Segurança

Segurança que você pode verificar.

O MepMail Cloud roda na Alemanha, em hardware da Contabo; o produto é open source sob AGPL-3.0 e você pode hospedar tudo no seu próprio servidor. O conteúdo dos seus e-mails — e cada afirmação desta página — está em algo que você confere, não em algo que você precisa acreditar.

Dados hospedados na UE · Alemanha
Open source · AGPL-3.0
Self-host disponível
Criptografia em trânsito e em repouso
DKIM · SPF · DMARC

Começar grátis Ler a documentação

Última revisão: 29 de setembro de 2026. Toda afirmação aqui é uma propriedade do produto em execução, ou está marcada como item de roadmap.

Proteção de dados

Selado em repouso, criptografado em trânsito, restaurável por construção

Três coisas decidem a segurança real do seu e-mail: o que o banco guarda, o que a rede vê, e se o backup da noite passada realmente abre.

Em repouso

O conteúdo é selado antes de ser guardado

O que fica no banco é texto cifrado, não uma cópia do e-mail dos seus clientes.

Todo corpo de mensagem (HTML e texto) e todo anexo é selado com envelope encryption: uma chave de dados por mensagem criptografa o conteúdo e é ela mesma envolvida pela chave da instância.
A chave que envolve fica fora do banco — a chave mestra de ambiente, ou o AWS KMS quando uma chave KMS está configurada, e as duas podem conviver enquanto linhas antigas continuam abrindo.
Uma linha selada é vinculada ao próprio id, então um texto cifrado movido para outra linha falha ao abrir em vez de vazar.
Senhas são guardadas com scrypt, e API keys aparecem uma única vez e ficam apenas como hash SHA-256 mais um prefixo curto de identificação, comparado em tempo constante.

Em trânsito

Todo trecho é criptografado, inclusive o relay

Painel, API, relay SMTP e a entrega na caixa de entrada trafegam em conexões criptografadas.

O painel e a API são servidos por HTTPS, com HSTS (um ano, subdomínios incluídos), Content-Security-Policy restrita por origem (scripts e estilos inline ainda são permitidos enquanto migramos para nonces), X-Frame-Options DENY, nosniff e Permissions-Policy restrita.
O relay SMTP exige TLS: o STARTTLS é oferecido com o nosso certificado, e o relay se recusa a iniciar sem o par de chaves — a menos que o operador opte explicitamente por uma rede privada confiável.
Os e-mails saem pelo Amazon SES por TLS, autenticados no seu domínio por DKIM e SPF.

Recuperação

Backups verificados, não presumidos

Um dump diário não é backup enquanto o arquivo não tiver sido relido e aprovado.

O dump noturno (pg_dump, formato custom) é validado com pg_restore --list e um checksum antes de ser considerado confiável.
Uma cópia é enviada para armazenamento de objetos fora do servidor, e o objeto enviado é relido e precisa bater byte a byte.
Dumps com mais de 14 dias são removidos, e o dump pode ser criptografado com uma chave age antes de sair do servidor.

Por que escolhem o MepMail

As decisões de segurança que uma plataforma só-hospedada não pode tomar por você

Os controles que mais importam são os que continuam na sua mão. O MepMail é construído para esse controle ser real — auditável, portátil e, se você quiser, inteiramente dentro da sua infraestrutura.

Residência de dados

Seus dados ficam na UE

A Alemanha é onde o MepMail Cloud roda, não uma região que você precisa pedir em uma reunião comercial.

A aplicação, o banco e as nossas métricas próprias com Umami (sem cookies) rodam em infraestrutura da Contabo na Alemanha — um provedor de hospedagem, nomeado nesta página. A entrega de e-mails passa pela Amazon SES nos Estados Unidos.
O GDPR é o quadro em que o produto foi construído: hospedagem na UE é o padrão, não uma nota de rodapé sobre transferência de dados.
A entrega passa pelo Amazon SES (us-east-1) e os pagamentos pelo Stripe, ambos listados como subprocessadores, e a Política de Privacidade diz o que é guardado, por quê e por quanto tempo.

Verificabilidade

Open source sob AGPL-3.0

Confiança por verificabilidade: as afirmações de segurança aqui são afirmações sobre código que qualquer pessoa pode ler.

