No deberías tener que creer en mi palabra
MCPEmails conecta un agente de IA a tu bandeja de entrada, así que tiene que ganarse una confianza real. Esta es la versión honesta: qué toca el servicio, qué conserva, qué nunca puede hacer y cómo puedes verificarlo todo tú mismo.
1. La versión corta
Si no lees nada más en esta página:
- Tu correo se obtiene en vivo en cada solicitud y se descarta en el momento en que se envía la respuesta. No guardamos ninguna copia del cuerpo de un mensaje, asunto, archivo adjunto ni contacto.
- Almacenamos exactamente una cosa sensible por bandeja de entrada: un token de acceso o una contraseña de aplicación, cifrada con AES-256-GCM, para poder hacer la siguiente llamada que pidas.
- Nunca entrenamos ningún modelo de IA con tu correo, y nunca enviamos tu correo a un modelo de nuestra elección. Tu agente es lo único que lo lee, bajo tu control.
- El acceso está limitado por la credencial que configures: las claves API pueden restringirse a bandejas seleccionadas o tener acceso a todas las bandejas del espacio de trabajo. Puedes revocar el acceso del proveedor en cualquier momento desde Google, Microsoft o los ajustes de tu proveedor.
- El código que ejecuta el servicio es público. Puedes leerlo, auditarlo o autoalojar todo el sistema.
2. A qué accedemos frente a qué almacenamos
La diferencia entre acceso y almacenamiento es todo el diseño. En el momento, el agente puede leer mucho, en vivo. Casi nada de ello se registra jamás.
| Datos | Se accede | Se almacena |
|---|---|---|
| Cuerpos de correo, asuntos, archivos adjuntos | En vivo, solo cuando tu agente hace una llamada de lectura o búsqueda | Nunca se escribe en disco, caché ni registros |
| Contactos / libreta de direcciones | Se escanea en vivo desde el correo reciente cuando se solicita | Nunca. No hay una libreta de direcciones almacenada |
| Token de OAuth o contraseña de aplicación | Se descifra solo dentro de una función aislada en el momento de la llamada | Sí, cifrado en reposo con AES-256-GCM; la clave se guarda por separado |
| API keys que creas | Se compara como un hash en cada solicitud | Solo un hash SHA-256; la clave en bruto se muestra una vez y nunca es recuperable |
| Mensajes que programas para más tarde | Se conservan hasta la hora de envío y luego se despachan | Sí, cifrado en reposo hasta enviarse, luego se conserva como tu historial |
| Actividad de llamadas a herramientas (metadatos) | Se registra para tu propio registro de auditoría | Solo nombre de la herramienta, bandeja, marca de tiempo y estado. Ningún contenido de correo |
La única excepción deliberada es un mensaje que pides al agente que programe para más tarde. Tenemos que conservarlo hasta la hora de envío, así que lo almacenamos cifrado mientras tanto y luego guardamos un registro para tu historial.
3. No tienes que confiar en mí, puedes comprobarlo
"Una persona cualquiera improvisó esto con código" es una preocupación legítima ante cualquier herramienta alojada que toque tu correo. La respuesta correcta no es una promesa mayor. Es eliminar la necesidad de creer en mi palabra.
- Lee el código. El servidor que ejecuta MCPEmails es público en GitHub. Puedes ver exactamente qué conserva (un token cifrado) y qué no (tu correo).
- Autoalójalo. Si prefieres no usar el servicio alojado en absoluto, puedes ejecutar el mismo código en tu propia infraestructura con tus propias claves: hay un stack de Docker de un solo comando en self-host/.
- Usa una conexión limitada y revocable. Te conectas con OAuth o una contraseña de aplicación que concede únicamente acceso al correo, y puedes revocarla con un clic desde tu proveedor, sin intervención alguna de mi parte.
- Observa lo que hace. Cada llamada a una herramienta que hace tu agente queda registrada en un registro de actividad que puedes leer, para que veas con precisión a qué se accedió y cuándo.
github.com/Albretsen/MCPEmails
Y si un conector nativo ya cubre tu proveedor y hace lo que necesitas, úsalo. Esto existe para los proveedores y las combinaciones de varias bandejas de entrada que ellos no cubren.
Ejecútalo tú mismo, no confíes en nadie (nosotros incluidos)
MCP Emails es código abierto bajo AGPL-3.0, y el servicio alojado ejecuta exactamente el mismo servidor MCP que tú puedes auto-alojar. Eso significa que "el correo se obtiene en vivo y nunca se almacena" es algo que puedes verificar ejecutándolo y observando la red, no algo que tengas que aceptar por fe.
El auto-alojamiento prioriza IMAP/SMTP: conecta cualquier buzón con una contraseña de aplicación, y tus credenciales se cifran bajo una clave que solo tú posees. Un solo comando levanta todo el stack en tu propia máquina.
4. El riesgo real: la inyección de prompts
La amenaza honesta aquí no soy yo leyendo tu correo. Es un correo hostil que intenta secuestrar al agente: instrucciones ocultas dentro de un mensaje que intentan hacer que tu IA reenvíe, elimine o filtre algo. Este es un problema real y sin resolver para todos los agentes de correo. No afirmaré que está resuelto. Puedo mostrar cómo se contiene:
- El acceso a las bandejas es configurable. Las claves API pueden restringirse a bandejas seleccionadas o autorizarse deliberadamente para acceder a todas las bandejas de un espacio de trabajo. Una clave restringida no puede alcanzar una bandeja que no se le haya concedido.
