بريدٌ يحفظ أسراره

عند الوصول، قبل الختم — يقيّم العاملُ الرسالةَ في الذاكرة، ويختم الحكم، ويختم كل شيء، ثم ينسى. الحكم، ونطاقات المرسِلين التي تصنّفها مزعجة أو غير مزعجة، هما الأثر الوحيد؛ ولا يحتفظ المرشِّح بأي سجل للرسائل.

إلى عنوان خارجي، نعم، أثناء الإرسال: البريد العادي لا سبيل له غير ذلك ليصل إلى Gmail أو Outlook، فيقرأ الخادم الرسالة لينقلها، أما النسخة في مجلد المرسَل فمختومة. وإلى عضو آخر في روك ميل، لا: متصفحك يختم الرسالة بمفتاحه قبل أن تغادر جهازك، ولا ينقل الخادم إلا نصًا مشفّرًا. الثقة الوحيدة الباقية هي المفتاح نفسه. يطلبه متصفحك من الخادم، ولا يختم به إلا بعد أن يتحقق منه في سجلّ المفاتيح: سجلّ علنيّ لا يقبل إلا الإضافة، فيه كل مفتاح يسلّمه الخادم، ويراقبه تطبيقك بحثًا عن مفتاح ليس لك. فخادمٌ يكذب في مفتاحٍ عليه أن ينشر كذبته هناك. وليس للسجلّ شهود من خارجه بعدُ، فيصحّ ذلك ما دام الناس يقارنون ما يرونه. والاستثناء البريد إلى عضو لم يُنشئ خزانة بعد: يختمه الخادم لحظة وصوله. أما تطبيق البريد المكتبي الذي يرسل عبر الجسر فليس استثناءً: الجسر يختم الرسالة بنفسه، متحققًا من السجلّ نفسه.

كلمة سر الحساب يمكن إعادة تعيينها بعبارة سر الخزانة (مع رمز التحقق بخطوتين إن كنت تستخدمه) — فهي لا تحرس إلا الصدفة. أما عبارة سر الخزانة فلا سبيل إلى استردادها. لهذا وُجدت عبارة الاسترداد ذات الأربع والعشرين كلمة: اكتبها على ورق، واحفظها كما تحفظ جواز سفرك.

ينبغي ألا تضطر — هذا هو هدف التصميم. ما تبقى من الثقة هو في الشيفرة التي يشغّلها متصفحك: إنها قابلة للفحص، والحدُّ الصادق لكل منتج تشفيرٍ يُسلَّم عبر المتصفح (بما في ذلك Proton وTuta) أن تحديثًا خبيثًا قد يخونك. نحن نصرّح بهذا الحد بدل أن نجمّله.

تحليل حركة المرور حقيقي ولا ندّعي خلاف ذلك: يرى الخادم أن بريدًا وصل إليك، ومتى، وبأي حجم تقريبًا. الختم يخفي ما قيل، لا أنَّ شيئًا قد قيل.

لا — خمسة يوروات شهريًا، ثابتة في كل المدد، تُدفع عبر قسائم لا تعرف أي صندوق تغذّي. تدفع بالمال كي لا تدفع بنفسك أبدًا. دعوةٌ من المشغّل تمنح الشهر الأول مجانًا، وعدمُ الدفع لا يحذف شيئًا أبدًا: البريد يستمر في الوصول ويبقى مقروءًا؛ الإرسال وحده يتوقف.