Mailfence: belgický privacy e-mail s OpenPGP a vlastní doménou

V minulých textech na tomto blogu jsem se věnoval ekosystému Protonu, nabídce Tuta i obecnějšímu srovnání evropských šifrovaných e-mailových služeb. Tentokrát bych se podrobněji zastavil u Mailfence – belgické služby, která bývá v podobných srovnáních zmiňována jako technicky čistá alternativa k Protonu i Tuta, ale často zůstává spíše stranou pozornosti. Pokusím se popsat, čím Mailfence skutečně je, kde má své silné stránky a kde je naopak třeba mít realistická očekávání.

Kdo Mailfence provozuje

Za Mailfence stojí belgická společnost ContactOffice Group, která působí v oblasti cloudových groupware nástrojů od roku 1999. Mailfence jako šifrovanou e-mailovou službu spustila v listopadu 2013, tedy několik měsíců po Snowdenových odhaleních, jež motivovala vznik celé řady evropských privacy projektů. Plnohodnotná funkce end-to-end šifrování v prohlížeči se připojila později – v březnu 2016 vyšla její beta verze. Jurisdikce zůstává čistě belgická, firma podle svého oficiálního prohlášení nemá zahraniční mateřskou společnost a uvádí, že nikdy neobdržela ani neakceptovala americký National Security Letter ani příkaz FISA soudu.

Na rozdíl od Protonu nemá ContactOffice Group externí investory ani exit-orientovaný obchodní model. Společnost se prezentuje jako financovaná z předplatného a z licencí privát-label řešení pro firemní zákazníky. To má dvě strany. Na jednu stranu absence tlaku rizikového kapitálu zvyšuje šanci na dlouhodobou stabilitu a věrnost původnímu poslání. Na druhou stranu omezuje rychlost, s jakou může firma vyvíjet nové funkce a expandovat na nové trhy. Pro úplnost dodávám, že podobnou logiku ochrany před investorským tlakem zvolil v červnu 2024 i Proton, když převedl podíl v Proton AG na nově založenou neziskovou Proton Foundation se sídlem v Ženevě, která se tak stala jejím primárním akcionářem.

Co Mailfence chrání – a co nikoli

Mailfence je postaven na standardu OpenPGP s podporou RSA-4096 i ECC/Curve25519. Šifrování je volitelné: pokud ho u konkrétní zprávy výslovně nezapnete, odejde jako běžný nešifrovaný e-mail. Klíče jsou plně interoperabilní s libovolným OpenPGP klientem – Thunderbird, GnuPG, Mailvelope nebo cokoli dalšího –, takže nejste uzamčeni v ekosystému Mailfence. Privátní klíč je na serveru uložen zašifrovaný AES-256 a samotné dešifrování probíhá v prohlížeči pomocí passphrase, kterou zná pouze uživatel.

Threat model, který Mailfence sám zveřejňuje, je v tomto ohledu poctivě formulovaný. Otevřeně přiznává, že služba nechrání proti kompromitovanému zařízení uživatele (keylogger, malware), proti kompromitované nebo zapomenuté passphrase k privátnímu klíči ani proti sofistikovaným MITM útokům, kdy by státní aktér dokázal podvrhnout falešný JavaScriptový kód šifrování. To je strukturální omezení každého webmailového šifrování bez nativního klienta. Pokud by někdo patřil mezi cíle rozsáhlého státního aparátu, je vhodné kombinovat Mailfence s lokálním PGP klientem, kde kryptografický kód neběží ze serveru.

Další detail, který je třeba mít na paměti, jsou metadata. Mailfence má i nadále přístup k běžným metadatům, včetně adres odesílatele a příjemce, předmětů zpráv, Message-ID, IP adres a časových značek. Šifrování OpenPGP chrání pouze obsah zprávy, nikoli její obálku. Pokud je pro vás otázka metadat zásadní, doporučuji si přečíst můj dřívější článek o rozdílu mezi obsahem a metadaty.

Jurisdikce a transparentnost

Belgie není součástí aliance Five Eyes, ale je členem rozšířené skupiny Fourteen Eyes. Praktický rozdíl je v tom, že žádný americký nebo britský orgán nemůže Mailfence přímo nutit k poskytnutí dat – musel by požádat belgické úřady, ty by musely přesvědčit belgického soudce a teprve jeho příkaz by Mailfence akceptoval. Tento řetězec snižuje riziko přímých nebo neformálních zahraničních žádostí.

Belgická legislativa kolem uchovávání dat má svou vlastní historii. V roce 2016 přijala vláda nový zákon o uchovávání dat (data retention), který poskytovatelům komunikačních služeb ukládal držet metadata po dobu 12 měsíců. Belgický Ústavní soud ho v dubnu 2021 prohlásil za neústavní. Nový legislativní rámec ovšem od té doby vznikl a praxe se průběžně vyvíjí, takže přesný rozsah povinností u konkrétního poskytovatele se může v čase měnit.

