دستور روك ميل

الصندوق للمستخدم، لا لنا

1. 1.محتوى البريد لا يقرؤه إلا صاحبه. لا يجوز للخدمة أبدًا أن تملك أو تولّد أو تقبل مفتاحًا قادرًا على فتح بريد مخزَّن. لا نستطيع قراءة البريد الذي نخزّنه — ليس «لا نفعل»، بل لا نستطيع. النصوص والمواضيع والمرسِلون والمستقبِلون والمعاينات وبايتات المرفقات وأسماء ملفاتها والمسودات وجهات الاتصال وفهرس البحث، كلها مختومة إلى هوية خزانة لا يوجد نصفها السري إلا داخل متصفحك المفتوح.
2. 2.عامل الاستقبال يحمل مفتاحًا عامًّا فقط: يستطيع ختم البريد إليك ولا يستطيع فتحه أبدًا.
3. 3.مفتاح بريد الخادم التاريخي دُمِّر في 7 آب/أغسطس 2026 بعد إعادة ختم كل رسالة مخزّنة. ولقطات قاعدة البيانات القديمة غير قابلة للقراءة لأن المفتاح الذي كان يفتحها لم يعد له وجود في أي مكان. ولن يُعاد إنشاؤه أبدًا.
4. 4.إن تعذّر الختم، يُرفض التسليم كي يعيد الخادم المرسِل المحاولة. ولا نخزّن أبدًا وفي صمت نسخةً مقروءة من بريد تظنه مشفّرًا.

تفرضهاالختم لحظة الوصول (المشربية: ML-KEM-768 + X25519)، ومسار تسليم يرفض بدل أن يرتدّ إلى النص الصريح، واختبار يمسح ملفات قاعدة البيانات الخام بحثًا عن نص صريح، ولا مسار متبقٍّ لمفتاح خادم يستطيع فتح البريد.

لا إعلانات، لا تتبّع، لا اقتصاد بيانات

1. 1.لا إعلانات أبدًا. الإعلان يموّله الانتباه ويُدفع ثمنه تنميطًا؛ ومنتج بريد يعرض إعلانات إنما يقرأ شيئًا كي يستهدفها.
2. 2.لا تحليلات، ولا متتبّعات، ولا بصمات أجهزة — لا في التطبيق ولا على الصفحات العامة. ولا يجوز أن تُحمِّل أيُّ صفحة نقدّمها سكربتًا أو خطًا أو شبكة توصيل أو منارة من طرف ثالث.
3. 3.لا كوكيز للزوار المجهولين. والمستخدم المسجَّل يحصل على اثنتين بالضبط: كوكي الجلسة وتوأمها لحماية CSRF.
4. 4.لا نبيع بيانات المستخدمين ولا نشاركها ولا نؤجّرها ولا «نجهّلها ونجمّعها». ولا توجد فقرة «أساس قانوني» تجعل ذلك مقبولًا لاحقًا.
5. 5.بكسلات التتبّع في البريد الوارد معطَّلة افتراضيًا — والمحتوى البعيد لا يُحمَّل إلا حين يطلبه القارئ، لكل رسالة على حدة.

تفرضهاسياسة أمان محتوى بلا أي أصل لطرف ثالث (أُزيلت منارة التحليلات في الإصدار 27)، وخطوط مستضافة ذاتيًا بلا اتصالات مسبقة، وتجريد المتتبّعات لحظة الوصول، واختبارات تمسح الصفحات المُقدَّمة بحثًا عن موارد خارج المضيف.

