Jak na šifrovaný e-mail

Hledáš bezpečné místo s dostatkem soukromí pro svoje e-maily? Pokud ano, tak tento článek je určen výhradně tobě. Pro začátek si řekneme, jak to kdo má s tím zabezpečením a soukromím.

V podstatě tu jsou poskytovatelé freemailových služeb s nevalným zabezpečením. Z těch nejvíce propagovaných s nejlepším zabezpečením je Gmail. Ale jak asi tušíš, je to až moc dobré na to, aby to bylo zadarmo, tak v čem je ten háček? Spočívá to v tom, že sice neplatíš penězi, ale svým soukromím. Čtení e-mailů, profilování, sdílení dat s inzerenty, to je jen špička ledovce, jak platíš Googlu za jeho služby. Na jednu stranu u Googlu nemáš žádné soukromí, ale zase máš jeden z nejlépe zabezpečených e-mailů s velmi dobrým antispamovým filtrem. Tak co teď? Kam odejít? Nabízí někdo srovnatelné řešení s ohledem na soukromí? Naštěstí jsou tu alternativy, tak se na ně pojďme podívat. Z těch nejlépe hodnocených je to Tuta a ProtonMail.

Tab. 1: Srovnání vlastností poskytovatelů e-mailu

Proč ProtonMail vychází nejlépe?

• Švýcarská jurisdikce - Švýcarsko má jedny z nejstriktnějších zákonů na ochranu soukromí na světě. Německo (Tuta) je v EU, což je dobré, ale Švýcarsko není členem EU a má silnější ochranu před americkými žádostmi o data.
• Kompletní ekosystém - ProtonMail není jen email. Nabízí VPN, Drive, Calendar i Pass. Tuta nemá VPN ani Drive. Gmail má vše, ale bez soukromí.
• Tor/.onion podpora - ProtonMail je jediný z trojice, který má oficiální .onion adresu pro přístup přes Tor síť. Pro maximální soukromí je to klíčové.
• Easy Switch migrace - ProtonMail má nástroj pro snadný přechod z Gmailu. Tuta to nemá.
• Proton VPN - Pokud chceš komplexní ochranu, Proton nabízí VPN zdarma i v placené verzi. Gmail ani Tuta VPN nemají.
• Proton Drive - Šifrované cloudové úložiště s E2EE. Tuta ho nemá, Google Drive šifrované není.
• Sentinel - Pokročilá ochrana účtu před útoky, kterou Tuta nemá v takové míře.

Tuta je skvělá alternativa, ale ProtonMail nabízí kompletnější řešení pro digitální soukromí.

Proton Transparency Report

Proton funguje pod striktním švýcarským právem, je plně transparentní, ale zároveň díky šifrování chrání to nejdůležitější: obsah tvých zpráv.

Tady je tabulka na základě oficiálních dat z Proton Transparency Reportu (aktualizováno 6. ledna 2026):

Tab. 2: Transparency report

Tato čísla mohou na první pohled vypadat děsivě - Proton „vyhověl" tisícům příkazů. Je ale naprosto klíčové vysvětlit, co přesně Proton vydal a co nikdy vydat nemůže:

1. Co Proton NEMŮŽE vydat (i kdyby chtěl):

• Obsah emailů: Všechny zprávy, přílohy a soubory jsou šifrované end-to-end (nebo zero-access). Proton k nim nemá přístup a nemůže je dešifrovat. Švýcarský soud je nemůže donutit, protože je to matematicky nemožné.
• IP adresy: Pokud se uživatel přihlásí přes Tor (.onion) nebo VPN, Proton IP adresu nezná.

2. Co Proton MŮŽE vydat (pokud je příkaz platný podle švýcarského práva):

• Metadata účtu: Například datum a čas založení účtu, datum posledního přihlášení, plán (Free vs. Paid).
• Emailová adresa pro obnovu: Pokud jsi ji zadal.
• IP adresa při přihlášení: Pokud ses nepřihlásil přes Tor/VPN a Proton měl v danou chvíli aktivní logování IP (Proton IP adresy loguje pouze v případě, že je na účet uvalen švýcarský soudní příkaz k monitoringu, nikdy preventivně).

