Vem kan läsa din mejl?

De flesta av oss har vår mejl hos Google eller Microsoft. Det fungerar bra, det är gratis eller billigt, och man behöver aldrig tänka på det. Men det finns en fråga som sällan ställs: vem kan egentligen läsa det du skriver?

Det ärliga svaret är att du inte vet. Och det är det jag vill skriva om. Det här är också lite reklam för mitt projekt Cloaked Workspace.

Leverantören kan läsa – du kan inte kontrollera

När din mejl ligger hos en stor leverantör ligger den lagrad så att leverantören tekniskt sett kan läsa den. Det betyder inte att någon sitter och läser dina mejl. Men du har inget eget sätt att kontrollera det. Du får lita på deras villkor, deras rutiner och deras anställda. De stora leverantörerna har interna kontroller och revisioner, men det är deras egna, och du kan inte själv granska dem.

Och mejlen bearbetas redan, fast maskinellt. Spamfilter, sökfunktioner och nya AI-funktioner går igenom innehållet. Villkoren för vad som är tillåtet bestäms av leverantören, och de kan ändras.

Det handlar inte bara om leverantören

Två saker till är bra att känna till:

• Lagar i andra länder. Amerikanska företag kan enligt amerikansk lag tvingas lämna ut data, även när servrarna står i Europa. För skolor, föreningar och vården är det en verklig fråga, och den har diskuterats mycket inom offentlig sektor i Sverige.
• Organisationens administratör. Har du mejl via jobbet eller skolan kan den som administrerar kontona ofta läsa dem. Det kan vara helt i sin ordning – men den som skickar ett mejl vet sällan om det.

Hjälper det att ha en egen server?

Ja, men det är viktigt att vara ärlig om vad det löser.

Med en egen mejlserver är det du – eller någon du själv har valt – som har tillgång. Du flyttar förtroendet från ett stort företag i ett annat land till någon du känner och kan ställa frågor till. Du kan bestämma var datan ligger och vem som har behörighet, och du kan granska det.

Men den som driftar servern kan fortfarande läsa. Förtroendet försvinner inte, det hamnar bara där du har valt att lägga det.

Och mejl är inte privat i grunden. Skickar du ett mejl till någon som har Gmail hamnar en kopia hos Google ändå. Vanlig mejl krypteras på vägen mellan servrarna, men ligger läsbar hos både avsändarens och mottagarens server.

Om något verkligen ska vara hemligt

Då behövs kryptering hela vägen, från avsändare till mottagare. Det finns sätt att göra det – till exempel PGP eller S/MIME, eller tjänster där inte ens leverantören har nyckeln. Det är en annan sak än att äga sin server, och de två går bra att kombinera.

Den svåra delen: att få skicka

Att ta emot mejl på en egen server är inte särskilt svårt. Att få skicka är svårare – och här finns ett problem som få känner till.

För att stoppa spam bedömer de stora mejltjänsterna varje server som skickar till dem. Microsoft och Google har egna listor och egna regler för vilka servrar de litar på. Hamnar din server fel kommer dina mejl i skräpposten eller inte fram alls – även om du inte har gjort något fel. Det kan räcka att servern har en IP-adress som någon annan har missbrukat tidigare.

Att ta sig därifrån är svårt. Det finns formulär att fylla i, men svaren dröjer och förklaringar ges sällan. Har blockeringen dessutom spridit sig till andra filter kan det enda som fungerar i praktiken vara att byta IP-adress och börja om.

Det är förståeligt att de stora tjänsterna skyddar sig mot spam. Men resultatet är att några få företag i praktiken bestämmer vem som får skicka mejl till en stor del av alla mejlkonton. Det finns ingen gemensam instans som styr det, ingen insyn och ingen självklar väg att överklaga. Mejl är ett öppet system som ingen äger – men vem som får vara med avgörs i allt högre grad av ett fåtal.

Det går att göra mycket rätt: rätt tekniska inställningar, en server hos en seriös leverantör och ett lugnt tempo i början. Många väljer också att skicka utgående mejl via en särskild tjänst som de stora redan litar på. Det är ett sätt att lösa problemet – men också ett exempel på hur svårt det är att vara helt oberoende.

Varför jag tycker att det spelar roll

För mig handlar det inte om att någon garanterat läser dina mejl. Det handlar om att du inte kan veta det, och inte kan välja.

När jag förr skickade brev visste jag att ingen läste det jag skrev, för då hade någon behövt öppna kuvertet och klistra igen det. Helt säker kunde jag inte vara, men risken var betydligt mindre. I dag vet jag ingenting om var min jobbmejl ligger eller hur den hanteras. Än mindre vet jag vad som händer med Gmail-adressen jag har haft i evigheter, för att den är så bra och gratis.

Den som ansvarar för andras uppgifter – elever, medlemmar, anställda, klienter – bör kunna svara på frågan vem kan läsa det här? Med de stora tjänsterna är svaret ofta “det får vi lita på”. Med en egen lösning kan svaret vara ett namn.

Det är det jag menar med digital suveränitet: att det är organisationen själv som bestämmer över sin data och sina system, inte leverantören.

Att driva sin egen mejl är ett ansvar. Säkerhetsuppdateringar, backup och att mejlen faktiskt kommer fram och inte hamnar i skräpposten. Men det är ett ansvar som går att ta – och som det går att få hjälp med.

Därför bygger jag Cloaked Workspace

Det är just det här som fick mig att börja bygga Cloaked Workspace. Det är en plattform där en organisation får mejl, kalender, chatt, dokument och filer i en egen installation – med egen databas, som ingen annan kund delar.

Tanken är att det inte ska krävas en egen IT-avdelning. Runt om i Europa växer stora öppna alternativ fram, ofta med stöd från stater, men de är byggda för stora organisationer. CW är byggt för att också en skola, en förening eller ett litet företag ska kunna äga sin egen digitala vardag – och för större organisationer som vill ha samma sak.

En sak till är viktig för mig: känsliga administrativa åtgärder lämnar ett spår där det syns om någon har ändrat i det i efterhand, även om det är den som driftar servern. Då handlar det inte bara om att lita på den som driftar servern, utan om att kunna kontrollera.

CW är fortfarande under utveckling och inte släppt än. Men grunden är byggd, och jag letar efter organisationer som vill vara med och testa – och efter folk som vill hjälpa till.

Funderar du på var er mejl ligger och vem som kommer åt den? Eller vill du vara med och bygga ett alternativ? Hör av dig.