سلطة على الحسابات، لا على المراسلات

1. 1.المشغّل موجود وضروري عند التوسّع. وسلطته إدارة الحسابات: دعوة، وتعليق، ورفع تعليق، وحذف، وإعدادات النسخة نفسها. لا قراءة أبدًا.
2. 2.وهذا بنيويّ لا إجرائيّ: أوامر المشغّل تصطدم بالنص المشفّر نفسه الذي يصطدم به الغريب. لا يوجد مسار قراءة مميّز كي يُساء استعماله، أو يُنسى تأمينه، أو يُنتزع بالإكراه.
3. 3.والمالك لا يستطيع قراءة البريد أيضًا. لا دور في هذا النظام، بما في ذلك الدور الذي يملك الخادم، يستطيع فتح صندوق مستخدم.
4. 4.لا يحمل أيُّ حساب سلطةَ المشغّل. فهي لا تُمارَس إلا من طرفيّة الخادم نفسه، على يد من يملك صلاحية الجذر على الجهاز — وهو قادر على ذلك كله أصلًا. لا صفحة إدارة في تطبيق الويب ولا مسار إداري: لا جلسة ولا ملف تعريف ارتباط ولا كلمة مرور، ولا ما للمالك منها، تستطيع تعليق حساب أو إصدار قسيمة أو فتح التسجيل أو اختيار عنوان على نطاق مشترك. وكلمة مرور سُرقت بالتصيّد، أو جلسة مختطفة، أو ثغرة في عميل الويب، لا تبلغ إلا صندوقًا واحدًا ولا شيء بعده. وحساب المالك صندوق بريد كسائر الصناديق.
5. 5.كل إجراء يقوم به المشغّل يُسجَّل في سجل التدقيق باسم الطرفيّة، بلا حساب ولا عنوان.

تفرضهاكل سلطات المشغّل في وحدة واحدة لا تستوردها إلا طرفيّة الخادم؛ ولا مسار إداري على الإطلاق (يفشل اختبارٌ إن ظهر واحد، أو إن استدعت شيفرة الويب إحدى عمليات الكتابة الخاصة بالمشغّل)؛ وتعليقٌ يُفرض حيث تُحلّ الجلسات؛ وتمرينٌ على خادم حقيقي يشغّل الطرفيّة من أولها إلى آخرها ويتحقق من أن المسارات الإدارية القديمة تجيب المالكَ أيضًا بـ 404.

صدقٌ في الحدود

1. 1.ننشر ما لا ندافع ضده: الجهاز المفتوح، وحقن البرمجيات والخزانة مفتوحة، وتحليل حركة المرور، وتحديث عميل خبيث نشحنه نحن أنفسنا، وجهاز مُصادَر.
2. 2.ونصرّح بالبيانات الوصفية التي يحفظها الخادم — الطوابع الزمنية، وحالات المجلدات والقراءة، وأعداد المرفقات، وعناوين إعادة التوجيه للأسماء، وشروط القواعد، ومعرّفات الرسائل — على الموقع العلني، لا في حاشية.
3. 3.وحيث تختلف الوثائق والشيفرة، فالشيفرة هي المرجع والوثيقة هي الخطأ. ونصلح الوثيقة.
4. 4.ولا ندّعي خاصيةً لا نستطيع البرهنة عليها. ولغة التسويق التي تسبق الآلية عيبٌ يُبلَّغ عنه كأي عيب آخر.

تفرضهانموذج تهديد منشور، والحدود نفسها على صفحة الأمان، وجدول البيانات الوصفية مطبوع على صفحة الاستقبال ذاتها.

الوضوح جزء من المنتج

1. 1.النص الذي تستقبله يجب أن يكون مقروءًا: لا ترميزًا خامًا أبدًا، ولا بقايا مشوّهة من خط أنابيبنا نحن. وكل سطح — معاينة القائمة، والقارئ، والاقتباس، والتصدير، وصف البحث — يعرض الحقيقة المُصلَحة نفسها.
2. 2.وأحكام النظام يجب أن تُشرح بجُمل لا باختصارات بروتوكولية. فإشارةٌ لا تستطيع تفسيرها زينةٌ لا أكثر.
3. 3.والإصلاحات يجب أن تكون محافِظة: النص الصادق يمرّ كما هو بايتًا ببايت. ونفضّل أن نعرض رسالةً واحدة ناقصةً على أن نُفسد ألفًا.
4. 4.والأخطاء تقول ما حدث وما يعنيه. والصمت ليس حالةً في الواجهة.

