Segurança e Criptografia

Última atualização: 29 de junho de 2026 · aplica-se ao app v1.26+

O Forwardit funciona inteiramente no seu telefone. Não há servidor do Forwardit, nem conta, nem analytics. Suas mensagens nunca chegam até nós — elas vão apenas para os destinos que você escolher (seu e-mail ou seu próprio telefone de backup). O conteúdo das suas mensagens e as credenciais do seu e-mail são criptografados no seu dispositivo.

100% no seu dispositivo

Não existe nenhum backend do Forwardit que receba suas mensagens. As únicas conexões de saída que o app faz são:

• para o seu próprio servidor de e-mail (SMTP), para entregar um encaminhamento;
• o canal de SMS da operadora, para entregar um encaminhamento a um telefone de backup;
• Google Play Billing, para assinaturas.

Nada é enviado ao Forwardit. O app não contém nenhum SDK de analytics, rastreamento, anúncios ou relatório de falhas. Se o app algum dia travar, o relatório é gravado em um arquivo privado no seu dispositivo e só é enviado se você optar por enviá-lo por e-mail.

O que é criptografado no seu dispositivo (em repouso)

Os itens a seguir são criptografados com AES-256-GCM, usando uma chave mantida no Android Keystore (com suporte de hardware em dispositivos compatíveis). A chave nunca sai do seu telefone e não é incluída em nenhum backup:

• A senha do seu e-mail (SMTP) — e ela é excluída totalmente do backup na nuvem;
• O host, a porta e o e-mail de login do seu servidor SMTP;
• O conteúdo da mensagem encaminhada;
• De quem veio a mensagem (o remetente);
• O destino para o qual cada mensagem foi encaminhada;
• O canal usado para enviar (qual SIM ou qual e-mail);
• A cópia de curta duração na fila de processamento de uma mensagem, mantida enquanto ela está sendo entregue.

Isso significa que tanto a breve cópia que o Forwardit mantém enquanto entrega uma mensagem quanto todo o seu histórico de encaminhamentos são armazenados em disco como texto cifrado ilegível.

O que é criptografado em trânsito

• O encaminhamento por e-mail usa uma conexão TLS/SSL criptografada com o seu servidor de e-mail (você escolhe TLS ou SSL na configuração).
• O encaminhamento por SMS para um telefone de backup usa o canal de SMS normal da operadora. Como todo SMS, esse é um transporte no nível da operadora, não uma criptografia no nível do aplicativo — não afirmamos que os encaminhamentos por SMS sejam criptografados de ponta a ponta.

O que não é criptografado — e por quê

Preferimos ser precisos a exagerar nas afirmações:

• Suas regras de encaminhamento e os destinos que você configura (nomes de filtros, regras de correspondência e o e-mail ou telefone para o qual você encaminha) são armazenados como dados locais comuns para que o Android possa restaurar sua configuração quando você trocar de telefone. Se fossem criptografados com a chave vinculada ao dispositivo, não poderiam ser restaurados em um aparelho diferente. Eles existem apenas no seu telefone e no backup da sua própria conta privada do Google — nunca são enviados ao Forwardit.
• As configurações do app (tema, idioma, opções) são, da mesma forma, dados locais simples.

Em resumo: os dados das suas mensagens e suas credenciais são criptografados; sua configuração é mantida restaurável — e nada disso é jamais transmitido para nós.

Backup na nuvem

O Android pode fazer backup dos dados do app na sua própria conta do Google (você controla isso nas Configurações do Android):

• Incluído: suas regras de encaminhamento e configurações (para que um novo telefone restaure sua configuração) e o seu histórico de encaminhamentos — mas o conteúdo da mensagem, o remetente e os destinos dentro dele permanecem como texto cifrado no backup.
• Excluído: suas credenciais SMTP nunca são incluídas no backup. Após restaurar em um novo telefone, basta digitá-las novamente uma vez.

Proteção de acesso ao dispositivo

Ações sensíveis — visualizar a senha SMTP salva, editar ou excluir credenciais, excluir filtros e limpar o registro — exigem sua impressão digital ou o PIN do dispositivo. O Forwardit também oferece um bloqueio de app.

Métodos de criptografia (para revisores)

• Cifra simétrica: AES-256-GCM (criptografia autenticada).
• Armazenamento de chaves: Android Keystore — com suporte de hardware quando disponível; as chaves não são exportáveis e ficam vinculadas ao dispositivo.
• Armazenamento de credenciais: Android EncryptedSharedPreferences (AES-256 para chaves e valores).
• Em trânsito (e-mail): TLS/SSL negociado com o seu servidor SMTP.
• Nenhum SDK de rede de terceiros está vinculado ao app (apenas AndroidX, Google Play Billing e JavaMail).

Dúvidas

Envie um e-mail para dev@forwardit.app — teremos prazer em responder a pontos específicos ou orientar um revisor pelos detalhes.