你不应该只凭我一句话就相信我
MCPEmails 将一个 AI 智能体连接到你的收件箱，因此它必须赢得真正的信任。这是坦诚的版本：本服务会接触什么、会保留什么、绝不会做什么，以及你如何亲自验证这一切。
1. 简短版本
如果本页其余内容你都不读，至少记住这些：
- 你的邮件在每次请求时实时获取，并在响应发出的那一刻丢弃。我们不保留任何邮件正文、主题、附件或联系人的副本。
- 我们每个收件箱只存储一样敏感信息：一个访问令牌或应用密码，以 AES-256-GCM 加密，以便我们能完成你要求的下一次调用。
- 我们绝不会用你的邮件训练任何 AI 模型，也绝不会把你的邮件发送给由我们自行选择的模型。只有你的智能体会读取它，且完全在你的掌控之下。
- 每个连接都仅限于你所连接的那一个收件箱，你随时可以从 Google、Microsoft 或你的服务商设置中撤销它。
- 运行本服务的代码是公开的。你可以阅读它、审计它，或者自行托管整套服务。
2. 我们访问什么 vs. 我们存储什么
访问与存储之间的差距正是整个设计的核心。在请求发生的那一刻，智能体可以实时读取大量内容。但其中几乎没有任何内容会被记录下来。
| 数据 | 访问 | 存储 |
|---|---|---|
| 邮件正文、主题、附件 | 实时访问，仅当你的智能体发起读取或搜索调用时 | 绝不写入磁盘、缓存或日志 |
| 联系人 / 通讯录 | 在被要求时从近期邮件中实时扫描 | 绝不存储。不存在已存储的通讯录 |
| OAuth 令牌或应用密码 | 仅在调用时于一个隔离的函数内部解密 | 是，以 AES-256-GCM 加密保存；密钥单独存放 |
| 你创建的 API key | 每次请求时以哈希形式比对 | 仅存储 SHA-256 哈希值；原始密钥仅显示一次，且绝不可恢复 |
| 你安排在稍后发送的邮件 | 保留至发送时间，然后投递 | 是，在发送前以加密形式保存，发送后作为你的历史记录保留 |
| 工具调用活动（元数据） | 记录在你自己的审计日志中 | 仅记录工具名称、收件箱、时间戳和状态。不含任何邮件内容 |
唯一刻意的例外是你要求智能体安排在稍后发送的邮件。我们必须将它保留到发送时间，因此在此期间会以加密形式存储，之后再保留一条记录以供你查阅历史。
3. 你不必信任我，你可以亲自核查
“某个陌生人随手凭感觉写出了这个东西”，对于任何会接触你邮件的托管工具来说，这都是合理的担忧。正确的回应不是给出一个更大的承诺，而是消除你必须凭我一句话就相信我的必要。
- 阅读代码。运行 MCPEmails 的服务器在 GitHub 上是公开的。你可以确切地看到它保留了什么（一个加密的令牌）以及它没有保留什么（你的邮件）。
- 自行托管。如果你完全不想使用托管服务，你可以用自己的密钥在自己的基础设施上运行同一套代码：self-host/ 中提供了一条命令即可启动的 Docker 部署。
- 使用受限且可撤销的连接。你通过 OAuth 或应用密码进行连接，它仅授予邮件访问权限，而且你可以从你的服务商一键撤销，无需我方参与。
- 观察它的行为。你的智能体发起的每一次工具调用都会记录在一份你可以阅读的活动日志中，因此你可以确切看到访问了什么、何时访问。
github.com/Albretsen/MCPEmails
如果某个原生连接器已经覆盖了你的服务商并满足你的需求，那就用它。本服务的存在是为了那些它们未覆盖的服务商和多收件箱组合。
自己运行，谁都别信（包括我们）
MCP Emails 采用 AGPL-3.0 开源，托管服务运行的正是你可以自托管的同一个 MCP 服务器。这意味着“邮件实时获取、绝不存储”是你可以通过运行它并观察网络来验证的事实，而不是需要盲目相信的说法。
自托管以 IMAP/SMTP 为先：用应用专用密码连接任意邮箱，你的凭据用只有你持有的密钥加密。一条命令即可在你自己的机器上启动整个栈。
4. 真正的风险：提示词注入
