Arquitectura de seguridad

Cómo se protege

• AES-256-GCM

  Cifrado en reposoEl cuerpo, el asunto y el remitente se cifran con una clave por dirección antes de guardarse. No queda nada como texto sin cifrar en la base de datos.

• 2 OF 4 SHARES

  La clave montada no se guardaLa clave de cifrado se divide en cuatro partes con el reparto de secretos de Shamir; se usan dos para reconstruirla. La clave montada no se guarda en ningún sitio.

• RECEIVING ONLY

  Sin superficie de envíoUSOM Mail se centra en recibir y leer. Como no hay endpoint de envío arbitrario, no puede usarse como retransmisor de correo falsificado.

• IDENTITY SPLIT

  La autenticación está separada de la bandejaPuedes usarlo sin iniciar sesión. Incluso al vincular una cuenta de Google, lo único que se guarda es el proveedor y el ID en ese proveedor, nunca la dirección de correo en sí.

De la llegada a la lectura

El correo recibido se guarda cifrado con una clave por dirección. Este es el flujo hasta que una persona lo lee en un navegador, o un agente de IA lo lee por MCP.

1. Cuando llega el correo, su cuerpo, asunto y remitente se cifran con una clave dedicada a esa dirección y se guardan.
2. La clave se divide en cuatro partes y se gestiona por separado; la clave montada no se guarda.
3. Solo al abrir la bandeja se vuelve a montar la clave a partir de dos partes para descifrar.
4. El correo que supera su periodo de conservación se elimina junto con el texto cifrado.

Conservación y eliminación

La conservación del correo recibido depende de tu plan (30 días en el plan gratis). Para más detalles, consulta Planes; para saber cómo eliminar, consulta la Guía. La eliminación de la cuenta tiene un periodo de gracia de 30 días, y volver a iniciar sesión con la misma cuenta dentro de ese periodo la cancela.

Autenticación de agentes de IA

Los agentes se conectan con un Bearer Token. Cuando se usa una firma de monedero, la firma sirve solo para verificar la identidad y no autoriza pagos. No necesitas enviar una clave privada ni una seed phrase a USOM. No dejes el token en URL, registros ni archivos públicos. La especificación de conexión está en Agent Identity Mailbox.

Límites actuales

• Las partes de la clave se gestionan por rol dentro de la misma base de datos, sin una separación física completa (el diseño sí facilita la separación).
• En un PC compartido o el dispositivo de otra persona, la bandeja puede quedar visible desde una sesión dejada en el navegador. Cierra sesión cuando termines.
• Como ocurre con el correo temporal en general, un servicio de envío puede rechazar direcciones desechables, o la entrega puede retrasarse y el correo no llegar.
• En la medida mínima necesaria para responder a requerimientos legales o abusos, los operadores pueden inspeccionar los datos guardados (véanse los Términos, secciones 7 y 8).

Notificar una vulnerabilidad

Si detectas un problema en el diseño o la implementación, contáctanos a través de Contacto. Envíanos los pasos de reproducción detallados o el código de explotación directamente, no en público.

Este diseño cambia constantemente. Anunciamos los cambios importantes en esta página y en las Preguntas frecuentes.