Jak funguje šifrování u ProtonMailu

Komunikace uvnitř ProtonMailu (End-to-End šifrování)

Když pošleš email jinému uživateli ProtonMailu, zpráva se zašifruje v tvém prohlížeči pomocí veřejného klíče příjemce ještě předtím, než opustí tvůj počítač. Na servery Protonu se uloží už jen nečitelný šifrovaný „blob". Až když si příjemce otevře email, jeho heslo odemkne jeho privátní klíč, který zprávu dešifruje.

Výsledek: Proton jako poskytovatel nemá k obsahu zprávy vůbec žádný přístup. Ani při soudním příkazu data nevydá, protože je neumí přečíst.

Příchozí zprávy zvenčí (Zero-access šifrování)

Běžné emaily (např. z Gmailu) přicházejí po internetu nešifrovaně. Jakmile dorazí na servery Protonu, Proton je okamžitě automaticky zašifruje pomocí tvého veřejného klíče a v této podobě je uloží.

Výsledek: Tvá schránka funguje jako trezor. I kdyby se hacker dostal na servery Protonu a ukradl tvou databázi emailů, bez tvého hesla (a tím i tvého privátního klíče) uvidí jen nesrozumitelný kód. Nikdo kromě tebe tyto zprávy nepřečte.

Odchozí zprávy ven (Password-protected Encryption)

Standardní emailové protokoly (SMTP) nepodporují end-to-end šifrování. Pokud pošleš email z ProtonMailu na Gmail, Proton musí zprávu odeslat jako běžný nešifrovaný text.

ProtonMail to ale řeší funkcí Encrypt to Outside. Pokud při psaní emailu na Gmail nastavíš šifrovací heslo, Proton zprávu zašifruje a příjemci nepošle samotný text, ale odkaz na webovou stránku Protonu. Příjemce klikne na odkaz, zadá heslo (které mu musíš předat jiným bezpečným kanálem, např. SMS) a zpráva se dešifruje přímo v jeho prohlížeči. Navíc můžeš nastavit expiraci (např. zpráva se po 5 dnech smaže).

Výsledek: Můžeš bezpečně poslat citlivá data i lidem, kteří ProtonMail nepoužívají, a zajistit, že je nikdo cestou neotevře.

Návod na poslání šifrovaného e-mailu: proton.me/support/send-messages

Založení účtu a bezpečnost (Praktický návod)

ProtonMail nabízí několik plánů, které se liší různými parametry, porovnání v tabulce viz. níže. U placených plánů je možné zvolit platbu v BTC, takže se vyhneš nutnosti zadávat osobní platební údaje.

Výběr plánu

Tab. 3: Platební plány

Recovery phrase

Je to jedinečný kryptografický klíč, který se vygeneruje při založení účtu (nebo ho můžeš vygenerovat později v nastavení). Slouží k odemknutí tvého privátního klíče, který šifruje všechny tvé emaily.

Kdy ho potřebuješ:

• Zapomeneš heslo a nemůžeš se přihlásit
• Ztratíš přístup ke svému 2FA zařízení (mobilu s autentifikátorem)
• Tvůj účet byl napaden a potřebuješ ho obnovit

Protože Proton nezná tvé heslo (zero-knowledge), nemůže ti ho obnovit. Recovery phrase je jediný způsob, jak odemknout tvá zašifrovaná data. Bez ní jsou data ztracena natrvalo. Ulož si ho do password manageru nebo vytiskni na papír.

Sentinel

Proton Sentinel je pokročilý systém ochrany účtu, který Proton spustil v roce 2023. Je to v podstatě inteligentní ochranka tvého účtu, která využívá umělou inteligenci a analýzu chování k odhalování útoků v reálném čase. Sleduje IP adresy, zařízení a geografickou polohu, a pokud detekuje podezřelou aktivitu, automaticky přihlášení zablokuje nebo vyžádá dodatečné ověření.

Běžné emailové služby (Gmail, Seznam) mají nějakou ochranu, ale ta je často jen na úrovni „opsaných přihlášení" a rate limitingu. Sentinel jde dál - učí se z patterns a dokáže rozpoznat i sofistikované útoky, které by běžný systém propustil.

