Um cliente do Gmail privado para Mac que nunca vê seus e-mails

Um cliente de e-mail privado é uma afirmação que você deveria poder conferir. Esta página mostra a arquitetura por trás da versão do Hark dessa afirmação — seus e-mails nunca passam pelos nossos servidores — com detalhes suficientes para isso, incluindo o pequeno conjunto de coisas que chegam até nós, os terceiros com que uma mensagem pode ter contato e as configurações que decidem cada um deles.

Como funciona

Duas partes: o seu Mac e o Google. O Hark roda no primeiro e conversa com o segundo pelas APIs do Gmail, do Calendar, do Tasks e do People do Google, via TLS, a partir da sua máquina. Não há terceiro nesse caminho. Não operamos nenhum servidor que sincronize, repasse, indexe, faça backup ou “acelere” seus e-mails, então não existe cópia deles na nossa infraestrutura para ser vazada, requisitada judicialmente ou exposta.

Isso não é uma escolha de política que possa ser revertida discretamente numa versão futura; é assim que o app é construído. O motor de sincronização vive dentro do app, e colocar um servidor no caminho significaria reconstruí-lo em torno de um.

Onde ficam seus dados, exatamente

• Seus tokens do Google: nas Chaves do macOS. As credenciais que permitem ao Hark agir na sua conta são guardadas como itens das Chaves, criptografados e com acesso controlado pelo macOS. Elas nunca são gravadas nos arquivos do próprio Hark.
• Seu cache: em Application Support, legível só por você. Mensagens, eventos e tarefas ficam em um banco de dados local em ~/Library/Application Support/Hark, uma pasta por conta, com permissões de arquivo que só deixam o seu usuário ler. Os anexos baixados ficam em cache em ~/Library/Caches/Hark; as imagens remotas em cache, fotos de remetentes e logotipos ficam em ~/Library/Caches/hark-url-cache, ~/Library/Caches/hark-image-cache e no armazenamento WebKit do app, tudo dentro da sua própria pasta Biblioteca. O FileVault criptografa tudo isso em repouso. O Hark não adiciona uma camada de criptografia própria por cima — isso está dito com todas as letras para que você decida se o FileVault importa para você.
• Seus ajustes: em um arquivo de preferências. Posições de janela, escolhas de visualização e coisas do tipo ficam no arquivo comum de preferências do macOS para o app, junto com suas pesquisas recentes (as últimas 25) e os IDs das conversas que você ignorou. Nenhum conteúdo de mensagem vai para ele.
• Ao sair: revogado, apagado, removido. O Hark revoga a autorização dele no Google, apaga os itens das Chaves e remove do disco o cache daquela conta.

O que chega até nós, e quando

No uso comum — ler, escrever, organizar, olhar a sua semana — nada sobre os seus e-mails. Cinco coisas envolvem um servidor nosso; quatro delas só acontecem quando você age:

• Contagem de Macs ativos. Uma vez por dia, enquanto o Hark está aberto, ele envia um ID de uso aleatório criado só para isso, a data, a versão, a build e o canal de atualização do Hark, e a versão principal do macOS para logs.harkmail.app. Isso não está ligado a nenhuma conta e não leva nada dos seus e-mails; o servidor não guarda endereço IP e apaga os registros depois de 13 meses.
• Procura de atualizações. Depois que você permite as verificações automáticas (o Hark pergunta na segunda abertura), ele busca um pequeno arquivo de feed de atualizações em updates.harkmail.app cerca de uma vez por dia (a cada hora nas versões beta) e baixa uma nova build de lá quando você aceita. Separadamente, mesmo com as verificações automáticas desativadas, o Hark lê esse mesmo arquivo público na abertura e uma vez por dia, tentando de novo a cada 15 minutos enquanto não consegue acessá-lo, só para saber se a sua versão ainda é compatível. Nenhum identificador é enviado: o servidor vê o seu endereço IP e o horário, o User-Agent da requisição leva a versão do app e do macOS, e a requisição leva a sua preferência de Accept-Language. Nada sobre a sua conta.
• Um relatório de bug que você envia. “Help › Report a Bug” envia o que você digitou, se você o marcou como bug ou como pedido, a área que escolheu, as imagens que você mesmo anexar, o campo de nome ou e-mail (já preenchido com o endereço da conta conectada e editável — apague-o para enviar o relatório de forma anônima) e dados sobre o app e a máquina — versão, build e commit do app, versão do macOS, modelo do hardware, número de núcleos da CPU, quantidade de memória, espaço livre em disco, localidade, fuso horário, estado térmico, modo de pouca energia, horas desde a inicialização, o horário do envio, quantas contas estão conectadas (só o número) e um ID aleatório por instalação — para logs.harkmail.app. Ele nunca envia conteúdo de mensagens, assuntos, endereços de outras pessoas, tokens ou logs. As imagens são a parte em que vale pensar: uma captura de tela da sua caixa de entrada é a sua caixa de entrada.
• Relatórios de falha, só se você ativá-los. Desativados por padrão. Com a opção ativada nos ajustes, uma falha envia o rastreamento de pilha, o tipo de exceção, o sinal e o motivo do encerramento, qual thread falhou, quando aconteceu e o ID do macOS para essa falha, a versão, a build e o commit do app, e a versão do macOS e o modelo do hardware. Nenhum campo desse relatório consegue levar e-mail.
• Anexar um arquivo do Google Drive. O seletor de arquivos do Google é um componente web, então escolher um arquivo do Drive abre uma página em harkmail.app no seu navegador. Nosso servidor vê o mesmo que qualquer site vê — o seu IP, o horário, um ID de uso único — e não o seu endereço, os seus arquivos nem qual deles você escolheu. A credencial do Google usada pelo seletor é criada no seu navegador e só pode dar acesso aos arquivos que você mesmo escolher.

