Bezpieczny e-mail — praktyczny przewodnik

0. Najpierw ustal model zagrożeń

„Bezpieczny" nie znaczy nic, dopóki nie odpowiesz: przed kim się chronię?

Rozdzielaj cztery pojęcia: prywatność (czy dostawca czyta), anonimowość (czy da się powiązać konto z Tobą), poufność treści (czy przechwycona wiadomość jest czytelna) oraz metadane (kto ↔ z kim, kiedy, temat, rozmiar).

1. Dobre praktyki

Osobne adresy (albo aliasy)

Główny (bank, urzędy, praca) · prywatny (rodzina) · zakupy · jednorazowe rejestracje. Zamiast wielu kont użyj aliasów (SimpleLogin, addy.io, Proton „hide-my-email") — jeden alias na usługę, odwołasz go po wycieku.

MFA — nie każde tak samo mocne

Kolejność siły: klucz sprzętowy FIDO2 (YubiKey) / passkey (odporne na phishing) > TOTP (Aegis, 2FAS — da się przejąć phishingiem AitM) > SMS (ostateczność, SIM-swap). Do ważnych kont: 2× YubiKey.

Weryfikuj nadawcę i linki

Nie ufaj nazwie nadawcy (spoofowalna) — patrz na realną domenę From. Uwaga na literówki i homoglify (m1crosoft.com, cyrylica „а"). Najbezpieczniej: nie klikaj linków z nieoczekiwanych maili — wejdź na stronę ręcznie.

Ostrożnie z załącznikami

Nigdy nie włączaj makr; uważaj na .html, .iso, „zip z hasłem" i podwójne rozszerzenia (faktura.pdf.exe). Nie wysyłaj otwartym tekstem skanów dokumentów, haseł, kluczy, danych finansowych.

2. Skrzynki dla prywatności

• Proton Mail — najlepszy kompromis. E2EE Proton↔Proton (lub PGP), Szwajcaria, webmail nie dodaje IP. ⚠️ Do nie-Protona to TLS-w-tranzycie (nie E2EE), temat/metadane nieukryte. Szwajcaria ≠ nietykalny — w 2021 Proton wydał logi IP na nakaz sądu.
• Tuta (Tutanota) — szyfrowanie domyślne, szyfruje też temat. ⚠️ Brak PGP (E2EE tylko Tuta↔Tuta lub przez hasło).
• Mailbox.org / Posteo / StartMail — tanie, prywatne, z PGP. Riseup — dla aktywistów.
• Gmail / Outlook — świetny antyspam i ochrona konta, ale bez E2EE domyślnie. OK do codzienności (z MFA + menedżerem haseł).

Self-hosting maila odradzam — problemy z dostarczalnością i blacklistami MX.

3. Anonimowe skrzynki

Model „Proton + Tor/VPN", ale z dyscypliną:

• › Rejestruj przez Tor (Proton ma .onion), bez prawdziwego numeru/alt-maila, płatność krypto/gotówka lub free.
• › Nigdy nie mieszaj tożsamości: osobny profil przeglądarki / VM / Tails; nie loguj z tego samego IP/urządzenia co prywatne. Deanonimizuje też styl pisania, godziny, kontakty.

Disposable vs alias: temp.pm = publiczny, ginie, bez odpowiadania. Alias (SimpleLogin/addy.io/Proton) = prywatny, Twój, odwołalny, możesz odpowiadać. Do „ukryj mój adres" alias jest zwykle lepszy.

4. Jak szyfrować maile

PGP (OpenPGP)

Para kluczy: publiczny (dajesz innym) + prywatny (tylko Ty odczytujesz). Narzędzia: GPG4Win/Kleopatra, Thunderbird (wbudowany OpenPGP — Enigmail już nie istnieje), Proton (automatycznie).

Wiadomość zaszyfrowana hasłem

Proton/Tuta pozwalają wysłać E2EE do nie-użytkownika: treść mailem, hasło innym kanałem (Signal). Proste i skuteczne.

5. Szyfrowanie załączników (często najlepsze)

• 7-Zip AES-256 — format 7z (nie zip — ZipCrypto słaby), Encryption AES-256, Encrypt file names: TAK. (Rozmiar pliku i tak wycieka.)
• age / gpg -c — nowoczesne, proste szyfrowanie pojedynczych plików.
• VeraCrypt — kontener na większe/wrażliwe dane; ukryte woluminy = plausible deniability (lepszy do przechowywania niż do maila).
• Cryptomator — szyfrowanie przed wrzuceniem do OneDrive/Google Drive/Dropbox.

6. Jak przekazać hasło

Zasada: innym kanałem niż plik, nigdy tym samym. Np. plik → mail, hasło → Signal (albo telefon / osobiście). SMS słaby (SIM-swap). Nigdy hasła w tym samym mailu ani w nazwie pliku.

7. Alternatywy dla załącznika mailowego

• › OnionShare — pliki przez Tor, E2EE, efemeryczne, bez konta.
• › Magic Wormhole — wormhole send plik + jednorazowy kod.
• › Proton Drive / szyfrowany link z hasłem, Cryptomator + chmura.
• › Do rozmów zamiast maila: Signal, SimpleX (bez żadnych identyfikatorów).

8. Rekomendowane zestawy

• Codziennie: Gmail/Outlook + passkey/klucz + menedżer haseł (Bitwarden / Vaultwarden self-hosted) + aliasy (SimpleLogin).
• Prywatna komunikacja: Proton/Tuta + Signal.
• Poufne pliki: age lub 7-Zip AES-256, hasło przez Signal, wysyłka przez OnionShare/Wormhole.
• Anonimowość: Tor + Proton (założony i używany tylko przez Tor) + osobne środowisko (Tails/VM).
• Ważne konta: 2× YubiKey.