メールを一切見ないMac用のプライベートなGmailクライアント

プライベートなメールクライアントだという主張は、確かめられるものであるべきです。このページでは、「あなたのメールが私たちのサーバーを通ることはない」というHarkの主張を支える設計を、それを確かめられるだけの詳しさで説明します。私たちに届く少数のもの、メッセージが接触し得る第三者、そしてそれぞれを決める設定も含めて。

全体の形

当事者は2つ、あなたのMacとGoogleだけです。Harkは前者の上で動作し、あなたのマシンからTLSを介して、GoogleのGmail、Calendar、Tasks、People APIで後者と通信します。その経路に第三者はいません。私たちは、あなたのメールを同期、中継、索引付け、バックアップ、あるいは「高速化」するサーバーを運用していないので、私たちのインフラには、侵害されたり、提出を命じられたり、漏洩したりするメールのコピーが存在しません。

これは、後のバージョンでこっそり覆せるような方針の選択ではなく、アプリの作りそのものです。同期エンジンはアプリの中にあり、経路にサーバーを置くには、サーバーを前提に作り直す必要があります。

データの保存場所、正確に

• Googleのトークン：macOSのキーチェーンに。 Harkがあなたのアカウントを操作するための認証情報は、キーチェーンの項目として保存され、macOSによって暗号化とアクセス制御が行われます。Hark自身のファイルに書き込まれることはありません。
• キャッシュ：Application Supportに、あなただけが読める形で。 メッセージ、予定、タスクは~/Library/Application Support/Hark以下のローカルデータベースに、アカウントごとに1つのフォルダで保存され、ファイルのアクセス権によりあなたのユーザだけが読み取れます。ダウンロードした添付ファイルは~/Library/Caches/Harkに、キャッシュされた外部画像、送信者の写真やロゴは~/Library/Caches/hark-url-cache、~/Library/Caches/hark-image-cache、およびアプリのWebKitストアに保存されます。いずれもあなた自身の「ライブラリ」フォルダ内です。保存されたデータはすべてFileVaultによって暗号化されます。Harkはその上に独自の暗号化レイヤーを加えていません。FileVaultがあなたにとって重要かどうかを判断できるよう、はっきり書いておきます。
• 設定：環境設定ファイルに。 ウインドウの位置や表示の選択などは、アプリの通常のmacOS環境設定ファイルに、最近の検索語（直近25件）やミュートしたスレッドのIDとともに保存されます。メッセージの内容が入ることはありません。
• サインアウト時：取り消し、削除、消去。 HarkはGoogle側の許可を取り消し、キーチェーンの項目を削除し、そのアカウントのキャッシュをディスクから削除します。

私たちに届くもの、そのタイミング

普段の使い方（メールを読む、書く、整理する、1週間を確認する）では、メールに関するものは何も届きません。私たちのサーバーが関わるのは5つで、そのうち4つはあなたが操作したときにだけ発生します。

• アクティブなMacの集計。 Harkが開いている間、1日に1回、この目的のためだけに作られたランダムな利用ID、日付、Harkのバージョン・ビルド・アップデートチャネル、macOSのメジャーバージョンをlogs.harkmail.appに送信します。どのアカウントとも結び付いておらず、メールの情報は何も含みません。サーバーはIPアドレスを保持せず、記録は13か月後に削除されます。
• アップデートの確認。 自動確認を許可すると（Harkは2回目の起動時に尋ねます）、およそ1日に1回（ベータビルドでは1時間ごと）updates.harkmail.appから小さなアップデートフィードのファイルを取得し、新しいビルドを受け入れたときにはそこからダウンロードします。これとは別に、自動確認がオフでも、Harkは起動時と1日に1回、同じ公開ファイルを読み込みます（届かない間は15分ごとに再試行）。目的は、使用中のバージョンがまだサポートされているかを知ることだけです。識別子は送信されません。サーバーに見えるのはIPアドレスと時刻で、リクエストのUser-AgentにはアプリとmacOSのバージョンが、リクエストにはAccept-Languageの設定が含まれます。アカウントに関するものは何もありません。
• あなたが送るバグ報告。 Help › Report a Bugからは、入力した内容、バグか要望かの区別、選んだ領域、あなた自身が添付した画像、名前またはメールの欄（サインイン中のアドレスがあらかじめ入っていて編集可能。消せば匿名で送れます）、そしてアプリとマシンに関する情報（アプリのバージョン・ビルド・コミット、macOSのバージョン、ハードウェアのモデル、CPUのコア数、メモリ容量、ディスクの空き容量、ロケール、タイムゾーン、温度状態、低電力モード、起動からの経過時間、送信時刻、接続しているアカウントの数（数のみ）、インストールごとのランダムなID）がlogs.harkmail.appに送信されます。メッセージの内容、件名、他人のアドレス、トークン、ログが送られることはありません。気をつけるべきは画像です。受信トレイのスクリーンショットは、受信トレイそのものです。
• クラッシュレポート（オンにした場合のみ）。 標準ではオフです。設定でスイッチをオンにすると、クラッシュ時にスタックトレース、例外の種類、シグナルと終了理由、クラッシュしたスレッド、発生時刻とmacOSが付与したクラッシュID、アプリのバージョン・ビルド・コミット、macOSのバージョンとハードウェアのモデルが送信されます。このレポートのどの項目にもメールが入ることはありません。
• Google Driveのファイルの添付。 Googleのファイル選択画面はWebコンポーネントなので、ドライブのファイルを選ぶとブラウザでharkmail.app上のページが開きます。私たちのホストに見えるのは、どのWebサイトにも見えるのと同じもの（IPアドレス、時刻、1回限りのID）で、あなたのアドレス、ファイル、どれを選んだかは見えません。選択画面用のGoogleの認証情報はブラウザ内で作成され、あなた自身が選んだファイルへのアクセスしか許可できません。