Kdo ho má:

• Placené účty: Sentinel je plně aktivní pro všechny placené uživatele (Mail Plus, Unlimited, Business).
• Bezplatné účty: Mají základní verzi ochrany, ale ne tak pokročilou.

2FA

Samotné heslo dnes už není dostatečná ochrana. Dvoufaktorové ověření (2FA) je nutnost. ProtonMail nabízí dvě cesty, jak ho nastavit.

TOTP (Aplikace v mobilu)

Jde o klasické jednorázové kódy, které se každých 30 sekund mění v aplikaci v tvém mobilu.

Jak to funguje: Naskenuješ QR kód, aplikace (doporučuji open-source Aegis) generuje kódy.
Zranitelnost: Tato metoda je zranitelná útokem zvaným phishing. Pokud tě hacker naláká na dokonalou kopii přihlašovací stránky ProtonMailu a ty tam zadáš svůj 6místný kód, hacker ho okamžitě použije na skutečném Protonu a dostane se dovnitř.

FIDO2 / Hardwarový klíč (YubiKey, Nitrokey)

FIDO2 je moderní standard, který využívá fyzický hardwarový klíč (např. YubiKey). Je to zlatý standard bezpečnosti.

Jak to funguje: Klíč musíš fyzicky vložit do USB portu (nebo přiložit k NFC) a stisknout na něm tlačítko. Klíč kryptograficky ověří, že jsi na skutečném webu ProtonMailu a ne na falešné stránce.
Proč je to nejlepší: Hardwarový klíč je 100% imunní vůči phishingu. I kdybys byl na dokonale falešné stránce, klíč to pozná a kód neodešle. Hacker se prostě nedostane dál, protože nemá tvůj fyzický kus plastu v ruce.

Jak to nastavit v ProtonMailu:

1. V ProtonMailu klikni na Settings (Nastavení) → Account and password.
2. Sjeď dolů na sekci Two-factor authentication.
3. Zde si můžeš vybrat, zda chceš použít TOTP aplikaci, nebo hardwarový bezpečnostní klíč (Security key).
4. Důležité: Proton ti umožňuje zaregistrovat více klíčů najednou. Pokud používáš YubiKey, určitě si zaregistruj i náhradní klíč, který si uschováš v trezoru pro případ, že bys ten hlavní ztratil.

Moje doporučení: Pokud používáš ProtonMail jako své hlavní centrum digitální identity (kam ti chodí hesla z banky a ostatních účtů), investuj do YubiKey. Stojí pár eur a posouvá ochranu tvého emailu na úroveň, kterou běžný uživatel nemá šanci prolomit.

Migrace z Gmailu: Proč se díky Easy Switch už nemusíš bát přechodu

Největší překážkou pro přechod na soukromý email není cena ani naučení se nového rozhraní. Je to strach ze ztráty dat. Když máš na Gmailu 10 let historii, tisíce kontaktů a napojený kalendář, představa, že to musíš ručně přeposílat nebo exportovat, odradí většinu lidí.

Proton proto přišel s nástrojem Easy Switch. Nemusím tu popisovat každé tlačítko, protože Proton má perfektní návod přímo ve své aplikaci, ale z praktického hlediska funguje takto:

• Bezpečné propojení (OAuth): Nástroj tě přihlásí do tvého Google účtu přes zabezpečené OAuth. Proton tím získá pouze dočasné oprávnění ke stažení tvých dat, nevidí tvé heslo.
• Co se přenese: Můžeš si vybrat, co přesně se má zkopírovat. Ať už jde o emaily, kontakty nebo události z Google Kalendáře. Data se stáhnou a na tvém Proton účtu se rovnou zašifrují.
• Zachování struktury: Easy Switch se postará o to, aby tvé složky a štítky z Gmailu zůstaly zachovány, takže se v novém účtu neztratíš.