这里真正坦诚的威胁不是我读取你的邮件，而是一封恶意邮件试图劫持智能体：藏在邮件中的指令试图让你的 AI 转发、删除或泄露某些内容。这对每一个邮件智能体来说都是一个真实的、尚未解决的问题。我不会声称它已被解决。我可以说明它是如何被控制住的：
- 一个收件箱，一个令牌。一个连接永远只能接触你为它所连接的那一个收件箱。一个受限令牌无法触及你的其他收件箱，也无法触及任何其他人的收件箱。
- 破坏性操作被单独分离并加以标记。发送和删除是各自独立的工具，被标记为破坏性操作，因此你的 AI 客户端在它们执行前会请求确认。
- 最小权限。连接请求的是邮件读取和撰写权限，而非账户级别的整体控制权。即便一个令牌被完全攻陷，其影响也被限定在你所授予的权限范围之内。
- 速率限制。每个密钥都受速率限制，因此一个失控或被劫持的智能体无法在无人察觉的情况下扇出成千上万次操作。
没有解决。但已被控制：不可逆的操作受到把关，影响范围被限定在一个收件箱之内。
5. 你的凭据如何受到保护
你的令牌是我们持有的唯一敏感信息，因此它们获得我们所能提供的最强保护：
- 所有传输中的数据均使用 TLS 1.2 或更高版本加密。不支持 TLS 的连接会被拒绝。
- OAuth 令牌和 IMAP 凭据以 AES-256-GCM 加密保存。加密密钥与加密数据分开存放，且绝不与其放在一起。
- API key 在存储前以 SHA-256 哈希处理。无法从哈希值恢复出原始密钥。
- 数据库访问受 Row-Level Security 策略保护，即便某条查询写错了，也能阻止一个工作区触及另一个工作区的数据。
- 对生产基础设施的管理访问需要多因素认证，并会被记录。
6. Google 与服务商验证
Gmail 访问使用 Google 的受限权限范围，这是 Google 审查最为严格的一级。我们正在完成 Google 的受限范围 OAuth 验证及其年度 CASA 安全评估，该评估由一家独立的、经 Google 批准的评估机构执行。完成之后，你在连接时将不再看到 Google 的“未经验证的应用”警告。
MCPEmails 对从 Google APIs 获取的信息的使用和传输给任何其他应用，均遵守 Google API Services User Data Policy，包括其中的 Limited Use 要求。
对于 Fastmail、iCloud、Yahoo、Zoho、Yandex 及其他 IMAP 服务商，你使用服务商签发的应用密码进行连接，可随时撤销，我们也无需过度请求宽泛的 OAuth 权限范围。
7. 次级处理方
我们将会接触任何数据的公司名单保持得很短，每一家都受数据处理协议的约束。请注意名单上缺少的东西：没有任何 AI 提供商在此列。MCPEmails 不会把你的邮件发送给任何由其自行选择的模型。那是你的智能体所做的，且在你的掌控之下，并受其提供商的数据政策约束。
| 提供商 | 用途 | 所在地 |
|---|---|---|
| Supabase | 数据库、认证、边缘函数 | 欧盟（法兰克福）或美国（弗吉尼亚）；你在注册时选择 |
| Vercel | 网站与仪表盘托管 | 全球边缘节点，距用户最近的区域 |
| Stripe | 支付处理（仅限计费，不含邮件数据） | 美国；通过 PCI-DSS 认证 |
8. 报告漏洞
如果你发现了安全问题，请报告它。比起日后才从别处得知，我更愿意直接从你这里听到。
- 发送邮件至 security@mcpemails.com，附上详情和复现步骤。
- 在 /.well-known/security.txt 发布有一份机器可读的联系方式。
- 我力求在 24 小时内确认收到报告，并在 72 小时内修复已确认的严重问题。
安全港。如果你出于善意努力遵守本政策，不访问或修改其他用户的数据，并在公开披露之前给我合理的机会来修复问题，我将不会因你的研究而对你追究或支持任何法律行动。