- Las acciones destructivas están separadas y marcadas. Enviar y eliminar son herramientas propias con alcances separados; eliminar requiere
confirm: true. Que un cliente presente una confirmación al usuario depende de la política de ese cliente. - Privilegio mínimo. Las conexiones solicitan acceso de lectura y composición de correo, no control de toda la cuenta. Incluso un token totalmente comprometido está limitado por el alcance que concediste.
- Con límite de tasa. Cada clave tiene un límite de tasa, así que un agente descontrolado o secuestrado no puede desplegar miles de acciones sin que se note.
No resuelto. Contenido: las acciones irreversibles están protegidas y los alcances de las claves API y las restricciones de bandeja pueden reducir el radio de impacto.
5. Cómo se protegen tus credenciales
Tus tokens son lo único sensible que conservamos, así que reciben la protección más fuerte que podemos darles:
- Todos los datos en tránsito se cifran usando TLS 1.2 o superior. Las conexiones que no admiten TLS se rechazan.
- Los tokens de OAuth y las credenciales de IMAP se cifran en reposo usando AES-256-GCM. La clave de cifrado se guarda por separado de los datos cifrados y nunca se ubica junto a ellos.
- Las API keys se cifran con hash SHA-256 antes de almacenarse. La clave en bruto no se puede recuperar a partir del hash.
- El acceso a la base de datos está protegido por políticas de Row-Level Security que impiden que un espacio de trabajo alcance los datos de otro, incluso si una consulta está mal escrita.
- El acceso administrativo a la infraestructura de producción requiere autenticación de varios factores y queda registrado.
6. Verificación de Google, Microsoft y de proveedores
El acceso a Gmail usa los scopes restringidos de Google, el nivel que Google examina con mayor rigor.
El uso y la transferencia por parte de MCPEmails de la información recibida de las API de Google a cualquier otra aplicación se ajustan a la Google API Services User Data Policy, incluidos los requisitos de Limited Use.
El acceso a Outlook y Microsoft 365 pasa por Microsoft Graph, desde una aplicación cuyo editor está verificado por Microsoft, y solo pide un conjunto de permisos con nombre que aparece en la pantalla de consentimiento de Microsoft: Mail.ReadWrite, Mail.Send, offline_access, openid, profile y email. Para Fastmail, iCloud, Yahoo, Zoho, Yandex y otros proveedores de IMAP, te conectas con una contraseña de aplicación emitida por el proveedor que puedes revocar en cualquier momento, sin amplios scopes de OAuth que nosotros podamos sobrepedir.
7. Subprocesadores
Mantenemos corta la lista de empresas que tocan algún dato, y cada una está vinculada por un acuerdo de tratamiento de datos. Fíjate en lo que falta: ningún proveedor de IA está en esta lista. MCPEmails no envía tu correo a ningún modelo propio. Tu agente hace eso, bajo tu control y la política de datos de su proveedor.
| Proveedor | Propósito | Ubicación |
|---|---|---|
| Supabase | Base de datos, autenticación, funciones edge | UE (Estocolmo, Suecia) |
| Vercel | Alojamiento del sitio web y del panel | Edge global, la región más cercana al usuario |
| Stripe | Procesamiento de pagos (solo facturación, sin datos de correo) | EE. UU.; certificado PCI-DSS |
8. Informar de una vulnerabilidad
Si encuentras un problema de seguridad, por favor infórmalo. Prefiero mucho más oírlo de ti que enterarme más tarde.
- Escribe a security@mcpemails.com con los detalles y los pasos para reproducirlo.
- Se publica un contacto legible por máquina en /.well-known/security.txt.
- Mi objetivo es acusar recibo de los informes en un plazo de 24 horas y corregir los problemas críticos confirmados en un plazo de 72 horas.
Puerto seguro. Si haces un esfuerzo de buena fe por seguir esta política, no accedes ni modificas datos de otros usuarios y me das una oportunidad razonable de corregir el problema antes de divulgarlo, no emprenderé ni apoyaré acciones legales contra ti por tu investigación.
Quién lleva esto
Una sola persona: yo. Soy Asgeir Albretsen y opero como Albretsen Consulting, una empresa individual noruega (enkeltpersonforetak), número de organización 926 646 753, con sede en Bergen, Noruega. Los commits también son míos, bajo github.com/Albretsen, así que el nombre de esta página y el nombre del código son el mismo. Hay más detalle en la página «Acerca de», y la identificación legal completa está en los términos.
Que todo dependa de una sola persona es un riesgo real, y la respuesta no es prometer que siempre estaré aquí. MCPEmails es público bajo AGPL-3.0 y el servicio alojado ejecuta ese mismo código, así que si lo dejo, o si simplemente dejas de confiar en mí, puedes clonar el repositorio y ejecutarlo en tu propia infraestructura con tus propias claves. La guía de auto-alojamiento es el procedimiento completo. Prefiero ser una persona con nombre a la que puedes escribir y a la que puedes dejar, que un proveedor anónimo en el que solo puedes confiar.
El correo de soporte y de seguridad no pasa por ninguna cola. Llega a mí, y respondo cada mensaje personalmente.
¿Tienes preguntas sobre algo de esto?
Pregúntame lo que quieras. Soy Asgeir Albretsen, y respondo cada mensaje personalmente.