Aktuální transparency report, který Mailfence zveřejňuje a aktualizuje pololetně (poslední aktualizace v lednu 2026), je z tohoto pohledu poměrně střídmý. Za druhou polovinu roku 2025 obdržel 21 žádostí o identifikaci uživatele a v 9 případech identifikaci poskytl na základě platného belgického soudního příkazu. Za celé období od spuštění služby do konce června 2025 obdržel 228 žádostí a vyhověl ve 105 případech. Pro orientační srovnání s konkurencí: Proton má podle vlastních údajů řádově vyšší uživatelskou základnu, čemuž odpovídá i mnohonásobně vyšší objem právních žádostí, které ročně obdržuje. Mailfence sám uvádí přes 600 000 účtů.

Vedle transparency reportu publikuje Mailfence i warrant canary. V belgickém právním prostředí má spíš symbolickou funkci, protože Mailfence sám uvádí, že gag order není v Belgii právně možný a že jako belgická firma nemůže obdržet americký National Security Letter ani příkaz FISA soudu. Reálnou ilustrací postoje firmy je incident z března 2020, kdy Mailfence odmítl spolupracovat s ruským Roskomnadzorem – v reakci začaly ruské e-mailové služby postupně blokovat jeho SMTP servery, což omezilo doručování pošty do ruských schránek.

Cenové plány

Mailfence nabízí pět plánů, jejichž aktuální struktura vypadá takto:

Free (0 €) – 1 GB úložiště celkem (500 MB e-mail + 500 MB dokumenty), limit 50 e-mailů denně, bez IMAP, SMTP i POP (přístup pouze přes webmail).

Base (2,50 € / měs.) – 11 GB (5 GB + 6 GB), 10 aliasů, podpora e-mailem, stále bez IMAP, SMTP i POP (přístup pouze přes webmail).

Entry (3,50 € / měs.) – 40 GB (10 GB + 30 GB), 50 aliasů, 2 vlastní domény, POP / IMAP / SMTP, ActiveSync, nastavení DNS záznamů pro vlastní doménu (SPF, DKIM, DMARC).

Pro (9,50 € / měs.) – 78 GB, 100 aliasů, 7 vlastních domén, telefonická podpora, admin konzole pro 200 účtů.

Ultra (29 € / měs.) – 225 GB, 200 aliasů, 10 vlastních domén, admin konzole pro 1000 účtů, 15 % příjmů z tohoto plánu jde na podporu Electronic Frontier Foundation a European Digital Rights.

Klíčový detail, na který se snadno zapomene: Free a Base plán nemají žádný přístup přes IMAP, SMTP ani POP, tedy ani příjem, ani odesílání mimo webovou aplikaci. Pokud někdo plánuje Mailfence používat s Thunderbirdem, Apple Mailem, K-9 Mail nebo jiným externím klientem, minimální realistickou volbou je Entry. Pro běžného individuálního uživatele s vlastní doménou je tedy efektivní vstupní cenovkou 3,50 € měsíčně, tedy 42 € ročně.

Platit lze kartou, PayPalem, bankovním převodem i kryptoměnami (Bitcoin, Litecoin). Předplatné je předplacené a účtuje se rok dopředu. Pokud zrušíte předplatné, nevracejí se zbývající peníze – účet jednoduše doběhne do konce zaplaceného období.

Vedle e-mailu i kalendář, dokumenty a skupiny

Mailfence je ve skutečnosti spíš celý groupware balík než pouhá poštovní schránka. K e-mailu dostáváte kalendář s podporou CalDAV (lze tedy synchronizovat s telefonem, Thunderbird Lightning, Apple Calendarem, eM Clientem), správu kontaktů přes CardDAV, dokumentové úložiště přístupné přes WebDAV jako virtuální disk, skupinové pracovní prostory (Mailfence Groups), XMPP chat a anketní nástroj Polls jako alternativu k Doodle.

Funkce Mailfence Groups si zaslouží samostatnou poznámku. Jde o sdílené pracovní prostory, kde tým může mít společný kalendář, sdílené dokumenty, společné kontakty a vlastní e-mailové adresy typu team@vasedomena.com, na které píše více lidí. Pro malou advokátní kancelář, lékařskou ordinaci nebo neziskovku, které chtějí nahradit Google Workspace bez závislosti na americkém poskytovateli, je to docela zajímavá kombinace funkcí v jediném produktu.

Tuto šíři je třeba ocenit hlavně v porovnání s konkurencí. Tuta historicky neměla žádný cloudový disk ani online editaci dokumentů. Její Tuta Drive je sice od dubna 2026 v uzavřené betě, na veřejnou dostupnost si však uživatelé budou ještě muset počkat. Proton sice nabízí Drive i Calendar, ale jako oddělené produkty bez skutečné groupware integrace na úrovni Mailfence Groups.

Co se mobilního přístupu týče, Mailfence šel jinou cestou než konkurence. Vedle progresivní webové aplikace (PWA) a synchronizace přes ActiveSync do běžných klientů (Apple Mail, Outlook Mobile, Gmail) sází i na vlastní nativní aplikace pro iOS a Android, které jsou ale historicky méně vyspělé než nativní aplikace Protonu nebo Tuty. Pro řadu uživatelů je v praxi nejpohodlnější právě napojení mobilního klienta přes ActiveSync.

