Häufig gestellte Fragen

Nein, und Sie können auch keines anlegen. Ihr Nostr-Schlüsselpaar ist das Konto: Der öffentliche Schlüssel identifiziert Sie, und der geheime Schlüssel beweist, dass Sie es sind. Niemand stellt ihn aus, niemand kann ihn sperren und niemand kann ihn zurücksetzen — auch wir nicht.

Dann verlieren Sie das Konto. Es gibt kein Wiederherstellungsverfahren, und das ist kein Versehen: Ein Wiederherstellungsverfahren würde bedeuten, dass jemand anderes an Ihre Post kommen kann. Exportieren Sie Ihren Schlüssel und bewahren Sie ihn sicher auf, oder nutzen Sie einen entfernten Signierdienst, der ihn für Sie verwahrt.

Ja, über eine Bridge — standardmäßig uid.ovh, und Sie können sie ändern. Seien Sie sich des Kompromisses bewusst: Diese E-Mail ist nicht Ende-zu-Ende-verschlüsselt. Die Bridge wandelt Ihre Nachricht in eine gewöhnliche E-Mail um und kann sie unterwegs lesen.

E-Mail zwischen zwei Nostr-Nutzern ist mit NIP-17 Gift Wrap Ende-zu-Ende-verschlüsselt; Relays sehen einen Umschlag, nicht den Inhalt. Anhänge und große Nachrichten gehen bereits verschlüsselt an Blossom-Server. Nicht verborgen sind: Ihr öffentlicher Schlüssel, Ihre IP-Adresse, wie Relays sie sehen, wann Sie senden und empfangen und — vorerst — Ihr Lesestatus und Ihre Ordnernamen.

Wenn Sie eine E-Mail als gelesen markieren, mit einem Stern versehen oder archivieren, wird ein NIP-32-Label-Ereignis veröffentlicht, und diese sind derzeit unverschlüsselt. Wer also die Kennung einer E-Mail kennt, die er Ihnen geschickt hat, kann erkennen, wann Sie sie gelesen haben. Die Verschlüsselung von Labels steht auf der Roadmap; bis sie kommt, betrachten Sie Ordnernamen als öffentlich, und wir werden das weiterhin sagen.

Nein. Herkos kommt mit sinnvollen Standardwerten — 4 Relays, 3 DM-Relays, 7 Blossom-Server und 1 Bridge —, die alle von anderen betrieben werden und sich alle in den Einstellungen ändern lassen. Wir betreiben keinen eigenen Server, und auch deshalb können wir nichts lesen.

Ja, unter app.herkos.app — und dort sagen wir dasselbe wie hier: Ein Browser ist der schwächste Ort, um einen Schlüssel aufzubewahren. Eine installierte App übergibt Ihren geheimen Schlüssel dem Schlüsselbund des Systems; eine Webseite hält ihn im eigenen Speicher des Browsers und schickt ihn bei jeder Signatur durch JavaScript, wo eine Erweiterung mit Zugriff auf alle Seiten, eine XSS-Lücke oder eine manipulierte Auslieferung ihn lesen könnte. Eine signierte Binärdatei wird einmal geprüft, bei der Installation; eine Webseite liefert bei jedem Besuch neuen Code. Also: Melden Sie sich mit einem entfernten Signierdienst an (einem Bunker nach NIP-46, Amber), dann erreicht der Schlüssel den Browser nie, oder nutzen Sie das Web mit einer Identität, deren Verlust Sie verschmerzen können.

Keines. Keine Analytik, keine Absturzberichte, keine Telemetrie, und diese Website setzt keine Cookies und lädt nichts von Dritten — die Schrift wird von unserer eigenen Domain ausgeliefert, nicht von Google. Benachrichtigungen und „später senden“ nutzen Dienste Dritter; beide sind aus, bis Sie sie einschalten, und die Datenschutzerklärung nennt sie.

Ja, und frei in beiderlei Sinn: kein Preis und MIT-Lizenz. Es gibt keine kostenpflichtige Stufe und keinen Plan, für den E-Mail-Client eine einzuführen. Falls Herkos jemals Speicher für Drive betreibt, wäre das ein kostenpflichtiger Dienst, und wir würden das klar sagen.

Sie sind hervorragend, und sie sind Unternehmen, die Ihr Konto verwahren. Werden sie gezwungen, gehackt oder schließen sie, geht Ihre Adresse mit ihnen. Herkos hat kein Konto, das es verwahren könnte, und keinen Server, den man durchsuchen könnte — die Kehrseite: Niemand kann Ihnen helfen, wenn Sie Ihren Schlüssel verlieren.

Ein kleines unabhängiges Projekt. Herkos ist ein Fork von Nostr Mail Client von nogringo, ebenfalls unter MIT-Lizenz, und ohne diese Arbeit gäbe es Herkos nicht.