Criptografia, retenção, isolamento e a superfície da API estão no repositório público — sem trust center para conferir.
Uma afirmação que não sobreviveria a uma auditoria do código não é uma afirmação que fazemos; o vocabulário de trust center fica de fora.
Achou divergência entre esta página e o código? Isso é um relato de segurança, e vai direto para quem corrige.

Soberania

Hospede o produto inteiro

A opção que um fornecedor só-hospedado não pode oferecer: rodar o MepMail na sua infraestrutura e os seus dados nunca saírem dela.

O mesmo painel, a mesma API e a mesma compatibilidade de SDK, implantados com o seu banco, as suas chaves, o seu object storage e a sua conta SES.
A lista de subprocessadores desta página deixa de se aplicar a você: você é o único processador dos seus dados.
Útil quando um cliente, um regulador ou o seu próprio time de segurança exige que os dados fiquem dentro de um limite que você controla.

Isolamento

Isolamento por time, sem projeto de migração

Multi-tenant por construção, e barato de adotar se você vem de outro provedor.

Contatos, domínios, modelos, supressões, chaves, registros de auditoria e requisições de API carregam o time dono de cada linha, e a associação é reconferida na emissão dos tokens.
A reputação também é isolada: bounces e reclamações por time, limites antiabuso em todos os planos, e um sinal de saúde da instância que pode pausar o envio de um time.
O MepMail fala a API de envio do Resend, então adotar é trocar a base URL e a chave, não reescrever código.

Controles de segurança

Os controles que rodam em produção hoje

Cada item abaixo é uma propriedade do produto em execução, não uma intenção. Quando um controle cobre só parte da superfície, o card diz qual — e o código é público, então você confere os que importam para você.

Criptografia em trânsito

Tudo entre você e o MepMail trafega em conexão criptografada.

O painel e a API são servidos por HTTPS, com HSTS (um ano, subdomínios incluídos), Content-Security-Policy restrita por origem (scripts e estilos inline ainda são permitidos enquanto migramos para nonces), X-Frame-Options DENY, nosniff e Permissions-Policy restrita.
O relay SMTP exige TLS: o STARTTLS é oferecido com o nosso certificado, e o relay se recusa a iniciar sem o par de chaves — a menos que o operador opte explicitamente por uma rede privada confiável.
Os e-mails saem pelo Amazon SES por TLS, autenticados no seu domínio por DKIM e SPF.

Senhas e API keys

As credenciais são guardadas em formatos que não podem ser reutilizados.

Senhas de conta são guardadas com scrypt (o crypto.scrypt do Node); nenhuma senha em texto claro é armazenada ou enviada ao navegador.
API keys aparecem uma única vez e ficam guardadas apenas como hash SHA-256 mais um prefixo curto para identificação, e a chave apresentada é comparada em tempo constante.
Um time pode ter no máximo 25 chaves ativas, então uma chave vazada não se multiplica em um conjunto ilimitado de credenciais.
Login, cadastro, redefinição de senha e reenvio da verificação têm limite de tentativas por janela e por IP.

Isolamento por time

O time é a fronteira: uma credencial só alcança o time ao qual está vinculada.

Contatos, broadcasts, domínios de envio, modelos, supressões, API keys, registros de auditoria e requisições carregam o time dono de cada linha.
Uma credencial de API é vinculada a um time e a associação é reconferida na emissão e na renovação dos tokens — remover um membro interrompe tokens novos.
A exclusão de conta é recusada enquanto ela for a única dona de um time, para nenhum time ficar sem quem o administre.

Limites antiabuso

Os limites evitam que uma chave comprometida ou um script descontrolado queime a reputação de um domínio.

Todo plano tem um volume incluído e um teto diário de envio; envios acima do teto diário ficam retidos em vez de rodar o dia inteiro.
Bounces e reclamações são registrados por time, e a saúde de entregabilidade da instância pode pausar o envio de um time.
O cadastro é fechado por padrão em uma instância acessível — só a primeira conta pode se registrar — e uma beta pode ser limitada por número de contas.
É possível exigir o desafio Cloudflare Turnstile no login, no cadastro, na redefinição de senha e no reenvio da verificação.

