Escribe ahora. Se entrega si llega el rapto.

Paso 1

Tú escribes, nosotros sellamos

Escribes tu carta y nombras a la persona que debe recibirla — por correo electrónico, por dirección postal, o ambos. La carta se cifra con una clave única antes de almacenarse.

Ese cifrado protege tu carta de cualquiera que robe nuestra base de datos. No la protege de nosotros, y no puede hacerlo. El objetivo del servicio es que podamos abrir tu carta en un momento en que tú no estás disponible para abrirla por nosotros, lo que significa que tenemos una clave que funciona sin ti. Cualquier servicio en esta categoría que afirme que tu carta les resulta ilegible está confundido o mintiendo.

En la práctica eso significa cifrado por sobres (envelope encryption): se genera una clave nueva solo para tu carta, y esa clave se envuelve bajo una clave maestra distinta que guardamos aparte. Rotar la clave maestra significa volver a envolver esas claves individuales, no volver a cifrar cada carta que ya está almacenada.

Paso 2

Qué activa la entrega

Nada en el mundo anuncia el rapto de una manera que el software pueda leer. No hay un feed al cual suscribirse, ninguna señal, ninguna prueba. Cualquiera que te diga que su sistema lo detecta está describiendo algo que no existe.

Así que hacemos lo único honesto disponible: una persona decide. La entrega se inicia a mano, por uno de un grupo nombrado de administradores, y por nada más. No hay temporizador, ni latido, ni condición automática en ninguna parte del sistema que pueda iniciarlo por sí solo.

Iniciarlo requiere dos acciones separadas con un día de diferencia. La primera registra quién está declarando y por qué, y no envía nada. Tiene que pasar un día completo antes de que la segunda sea siquiera posible, y durante ese día cualquier administrador puede cancelarlo. Solo la segunda acción entrega, y entrega todo de una vez y no se puede deshacer. La demora existe para que un clic equivocado, o un inicio de sesión robado en una sola sentada, no sea suficiente para vaciar el sistema.

Paso 3

Quién puede actuar, y qué queda registrado

Solo un grupo nombrado de administradores puede armar el sistema o cancelar un armado en curso. Nadie más puede hacerlo, y tampoco nada automatizado — no hay cuenta de servicio, ni tarea programada, ni ninguna ruta de código que inicie la entrega por sí sola.

Cada armado, cancelación y entrega queda registrado en un registro de auditoría que indica quién lo hizo y cuándo, el mismo registro descrito en nuestra página de privacidad. Ese registro existe porque una decisión de este tamaño no debería depender solo de la confianza.

Paso 4

Si el administrador se equivoca

La demora es la única salvaguarda real, y es humana, no técnica. Si un administrador arma el sistema por error — o está equivocado sobre lo que ha ocurrido — las cartas igual se envían a personas vivas, incluido ese administrador, en cuanto se realiza la segunda acción, y esa segunda acción no se puede revertir. Lo decimos porque fingir lo contrario no sería honesto. Dos acciones con un día de diferencia, cancelables por cualquier administrador del grupo, están hechas para dificultar una decisión precipitada. No pueden hacerla imposible.

Paso 5

Lo que recibe tu destinatario

Tu carta, sin editar, con una nota breve arriba explicando de quién es y por qué ha llegado. La persona que nombras nunca pidió saber de nosotros, y un mensaje de alguien que ha desaparecido sería aterrador sin contexto. Enviamos una vez. No la agregamos a nada.

Paso 6

El trabajo después de la decisión

En cuanto se ejecuta la segunda acción, el envío no se hace clic a clic. Una cola se vacía sola, automáticamente, en lotes de 50, cada cinco minutos, hasta que cada carta ha salido. Lo que sigue siendo manual es la decisión de empezar, no el trabajo de llevarla a cabo — automatizar el envío eliminó un cuello de botella real sin tocar la salvaguarda, que sigue siendo esas dos acciones con un día de diferencia que llevan al sistema hasta ese punto. Un envío que falla a mitad de camino queda marcado para que una persona lo revise, en lugar de reintentarse automáticamente: no siempre podemos estar seguros de si una carta llegó, y enviar una segunda copia a alguien que acaba de perder a un ser querido no es un riesgo que estemos dispuestos a correr por máquina.

Paso 7

Puedes cambiar de opinión

Hasta que la selles, puedes cambiar quién recibe tu carta, reescribirla o eliminarla por completo. Sellarla fija tanto las palabras como la persona — pero no dónde está: mientras tengamos la carta puedes mantener actualizada su dirección de correo electrónico o postal, y una vez al año te pediremos que confirmes que una dirección postal sigue siendo correcta. Eliminarla sigue siendo posible en cualquier momento; la borra de nuestro almacén, y no podemos recuperarla después, ni nadie más.