Pourquoi utiliser StartMail ?
StartMail a été créé par l'équipe derrière Startpage, le moteur de recherche respectueux de la vie privée. Quoi de plus normal qu'ils aient donc décidé de créer un service de messagerie basé aussi bien sur la sécurité que sur la protection des données de leurs utilisateurs.
Prise en main
Pour l'inscription, il vous faudra vous saisir d'un moyen de paiement puisque le service requiert d'en indiquer un afin d'éviter que des spammeurs créent des comptes à la chaine. Cependant, vous aurez tout de même droit à 7 jours d'essai et à la possibilité de suspendre votre abonnement dès votre arrivée dans la boite de réception afin de ne pas être facturé à l'issue de ceux-ci.
Envoi et réception de mails sécurisés
Lors de la création de votre adresse mail, StartMail s'occupe de créer pour vous vos clés PGP. Par défaut, le mot de passe qui leur est lié est le même que celui de votre compte mais il est possible de le modifier pour plus de sécurité. Lors de l'envoi d'un mail, vous aurez la possibilité de choisir de le chiffrer et d'inclure votre clé publique. Si vous ne possédez pas la clé publique de votre destinataire, le message sera chiffré à l'aide d'un mot de passe à définir, avec possibilité d'ajouter un message.
Votre interlocuteur recevra donc un mail de notification, en anglais ou en allemand selon votre choix, lui indiquant qu'un message l'attend. Il devra rentrer le mot de passe et aura accès à une interface web simplissime lui permettant de le lire et d'y répondre de manière sécurisée. À noter qu'il n'est pas possible de choisir une date d'expiration du message mais que ceux-ci expirent automatiquement au bout de 28 jours.
Sécurité et vie privée
StartMail est basé aux Pays-Bas. Ils promettent de ne vendre aucune donnée, de ne pas traquer leurs utilisateurs ainsi que de ne pas lire leurs mails. Le service s'occupe de supprimer des données des headers des mails reçus et envoyés afin que le moins d'informations possible soient disponibles.
Pour le stockage des mails, StartMail a décidé d'utiliser ce qu'ils appellent des « User Vault ». Chaque utilisateur possède un « coffre-fort », dans lequel sont stockés les informations de son compte et ses mails. Tant qu'un utilisateur ne l'a pas ouvert en se connectant avec son mot de passe, celui-ci est inaccessible, même à quelqu'un qui a un accès au serveur. Les mots de passe des utilisateurs ne sont donc stockés nulle part, il leur suffit juste de vérifier que le mot de passe ouvre bien le vault correspondant pour définir que c'est bien celui du compte. Quant aux messages qui arrivent pendant que vous êtes hors-ligne, ceux-ci sont placés dans une « queue » et chiffrés à l'aide d'une deuxième paire de clés PGP (différente de celle utilisée pour chiffrer vos mails), avant d'être déchiffrés et mis dans la boite de réception quand vous vous connectez.
Tout le chiffrement se passe côté serveur, ce qui signifie que vous devez avoir confiance en StartMail puisqu'ils ont accès à votre clé privée. L'entreprise justifie ce choix, à l'opposé d'autres entreprises comme Protonmail qui ont décidé de le faire côté client, par le fait qu'ils considèrent que JavaScript n'est pas un langage approprié pour tout ce qui concerne la cryptographie.
