Évaluation de confidentialité de Forward Email

Résumé

Forward Email obtient un score de 93 sur 100 (note A) selon les critères de la catégorie fournisseurs d'e-mail. Critères remplis : 17 sur 19 (open source, ni publicité ni vente de données, audit indépendant, informe les utilisateurs des demandes, Configuration TLS, en-têtes de sécurité, chiffrement de bout en bout, stockage chiffré des boîtes aux lettres, protocoles ouverts, domaines personnalisés, inscription sans données personnelles, prise en charge d'IMAP, prise en charge de POP3, Soumission SMTP, sécurité du transport du courrier, Sender Rewriting Scheme et Scellement ARC). Critères partiellement remplis : ni traceurs ni télémétrie et rapport de transparence. Siège : États-Unis (Membre des Five Eyes; soumis au CLOUD Act américain). Tests automatisés : Note SSL Labs : A+ et Note Mozilla HTTP Observatory : A+.

Score : 93 sur 100. Calcul du score

Critères

• ✔Oui

  Open source ×3Poids 3 sur 3 Code source consultable

  Tout le code source nécessaire pour faire fonctionner le produit est-il public ?

  All code is public, including the web, API, IMAP, POP3, SMTP, MX, CalDAV and CardDAV servers that run the service. Core mail storage and protocol code is MPL-2.0 and the rest is under the source-available Business Source License 1.1 (BUSL-1.1), which becomes MPL-2.0 four years after each release.

  github.com

• ◐Partiel

  Ni traceurs ni télémétrie ×3Poids 3 sur 3

  Le site web et les applications sont-ils exempts de traceurs tiers, avec une mesure d'audience anonyme et toute télémétrie désactivée par défaut ?

  No third-party analytics or telemetry. First-party page statistics keep no IP addresses, cookies or identifiers and are deleted after 30 days. Cloudflare Turnstile loads only on sign-in and sign-up forms to stop bots.

  forwardemail.net

• ✔Oui

  Ni publicité ni vente de données ×2Poids 2 sur 3

  Le produit est-il financé sans publicité, ciblage publicitaire ni vente de données d'utilisateurs ?

  Funded by paid plans. No ads.

  forwardemail.net

• ✔Oui

  Audit indépendant ×2Poids 2 sur 3

  Un audit indépendant de sécurité ou de confidentialité a-t-il été publié au cours des trois dernières années ?

  Two independent Cure53 audits of the code and infrastructure, published by Cure53 and on forwardemail.net.

  cure53.de

• ◐Partiel

  Rapport de transparence ×2Poids 2 sur 3

  Le fournisseur publie-t-il régulièrement le nombre de demandes gouvernementales et judiciaires qu'il reçoit et la façon dont il y répond ?

  The technical whitepaper (section 9.3) publishes the government request policy and commits to regular transparency reports with request counts. A report with counts is not published yet.

  forwardemail.net

• ✔Oui

  Informe les utilisateurs des demandes ×1Poids 1 sur 3

  Le fournisseur s'engage-t-il à informer les utilisateurs des demandes portant sur leurs données, sauf si un tribunal l'interdit ?

  Users are notified of requests when legally allowed, with notice after disclosure when advance notice is prohibited.

  forwardemail.net

• ✔Oui

  Chiffrement de bout en bout ×3Poids 3 sur 3

  Le courrier peut-il être chiffré de bout en bout, de sorte que le fournisseur ne puisse pas lire le contenu des messages ?

  Mail is automatically encrypted with OpenPGP when the recipient publishes a key through Web Key Directory. OpenPGP/MIME and S/MIME work with any app.

  forwardemail.net

• ✔Oui

  Stockage chiffré des boîtes aux lettres ×3Poids 3 sur 3

  Le courrier stocké est-il chiffré avec une clé que le fournisseur ne détient pas ?

  Each mailbox is a separately encrypted SQLite file (ChaCha20-Poly1305). The technical whitepaper states Forward Email cannot access mailbox contents.

  forwardemail.net

• ✔Oui

  Protocoles ouverts ×2Poids 2 sur 3

  N'importe quelle application standard peut-elle se connecter via IMAP, POP3, SMTP, CalDAV ou CardDAV, sans logiciel supplémentaire ?

  IMAP, POP3, SMTP, CalDAV and CardDAV on every paid plan, with no bridge app.

  forwardemail.net

• ✔Oui

  Domaines personnalisés ×1Poids 1 sur 3

  Peut-on envoyer et recevoir du courrier avec son propre domaine ?

