Политика конфиденциальности

Обновлено: 22 октября 2026 года.

У mailchecker нет своего сервера, аналитики, рекламы и телеметрии. Запросы идут из браузера напрямую в почтовый сервис, который подключил пользователь.

Локальные данные

В chrome.storage.local хранятся настройки, подключённые аккаунты с токенами доступа и обновления, стабильные идентификаторы Google для обновления токенов через Chrome или API-токены JMAP. Для ящиков, подключённых через вход в браузере, учётные данные не сохраняются. Также хранится последний результат проверки каждого ящика: число непрочитанных во Входящих и до 50 последних входящих писем — отправитель, тема, превью до 300 символов, дата, признаки прочтения и закрепления, категория и ссылка на веб-почту. IndexedDB, доступная только worker, дополнительно кеширует фактически загруженную почту: метаданные, открытые HTML- и текстовые тела, имена вложений и принадлежность к представлениям Входящих, папок, переписок и серверного поиска. Вложения и внешние изображения автоматически не скачиваются. Кеш ограничен приблизительным объёмом 50 МиБ, 5000 письмами, 1000 представлениями и 30 днями без обращения. Квота или очистка со стороны браузера могут уменьшить доступность данных. Настройки → Кеш почты позволяет очистить его, не удаляя ящики и настройки. Данные принадлежат профилю браузера и не шифруются расширением; защищайте профиль и устройство.

Доступ к локальному хранилищу ограничен TRUSTED_CONTEXTS. Всплывающее окно и Настройки получают публичное состояние без учётных данных. Хранилище сеанса содержит не более 100 последних URL уведомлений и ограниченный индекс. При нажатии или закрытии уведомления его URL удаляется; старые записи вытесняются, а перезапуск браузера очищает хранилище сеанса. Записи старых версий очищаются при первой загрузке индекса.

Отключение ящика удаляет его учётные данные, результат проверки и кеш IndexedDB, а также отменяет ожидающие записи в кеш. Разрешения на стороне провайдера при этом не отзываются: используйте раздел безопасности аккаунта Google или Microsoft либо удалите API-токен JMAP в почтовом сервисе. Удаление расширения очищает все его данные.

Сетевые запросы

• Gmail / Google Workspace: https://gmail.googleapis.com; проверка аккаунта Google через https://www.googleapis.com/oauth2/v2/userinfo, публичные ключи проверки подписи из https://www.googleapis.com/oauth2/v3/certs; вход и выбор аккаунта через Chrome Identity и https://accounts.google.com. Токены идентификации для выбора аккаунта проверяются в worker и не сохраняются.
• Outlook / Microsoft 365: https://graph.microsoft.com; вход и обновление токенов через https://login.microsoftonline.com.
• JMAP: URL сессии из Настроек и URL API на том же origin после выдачи пользователем доступа к этому origin.
• Через вход в почту в браузере, после разрешения сайта в Настройках: Gmail https://mail.google.com — лента непрочитанных, печатная версия открытого письма и действия; Яндекс Почта https://mail.yandex.ru — облегчённые папки, серверный поиск, страницы писем и форма удаления; Mail.ru https://e.mail.ru — API веб-почты: папки, серверный поиск, письма, отметки прочтения и перенос в Корзину; https://auth.mail.ru — получение cookie сессии веб-почты из входа Mail.ru.

API-запросы не отправляют cookie, не следуют перенаправлениям и прерываются через 25 секунд. Запросы через вход в браузере отправляют cookie браузера только на перечисленные выше хосты; они следуют перенаправлениям сайта, а переход за его пределы трактуют как выход из аккаунта. Размер ответов ограничен.

Тела писем показываются в изолированном фрейме без скриптов. Внешние изображения, включая пиксели отслеживания, не загружаются, пока пользователь не разрешит их для этой переписки. Блокировка таких запросов предотвращает отслеживание открытия через изображения; подключённый почтовый сервис по-прежнему получает запросы, необходимые для загрузки почты и отметки прочтения.

Разрешения

• storage, alarms, notifications: настройки и результаты, периодические проверки, уведомления о новых письмах.
• identity, необязательное, запрашивается при первом подключении Google или Microsoft: окно входа OAuth.
• cookies, необязательное, запрашивается при подключении Gmail через браузер: чтение только cookie действий Gmail GMAIL_AT на mail.google.com для архивирования, переноса в Корзину, отметки прочтения и установки звёздочек, как в веб-клиенте Gmail. Другие cookie не читаются.
• Разрешения хостов для API Gmail, идентификации Google, Graph, входа Microsoft и Fastmail. Другие origin JMAP и сайты веб-почты для подключения через браузер необязательны и запрашиваются в Настройках.

Ограниченное использование

Данные из Google API используются только для описанных здесь пользовательских функций почты. Это использование соответствует Google API Services User Data Policy и требованиям Limited Use. mailchecker не продаёт почтовые данные, не использует их для рекламы и не передаёт на сервер разработчика.

Контакты

Разработчик mailchecker — Антон Устинов. По вопросам конфиденциальности пишите на a.a.ustinoff@gmail.com. Не включайте в обращения пароли от ящиков, токены доступа и содержимое личных писем.