Encriptar armazenamento

Atualizado em outubro de 2026

Todas as mensagens, contactos e notas ficam numa base de dados local no teu computador. Com Encriptar armazenamento, este ficheiro fica ilegível sem a chave: quem retira o disco ou copia o ficheiro fica só com dados sem qualquer sentido nas mãos.

Por predefinição está ligada. A decisão é tomada uma única vez, no assistente de configuração, e não pode ser alterada mais tarde. No Linux precisa de um chaveiro como o GNOME Keyring ou o KWallet. Se faltar, a base de dados fica sem encriptação e a página de definições indica Encriptação indisponível neste sistema.

Como funciona

A base de dados é encriptada com uma chave de 64 caracteres gerada aleatoriamente (SQLCipher, AES-256). O YouniqMail guarda esta chave selada no seu ficheiro de definições config.json. O selo é mantido pelo sistema operativo: o Keychain no macOS, a interface de proteção de dados do Windows (ligada à tua conta de utilizador), o chaveiro do ambiente de trabalho no Linux.

No dia a dia não notas nada disto: ao arrancar, o YouniqMail abre o selo da chave com a ajuda da tua sessão do sistema. Sem palavra-passe adicional, sem passo extra.

O mesmo selo protege também as palavras-passe das tuas contas de e-mail e os inícios de sessão nos serviços ligados, ou seja, tokens, palavras-passe de CalDAV e endereços de webhooks. Ficam selados individualmente, mesmo com a encriptação do armazenamento desativada. Só no Linux sem chaveiro ficam por encriptar.

A chave de recuperação

A cadeia tem dois pontos fracos: o chaveiro e o ficheiro config.json. Se o sistema operativo for reinstalado, a conta de utilizador for reposta ou o config.json for eliminado, a chave selada deixa de poder ser aberta, e com ela o acesso à base de dados.

Para exatamente este caso existe a chave de recuperação: os mesmos 64 caracteres, mostrados uma vez na configuração para os guardares. Se a chave faltar ao arrancar, o YouniqMail mostra o diálogo Chave da base de dados em falta. Com Introduzir chave… voltas a abrir a base de dados com a chave de recuperação, sem transferir nada de novo.

Não a guardaste? Enquanto a aplicação funcionar normalmente, nada está perdido: em Definições → Segurança → Encriptar armazenamento, Mostrar chave de recuperação volta a mostrá-la em qualquer momento, e Guardar como PDF guarda-a. Num Mac com Touch ID, confirmas isso com a tua impressão digital; noutros computadores, ela aparece sem mais nenhuma pergunta. Por isso, bloqueia o teu computador quando te afastas dele.

Sem chaveiro e sem chave, não há caminho de volta

A encriptação não valeria nada se um fabricante a conseguisse contornar. Mas isso também significa: se perderes a chave selada e a chave de recuperação, só resta Repor dados locais, e os dados locais perdem-se definitivamente. As mensagens em si, felizmente, costumam continuar no servidor e voltam assim que tiveres configurado as tuas contas de novo. As notas, regras, contactos, assinaturas, blocos de texto, etiquetas e as mensagens das pastas locais, no entanto, não. As definições da aplicação mantêm-se, porque estão em config.json.

Abrir as pastas locais sem a aplicação

As mensagens das pastas locais só existem no teu dispositivo, como um ficheiro por mensagem na pasta local_mail do teu perfil. Estão protegidas exatamente como a base de dados:

• Encriptar armazenamento desligado: são ficheiros .eml comuns, que qualquer programa de e-mail abre com um duplo clique.
• Encriptar armazenamento ligado: os ficheiros terminam em .ymraw e estão encriptados com a chave da base de dados. Sem ela, são tão ilegíveis como a própria base de dados.

No dia a dia nunca precisas dos ficheiros diretamente. Em Ficheiro → Exportar guardas as pastas locais como mbox ou como ficheiros .eml individuais, e a cópia de segurança completa também as inclui.

Se o YouniqMail deixar de arrancar, a chave de recuperação e um pequeno programa de emergência recuperam as mensagens:

1. Instala o Node.js, versão 18 ou mais recente.

2. Transfere o programa de emergência: youniqmail-local-mail-decrypt.mjs.

3. Abre um terminal (no Windows, a Linha de Comandos) e executa-o com a pasta local_mail e uma pasta de destino:

   node youniqmail-local-mail-decrypt.mjs <pasta local_mail> <pasta de destino>

4. Introduz a chave de recuperação quando te for pedida. O que escreves fica invisível.

Depois disso, cada mensagem fica na pasta de destino como ficheiro .eml, com um nome formado pela data e pelo assunto. Um ficheiro danificado é assinalado pelo programa e deixado de fora, e uma segunda execução não substitui nada. O programa não precisa de ligação à Internet e não envia nada para lado nenhum. A forma como os ficheiros estão construídos está descrita em texto legível no início do programa.

A pasta local_mail fica no teu perfil:

Sistema operativo:macOSWindowsLinux

~/Library/Application Support/YouniqMail/local_mail/

%APPDATA%\YouniqMail\local_mail\

~/.config/YouniqMail/local_mail/

Se quiseres repor os dados locais, salva as pastas locais antes com o programa de emergência: depois da reposição, o YouniqMail limpa ao fim de três dias os ficheiros de local_mail que já não são necessários.

O que fica fora da base de dados

O YouniqMail guarda alguns ficheiros ao lado da base de dados, e estes não estão encriptados:

• Anexos em memória intermédia que abriste ou visualizaste (pasta attachment_cache, no máximo 500 MB),
• Anexos de rascunhos e de mensagens na caixa de saída (pastas draft_attachments e outbox_attachments),
• Mensagens que estão a ser enviadas, até a sua cópia chegar à pasta de enviados (pasta sent_pending),
• o registo (pasta logs), do qual são filtrados endereços e conteúdos,
• as definições em config.json, incluindo a dica da palavra-passe mestra.

Todos ficam na mesma pasta de perfil que local_mail. Quem quiser proteger o computador contra o acesso alheio ao disco liga, além disso, a encriptação de disco do sistema (FileVault, BitLocker, LUKS).

O que protege, e o que não

Encriptar armazenamento protege o ficheiro no disco: contra o roubo do computador, contra a cópia da base de dados, contra olhares curiosos sobre um disco de cópia de segurança.

Não protege contra alguém sentado ao teu computador desbloqueado; aí a base de dados está legível, como previsto. Para isso existe a palavra-passe mestra. E não encripta o transporte até à outra parte; disso tratam o PGP e o S/MIME.