Zusammenfassung

  • Der individuelle Entwurf vom 27. Oktober schlägt DeletedItem für zerstörte E-Mails, Kontakte, Termine, Dateien und Filterskripte vor und zeigt an, bis wann eine Wiederherstellung möglich ist.
  • In einem geteilten Konto zählt für die Sichtbarkeit zunächst das Leserecht im Moment der Zerstörung. Endgültiges Entfernen und Wiederherstellen folgen jeweils anderen Berechtigungen.

Die Rechnung ist aus dem Team-Postfach verschwunden. Der normale Mailabruf findet sie nicht mehr. Der neue Entwurf JMAP Undelete würde einem Server, der die Erweiterung einführt, einen zweiten Fundort geben: einen DeletedItem-Datensatz mit Löschzeit, Ablaufdatum, einem Ausschnitt der alten Eigenschaften und gegebenenfalls einem herunterladbaren Inhalt. Das Konto müsste angeben, welche Objekttypen es aufbewahrt und welche Frist für neu zerstörte Stücke gilt.

Das Vorhaben hängt nicht am Namen des Löschknopfs. Bei unterstützten Typen erfasst es die tatsächliche Zerstörung durch JMAP, IMAP-Expunge, POP3-Löschung oder das automatische Leeren des Papierkorbs. Das Verschieben in den Papierkorb reicht nicht. Für Anbieter einer bequemen Rückgängig-Funktion liegt hier bereits Arbeit: Die Oberfläche darf eine Zwischenstation nicht als Beginn der endgültigen Löschfrist behandeln.

Die entscheidende Stelle ist Abschnitt 3.3. Wer ein Konto mitnutzt, darf einen solchen Eintrag nur sehen, wenn er das ursprüngliche Objekt zum Zeitpunkt seiner Zerstörung in mindestens einem seiner Behälter lesen durfte. Daraus entsteht noch kein garantierter Zugang. Der Server kann enger filtern, etwa auf den Kontoinhaber; gelingt die zuverlässige Rekonstruktion alter Rechte nicht, empfiehlt der Entwurf genau diese Beschränkung. RFC 9670 regelt die Freigabe von JMAP-Objekten. Die neue Archivfunktion verlangt zusätzlich eine Antwort auf die Frage, wie die Freigabe damals aussah.

Bei den Befehlen gelten andere Schranken. Einen Eintrag zu bereinigen setzt mayPurge und das Recht voraus, das Objekt aus seinen früheren Behältern zu entfernen. Eine Wiederherstellung verlangt das Recht, am Ziel ein neues Objekt anzulegen. Ist der alte Ordner weg oder nicht beschreibbar, versucht der Server einen Standardort wie den Posteingang. Scheitert auch das, bleibt die Wiederherstellung aus. Ein früherer Leser kann also die Karte sehen und trotzdem weder die Kopie vernichten noch die Mail zurücklegen.

Die Frist einer vorhandenen Karte darf ein späterer Wechsel der Aufbewahrungsregel nicht verkürzen. Nach expiresAt darf die Erweiterung sie sofort nicht mehr anbieten; eine erlaubte Bereinigung beendet diesen Weg vorher. Der Sicherheitsteil nennt die Kehrseite: Mit Zugang zum Konto erreicht auch eine gestohlene Anmeldung oder delegierte Sitzung kürzlich zerstörte Daten. Im Datatracker steht der Text als individueller Entwurf auf I-D Exists. Der dort genannte Server hat eine eigene Wiederherstellungsoberfläche, jedoch noch keine Implementierung dieser JMAP-Schnittstelle. Es fehlt ein veröffentlichter Test, der nach der Löschung die Rechte eines geteilten Ordners ändert und die tatsächliche Sichtbarkeit der Archivkopie misst.