Segurança
O Angaro foi construído para que passe o mínimo possível pelos nossos servidores – e para que o que lá fica guardado seja ilegível para nós.
Encriptação ponto a ponto
A partir da tua palavra-passe é derivada no teu dispositivo uma chave com PBKDF2-SHA256 (210 000 iterações). Contactos, definições e contas de e-mail com palavras-passe são encriptados com AES-256-GCM antes de saírem do dispositivo. O nosso servidor nunca recebe a tua palavra-passe, apenas um hash de início de sessão derivado, que guarda adicionalmente com scrypt.
Os teus e-mails ficam contigo
As apps obtêm os e-mails diretamente do teu fornecedor e guardam-nos no teu dispositivo. O webmail liga-se ao teu servidor de e-mail em cada ação e não guarda credenciais nem conteúdos; uma ligação aberta fica no máximo 5 minutos em memória.
Servidores na UE
A Angaro Cloud funciona em Frankfurt am Main, o serviço push em Nuremberga e as cópias de segurança estão em França. O Angaro é operado na Áustria e está sujeito ao RGPD.
Safety Check
Cada e-mail é verificado quanto a remetentes falsificados (SPF, DKIM, DMARC), domínios imitados, links suspeitos, dados bancários alterados e anexos perigosos. Para a lista de domínios de phishing conhecidos, apenas os primeiros caracteres de um hash SHA-256 são consultados – o Angaro não vê links dos teus e-mails.
Push sem acesso ao conteúdo
Para as notificações, as tuas credenciais são seladas no dispositivo para a chave do serviço push (ECIES com P-256 e AES-256-GCM). Só esse serviço as pode abrir. Remetente e assunto são entregues encriptados para o teu dispositivo.
E-mails encriptados (PGP)
As chaves PGP são criadas no teu dispositivo. A chave privada só é sincronizada com encriptação ponto a ponto; encriptação e desencriptação acontecem exclusivamente no teu dispositivo.
Servidores reforçados
HTTPS com HSTS em todo o lado, e-mails mostrados sem scripts nem formulários numa moldura isolada, ligações à rede interna bloqueadas, inícios de sessão e consultas limitados contra tentativas repetidas. As dependências são verificadas regularmente quanto a vulnerabilidades conhecidas.
Comunicar uma vulnerabilidade
Encontraste uma vulnerabilidade? Escreve-nos para support@angaro.io com o assunto «Security» e uma breve descrição de como a reproduzir. Respondemos o mais depressa possível e mantemos-te informado até estar corrigida.
Não acedas a dados de outras pessoas, não alteres nem apagues nada e não sobrecarregues os nossos serviços (sem ataques de negação de serviço). Quem cumprir estas regras e nos comunicar a falha primeiro não tem de temer ações legais da nossa parte.
Legível por máquinas: angaro.io/.well-known/security.txt
support@angaro.io