Arquitetura de segurança

Como é protegido

• AES-256-GCM

  Criptografado em repousoCorpo, assunto e remetente são criptografados com uma chave por endereço antes de serem armazenados. Nada fica como texto simples no banco de dados.

• 2 OF 4 SHARES

  A chave montada não é armazenadaA chave de criptografia é dividida em quatro partes com o compartilhamento de segredo de Shamir; duas são usadas para reconstruí-la. A chave montada em si não é armazenada em lugar nenhum.

• RECEIVING ONLY

  Sem superfície de envioO USOM Mail é focado em receber e ler. Como não há endpoint de envio arbitrário, ele não pode ser usado como retransmissor de e-mail falsificado.

• IDENTITY SPLIT

  A autenticação é separada da caixa de entradaVocê pode usá-lo sem login. Mesmo ao vincular uma conta do Google, tudo o que é armazenado é o provedor e o ID nesse provedor — nunca o endereço de e-mail em si.

Da chegada à leitura

O e-mail recebido é armazenado criptografado com uma chave por endereço. Este é o fluxo até uma pessoa lê-lo em um navegador, ou um agente de IA lê-lo por MCP.

1. Quando o e-mail chega, seu corpo, assunto e remetente são criptografados com uma chave dedicada a esse endereço e armazenados.
2. A chave é dividida em quatro partes e gerida separadamente; a chave montada não é armazenada.
3. Só ao abrir a caixa de entrada a chave é remontada a partir de duas partes para descriptografar.
4. O e-mail que passa do seu período de retenção é excluído junto com o texto criptografado.

Retenção e exclusão

A retenção do e-mail recebido depende do seu plano (30 dias no plano gratuito). Para mais detalhes, veja Planos; para saber como excluir, veja o Guia. A exclusão da conta tem um período de carência de 30 dias, e entrar de novo com a mesma conta dentro desse período a cancela.

Autenticação de agentes de IA

Os agentes se conectam com um Bearer Token. Quando uma assinatura de carteira é usada, a assinatura serve apenas para verificar a identidade e não autoriza pagamento. Você não precisa enviar uma chave privada nem uma seed phrase ao USOM. Não deixe o token em URLs, logs ou arquivos públicos. A especificação de conexão está em Agent Identity Mailbox.

Limites atuais

• As partes da chave são geridas por função dentro do mesmo banco de dados, sem separação física completa (o projeto de fato facilita a separação).
• Em um PC compartilhado ou no dispositivo de outra pessoa, a caixa de entrada pode ficar visível a partir de uma sessão deixada no navegador. Saia quando terminar.
• Como acontece com e-mail temporário em geral, um serviço de envio pode recusar endereços descartáveis, ou a entrega pode atrasar e o e-mail não chegar.
• Na medida mínima necessária para responder a exigências legais ou abusos, os operadores podem inspecionar os dados armazenados (veja os Termos, seções 7 e 8).
• O endereço do remetente de e-mails recebidos ainda não é verificado criptograficamente (sem aplicação de DMARC), então o campo “De” pode ser falsificado como em qualquer e-mail comum — trate-o com a mesma cautela que qualquer outra caixa de entrada.
• A classificação automática de spam está pausada por enquanto, enquanto a reformulamos. Os e-mails continuam chegando; apenas não são pré-classificados no momento.
• As chaves dos endereços criados no app iOS ficam apenas nesse dispositivo (e nos dispositivos sincronizados pelo Chaves do iCloud do mesmo ID Apple), sem serem armazenadas em nossos servidores. Essas mensagens não podem ser lidas na web ou em outros dispositivos, a menos que você escolha salvar também a chave no servidor nos Ajustes do iOS.

Relatar uma vulnerabilidade

Se você notar um problema no projeto ou na implementação, fale com a gente pelo Contato. Envie os passos de reprodução detalhados ou o código de exploração diretamente para nós, não em público.

Este projeto muda constantemente. Anunciamos mudanças importantes nesta página e nas Perguntas frequentes.