Supressões

Um registro de não contatar vence qualquer envio futuro, em qualquer superfície.

Hard bounces, reclamações de spam, bloqueios manuais e descadastros em um clique são guardados por time em cima de um hash do endereço.
A lista é conferida em todos os caminhos de envio — API, relay SMTP e broadcasts agendados — e o e-mail transacional ainda chega a quem apenas se descadastrou do marketing.
As supressões sobrevivem à exclusão de dados: os dados da conta saem, o hash fica como registro de não contatar.

Monitoramento

O serviço e o caminho de deploy são observados, não só o caminho feliz.

A API expõe um endpoint de health que informa o status do serviço e a revisão implantada.
Os containers têm health checks que condicionam a inicialização e os restarts.
Uma checagem de boot verifica os containers da aplicação e a porta do relay SMTP e alerta o operador, e cada deploy verifica o site público e os seus cabeçalhos de segurança antes de ser considerado pronto.

Backups

O banco é exportado em uma agenda diária e a cópia é verificada.

O dump noturno (pg_dump, formato custom) é validado com pg_restore --list e um checksum antes de ser considerado confiável.
Uma cópia é enviada para armazenamento de objetos fora do servidor, e o objeto enviado é relido e precisa bater byte a byte.
Dumps com mais de 14 dias são removidos, e o dump pode ser criptografado com uma chave age antes de sair do servidor.

DKIM, SPF e DMARC

A autenticação é configurada por domínio de envio, não globalmente.

Conectar um domínio devolve exatamente os registros DNS a publicar: o registro DKIM e o registro MAIL FROM (SPF).
Esses dois condicionam o envio — um domínio cujos registros deixam de resolver tem os envios recusados até voltarem — e um worker reconfere o DNS de cada domínio em uma agenda.
O DMARC é recomendado, não obrigatório, e o MepMail lê a política, inclusive uma herdada do domínio pai.

Infraestrutura

Subprocessadores

A lista curta de provedores que processam dados do MepMail Cloud. Ela espelha a Política de Privacidade e acrescenta o provedor de hospedagem.

Provedor	Papel	Local
Contabo GmbH	Servidores que hospedam a aplicação e o banco	Alemanha
Amazon Web Services (Amazon SES)	Entrega de e-mail e eventos de entrega	us-east-1, Estados Unidos
Cloudflare	DNS, CDN e proteção de rede na frente dos servidores	Rede global de borda
Stripe	Processamento de pagamento, faturas e recibos	Estados Unidos

Uma instância self-hosted roda na infraestrutura que você escolher, então esta lista não se aplica a ela.

Construído sobre infraestrutura em que você já confia

Nenhuma dependência exótica para avaliar: os quatro provedores por trás de cada envio são os mesmos nomes que a maioria dos times já roda em produção.

Contabo GmbHHospedagem na UE · Alemanha
Amazon SESEntrega por TLS
CloudflareDNS, CDN, proteção de borda
StripePagamentos e faturas

Compliance

Onde o compliance está — por escrito

O GDPR se aplica ao MepMail Cloud desde o primeiro time europeu que se cadastra, e a aplicação roda na UE. Auditorias de framework são uma estrada mais longa, e é exatamente aqui que essa estrada está.

GDPREm vigor
O MepMail Cloud é hospedado na Alemanha e a Política de Privacidade diz o que é guardado, por quê e por quanto tempo. O DPA é acordado por cliente — peça em jean@mepmail.dev. Política de Privacidade
SOC 2 · ISO 27001Em andamento
Os dois estão no roadmap. Nenhum auditor está contratado e nenhuma data é anunciada: não vamos descrever uma auditoria que não aconteceu, e nenhuma certificação está implícita nesta página.
SLA · uptimeNão publicado
Nenhum percentual de uptime e nenhum SLA são publicados hoje. Quando isso mudar, será escrito aqui primeiro — até lá, a lista de controles acima é o que se pode cobrar da gente.

A regra por trás de tudo: cada afirmação desta página é uma propriedade do produto em execução, ou está marcada como item de roadmap.