もう1つ、後から加わるものがあります。ベータ終了後にサブスクリプションを契約した場合の課金アカウントです。これはGoogleアカウントとは別の身元で、あなたが選んだメールアドレス、またはGmailへのアクセス権を持たないクライアントを通じたGoogleサインインを使います。保存される内容の一覧はプライバシーポリシーに記載しています。

メッセージが接触し得る第三者

メールは閉じたシステムではありません。Google以外からのものを何も表示しないクライアントでは、崩れたメッセージだらけになってしまいます。メッセージによって生じ得る外部への接続と、それぞれを制御する設定は次のとおりです。

• メッセージ内の外部画像。 ニュースレターや領収書は、画像を送信者のサーバーから読み込みます。標準の「Always display external images」（常に外部画像を表示）では、Harkは画像を直接読み込むため、そのサーバーにあなたのIPアドレスとメッセージが開かれたことが伝わります。Settings › Generalで「Ask before displaying external images」（外部画像を表示する前に確認）を選べば、クリックするまで何も取得されません。
• 送信者のロゴとアバター。 個人の写真は、メールと同じ接続を通じてGoogleから届きます。企業のロゴは、ブランド自身が公開しているレコード（GoogleのDNSサービスで送信者のドメインを照会し、ブランドのサーバーからロゴファイルを取得）か、Googleのファビコンサービスから届くことがあります。どちらも同じ「External images」の設定に従い、「Ask」にすればどちらの照会も行われません。
• Gravatar（オンにした場合のみ）。 標準ではオフです。オンにすると、Harkは画像を探すために各連絡先のアドレスのハッシュをgravatar.comに送信するため、あなたが誰とやり取りしているかがそのサービスに知られます。スイッチの横にもその旨を記載しています。

自分で確かめる方法

このページの言葉を鵜呑みにする必要はありません。Mac上の送信用ファイアウォールを使えば、アプリが通信するすべてのホストがわかります。Harkを普段どおり使っている場合、サインイン中にはaccounts.google.comが、メール・カレンダー・タスク・連絡先にはGoogleのAPIホスト（googleapis.comとそのサブドメイン）が、連絡先の写真にはGoogleの画像ホスト（実際にはlh3.googleusercontent.com）が見えるはずです。アップデートの確認時にはupdates.harkmail.appが、匿名のアクティブMac集計では1日に1回logs.harkmail.appが見え、それ以外は報告を送ったとき（またはクラッシュレポートをオンにしている場合はクラッシュ後）にだけ見えるはずです。「External images」を「Ask」にしていれば、画像を求めるまで送信者のサーバーは見えないはずです。もしほかのものが見えたら、ぜひお知らせください：support@souplin.com

Harkは、各機能の実装に必要な最も狭い権限だけをGoogleに求めています。たとえば、メールの完全削除を可能にする権限は求めていないため、アプリはメッセージをゴミ箱に移動することしかできません。また、Googleデータの利用はGoogleの「限定使用（Limited Use）」ポリシーに拘束されています。権限の一覧とそれぞれの用途はヘルプページに記載しています。

よくある質問