Is het veilig om een MBOX-bestand te openen?

Ja. Een MBOX-bestand is platte tekst en kan uit zichzelf niets uitvoeren; het openen is net zo gevaarlijk als het openen van een tekstdocument, en dat is dus helemaal niet. De risico’s zitten in wat het bestand bevat en in wat je reader doet — drie concrete dingen, en alle drie beheersbaar.

Risico één: de bijlagen

Het bestand zelf is inert, maar een bericht erin kan een bijlage bevatten die dat niet is. Een spreadsheet vol macro’s uit 2012 is vandaag precies zo schadelijk als toen, en een oud archief is nu juist de plek waar zoiets ligt.

Zolang het in de mailbox blijft staan, gebeurt er niets. Bijlagen staan er als base64-tekst in — een foto, een factuur en een stuk malware zijn alle drie niets anders dan tekens tot iets ze decodeert en uitvoert. Het risicomoment is wanneer je er een op schijf opslaat en erop dubbelklikt, en vanaf dat punt gelden de gewone regels: kijk wat het is, wantrouw uitvoerbare bestanden en macro’s, en laat je antivirus zijn werk doen.

Het bericht lezen is veilig. Handelen naar wat erin staat, is waar je oordeel begint te tellen.

Risico twee: de externe afbeeldingen

Dit is subtieler en treft veel meer mensen, omdat het je niets kost om erin te trappen.

Veel HTML-e-mails sluiten hun afbeeldingen niet in; ze linken ernaar. Open je het bericht, dan haalt je computer die bestanden bij een server op, en dat verzoek vertelt de afzender dat dit bericht geopend is, ongeveer wanneer, en ongeveer waarvandaan. Bij een archief is dat erger dan bij lopende post: open een mailbox uit 2015 en je meldt ongemerkt aan een paar honderd afzenders dat een adres dat ze hadden afgeschreven nog leeft en meeleest.

Het antwoord is niet om je post dan maar niet te openen. Het antwoord is een reader die niets ophaalt tenzij je erom vraagt. Mbox Viewer blokkeert externe afbeeldingen en schoont HTML standaard op; er wordt niets van internet geladen tot jij besluit dat het mag, bij een bericht dat je hebt bekeken en fatsoenlijk wilt zien.

Risico drie: de reader zelf

Dit is het risico dat niemand noemt, en het is het grootste.

Zoek naar een manier om een MBOX-bestand te openen en een flink deel van de resultaten zijn websites: upload je mailbox, dan laten wij hem in de browser zien. Lees dat aanbod nog eens met de inhoud in gedachten. Een Gmail-export is elk bericht dat je in twintig jaar hebt ontvangen — je bank, je huisarts, je advocaat, wachtwoordherstel, alles. Dat naar een onbekende server uploaden om er naar te kijken is geen redelijke ruil, en valt het archief onder een inzageverzoek, een legal hold of enige verplichting rond gegevensbescherming, dan is het een ruil die je simpelweg niet mág maken.

Desktopprogramma’s verdienen dezelfde vraag, alleen anders gesteld: belt het naar huis, heb je er een account voor nodig, en wat gebeurt er met een crashrapport.

Het antwoord van Mbox Viewer is dat alles lokaal draait. Geen cloud, geen telemetrie, geen account, geen licentieserver. Trek de netwerkkabel eruit en hij doet exact hetzelfde — wat de enige versie van deze bewering is die je zelf kunt controleren, en we zouden het liever hebben dat je dat deed.

En loopt jouw bestand gevaar door het te openen?

Andere vraag, en een terechte: kan het openen het archief beschadigen?

Hier niet. Het programma is strikt alleen-lezen — er wordt nooit geschreven in de mailbox die je hebt geopend. Zelfs de herstelfunctie, die beschadigde berichtgrenzen opnieuw opbouwt, schrijft een herstelde kopie naar een nieuw bestand en laat het origineel precies zoals het was. Hetzelfde geldt voor het exporteren van een selectie als nieuw MBOX-bestand: er komt een nieuw bestand uit, het origineel blijft ongemoeid.

Dat is de moeite van het nakijken waard in welk programma je ook gebruikt, want “openen” betekent niet overal hetzelfde. Een import kopieert je post naar de database van iemand anders. Dat is niet wat er gebeurt wanneer een reader een bestand opent.

Kort samengevat

Het bestand is veilig. Wees voorzichtig met bijlagen die je opslaat, gebruik een reader die externe afbeeldingen blokkeert, en upload geen twintig jaar correspondentie naar een website om onder het installeren van een programma uit te komen.

---

Meer over wat het programma wel en niet met je gegevens doet, staat op de pagina met functies en in het privacybeleid.