FAQ

As perguntas que uma revisão enterprise faz

Respostas curtas, com o detalhe embaixo. O que faltar é uma pergunta justa para jean@mepmail.dev.

O conteúdo dos e-mails é criptografado em repouso?

Sim. Corpos de mensagem (HTML e texto) e anexos são selados com envelope encryption antes de serem gravados: uma chave de dados por mensagem criptografa o conteúdo e é envolvida pela chave da instância, então o banco guarda texto cifrado e uma chave envolvida. A chave que envolve fica fora do banco — a chave mestra de ambiente, ou o AWS KMS quando configurado. Destinatários, assunto e eventos de entrega são guardados como linhas, não como segredos, e envelhecem na janela de retenção abaixo.

O MepMail tem SOC 2?

Hoje não. SOC 2 e ISO 27001 estão no roadmap, nenhum auditor está contratado e nenhuma data é anunciada. Até lá, cobre a lista de controles desta página — e, como o produto é open source, você verifica esses controles você mesmo em vez de confiar em um relatório.

O MepMail está em conformidade com o GDPR?

O MepMail Cloud foi construído para isso: a aplicação e o banco rodam na Alemanha, dentro da UE. Dois subprocessadores ficam nos Estados Unidos — o Amazon SES (us-east-1) para entrega e o Stripe para pagamentos — e a Política de Privacidade declara essas transferências. Não reivindicamos uma certificação que não temos.

Como consigo um DPA assinado?

Não existe um DPA pré-assinado publicado hoje: escreva para jean@mepmail.dev com os dados da sua empresa e ele é acordado por cliente. O self-host elimina a questão — o acordo de tratamento passa a ser entre você e a sua própria infraestrutura.

Onde os meus dados ficam, e eles permanecem na UE?

MepMail Cloud: a aplicação e o banco na Alemanha; eventos de entrega no Amazon SES em us-east-1; DNS e proteção de rede pela borda global da Cloudflare. A tabela acima lista cada provedor e o seu papel. Uma instância self-hosted guarda tudo onde você implantar.

Por quanto tempo os dados de e-mail são retidos?

Corpos de mensagem e anexos saem na janela de retenção do time — 30 dias por padrão — e a linha é marcada quando são purgados. Destinatários, assunto, status e eventos envelhecem na mesma janela, assim como os registros de entrega de webhook. Backups noturnos são removidos após 14 dias.

Como apago os dados de um contato?

Apague o contato com erase=true pela API: o endereço é então apagado do histórico de e-mails, dos payloads de evento e dos logs de API — o caminho GDPR/LGPD. Sem isso, o log de envio envelhece na janela de retenção. As supressões guardam apenas um hash do endereço, como registro de não contatar. Referência da API

Subprocessadores de IA recebem o conteúdo dos meus e-mails?

Não. Nenhum provedor de IA processa o conteúdo dos seus e-mails no MepMail Cloud. O código open source traz um monitor de abuso opcional (ABUSE_JUDGE, desligado por padrão), que o self-hoster pode ligar: um envio já aceito pode então ser amostrado e enviado ao TypeSafe System One para um veredito de abuso. O MepMail Cloud roda com ele desligado, e quem hospeda decide por si.

Onde encontro a lista atual de subprocessadores?

Nesta página — a tabela acima, que espelha a Política de Privacidade. Uma instância self-hosted não tem essa lista, porque roda na infraestrutura que você escolher.

Reportar

Divulgação responsável

Encontrou uma vulnerabilidade? Avise e nós corrigimos — é o mesmo padrão que o código segue.

Escreva para jean@mepmail.dev com os detalhes e, se tiver, uma reprodução.
Confirmamos o recebimento e damos a primeira resposta em até 72 horas.
Não existe bounty hoje — damos crédito público se você quiser o crédito.
Dê um prazo razoável para corrigirmos antes de publicar; vamos contando o que estamos fazendo no caminho.

Escrever para jean@mepmail.dev

Conecte um domínio e envie em minutos

Crie uma conta, adicione o seu domínio de envio e publique os registros DKIM e MAIL FROM que o painel devolve. Se preferir auditar antes, o código e a documentação estão abertos — os dois a um clique.

Começar grátis Ler a documentação