Ce que nous protégeons, et ce qu'il reste à faire.

Mis en œuvre dans le code

Données de démonstration locales

En mode démo, les messages fictifs, brouillons et préférences sont enregistrés uniquement dans le stockage local de votre navigateur. Rien n'est envoyé à un serveur.

Contenu des e-mails traité comme non fiable

Les messages sont affichés en texte brut : aucun HTML, script ni image distante n'est exécuté ou chargé. Les liens affichent leur adresse réelle et s'ouvrent dans un nouvel onglet isolé.

Jetons d'accès chiffrés côté serveur

Les jetons OAuth (Gmail, Outlook) sont chiffrés en AES-256-GCM avant d'être stockés sur le serveur et ne sont jamais transmis au navigateur. Sans clé de chiffrement configurée, la connexion de comptes réels est désactivée.

Aucun mot de passe e-mail dans le navigateur

Les comptes IMAP/SMTP se configurent uniquement via les variables d'environnement du serveur. L'application ne vous demande jamais de saisir le mot de passe de votre messagerie.

Protection des connexions OAuth

Un jeton d'état aléatoire, stocké dans un cookie httpOnly, est vérifié au retour du fournisseur pour bloquer les tentatives de détournement.

Vérification d'origine et en-têtes de sécurité

Les actions serveur (envoi, déconnexion, assistant) refusent les requêtes provenant d'un autre site. Une politique de sécurité du contenu (CSP) et des en-têtes anti-cadre sont appliqués.

IA uniquement avec votre accord

Le contenu d'un message n'est transmis à un fournisseur IA que si l'administrateur en a configuré un et si vous l'avez explicitement autorisé dans les préférences.

Déconnexion et révocation

Déconnecter un compte supprime ses jetons du serveur et, pour Gmail, demande la révocation de l'accès auprès de Google.

À configurer ou à construire

• Authentification des utilisateurs Calao Mail (comptes, double authentification) : non disponible ; les comptes connectés sont liés à la session du navigateur.
• Stockage en base de données pour les plateformes sans disque persistant.
• Synchronisation multi-utilisateur chiffrée pour les fonctions d'équipe.
• Audit de sécurité indépendant : aucun n'a encore été réalisé.
• Hébergement, sauvegardes et localisation des données : dépendent de l'instance déployée.