Klien Gmail privat untuk Mac yang tak pernah melihat email Anda

Klien email yang privat adalah klaim yang seharusnya bisa Anda periksa. Halaman ini menjelaskan arsitektur di balik klaim versi Hark — email Anda tak pernah menyentuh server kami — dengan detail yang cukup untuk memeriksanya, termasuk sedikit hal yang memang sampai ke kami, pihak ketiga yang bisa tersentuh oleh sebuah pesan, dan setelan yang menentukan masing-masing.

Gambaran besarnya

Dua pihak: Mac Anda dan Google. Hark berjalan di yang pertama dan berkomunikasi dengan yang kedua melalui API Gmail, Calendar, Tasks, dan People milik Google, melalui TLS, dari mesin Anda. Tidak ada pihak ketiga di jalur itu. Kami tidak mengoperasikan server yang menyinkronkan, meneruskan, mengindeks, mencadangkan, atau “mempercepat” email Anda, jadi tidak ada salinannya di infrastruktur kami yang bisa dibobol, dipanggil pengadilan, atau bocor.

Ini bukan pilihan kebijakan yang bisa diam-diam dibalik di versi berikutnya; begitulah aplikasi ini dibangun. Mesin sinkronisasinya ada di dalam aplikasi, dan menaruh server di jalurnya berarti membangun ulang mesin itu di sekeliling server.

Di mana tepatnya data Anda berada

• Token Google Anda: di Rantai Kunci macOS. Kredensial yang memungkinkan Hark bertindak atas akun Anda disimpan sebagai item Rantai Kunci, dienkripsi dan aksesnya dikontrol oleh macOS. Kredensial itu tidak pernah ditulis ke file milik Hark sendiri.
• Cache Anda: di Application Support, hanya bisa dibaca oleh Anda. Pesan, acara, dan tugas disimpan dalam database lokal di ~/Library/Application Support/Hark, satu folder per akun, dengan izin file yang hanya mengizinkan pengguna Anda membacanya. Lampiran yang diunduh di-cache di ~/Library/Caches/Hark; gambar jarak jauh, foto pengirim, dan logo yang di-cache ada di ~/Library/Caches/hark-url-cache, ~/Library/Caches/hark-image-cache, dan di penyimpanan WebKit aplikasi, semuanya di dalam folder Library Anda sendiri. FileVault mengenkripsi semuanya saat tersimpan. Hark tidak menambahkan lapisan enkripsi sendiri di atasnya — hal ini dinyatakan terus terang agar Anda bisa memutuskan apakah FileVault penting bagi Anda.
• Setelan Anda: di file preferensi. Posisi jendela, pilihan tampilan, dan sejenisnya ada di file preferensi macOS biasa milik aplikasi, bersama kueri penelusuran terbaru Anda (25 terakhir) dan id percakapan yang Anda bisukan. Tidak ada isi pesan di dalamnya.
• Saat keluar: dicabut, dihapus, dibersihkan. Hark mencabut izinnya di Google, menghapus item Rantai Kunci, dan menghapus cache akun tersebut dari disk.

Apa yang memang sampai ke kami, dan kapan

Dalam pemakaian biasa — membaca, menulis, mengatur, melihat minggu Anda — tidak ada apa pun tentang email Anda. Ada lima hal yang melibatkan server kami; empat di antaranya hanya terjadi saat Anda melakukan sesuatu:

