Un client Gmail privé pour Mac qui ne voit jamais vos e-mails

Un client mail respectueux de la vie privée, c’est une affirmation que vous devez pouvoir vérifier. Cette page décrit l’architecture qui sous-tend celle de Hark — vos e-mails ne passent jamais par nos serveurs — avec assez de détails pour le faire, y compris le petit nombre d’éléments qui nous parviennent, les tiers qu’un message peut solliciter et les réglages qui en décident.

Le principe

Deux parties : votre Mac et Google. Hark tourne sur le premier et dialogue avec le second via les API Gmail, Calendar, Tasks et People de Google, en TLS, depuis votre machine. Aucun tiers ne s’interpose. Nous n’exploitons aucun serveur qui synchronise, relaie, indexe, sauvegarde ou « accélère » vos e-mails : il n’en existe donc aucune copie dans notre infrastructure qui puisse être piratée, saisie par la justice ou divulguée.

Ce n’est pas un choix de politique qui pourrait être discrètement inversé dans une version ultérieure ; c’est la façon dont l’app est construite. Le moteur de synchronisation vit dans l’app, et placer un serveur sur le trajet obligerait à le reconstruire autour de lui.

Où se trouvent vos données, précisément

• Vos jetons Google : dans le trousseau macOS. Les identifiants qui permettent à Hark d’agir sur votre compte sont stockés comme éléments du trousseau, chiffrés et à accès contrôlé par macOS. Ils ne sont jamais écrits dans les propres fichiers de Hark.
• Votre cache : dans Application Support, lisible par vous seul. Messages, événements et tâches sont conservés dans une base de données locale sous ~/Library/Application Support/Hark, un dossier par compte, avec des autorisations de fichiers qui n’en permettent la lecture qu’à votre utilisateur. Les pièces jointes téléchargées sont mises en cache sous ~/Library/Caches/Hark ; les images distantes, photos d’expéditeurs et logos mis en cache, sous ~/Library/Caches/hark-url-cache, ~/Library/Caches/hark-image-cache et dans le stockage WebKit de l’app, le tout dans votre propre dossier Bibliothèque. FileVault chiffre l’ensemble au repos. Hark n’ajoute pas de couche de chiffrement propre par-dessus — nous le disons clairement pour que vous puissiez décider si FileVault compte pour vous.
• Vos réglages : dans un fichier de préférences. Positions des fenêtres, choix d’affichage et autres se trouvent dans le fichier de préférences macOS ordinaire de l’app, avec vos recherches récentes (les 25 dernières) et les identifiants des conversations que vous avez ignorées. Aucun contenu de message n’y figure.
• À la déconnexion : révoqué, supprimé, purgé. Hark révoque son autorisation chez Google, supprime les éléments du trousseau et efface du disque le cache de ce compte.

Ce qui nous parvient, et quand

En utilisation normale — lire, écrire, organiser, consulter votre semaine — rien qui concerne vos e-mails. Cinq choses impliquent l’un de nos serveurs ; quatre d’entre elles ne se produisent que lorsque vous agissez :

• Le comptage des Mac actifs. Une fois par jour quand Hark est ouvert, il envoie à logs.harkmail.app un identifiant d’usage aléatoire créé uniquement pour cela, la date, la version, le build et le canal de mise à jour de Hark, ainsi que la version majeure de macOS. Cet envoi n’est lié à aucun compte et ne contient rien de vos e-mails ; le serveur ne conserve aucune adresse IP et supprime les enregistrements au bout de 13 mois.
• La recherche de mises à jour. Une fois les vérifications automatiques autorisées (Hark vous le demande à son deuxième lancement), il récupère un petit fichier de flux de mises à jour sur updates.harkmail.app environ une fois par jour (toutes les heures pour les versions bêta), et y télécharge une nouvelle version quand vous l’acceptez. Par ailleurs, même avec les vérifications automatiques désactivées, Hark lit ce même fichier public au lancement et une fois par jour, en réessayant toutes les 15 minutes tant qu’il ne peut pas l’atteindre, uniquement pour savoir si votre version est encore prise en charge. Aucun identifiant n’est envoyé : le serveur voit votre adresse IP et l’heure, le User-Agent de la requête indique la version de l’app et de macOS, et la requête transmet votre préférence Accept-Language. Rien qui concerne votre compte.
• Un rapport de bug que vous envoyez. Help › Report a Bug envoie à logs.harkmail.app ce que vous avez saisi, s’il s’agit d’un bug ou d’une demande, la zone choisie, les images que vous joignez vous-même, le champ nom ou e-mail (prérempli avec votre adresse connectée et modifiable — videz-le pour envoyer le rapport anonymement), ainsi que des informations sur l’app et la machine — version, build et commit de l’app, version de macOS, modèle de matériel, nombre de cœurs du processeur, quantité de mémoire, espace disque libre, langue et région, fuseau horaire, état thermique, mode économie d’énergie, heures écoulées depuis le démarrage, l’heure d’envoi, le nombre de comptes connectés (un simple nombre) et un identifiant aléatoire propre à l’installation. Il n’envoie jamais le contenu ni l’objet des messages, l’adresse de qui que ce soit d’autre, de jetons ni de journaux. Ce sont les images qui méritent réflexion : une capture d’écran de votre boîte de réception, c’est votre boîte de réception.
• Les rapports de plantage, seulement si vous les activez. Désactivés par défaut. Avec l’option activée dans les réglages, un plantage envoie la trace de la pile, le type d’exception, le signal et le motif d’arrêt, le thread qui a planté, le moment du plantage et l’identifiant attribué par macOS, la version, le build et le commit de l’app, ainsi que la version de macOS et le modèle de matériel. Aucun champ de ce rapport ne peut contenir d’e-mail.
• Joindre un fichier Google Drive. Le sélecteur de fichiers de Google est un composant web : choisir un fichier Drive ouvre donc une page sur harkmail.app dans votre navigateur. Notre hébergeur voit ce que voit n’importe quel site web — votre IP, l’heure, un identifiant à usage unique — mais ni votre adresse, ni vos fichiers, ni celui que vous avez choisi. L’identifiant Google du sélecteur est créé dans votre navigateur et ne peut donner accès qu’aux fichiers que vous choisissez vous-même.