تفرضهاإصلاحٌ يُطبَّق في كل مسار قراءة، وشرحٌ بلغة عادية لكل حكم SPF وDKIM وDMARC، واختبارات تثبت أن النص الصادق يمرّ دون تغيير وأن صف القائمة والقارئ وجُمل الأحكام متّفقة.

لا باب خلفي، والثمن الذي ندفعه مقابل ذلك

1. 1.لا يجوز بناء أو شراء أو قبول وديعة استرداد أو تجاوز للمشغّل أو قدرة اعتراض — لا للراحة، ولا للنمو، ولا تحت الضغط. لا يوجد استرداد لكلمة سر الخزانة، ولا طريق «راسِل الدعم» ينتهي بشخص آخر يحمل مفتاحك.
2. 2.ويُصرَّح بالثمن الصادق حيثما انطبق — عند التسجيل، وعند إنشاء الخزانة، وعلى صفحة الأمان، وفي الشروط: من يفقد عبارة سر الخزانة وعبارة الاسترداد معًا فقد فقد بريده رياضيًا، ولا يغيّر طلبُ دعمٍ الرياضيات.
3. 3.والخدمة التي تعرض الاسترداد والخصوصية معًا إنما تصف مفتاحًا تحتفظ به. ولن نصير ذلك من أجل الراحة.
4. 4.وحذف الحساب يدمّر أغلفة الخزانة، فيغدو بريد المستخدم غير قابل للقراءة إلى الأبد في قاعدة البيانات الحيّة وفي كل نسخة تؤخذ منها بعد ذلك — وهذا أقوى من حذف الصفوف، ولا رجعة فيه بالتصميم. أمّا النسخة الاحتياطية المأخوذة قبل الحذف فتبقى تحمل الأغلفة القديمة حتى تنقضي، وتفتحها عبارة السر القديمة أو عبارة الاسترداد؛ وتذكر [سياسة الخصوصية](/ar/privacy#backups) مدة حفظ النسخ. وحين تزول آخرها يزول آخر مفتاح.

تفرضهامسار إعادة تعيين يدمّر بدل أن يعيد التعيين ويقول ذلك بهذه الكلمات («DELETE MY MAIL PERMANENTLY»)، وبوابة الخزانة، وحذف حساب يزيل الأغلفة لا الصفوف فحسب.

باب الخروج يبقى مفتوحًا

1. 1.المغادرة يجب أن تبقى ممكنة دائمًا. تصدير الصندوق كاملًا إلى mbox قياسي وأرشيف مختوم (نص مشفّر) يُشحنان داخل المنتج — لا على خارطة طريق ولا خلف الدعم. وكلمات المرور المحفوظة بجانب البريد تغادر بالطريقة نفسها: ملفَّ نسخة احتياطية مشفّرًا لا تفتحه إلا عبارة المرور المختارة له، أو ملفًا غير مشفّر بصيغة Bitwarden تستورده مديرات كلمات المرور الأخرى.
2. 2.والحبس المبنيّ على كلفة المغادرة نموذج عمل نرفضه.
3. 3.ووصلات الاستضافة الذاتية — استقبال محايد المزوّد، وإرسال عبر SMTP، ومخطّط قاعدة بيانات يعمل على المحرّكين — مصانة ومختبَرة، كي يمكن ترك هذه النسخة كليًا، بما في ذلك من قِبلنا نحن.
4. 4.الحذف يدمّر المفاتيح، لا الصفوف فحسب. حذف الحساب يدمّر أولًا كل غلاف لمفتاح ذلك الصندوق، وهذا ما يجعل البريد غير قابل للاسترداد دفعةً واحدة في قاعدة البيانات هذه وفي تخزين الكائنات — وفي كل صفحة وسجل كتابة مسبقة ونسخة مطابقة تُنسخ منها بعد ذلك، وهو ما لا يبلغه حذف الصفوف وحده. أمّا النسخ الاحتياطية المأخوذة قبل الحذف فتُبقي الأغلفة القديمة حتى تنقضي (السادس-4). لا وديعة، ولا تجاوز من المشغّل، ولا طريق دعم يعكسه: بعد انقضاء تلك النسخ لا يوجد النص المشفّر في أي مكان مع مفتاح.
5. 5.ولا شيء يحتفظ باسم من رحل. سلسلة الحذف تمحو صفوف الحساب من كل جدول يحملها، واختبارٌ يمسح المخطّط بأكمله — كل جدول وكل عمود — بحثًا عن المعرّف الراحل، فلا يستطيع جدولٌ يُضاف مستقبلًا أن يحتفظ بهدوء بشخص طلب محوه.

