Preguntas sobre datos y seguridad

Respuestas para cuestionarios de seguridad y evaluaciones de impacto relativas a la protección de datos. El aviso de privacidad de la aplicación y la política de seguridad son los documentos completos (en inglés).

En resumen

• Sin telemetría. Ni analítica, ni informes de errores: no se envía nada sobre la persona ni sobre su correo al proyecto MailCraft.
• Sin servidor de MailCraft. MailCraft se conecta directamente con el proveedor de correo. No hay ningún servicio intermedio.
• El correo se guarda en el equipo, en la carpeta propia de la persona.
• Los inicios de sesión se guardan en el almacén de credenciales del sistema, nunca en un archivo.

Dónde se guardan los datos

Sistema	Carpeta
Windows	%APPDATA%\MailCraft
macOS	~/Library/Application Support/MailCraft
Linux, FreeBSD	$XDG_CONFIG_HOME/mailcraft, normalmente ~/.config/mailcraft

La carpeta contiene el buzón (mailbox.mailcraft, su carpeta de datos adjuntos y su índice de búsqueda), la configuración y los registros. Los datos adjuntos que se abren se copian en la carpeta de caché y se eliminan al cerrar MailCraft. Las imágenes descargadas a petición se conservan hasta 30 días y pueden borrarse en Archivo › Opciones.

En Linux y FreeBSD, los archivos solo los puede leer su propietario. MailCraft no cifra el buzón. Use cifrado de disco completo: BitLocker, FileVault, LUKS o GELI.

Inicios de sesión y contraseñas

Los inicios de sesión y las contraseñas que se recuerdan se guardan en el Administrador de credenciales de Windows, en el llavero de macOS o en el Secret Service (GNOME Keyring o KWallet), con el nombre MailCraft. Los tokens de acceso de corta duración no se almacenan nunca. Una persona puede impedir que MailCraft recuerde los inicios de sesión en Archivo › Opciones › Recordar contraseñas e inicios de sesión en este equipo.

Los inicios de sesión de Microsoft usan OAuth 2.0 con PKCE en el navegador del sistema. MailCraft nunca ve la contraseña.

Con qué se conecta MailCraft

Dónde	Cuándo
El proveedor de correo (IMAP, SMTP, o Microsoft Graph y el inicio de sesión de Microsoft)	Para recibir y enviar correo
El DNS sobre HTTPS de Cloudflare y, después, el de Google	Cuando se pulsa Conectar al agregar una cuenta, para encontrar los servidores de correo. Solo se envía el dominio.
Los servidores web que alojan las imágenes de un mensaje	Solo cuando la persona pide que se muestren las imágenes. No se envían cookies, el encabezado Referer ni credenciales.
api.github.com y las descargas de versiones de GitHub	Solo si la persona ha aceptado la búsqueda de actualizaciones

Todas las conexiones que transportan correo o un inicio de sesión usan TLS, con verificación de certificados. MailCraft nunca recurre a una conexión sin cifrar.

Leer el correo con seguridad

Nada de un mensaje se ejecuta. MailCraft presenta el correo HTML sin ejecutar scripts y no descarga nada de la red a menos que la persona lo pida.

Lo que todavía no está

No hay S/MIME ni PGP, ni borrado remoto, ni ningún comando para eliminar los datos de MailCraft de un equipo. Para eliminarlos a mano, borre la carpeta indicada arriba y las entradas MailCraft del almacén de credenciales. Estas funciones están previstas. Consulte la política de seguridad para informar de un problema.