Une de plus, plus tard : un compte de facturation, si vous vous abonnez après la bêta. C’est une identité distincte de votre compte Google — une adresse e-mail de votre choix, ou une connexion Google via un client qui n’a aucun accès à Gmail — et la liste complète de ce qu’il conserve figure dans la politique de confidentialité.

Les tiers qu’un message peut solliciter

L’e-mail n’est pas un système fermé, et un client qui ne vous montrerait rien d’extérieur à Google vous montrerait beaucoup de messages cassés. Voici les connexions externes qu’un message peut provoquer, et le réglage qui régit chacune :

• Les images distantes d’un message. Newsletters et reçus chargent leurs images depuis les serveurs de l’expéditeur. Avec le réglage par défaut, « Always display external images », Hark les charge directement, ce qui indique à ce serveur votre adresse IP et le fait que le message a été ouvert. Choisissez « Ask before displaying external images » dans Settings › General, et rien n’est chargé avant que vous ne cliquiez.
• Logos et avatars des expéditeurs. La photo d’une personne vient de Google, par la même connexion que vos e-mails. Le logo d’une entreprise peut provenir de l’enregistrement publié par la marque elle-même (une recherche du domaine de l’expéditeur via le service DNS de Google, puis le fichier du logo depuis le serveur de la marque) ou du service de favicons de Google. Les deux suivent le même réglage « External images » : réglez-le sur « Ask » et aucune de ces recherches n’a lieu.
• Gravatar, seulement si vous l’activez. Désactivé par défaut. Activé, Hark envoie à gravatar.com un hachage de l’adresse de chaque contact pour chercher une image, ce qui révèle à ce service avec qui vous correspondez. Le réglage l’indique à côté de l’interrupteur.

Comment le vérifier vous-même

Vous n’êtes pas obligé de croire cette page sur parole. Un pare-feu sortant sur votre Mac montre chaque hôte avec lequel une app communique. En utilisation normale de Hark, vous devriez voir accounts.google.com pendant la connexion, les hôtes d’API de Google (googleapis.com et ses sous-domaines) pour le mail, l’agenda, les tâches et les contacts, et l’hôte d’images de Google (en pratique lh3.googleusercontent.com) pour les photos des contacts. Vous devriez voir updates.harkmail.app lors de la recherche de mises à jour, et logs.harkmail.app une fois par jour pour le comptage anonyme des Mac actifs, et sinon uniquement quand vous envoyez un rapport (ou, si vous avez activé les rapports de plantage, après un plantage). Avec « External images » réglé sur « Ask », vous ne devriez voir aucun serveur d’expéditeur tant que vous n’avez pas demandé les images. Si vous voyez un jour autre chose, nous voulons le savoir : support@souplin.com.

Hark demande à Google l’autorisation la plus restreinte permettant chaque fonction — par exemple, il ne demande pas l’autorisation qui lui permettrait de supprimer définitivement des e-mails, si bien que l’app ne peut que déplacer un message dans la corbeille — et son utilisation des données Google est encadrée par la politique d’utilisation limitée (Limited Use) de Google. Les autorisations, et l’usage de chacune, sont listées sur la page d’aide.

Questions