تفرضهاصيغتا تصدير الصندوق كلتاهما وتصديرا كلمات المرور كلاهما في المنتج اليوم؛ ومسار بريد محايد المزوّد ومختبَر كي تنتقل الخدمة كلها بين المضيفين؛ ومسار الحذف المدمِّر للمفاتيح، مع اختبار مسحٍ للمخطّط بأكمله يفشل إن احتفظ أي جدول بحساب محذوف.

لمن نبني

1. 1.بُنيت هذه الخدمة كي تكون قابلة للدفاع عن الصحفيين ومصادرهم والناشطين وكل من يمكن أن تُستعمل مراسلاته ضده. وحين يقايض قرارٌ في التصميم الراحةَ بسلامة ذلك الشخص، تفوز السلامة.
2. 2.وتُختار الاستضافة بحيث يُعامَل المضيف نفسه خصمًا على البيانات الوصفية — لا على المحتوى وحده: خادم نسيطر عليه في ولاية تحمي الخصوصية، مع خدمة onion على تور كي لا يكون موقع القارئ على الشبكة ملكًا لأحد ليسجّله.
3. 3.ولن نضيف ميزةً تتوقف قيمتها على مراقبة المستخدمين.

تفرضهادليل الاستضافة السيادية (البنية المستهدفة وخدمة onion — محفوظ خاصًّا حتى تكتمل الهجرة)، وأصل onion مدعوم بوصفه هدف نشر من الدرجة الأولى.

المال، وما لا يجوز أن يشتريه

1. 1.تموَّل الخدمة بأناس يدفعون ثمنها. لا معلنون، ولا سماسرة بيانات، ولا «شركاء» لهم مصلحة في صندوق البريد.
2. 2.ولا يجوز لمستثمر أو مشترٍ أو شريك أن يحصل على قدرة ينكرها هذا الدستور. وتغيّر الملكية لا يغيّر المادة الأولى — ولا يستطيع، بغياب المفاتيح المدمَّرة التي لم تعد موجودة.
3. 3.لا توجد مساحة مموَّلة: لا خلاصة أخبار، ولا لوحة، ولا موضع إعلان في أي صفحة. لا يظهر شيء في أي مكان لأن أحدًا دفع، ولا يوجد في المخطط جدول يمكن لدفعة أن تشتري فيه صفًا. (وُجدت يومًا ميزة أخبار وأسواق منسّقة، وأُزيلت كاملة في الإصدار 31 من المخطط؛ وعاش هذا البند بعدها.)
4. 4.الدفع يجب ألا يعرّف بالصندوق. المال يشتري قسيمة؛ والقسيمة تغذّي أي حساب؛ ومفتاح الربط بينهما لا يُخزَّن أبدًا. جدول القسائم لا عمود مستخدم فيه كي يُطلب قضائيًا، والاستبدال يمدّد الحساب في عبارة منفصلة لا تعرف أي رمز دفع. والقنوات معروضة بحسب الخصوصية — نقدًا بالبريد، ومونيرو، وبتكوين — وأي قناة بطاقات مستقبلية يجب أن تشتري قسائم عبر صفحة مستضافة، لا اشتراكات على حساب أبدًا.
5. 5.عدم الدفع يجمّد؛ ولا يحذف أبدًا، ولا يقيّد الاستقبال أبدًا. الحساب المنتهي يستمر في الاستقبال والقراءة والتصدير إلى الأبد. والحذف فعل المستخدم وحده — فوري، ومُنذَر به، ولا رجعة فيه.

