דירוג הפרטיות של Forward Email

תקציר

Forward Email מקבל ניקוד 93 מתוך 100 (ציון A) לפי הקריטריונים של הקטגוריה ספקי דוא״ל. עומד ב־17 מתוך 19 קריטריונים: קוד פתוח, ללא פרסומות או מכירת נתונים, ביקורת עצמאית, מודיע למשתמשים על בקשות, תצורת TLS, כותרות אבטחה, הצפנה מקצה לקצה, אחסון מוצפן של תיבות דואר, פרוטוקולים פתוחים, דומיינים מותאמים אישית, הרשמה ללא נתונים אישיים, תמיכה ב־IMAP, תמיכה ב־POP3, שליחת דואר ב־SMTP, אבטחת העברת דואר, Sender Rewriting Scheme ‏(SRS) וחתימת ARC. עומד חלקית בקריטריונים: ללא רכיבי מעקב או טלמטריה ודוח שקיפות. מקום המושב הוא ארצות הברית: חברה ב־Five Eyes; כפוף ל־CLOUD Act האמריקאי. בדיקות אוטומטיות: ציון SSL Labs: ‏A+ וציון Mozilla HTTP Observatory: ‏A+.

ניקוד 93 מתוך 100. איך הניקוד עובד

קריטריונים

• ✔כן

  קוד פתוח ×3משקל 3 מתוך 3 קוד זמין לצפייה

  האם כל קוד המקור הנדרש להפעלת המוצר פומבי?

  All code is public, including the web, API, IMAP, POP3, SMTP, MX, CalDAV and CardDAV servers that run the service. Core mail storage and protocol code is MPL-2.0 and the rest is under the source-available Business Source License 1.1 (BUSL-1.1), which becomes MPL-2.0 four years after each release.

  github.com

• ◐חלקי

  ללא רכיבי מעקב או טלמטריה ×3משקל 3 מתוך 3

  האם האתר והאפליקציות נקיים מרכיבי מעקב של צד שלישי, כל ניתוח נתונים אנונימי וכל טלמטריה כבויה כברירת מחדל?

  No third-party analytics or telemetry. First-party page statistics keep no IP addresses, cookies or identifiers and are deleted after 30 days. Cloudflare Turnstile loads only on sign-in and sign-up forms to stop bots.

  forwardemail.net

• ✔כן

  ללא פרסומות או מכירת נתונים ×2משקל 2 מתוך 3

  האם המוצר ממומן בלי פרסום, בלי פרסום ממוקד ובלי מכירת נתוני משתמשים?

  Funded by paid plans. No ads.

  forwardemail.net

• ✔כן

  ביקורת עצמאית ×2משקל 2 מתוך 3

  האם פורסמה ביקורת אבטחה או פרטיות עצמאית בשלוש השנים האחרונות?

  Two independent Cure53 audits of the code and infrastructure, published by Cure53 and on forwardemail.net.

  cure53.de

• ◐חלקי

  דוח שקיפות ×2משקל 2 מתוך 3

  האם הספק מפרסם באופן קבוע כמה בקשות ממשלתיות ומשפטיות הוא מקבל ואיך הוא מגיב להן?

  The technical whitepaper (section 9.3) publishes the government request policy and commits to regular transparency reports with request counts. A report with counts is not published yet.

  forwardemail.net

• ✔כן

  מודיע למשתמשים על בקשות ×1משקל 1 מתוך 3

  האם הספק מתחייב להודיע למשתמשים על בקשות לנתונים שלהם, אלא אם בית משפט אוסר זאת?

  Users are notified of requests when legally allowed, with notice after disclosure when advance notice is prohibited.

  forwardemail.net

• ✔כן

  הצפנה מקצה לקצה ×3משקל 3 מתוך 3

  האם ניתן להצפין דואר מקצה לקצה כך שהספק לא יוכל לקרוא את תוכן ההודעות?

  Mail is automatically encrypted with OpenPGP when the recipient publishes a key through Web Key Directory. OpenPGP/MIME and S/MIME work with any app.

  forwardemail.net

• ✔כן

  אחסון מוצפן של תיבות דואר ×3משקל 3 מתוך 3

  האם הדואר השמור מוצפן במפתח שאינו בידי הספק?

  Each mailbox is a separately encrypted SQLite file (ChaCha20-Poly1305). The technical whitepaper states Forward Email cannot access mailbox contents.

  forwardemail.net

• ✔כן

  פרוטוקולים פתוחים ×2משקל 2 מתוך 3

  האם כל אפליקציה סטנדרטית יכולה להתחבר דרך IMAP,‏ POP3,‏ SMTP,‏ CalDAV או CardDAV, בלי תוכנה נוספת?