Mais uma, mais adiante: uma conta de cobrança, se você assinar quando o beta terminar. Ela é uma identidade separada da sua conta do Google — um endereço de e-mail que você escolhe, ou um login com o Google por meio de um cliente que não tem acesso ao Gmail —, e a lista completa do que ela guarda está na política de privacidade.

Os terceiros com que uma mensagem pode ter contato

E-mail não é um sistema fechado, e um cliente que não mostrasse nada vindo de fora do Google mostraria muitas mensagens quebradas. Estas são as conexões externas que uma mensagem pode provocar, e a configuração que controla cada uma:

• Imagens remotas em uma mensagem. Newsletters e recibos buscam as imagens nos servidores do remetente. Com o padrão, “Always display external images”, o Hark as carrega diretamente, o que informa a esse servidor o seu endereço IP e que a mensagem foi aberta. Escolha “Ask before displaying external images” em “Settings › General” e nada é buscado até você clicar.
• Logotipos e avatares de remetentes. A foto de uma pessoa vem do Google, pela mesma conexão dos seus e-mails. O logotipo de uma empresa pode vir do registro publicado pela própria marca (uma consulta do domínio do remetente pelo serviço de DNS do Google e, depois, o arquivo do logotipo no servidor da marca) ou do serviço de favicons do Google. Os dois seguem a mesma configuração “External images”: defina-a como “Ask” e nenhuma das consultas acontece.
• Gravatar, só se você ativar. Desativado por padrão. Ativado, o Hark envia um hash do endereço de cada contato para gravatar.com em busca de uma imagem, o que revela a esse serviço com quem você se corresponde. A configuração diz isso ao lado da opção.

Como conferir por conta própria

Você não precisa acreditar na palavra desta página. Um firewall de saída no seu Mac mostra todos os hosts com que um app se comunica. Com o Hark em uso normal, você deve ver accounts.google.com durante o login e os hosts das APIs do Google (googleapis.com e seus subdomínios) para e-mail, agenda, tarefas e contatos, além do host de imagens do Google (na prática, lh3.googleusercontent.com) para as fotos dos contatos. Você deve ver updates.harkmail.app quando ele procura atualizações, e logs.harkmail.app uma vez por dia para a contagem anônima de Macs ativos e, fora isso, só quando você envia um relatório (ou, se você ativou os relatórios de falha, depois de uma falha). Com “External images” definido como “Ask”, você não deve ver nenhum servidor de remetente até pedir as imagens. Se algum dia vir outra coisa, queremos saber: support@souplin.com.

O Hark pede ao Google a permissão mais restrita que implementa cada recurso — por exemplo, ele não solicita a permissão que o deixaria excluir e-mails de forma definitiva, então o app só consegue mover uma mensagem para a Lixeira —, e o uso que ele faz dos dados do Google está sujeito à política de Uso Limitado do Google. As permissões, e para que serve cada uma, estão listadas na página de ajuda.

Perguntas