Caso de uso
O e-mail é privado? Veja o que acontece com ele de verdade
O e-mail costuma ser criptografado enquanto viaja e quase nunca é criptografado enquanto fica guardado. Duas empresas que você não escolheu acabam com uma cópia legível e pesquisável de cada mensagem — e essa cópia sobrevive ao motivo que te fez enviar.
Fale em um chat sem caixa de entrada — grátis, sem cadastroO que acontece de verdade depois que você aperta enviar
Seu cliente de e-mail entrega a mensagem ao servidor de saída do seu provedor. Esse servidor descobre onde o domínio do destinatário recebe e-mail e abre uma conexão até lá. Se as duas máquinas suportam TLS, esse trecho é criptografado — e aí o servidor de destino descriptografa tudo, passa pelos filtros de spam e malware, grava em disco e monta um índice de busca em texto completo, para o destinatário achar a mensagem depois digitando três palavras. No fim de uma jornada que leva menos de um segundo, duas empresas que nenhum dos dois escolheu juntos ficam cada uma com uma cópia legível, mais um índice que a torna instantaneamente encontrável.
Essa lacuna é a resposta inteira para "o e-mail é criptografado?". Criptografia no trajeto protege o fio entre duas máquinas. Criptografia de ponta a ponta significa que só remetente e destinatário têm as chaves, e toda máquina no meio do caminho carrega uma caixa que não consegue abrir. O e-mail, por padrão, faz a primeira coisa e não a segunda. É um carro-forte que para em cada depósito, e em cada depósito a caixa é aberta e registrada.
O motivo é arquitetural, não negligência. O SMTP, o protocolo que carrega seu e-mail, foi publicado em 1982 e não tinha criptografia nenhuma. O STARTTLS — o mecanismo que faz upgrade de uma conexão para TLS — só foi padronizado vinte anos depois, em 2002, e é oportunista por design: se o outro servidor não oferece criptografia, a mensagem segue mesmo assim, em texto puro. E funcionou: o Google publica a fatia criptografada do tráfego do Gmail no seu relatório de transparência, e ela está acima de 90% há anos. O transporte é, em boa parte, um problema resolvido. O armazenamento nunca foi.
E o e-mail faz algo que quase nenhum outro canal faz: fabrica cópias. Cada destinatário, cada cópia em Cc, cada encaminhamento, cada celular e notebook sincronizando a mesma caixa cria uma cópia independente em uma infraestrutura com a qual você não tem relação nenhuma. Não existe um botão em lugar nenhum que alcance todas elas. Quando alguém pergunta "alguém pode ler meu e-mail", a resposta honesta não tem nada a ver com interceptação — ninguém precisa interceptar coisa alguma. As cópias já estão paradas, numa caixa pesquisável, esperando.
Quem acaba com uma cópia legível
| Quem | O que consegue ler | Por quanto tempo costuma durar |
|---|---|---|
| O seu próprio provedor | Corpo, anexos, assunto, todos os endereços — mais o índice de busca que montou em cima de tudo isso | Até você apagar, e mesmo depois: a lixeira guarda e-mail por cerca de 30 dias, backups por mais tempo ainda |
| O provedor do destinatário | A mesma mensagem, numa infraestrutura que você nunca escolheu e não consegue auditar | O que a política de retenção deles disser, e isso não é decisão sua |
| O destinatário, e todo aparelho sincronizando aquela caixa | Tudo, incluindo a possibilidade de encaminhar para qualquer lugar | Indefinidamente — o seu botão de apagar não chega até a caixa dele |
| Um empregador, se algum dos endereços terminar em domínio corporativo | Todo o conteúdo da caixa, via ferramentas de admin e eDiscovery embutidas no Google Workspace e no Microsoft 365 | Muitas vezes anos, sob uma política de retenção que quase ninguém lê |
| Apps aos quais você já deu acesso à caixa de entrada | O que o escopo do OAuth permitir, e com frequência isso é "ler todo o seu e-mail" | Até você revogar, e a maioria das pessoas nunca revisita essa tela |
| Quem tiver uma ordem judicial válida contra o provedor | E-mail armazenado, solicitado à empresa e não a você | O limite muda de país para país; nos EUA a base legal ainda é uma lei de 1986 |
Os padrões variam por provedor, plano e jurisdição. Reflete configurações comuns em julho de 2026.