  Unlimited domains on every plan.

  forwardemail.net

• ✔Oui

  Inscription sans données personnelles ×2Poids 2 sur 3

  Peut-on créer un compte sans numéro de téléphone ni autre adresse e-mail ?

  Free forwarding is set up entirely with DNS records, with no account at all. Paid mailboxes need only an email address and password, never a phone number.

  forwardemail.net

• ✔Oui

  Sender Rewriting Scheme ×1Poids 1 sur 3

  L'expéditeur d'enveloppe est-il réécrit avec SRS lors du transfert, pour que le courrier transféré continue de passer SPF ?

  Applied automatically to all forwarded mail.

  forwardemail.net

• ✔Oui

  Scellement ARC ×1Poids 1 sur 3

  Le fournisseur valide-t-il et ajoute-t-il des signatures ARC (RFC 8617), pour que les résultats d'authentification survivent au transfert ?

  ARC chains are validated (RFC 8617) and forwarded mail is ARC-sealed.

  forwardemail.net

Tests automatisés

• ✔Oui

  Configuration TLS ×2Poids 2 sur 3

  Le site web obtient-il la note A ou mieux au test Qualys SSL Labs ?

  Grade A+

  ssllabs.com

• ✔Oui

  En-têtes de sécurité ×1Poids 1 sur 3

  Le site web obtient-il la note A ou mieux au test Mozilla HTTP Observatory ?

  Grade A+ (125/100+)

  developer.mozilla.org

• …Pas encore testé

  Normes web modernes ×1Poids 1 sur 3

  Le site web obtient-il 90 % ou plus au test de site web Internet.nl ?

  Not tested yet.

• …Pas encore testé

  Normes de sécurité de l'e-mail ×2Poids 2 sur 3

  Le domaine de messagerie obtient-il 90 % ou plus au test e-mail Internet.nl ?

  Not tested yet.

• ✔Oui

  Prise en charge d'IMAP ×2Poids 2 sur 3

  Le serveur IMAP accepte-t-il les connexions en TLS implicite sur le port 993 et annonce-t-il IMAP4rev1 ou IMAP4rev2 avec le push IDLE ?

  imap.forwardemail.net:993 (implicit TLS). IMAP4rev1 advertised with IDLE.

• ✔Oui

  Prise en charge de POP3 ×1Poids 1 sur 3

  Le serveur POP3 accepte-t-il les connexions en TLS implicite sur le port 995 et répond-il à CAPA avec UIDL ?

  pop3.forwardemail.net:995 (implicit TLS). CAPA: TOP, UIDL, USER, RESP-CODES, SASL, PIPELINING.

• ✔Oui

  Soumission SMTP ×2Poids 2 sur 3

  La soumission de courrier fonctionne-t-elle en TLS implicite sur le port 465 avec SMTPUTF8, 8BITMIME, PIPELINING et AUTH ?

  smtp.forwardemail.net:465 (implicit TLS). SMTPUTF8, 8BITMIME, PIPELINING and AUTH advertised.

• ✔Oui

  Sécurité du transport du courrier ×3Poids 3 sur 3

  Le domaine de messagerie impose-t-il une livraison chiffrée et authentifiée avec MTA-STS, DANE, DNSSEC, TLS-RPT et une politique DMARC appliquée ?

  Passes: SPF, DMARC reject, MTA-STS enforce, TLS-RPT, DNSSEC, DANE all.

Normes de l'e-mail

• ✔Oui: Serveurs de messagerieMXmx1.forwardemail.net, mx2.forwardemail.net
• ✔Oui: Politique d'expéditeur RFC 7208SPFpublié
• ✔Oui: RFC 7489. Quarantine ou reject compte comme appliquéDMARCp=reject
• ✔Oui: Sécurité de transport stricte RFC 8461MTA-STSenforce
• ✔Oui: Rapports d'échec TLS RFC 8460TLS-RPTpublié
• ✔Oui: DNS signé selon la RFC 4033DNSSECsigné et validé
• ✔Oui: Enregistrements TLSA RFC 7672 sur les hôtes MXDANEall
• ✖Non: Enregistrement du logo de la marque (non noté)BIMIaucun
• ✔Oui: Enregistrements de service RFC 6186 et RFC 8314 (non notés)SRVconfiguration automatique des clients publiée

Les capacités sont ce que chaque serveur annonce avant la connexion. Fonctionnement de ces tests