark pide a Google el permiso más limitado con el que se puede implementar cada función — por ejemplo, no solicita el permiso que le permitiría eliminar correo de forma definitiva, así que la app solo puede mover un mensaje a la Papelera —, y el uso que hace de los datos de Google está sujeto a la política de uso limitado de Google. Los permisos, y para qué sirve cada uno, se detallan en la página de ayuda.

Preguntas