تفرضهافوترة لا تستشير حالة الدفع للاستقبال أو القراءة أو التصدير (الإرسال وإنشاء الأسماء وحدهما يستشيرانها)، واستبدال لا يسجّل أي قسيمة، وجدول قسائم بلا رابط بحساب، والقنوات وقاعدة البطاقات منشورة على صفحة الأسعار.

ضوابط إساءة الاستخدام التي لا تتحوّل إلى مراقبة

1. 1.ندافع عن الخدمة ضد الرسائل المزعجة والقوة الغاشمة وإساءة الاستخدام بأنحف الإشارات التي تفي بالغرض: حدود المعدل، وسقوف إرسال للحسابات الفتيّة، وأحكام المصادقة، وتقييم المحتوى الذي يجري في الذاكرة لحظة الوصول ولا يُبقي إلا حكمه.
2. 2.ومكافحة إساءة الاستخدام لا تصير أبدًا سببًا لقراءة البريد أو تنميط المستخدمين أو الاحتفاظ بأكثر مما تحتاجه الآلية.
3. 3.والتسجيل مُقيَّد لا مُراقَب — مغلق أو بالدعوة أو مفتوح بقرار المالك، مع رموز دعوة مخزّنة كبصمات كي لا يصكّ تسريبُ قاعدة البيانات شيئًا.

تفرضهاحدود معدل لكل هوية، وسقف إرسال للحسابات الفتيّة، واستبدال دعوات أحادي الاستعمال بالبصمات لا يمنح أي امتياز، وأحكام إزعاج تُحفظ دون الدليل الذي أنتجها.

قيود صارمة

1. 1.لن يُضاف باب خلفي ولا وديعة مفاتيح ولا قدرة «وصول قانوني». وحيث نُلزَم بإجراء قانوني صحيح نقدّم ما نملكه — بريد الحساب، وبيانات التوجيه، ونصًّا مشفّرًا — ونقول بصدق إن المحتوى ليس ملكنا كي نعطيه.
2. 2.ولا مسح للمحتوى لأغراض الإعلان أو تدريب النماذج أو التنميط. أبدًا.
3. 3.ولا أنماط مخادعة: لا آليات تعلّق، ولا إلحاح مصطنع، ولا واجهات مصمَّمة لتجعل المغادرة أو الحذف أو الرفض أصعب من القبول.
4. 4.ولا توسيع صامت للقدرات. أي سلطة جديدة على بيانات المستخدمين تتطلب تغييرًا علنيًا في هذه الوثيقة، مع تعليله، قبل أن تُشحن الشيفرة.

تفرضهاهذه قيود مطلقة، لا تُوازَن بأي شيء. ولا آلية تُغني عن الوفاء بها.

المساءلة

1. 1.تعيش هذه الوثيقة في المستودع مع الشيفرة، مُصدَّرةً في تاريخ علنيّ. والتعديلات إيداعات: مؤرَّخة، منسوبة، قابلة للمراجعة.
2. 2.والأخطاء تُنشر لا تُدفن. وحين نخلف وعدًا هنا — كما في خطأ الاستقبال الذي خزّن نصوص رسائل غير مقروءة في آب/أغسطس 2026 — يُسجَّل الإصلاح والسبب والاختبار الذي يمنع التكرار في تاريخ الإيداعات وسجل الحالة.
3. 3.وتقارير الأمن تصل إلى عنوان مُراقَب ويُردّ عليها.
4. 4.وإن أُوقفت هذه الخدمة يومًا، يحصل المستخدمون على إشعار لا يقلّ عن تسعين يومًا وعلى تصديراتهم.

تفرضهامجموعة اختبارات تقرأ هذا الدستور، وتستخرج كل آلية يسمّيها، وتُفشل البناء إذا أُزيلت واحدة من الشيفرة؛ وسجل جارٍ لما شُحن، بما في ذلك الإخفاقات.