Resumen

  • El borrador individual presentado el 27 de octubre propone objetos DeletedItem para recuperar mensajes, contactos, citas, archivos y scripts de correo destruidos durante un plazo declarado.
  • En cuentas compartidas, haber podido leer el objeto al destruirse es condición para ver la copia; poder eliminarla definitivamente o restaurarla se decide con controles distintos.

Una carpeta de facturas compartida pierde un mensaje. El buzón normal ya no lo ofrece, pero el nuevo borrador JMAP Undelete diseña un segundo mostrador: DeletedItem. Esa ficha lleva hora de destrucción, vencimiento, propiedades del objeto y, cuando existe, un identificador para descargar su contenido. El servidor declara qué tipos conserva y cuánto dura la oportunidad de rescate.

La obligación propuesta comienza cuando el objeto se destruye, aunque el golpe haya llegado por JMAP, IMAP, POP3 o el vaciado automático de la papelera. Moverlo a la papelera todavía no activa este mecanismo. Para quien vende «recuperar lo borrado» como una función sencilla, el detalle incómodo es que el sistema tiene que distinguir el traslado, la destrucción y la expiración sin cambiarle el significado al gesto del usuario.

El artículo 3.3 da al archivo una memoria de permisos. En una cuenta compartida, una persona solo puede ver el elemento borrado si tenía derecho a leerlo en alguno de sus contenedores cuando se destruyó. Es un requisito previo, no un pase irrevocable: el servidor puede cerrar más la puerta, incluso dejarla solo al dueño. Si no puede reconstruir bien los permisos antiguos, el borrador recomienda esa opción. El modelo de compartición de RFC 9670 describe los derechos sobre objetos compartidos; aquí el servicio necesita además juzgar una relación que existió antes.

Después, el reloj cambia. Purgar la ficha requiere mayPurge y autorización para quitar el objeto de los contenedores donde estaba. Restaurarlo requiere autorización para crear uno en algún destino. Cuando la carpeta original ha desaparecido o ya no admite escritura, puede usarse un destino predeterminado, como la bandeja de entrada; si tampoco se puede escribir allí, la restauración falla. El mismo usuario puede pasar la prueba histórica de lectura y no tener mando para ninguna de las dos acciones.

El servidor tampoco puede adelantar el expiresAt de una ficha ya creada solo porque cambie su política. Al vencer, debe retirarla de todas las operaciones de la extensión; una purga válida cierra esa vía antes. La sección de seguridad del borrador señala que una sesión delegada o unas credenciales robadas con acceso a la cuenta pueden leer material destruido recientemente. Datatracker registra el texto como borrador individual en estado I-D Exists. El servidor citado ya permite recuperación por una interfaz propia, pero aún no implementa este método JMAP. Falta una prueba pública de revocación de acceso después de borrar un objeto compartido; esa prueba diría quién ve la ficha en una implementación real.