Online editor Office dokumentů, který Mailfence ve webu nabízí, je z privacy hlediska jeden ze slabších bodů. Editor je poskytován aplikací třetí strany, je ve výchozím stavu vypnutý a třetí strana má při použití přístup k obsahu editovaných dokumentů. Pro citlivé materiály je rozumnější editovat lokálně v LibreOffice nebo OnlyOffice a Mailfence Documents využívat čistě jako bezpečné úložiště přes WebDAV.

Mailfence vs. Proton vs. Tuta

Pokud někdo přemýšlí mezi třemi nejčastěji zmiňovanými evropskými privacy e-mailovými službami, hraje roli především způsob, jakým má každá z nich vyřešené šifrování a přístup z externích klientů.

Mailfence používá čistý standard OpenPGP a nabízí nativní IMAP / SMTP od plánu Entry. Klíče lze exportovat do libovolného PGP klienta. Vlastní doména je dostupná od 3,50 € měsíčně.

Proton Mail používá také OpenPGP, ale s vlastními úpravami implementace. Pro přístup z externího klienta vyžaduje instalaci aplikace Proton Mail Bridge, která běží na pozadí jako lokální překladová vrstva. Nejlevnější placený plán s vlastní doménou (Mail Plus) stojí 3,99 € měsíčně.

Tuta zvolila vlastní šifrovací protokol TutaCrypt postavený na kombinaci AES-256, ECC X25519 a kvantově odolného Kyber-1024. Jako první e-mailový poskytovatel nasadila kvantově odolné šifrování v ostrém provozu. Šifruje i předměty zpráv, což OpenPGP standardně nedělá. Cenou za to je úplná absence IMAP / SMTP – službu Tuta je možné používat výhradně přes vlastní aplikace. Plán Revolutionary s vlastní doménou stojí 3 € měsíčně.

Pro přehlednost shrnuji klíčové rozdíly v tabulce:

V praxi to znamená:

Pokud chcete standardní protokoly a libovolného klienta, volba je mezi Mailfence (přímý IMAP) a Proton (přes Bridge), přičemž Mailfence je o euro levnější a nepotřebuje žádný most.

Pokud chcete maximální technickou bezpečnost včetně šifrování metadat a nevadí vám uzamčení v aplikacích jednoho dodavatele, je Tuta nejsilnější.

Pokud chcete široký ekosystém – VPN, cloudový disk, password manager – hraje to ve prospěch Protonu, ale za cenu vyššího předplatného a větší expozice právním tlakům, kterým čelí větší hráč.

Komu se Mailfence hodí

Mailfence dává nejvíc smyslu pro evropského uživatele, který chce vlastní doménu, standardní OpenPGP, nativní IMAP / SMTP a evropskou jurisdikci – a nepotřebuje k tomu balíček dalších produktů jako VPN nebo cloudový disk. Konkrétně mě napadají tři typické scénáře:

Freelancer s vlastní doménou – tarif Entry za 3,50 € měsíčně, adresa typu jmeno@mojesluzba.cz, napojení do Apple Mailu nebo Thunderbirdu přes IMAP, fakturační kalendář v Apple Calendaru přes CalDAV. Žádný Bridge, žádná závislost na proprietárních aplikacích.

Malá kancelář nebo poradna – tarif Pro za 9,50 € měsíčně, admin konzole pro několik kolegů, sdílené pracovní prostory v Mailfence Groups, společné adresy typu info@ nebo podpora@, vlastní DNS nastavení s SPF/DKIM/DMARC pro důvěryhodnost odchozí pošty.

Uživatel, který chce zůstat u svého stávajícího PGP klíče – Mailfence akceptuje import existujícího OpenPGP klíče, takže pokud někdo léta používá vlastní pár klíčů v Thunderbirdu nebo GnuPG, není nutné začínat od nuly.

Méně se hodí těm, kdo hledají absolutní anonymitu nebo plně auditovatelný open-source kód. Mailfence není open-source – kód je otevřen pouze bezpečnostním auditorům, nikoli veřejnosti. Pokud je auditovatelnost klientského kódu hodnotou samou o sobě, Tuta a v některých vrstvách i Proton (klienti pod GPLv3) jsou v tomto směru otevřenější.

A samozřejmě – pokud někdo neřeší šifrování, vlastní doménu ani závislost na velkém reklamním ekosystému, zůstane pravděpodobně u Gmailu. Mailfence není pro každého. Je pro ty, kdo si položili otázku, čí servery vlastně jejich poštu drží, a chtějí na ni mít srozumitelnou odpověď.

Informace a hodnocení v tomto článku vycházejí z veřejně dostupných zdrojů ke dni publikace a mohou se v čase měnit. Aktuální stav jednotlivých aplikací doporučujeme před rozhodnutím ověřit přímo u jejich provozovatelů.