  IMAP, POP3, SMTP, CalDAV and CardDAV on every paid plan, with no bridge app.

  forwardemail.net

• ✔כן

  דומיינים מותאמים אישית ×1משקל 1 מתוך 3

  האם ניתן לשלוח ולקבל דואר עם דומיין משלכם?

  Unlimited domains on every plan.

  forwardemail.net

• ✔כן

  הרשמה ללא נתונים אישיים ×2משקל 2 מתוך 3

  האם ניתן ליצור חשבון בלי מספר טלפון או כתובת דוא״ל נוספת?

  Free forwarding is set up entirely with DNS records, with no account at all. Paid mailboxes need only an email address and password, never a phone number.

  forwardemail.net

• ✔כן

  Sender Rewriting Scheme ‏(SRS) ×1משקל 1 מתוך 3

  האם שולח המעטפה נכתב מחדש עם SRS כשדואר מועבר, כדי שדואר מועבר ימשיך לעבור את SPF?

  Applied automatically to all forwarded mail.

  forwardemail.net

• ✔כן

  חתימת ARC ×1משקל 1 מתוך 3

  האם הספק מאמת ומוסיף חתימות ARC (RFC 8617), כך שתוצאות האימות נשמרות לאחר העברה?

  ARC chains are validated (RFC 8617) and forwarded mail is ARC-sealed.

  forwardemail.net

בדיקות אוטומטיות

• ✔כן

  תצורת TLS ×2משקל 2 מתוך 3

  האם האתר עובר את בדיקת Qualys SSL Labs בציון A ומעלה?

  Grade A+

  ssllabs.com

• ✔כן

  כותרות אבטחה ×1משקל 1 מתוך 3

  האם האתר עובר את בדיקת Mozilla HTTP Observatory בציון A ומעלה?

  Grade A+ (125/100+)

  developer.mozilla.org

• …טרם נבדק

  תקני רשת מודרניים ×1משקל 1 מתוך 3

  האם האתר מקבל 90% ומעלה בבדיקת האתרים של Internet.nl?

  Not tested yet.

• …טרם נבדק

  תקני אבטחת דוא״ל ×2משקל 2 מתוך 3

  האם דומיין הדואר מקבל 90% ומעלה בבדיקת הדוא״ל של Internet.nl?

  Not tested yet.

• ✔כן

  תמיכה ב־IMAP ×2משקל 2 מתוך 3

  האם שרת ה־IMAP מקבל חיבורים דרך TLS מרומז בפורט 993 ומכריז על IMAP4rev1 או IMAP4rev2 עם דחיפת IDLE?

  imap.forwardemail.net:993 (implicit TLS). IMAP4rev1 advertised with IDLE.

• ✔כן

  תמיכה ב־POP3 ×1משקל 1 מתוך 3

  האם שרת ה־POP3 מקבל חיבורים דרך TLS מרומז בפורט 995 ועונה ל־CAPA עם UIDL?

  pop3.forwardemail.net:995 (implicit TLS). CAPA: TOP, UIDL, USER, RESP-CODES, SASL, PIPELINING.

• ✔כן

  שליחת דואר ב־SMTP ×2משקל 2 מתוך 3

  האם שליחת דואר עובדת דרך TLS מרומז בפורט 465 עם SMTPUTF8,‏ 8BITMIME,‏ PIPELINING ו־AUTH?

  smtp.forwardemail.net:465 (implicit TLS). SMTPUTF8, 8BITMIME, PIPELINING and AUTH advertised.

• ✔כן

  אבטחת העברת דואר ×3משקל 3 מתוך 3

  האם דומיין הדואר אוכף מסירה מוצפנת ומאומתת עם MTA-STS,‏ DANE,‏ DNSSEC,‏ TLS-RPT ומדיניות DMARC נאכפת?

  Passes: SPF, DMARC reject, MTA-STS enforce, TLS-RPT, DNSSEC, DANE all.

תקני דוא״ל

• ✔כן: שרתי דוארMXmx1.forwardemail.net, mx2.forwardemail.net
• ✔כן: מדיניות שולח לפי RFC 7208SPFמפורסם
• ✔כן: RFC 7489. ‏quarantine או reject נחשבים לאכיפהDMARCp=reject
• ✔כן: אבטחת העברה מחמירה לפי RFC 8461MTA-STSenforce
• ✔כן: דוחות כשלי TLS לפי RFC 8460TLS-RPTמפורסם
• ✔כן: DNS חתום לפי RFC 4033DNSSECחתום ומאומת
• ✔כן: רשומות TLSA לפי RFC 7672 בשרתי MXDANEall
• ✖לא: רשומת לוגו של המותג (ללא ניקוד)BIMIאין
• ✔כן: רשומות שירות לפי RFC 6186 ו־RFC 8314 (ללא ניקוד)SRVהגדרה אוטומטית ללקוח מפורסמת

יכולות הן מה שכל שרת מכריז עליו לפני ההתחברות. איך הבדיקות האלה עובדות