Seguridad

Los mensajes, los adjuntos y el índice de búsqueda están en una base de datos en tu ordenador, en una carpeta a la que solo puede acceder tu usuario. No pasan por nuestros servidores.

Las contraseñas de los buzones se guardan en el llavero del sistema: Llavero en macOS, Administrador de credenciales en Windows, Secret Service en Linux. Nunca acaban en la base de datos, en los registros ni en archivos de configuración.

IMAP usa TLS con verificación del certificado y del nombre del servidor. SMTP usa TLS en el puerto 465 y STARTTLS obligatorio en el 587.

Los correos HTML se dibujan con un motor escrito expresamente para Mailfolk, sin navegador integrado y sin JavaScript. Las imágenes y los SVG se convierten con límites de tamaño y de memoria, y no pueden leer archivos de tu ordenador.

Las imágenes remotas y los iconos de los remitentes solo se descargan si lo permites; sin tu permiso, Mailfolk solo descarga los iconos de tus dominios y de aquellos a los que ya has escrito. Así, quien te escribe no puede saber cuándo abres un mensaje.

El resumen usa un modelo que se ejecuta en tu ordenador. Lo descargas solo si quieres, y antes de usarlo verificamos su huella SHA-256.

El servidor MCP para Claude, ChatGPT y los demás asistentes está apagado hasta que lo enciendes tú, durante el tiempo que elijas. Ninguna herramienta puede enviar correos: los asistentes preparan borradores que tú revisas y envías. Cada solicitud, incluso las rechazadas, se registra antes de ejecutarse.

En macOS la app está firmada con un certificado Apple Developer ID y notarizada por Apple. El instalador para Windows no está firmado con Authenticode: Windows puede mostrar un aviso la primera vez que se ejecuta.

Cada actualización está firmada con una clave Ed25519 nuestra. Antes de instalarla, la app verifica la firma y la huella SHA-256 del paquete; en macOS comprueba también la firma del código. Si algo no cuadra, la actualización se descarta.

Mailfolk está escrito en Rust. Las dependencias están fijadas a versiones concretas y cada cambio pasa por pruebas automáticas. El código se somete a revisiones de seguridad periódicas; la última es de octubre de 2026.

El sitio, las licencias y las actualizaciones funcionan en una VPS de Aruba en el centro de datos IT3 de Ponte San Pietro (Bergamo), en Italia, accesible solo por HTTPS. Las licencias se verifican con tokens firmados con Ed25519.

Escríbenos a hello@mailfolk.email con los detalles y, si puedes, los pasos para reproducirla. Te responderemos lo antes posible y te mantendremos informado sobre la corrección. Te pedimos que no la hagas pública hasta que esté resuelta.