Moje rada pro hladký přechod (Praktický tip)

I když Easy Switch funguje skvěle, migraci nedoporučuji dělat ve spěchu přes pracovní půlden. Zde je můj postup, jak na to bez stresu:

• Fáze 1: Zrcadlení (Import). Spusť Easy Switch a nech si importovat historii. Pokud máš obrovskou schránku, může import trvat i několik hodin. Proton tě informuje emailem, jakmile bude hotovo.
• Fáze 2: Přechodné období (Forwarding). Hned po importu si v Gmailu nastav automatické přeposílání (Forwarding) všech nových zpráv na tvůj ProtonMail. Během následujících 1-2 měsíců tak budeš mít jistotu, že ti nic neuteče, a budeš mít čas postupně měnit kontaktní email u bank, na sociálních sítích a v e-shopech.
• Fáze 3: Odpojení. Jakmile zjistíš, že už na Gmail vůbec nechodíš a všechno běží přes Proton, můžeš Google účet klidně smazat (nebo nechat jen jako zálohu pro Google služby, pokud je nutně potřebuješ).

Easy Switch samozřejmě funguje i pro migraci z Yahoo Mail, Outlooku a dalších IMAP poskytovatelů, nejen z Gmailu.

Easy Switch ti vezme tu největší bolest z krku. Místo abys přenášel data ručně, Proton udělá těžkou práci za tebe a ty se můžeš soustředit jen na to, abys postupně přepnul své důležité účty na novou, šifrovanou adresu.

Odkaz na návod na Easy Switch: proton.me/support/easy-switch

Pokročilé funkce a soukromí

Tor

Základní předpoklad: Nemusíš věřit nikomu. Ani Tor projektu, ani Protonu. Ani kdyby Proton tajně logoval IP adresy (což tvrdí, že nedělá), tak by získal jen IP adresu výstupního Tor uzlu, která je k ničemu. Této vlastnosti se říká Zero-Knowledge (nulová znalost).

Když ale používáš .onion adresu, spojení nikdy neopustí Tor síť. Z tvého prohlížeče se šifrovaně dostane do Toru, projde uzly a rovnou se připojí k serverům Protonu, které jsou fyzicky součástí Tor sítě. Neexistuje žádný „výstupní uzel" (Exit node), který by mohl provoz odposlouchávat. Je to absolutně neprůstřelné.

Pokud chceš přistupovat na ProtonMail přes Tor, tak si nainstaluj Tor Browser a před přihlášením klikni na fialovou ikonu .onion available (viz. obrázek níže) vedle adresního řádku. Prohlížeč tě připojí k tvé schránce přes Tor.

Obr. 1: Připojení do ProtonMailu přes Tor

Open-source

Když je aplikace open-source a její kód je veřejně na GitHubu, znamená to, že nemusíš Protonu věřit jen na slovo. Nezávislí bezpečnostní experti a komunita mohou kód kdykoliv prostudovat a ověřit, že:

• Neobsahuje skrytá „zadní vrátka" (backdoory), přes které by Proton nebo vláda mohli tajně přistupovat k tvým datům.
• Šifrování je implementováno správně a skutečně dělá to, co se tvrdí.

Uzavřený kód (jako u Gmailu nebo Outlooku) je „černá skříňka" - musíš věřit korporaci, že tě nešpehuje. Open-source nahrazuje slepou důvěru ověřitelnou transparentností.

Proton Bridge

Pokud máš placený účet, můžeš využít Proton Bridge - aplikaci, která ti umožní připojit ProtonMail k desktopovým emailovým klientům jako Thunderbird, Apple Mail nebo Outlook. Bridge lokálně dešifruje zprávy a předává je klientovi, takže tvá data zůstávají šifrovaná i při použití klasického emailového programu.

Odkaz na aplikace od Protonu: protonapps.com

Platba kryptem

Platba kryptem: Anonymní upgrade na placený účet

Pokud chceš využívat výhody placeného tarifu (vlastní doména, více úložiště, Proton VPN), běžně bys platil kartou. Problém? Platební brány vyžadují tvé jméno a adresu, čímž by Proton získal tvou identitu a propojil ji s tvým účtem.

Proton to řeší vlastním zpracováním kryptoměn. Můžeš zaplatit Bitcoinem přímo Protonu, a to zcela bez KYC (bez ověřování totožnosti).