Cinco coisas que "meu e-mail é criptografado" ainda deixa exposto
- O assunto da mensagem
PGP e S/MIME criptografam o corpo da mensagem. O assunto é um cabeçalho, e cabeçalhos ficam em texto puro — ou seja, a linha mais resumida de toda a mensagem é justamente a parte que viaja e fica gravada de forma legível. "Consulta de divórcio — quinta 16h" entrega tudo que o parágrafo criptografado logo abaixo estava protegendo.
- O envelope
Quem escreveu para quem, a que horas, de qual endereço IP, passando por quais servidores. Toda mensagem carrega uma pilha de cabeçalhos Received que lê como um log de roteamento, e isso nunca é criptografado de ponta a ponta, porque os próprios servidores que fazem o roteamento precisam ler essa parte. Só o metadado já reconstrói uma relação: frequência, horário e quem foi copiado.
- O armazenamento nas duas pontas
O TLS protege o trajeto, não o disco rígido. Um provedor comum guarda seu e-mail de uma forma que consegue processar, porque é isso que faz busca, filtro, detecção de spam e pré-visualização funcionarem. O Google parou de escanear o conteúdo do Gmail pessoal para personalizar anúncios em 2017, e isso foi uma mudança de política, não de arquitetura — o acesso técnico que abriram mão voluntariamente continua existindo.
- Se e quando você abriu a mensagem
Uma única imagem transparente de 1×1 embutida num e-mail em HTML avisa o remetente no exato momento em que você abre, mais ou menos onde você estava, e qual cliente de e-mail você usou. Plataformas de marketing fazem isso por padrão, e várias extensões de navegador de "confirmação de leitura" usadas por colegas comuns também. Bloquear imagens remotas desliga isso; a Mail Privacy Protection da Apple, em vez disso, carrega toda imagem para todo mundo, o que quebra o sinal em vez de acabar com a prática.
- O modo confidencial do Gmail
Parece um e-mail que se autodestrói e não é. O conteúdo continua guardado com o Google, o vencimento é imposto pela interface e não por criptografia, e o destinatário consegue fotografar a tela exatamente como antes. Ele aumenta o esforço necessário para guardar uma cópia. Não torna a mensagem ilegível para quem já teve acesso a ela.
A divisão honesta: dois problemas diferentes usando a mesma roupa
Se a coisa realmente pertence ao e-mail — uma troca com um advogado, notas fiscais que você vai precisar daqui a dezoito meses, uma correspondência que precisa sobreviver a vocês dois fechando o notebook — então a solução é e-mail, feito direito. Proton Mail e Tuta são construídos para que o próprio provedor não consiga ler o que armazena: sua caixa fica criptografada em repouso com chaves derivadas da sua senha, e mensagens entre duas contas do mesmo serviço são criptografadas de ponta a ponta, assunto incluído no caso do Tuta.
Ainda assim, é bom ter clareza sobre o limite disso. No instante em que você escreve para um endereço comum, num provedor comum, você volta ao SMTP puro, e o provedor criptografado protege só a metade da conversa que mora nos próprios servidores dele. As alternativas existem, mas dão trabalho: uma mensagem protegida por senha que o destinatário abre por um link no navegador, ou PGP configurado nas duas pontas, o que na prática significa convencer a outra pessoa a configurar PGP. Trocar de provedor melhora só o seu lado de cada conversa. Não melhora o lado do outro.
O segundo problema é diferente, e é o que as pessoas realmente pesquisam. Uma senha. Um código de portão. Um código de backup. Seu novo endereço, mandado para uma pessoa só. Uma frase que você quer que um humano específico leia e nenhum sistema guarde. Nada disso precisava de caixa de entrada — precisava chegar a uma pessoa, uma vez. O e-mail não é mal projetado para isso; ele é projetado para o oposto disso. Ele guarda, indexa, copia, sincroniza. Pedir para ele ser efêmero é pedir para um arquivo virar uma conversa.
Esse segundo trabalho é o que o FadeChats faz. Você abre a página e uma sala privada para duas pessoas já existe na hora — sem conta, sem endereço de e-mail, sem nada para instalar. Você manda um link de convite de uso único. O que você digitar viaja direto do seu navegador para o do outro, por uma conexão ponto a ponto criptografada, então o servidor que só intermedia a apresentação nunca vê a mensagem e não tem nada para guardar, indexar ou entregar. Quando você fecha a aba, a sala expira e não sobra nenhuma cópia para apagar, porque nenhuma cópia jamais foi escrita.