• Menghitung Mac yang aktif. Sekali sehari selama Hark terbuka, Hark mengirim ID penggunaan acak yang dibuat khusus untuk ini, tanggal, versi Hark, build dan kanal pembaruan, serta versi mayor macOS, ke logs.harkmail.app. Data ini tidak terkait dengan akun mana pun dan tidak membawa apa pun dari email Anda; server tidak menyimpan alamat IP dan menghapus catatan setelah 13 bulan.
• Memeriksa pembaruan. Setelah Anda mengizinkan pemeriksaan otomatis (Hark menanyakannya saat dibuka untuk kedua kalinya), Hark mengambil file feed pembaruan kecil dari updates.harkmail.app kira-kira sekali sehari (setiap jam pada build beta), dan mengunduh build baru dari sana jika Anda menyetujuinya. Secara terpisah, bahkan saat pemeriksaan otomatis nonaktif, Hark membaca file publik yang sama saat dibuka dan sekali sehari, mencoba ulang setiap 15 menit selama tidak bisa menjangkaunya, hanya untuk mengetahui apakah versi Anda masih didukung. Tidak ada pengenal yang dikirim: server melihat alamat IP Anda dan waktunya, User-Agent permintaan memuat versi aplikasi dan macOS, dan permintaan memuat preferensi Accept-Language Anda. Tidak ada apa pun tentang akun Anda.
• Laporan bug yang Anda kirim. Help › Report a Bug mengirim apa yang Anda ketik, apakah Anda menandainya sebagai bug atau permintaan, area yang Anda pilih, gambar yang Anda lampirkan sendiri, kolom nama-atau-email (sudah terisi dengan alamat yang sedang masuk dan bisa diedit — kosongkan untuk mengirim laporan secara anonim), dan fakta tentang aplikasi dan mesin — versi aplikasi, build dan commit, versi macOS, model perangkat keras, jumlah inti CPU, ukuran memori, ruang disk kosong, lokal, zona waktu, status termal, mode daya rendah, jam sejak boot, waktu pengiriman, berapa akun yang terhubung (hanya jumlah), dan id acak per instalasi — ke logs.harkmail.app. Laporan tidak pernah mengirim isi pesan, subjek, alamat orang lain, token, atau log. Gambarlah yang perlu Anda pertimbangkan: tangkapan layar kotak masuk Anda adalah kotak masuk Anda.
• Laporan crash, hanya jika Anda menyalakannya. Nonaktif secara default. Jika sakelarnya dinyalakan di Settings, crash akan mengirim stack trace, jenis exception, sinyal dan alasan penghentian, thread mana yang crash, kapan terjadinya dan id macOS untuk crash tersebut, versi aplikasi, build dan commit, serta versi macOS dan model perangkat keras. Tidak ada kolom di laporan itu yang bisa memuat email.
• Melampirkan file Google Drive. Pemilih file Google adalah komponen web, jadi memilih file Drive akan membuka halaman di harkmail.app di browser Anda. Host kami melihat hal yang sama dengan yang dilihat situs web mana pun — IP Anda, waktunya, id sekali pakai — dan tidak melihat alamat Anda, file Anda, atau file mana yang Anda pilih. Kredensial Google untuk pemilih file dibuat di browser Anda dan hanya bisa memberi akses ke file yang Anda pilih sendiri.

Satu lagi, nanti: akun penagihan, jika Anda berlangganan setelah beta berakhir. Akun ini identitas yang terpisah dari akun Google Anda — alamat email pilihan Anda, atau masuk dengan Google melalui klien yang tidak punya akses ke Gmail — dan daftar lengkap yang disimpannya ada di kebijakan privasi.

Pihak ketiga yang bisa tersentuh oleh sebuah pesan

Email bukan sistem tertutup, dan klien yang tidak menampilkan apa pun dari luar Google akan menampilkan banyak pesan yang rusak. Inilah koneksi ke luar yang bisa dipicu oleh sebuah pesan, beserta setelan yang mengaturnya:

• Gambar jarak jauh dalam pesan. Buletin dan struk mengambil gambarnya dari server pengirim. Dengan setelan default, “Always display external images”, Hark memuatnya secara langsung, yang memberi tahu server tersebut alamat IP Anda dan bahwa pesan itu sudah dibuka. Pilih “Ask before displaying external images” di Settings › General dan tidak ada yang diambil sampai Anda mengklik.
• Logo dan avatar pengirim. Foto seseorang berasal dari Google, melalui koneksi yang sama dengan email Anda. Logo perusahaan bisa berasal dari catatan resmi milik merek itu sendiri (pencarian domain pengirim melalui layanan DNS Google, lalu file logo dari server merek tersebut) atau dari layanan favicon Google. Keduanya mengikuti setelan “External images” yang sama: setel ke “Ask” dan tidak satu pun pencarian itu dilakukan.
• Gravatar, hanya jika Anda menyalakannya. Nonaktif secara default. Jika aktif, Hark mengirim hash alamat setiap kontak ke gravatar.com untuk mencari gambar, yang mengungkapkan kepada layanan itu dengan siapa Anda berkorespondensi. Setelan tersebut menyebutkannya di samping sakelarnya.

Cara memeriksanya sendiri

Anda tidak harus memercayai halaman ini begitu saja. Firewall keluar di Mac Anda menampilkan setiap host yang dihubungi sebuah aplikasi. Dengan Hark dalam pemakaian biasa, Anda akan melihat accounts.google.com saat masuk dan host API Google (googleapis.com beserta subdomainnya) untuk email, kalender, tugas, dan kontak, serta host gambar Google (pada praktiknya lh3.googleusercontent.com) untuk foto kontak. Anda akan melihat updates.harkmail.app saat memeriksa pembaruan, dan logs.harkmail.app sekali sehari untuk penghitungan Mac aktif yang anonim, dan selain itu hanya saat Anda mengirim laporan (atau, jika Anda menyalakan laporan crash, setelah terjadi crash). Dengan “External images” disetel ke “Ask”, Anda tidak akan melihat server pengirim mana pun sampai Anda meminta gambarnya. Jika Anda pernah melihat yang lain, kami ingin tahu: support@souplin.com.

Hark meminta izin tersempit kepada Google untuk menjalankan setiap fitur — misalnya, Hark tidak meminta izin yang memungkinkannya menghapus email secara permanen, sehingga aplikasi hanya bisa memindahkan pesan ke Sampah — dan penggunaan data Google olehnya terikat pada kebijakan Penggunaan Terbatas Google. Izin-izin tersebut, beserta fungsi masing-masing, tercantum di halaman bantuan.

Pertanyaan