O Proton Mail mantém sua caixa criptografada até diante da própria Proton. Uma ordem judicial suíça ainda consegue arrancar o seu IP.

Como funciona

O Proton Mail foi lançado publicamente em 2014 a partir de um hackathon do CERN, e a Proton AG opera hoje o serviço a partir de Plan-les-Ouates, ao sul de Genebra. O plano gratuito entrega 1 GB de armazenamento e um endereço; os planos pagos somam mais espaço, domínios próprios e o resto da suíte Proton — VPN, Drive, Calendar, Pass. As mensagens passam pelos servidores da Proton, onde corpos, anexos e convites de calendário são selados com OpenPGP e criptografia zero-access — as chaves vivem atrás da sua senha de conta, não do lado da Proton. Mensagens recebidas de remetentes externos são criptografadas em repouso após a entrega; só cabeçalhos e metadados de roteamento permanecem legíveis ao operador. Existem clientes em aplicação web, apps nativos para iOS e Android, aplicativos de desktop para os principais sistemas e uma Bridge IMAP/SMTP para Thunderbird ou Outlook. A biblioteca criptográfica OpenPGPjs e os próprios aplicativos são de código aberto.

KYC e privacidade

O cadastro pede nome de usuário e senha. Um e-mail de recuperação ou número de telefone é oferecido, nunca exigido, e o espelho onion no Tor aceita contas novas diretamente. Em momento algum se pede documento oficial. A fronteira é jurídica, não arquitetônica: a Proton AG é uma empresa suíça, e a lei helvética sobre vigilância das comunicações permite que investigadores notifiquem uma ordem exigindo o registro de IP em tempo real de uma conta específica. Em setembro de 2021, a Proton cumpriu uma dessas ordens no caso Bonjour — o IP de uma conta ligada a um ativista climático parisiense foi entregue à polícia francesa pelas autoridades suíças, e a frase "não guardamos nenhum log de IP" foi tirada pouco depois da página inicial da Proton. O relatório de transparência trimestral da Proton lista milhares de ordens cumpridas por ano; o que não pode ser entregue, porque não é armazenado, é o conteúdo em claro das mensagens.

Pontos fortes e limites

A postura criptográfica é sólida. A Cure53 auditou os clientes do Proton Mail e a biblioteca OpenPGPjs, e a Proton publica tanto o código quanto os relatórios de auditoria. Bitcoin é aceito nos planos pagos (somente para contas existentes), o que permite descolar o rastro de pagamento de um cartão. Os limites são jurisdicionais. O direito suíço expõe a Proton a um risco que serviços no nível do protocolo não eliminam, mas reduzem; uma conta criada via Tor, sem contato de recuperação e paga em Bitcoin, é bem mais difícil de rastrear do que uma conta gratuita aberta com cartão Visa de um IP em claro. O suporte é o ponto fraco — usuários pagos costumam esperar dias por uma resposta — e o sistema antiabuso pede telefone ou e-mail alternativo quando os cadastros parecem automatizados, o que pega parte do tráfego Tor.

Veredicto

O Proton Mail é o melhor provedor de e-mail privado pronto para uso: código aberto, auditado, com um espelho Tor que de fato funciona para criar conta. Não é e-mail anônimo — o procedimento judicial suíço já foi usado para amarrar um IP a uma conta específica, então modelos de ameaça que envolvem interesse sério de polícia estrangeira devem tratar a caixa como pseudônima, não invisível. Útil para jornalistas, profissionais que estão deixando o Gmail e qualquer um que queira e-mail criptografado sem rodar o próprio servidor.