A troca é honesta e é real. O FadeChats não faz o trabalho do e-mail: não existe entrega assíncrona, então a outra pessoa precisa estar ali na hora; não existe histórico para reler no mês que vem; não existe anexo guardado; é sempre duas pessoas, nunca um grupo; e, como qualquer ferramenta do mundo, não impede que a outra pessoa tire um print. É um canal para aquilo que nunca devia ter virado arquivo, não um substituto do arquivo.
Mandando algo que nunca passa por uma caixa de entrada
- Abra o FadeChats e ganhe uma sala
A sala é criada no instante em que a página carrega. Não tem formulário de cadastro, porque não tem conta — nada sobre você é coletado, então nada sobre você pode depois ser associado à conversa.
- Mande o link de convite de uso único
Qualquer canal serve, inclusive o e-mail que você ia usar antes — o link admite uma pessoa uma vez, e expira sozinho em cerca de 10 minutos se ninguém abrir. O que sobra numa caixa de entrada é um link morto, não o segredo.
- Diga o que precisa e feche a aba
Texto e imagem viajam de navegador para navegador pelo canal de dados criptografado. Dá para responder "espera, isso é de qual conta?" na mesma sala, o que uma nota de mão única que se autodestrói não permite. Depois a sala expira e não sobra nada para apagar.
A recomendação honesta
Mantenha o e-mail para o que o e-mail faz bem, e migre para um provedor que não consegue ler o que armazena — Proton Mail ou Tuta — se isso importa para você. Depois, pare de mandar segredos pontuais por ele. Uma senha, um código ou um endereço não precisa de uma casa permanente, indexada e pesquisável no armazenamento de duas empresas: precisa chegar uma vez, a uma pessoa, e sumir.
Perguntas frequentes
O e-mail é criptografado?
No trajeto, geralmente sim — a conexão entre servidores de e-mail é protegida por TLS em bem mais de 90% dos casos nos grandes provedores. De ponta a ponta, quase nunca. Isso significa que a mensagem é descriptografada, armazenada e indexada nos servidores do seu provedor, e de novo nos do destinatário, numa forma que as duas empresas conseguem ler. "E-mail criptografado", no sentido comum, descreve o fio, não o armazenamento.
Alguém pode ler meu e-mail sem eu saber?
Várias pessoas podem, sem que nada de anormal aconteça. Um administrador de domínio corporativo consegue pesquisar qualquer caixa através das ferramentas de eDiscovery embutidas. Qualquer app ao qual você já deu acesso à caixa mantém esse acesso até você revogar. Um provedor pode receber uma ordem judicial direcionada à empresa, não a você. E quem pegar um celular desbloqueado e logado tem acesso a tudo, na hora, por busca.
O Google consegue ler meu Gmail?
Tecnicamente sim — o Gmail guarda seu e-mail numa forma que o Google consegue processar, e é isso que faz busca, filtro e detecção de spam funcionarem. O Google parou de escanear o conteúdo do Gmail pessoal para personalizar anúncios em 2017, e isso foi uma decisão de política, não uma mudança de arquitetura. Provedores como Proton Mail e Tuta são estruturalmente diferentes: a caixa fica criptografada em repouso com chaves que eles não têm, então o acesso simplesmente não existe.
Apagar um e-mail apaga ele em todo lugar?
Não. Apagar só remove da sua visão; a cópia do destinatário, a cópia do provedor dele, todo aparelho sincronizando aquela caixa e qualquer backup feito nesse meio tempo continuam intocados. O recall do Outlook só funciona quando os dois lados estão dentro da mesma organização Exchange, e mesmo assim falha com frequência. Depois que a mensagem é entregue, você não tem mais alcance sobre ela.
Meu chefe consegue ler meu e-mail do trabalho?
Sim, e geralmente sem pedir permissão. Google Workspace e Microsoft 365 dão aos administradores ferramentas de busca e exportação sobre toda caixa da organização, normalmente sob uma política de retenção que guarda e-mail por anos. Isso vale para mensagens pessoais mandadas de um endereço corporativo, e em muitos lugares também para e-mail pessoal lido pelo navegador num aparelho gerenciado pela empresa.
O que usar no lugar do e-mail para mandar uma senha ou um código?
Algo sem caixa de entrada do outro lado. O recurso de compartilhamento de um gerenciador de senhas é a ferramenta certa dentro de uma equipe com quem você já trabalha. Para uma troca pontual com alguém de fora dela, um chat que desaparece como o FadeChats move o detalhe direto entre dois navegadores, deixa a outra pessoa fazer uma pergunta de acompanhamento, e não deixa nenhuma cópia guardada em lugar nenhum depois que a sala expira.