• Jak to funguje: Proton ti vygeneruje Bitcoin adresu. Pošleš tam potřebnou částku a Proton ti aktivuje placený tarif.
• Proč je to důležité: Tím, že nepoužíváš třetí strany (jako Coinbase), neprochází tvoje platba žádným regulovaným subjektem, který by vyžadoval doklady. Proton tak neví, kdo reálně za účet platil, a tvoje identita zůstává oddělená od tvé finanční historie. Je to důležitý krok pro zachování skutečného soukromí.

Ekosystém: Proton VPN, Drive a Calendar

Proton už dávno není jen email. Je to celý soukromý ekosystém, který ti umožňuje úplně opustit Google, aniž bys ztratil pohodlí, je to kompletní a šifrovaná náhrada Googlu:

• Proton VPN: Skrývá tvou IP adresu při surfování (je součástí Unlimited tarifu).
• Proton Drive: Šifrované cloudové úložiště (alternativa k Google Drive), kde tvé soubory nevidí ani samotný Proton.
• Proton Calendar: Šifrovaný kalendář, kde nikdo neví, jaké máš schůzky a kde se chystáš být.
• Proton Pass: Šifrovaný password manager s email aliasem.
• Proton Authenticator: 2FA aplikace.

Obnova účtu při ztrátě hesla (Recovery)

Protože Proton nezná tvé heslo (zero-knowledge architektura), nemůže ti ho jednoduše „resetovat a poslat na záložní email" jako Gmail. Tvé heslo totiž šifruje privátní klíč, který odemyká všechny tvé emaily.

Scénář A: Zapomeneš heslo, ale máš Recovery phrase

1. Klikneš na „Forgot password" na přihlašovací stránce.
2. Proton tě vyzve k zadání Recovery phrase.
3. Recovery phrase odemkne tvůj privátní klíč, Proton tě nechá nastavit nové heslo.
4. Všechny tvé emaily a data zůstanou zachovány. Nic neztratíš.

Scénář B: Zapomeneš heslo i Recovery phrase

1. Tvá data jsou nenávratně ztracena. Proton ti nepomůže, protože data neumí dešifrovat.
2. Jediné, co Proton může udělat, je resetovat tvůj účet - smazat všechny tvé emaily a nastavit ti nové šifrovací klíče. Účet bude fungovat, ale bude prázdný.

Proto je kritické:

• Recovery phrase si ihned po registraci ulož na bezpečné místo (password manager, papír v trezoru).
• Nikdy ho neukládej do emailu nebo Google Drive.
• Pokud si heslo nechceš pamatovat, heslo si ulož taky do password manageru. Recovery phrase je záchrana pro extrémní situace, ne pro každodenní použití.

Záložní email (nebo telefon) slouží k ověření totožnosti, ne k obnově dat.

Jak to funguje:

• Ověření identity: Proton pošle na tvůj záložní email (nebo telefon) ověřovací kód. Tím prokážeš, že jsi skutečně majitel účtu.
• Reset účtu: Po ověření tě Proton nechá nastavit nové heslo. Ale protože staré šifrovací klíče jsou nenávratně zamčené za zapomenutým heslem, Proton vytvoří klíče nové.
• Výsledek: Účet funguje, adresa je zachována, ale všechny staré emaily jsou pryč. Nové zprávy už budou normálně chodit.

Odkaz na návod na vytvoření recovery phrase: proton.me/support/recovery-phrase

Závěr

ProtonMail není jen email, je to return to privacy.

Opustit Gmail znamená udělat první a nejdůležitější krok k tomu, abys přestal být produktem, jehož data se prodávají inzerentům. S end-to-end šifrováním, open-source aplikacemi a švýcarskou jurisdikcí získáváš zpět kontrolu nad svou digitální identitou. Tvůj email se stává tím, čím má být - tvým soukromým majetkem.

Ale soukromí na internetu není jen o emailu. Je to o celém tvém digitálním životě.

Pokud tě zajímá, jak utratit krypto bez toho, aby o tom věděla banka, jak oddělit tvou identitu od tvých peněz, přečti si moji recenzi ether.fi Cash Card. A pokud chceš vědět jak na bezpečný cloud, podívej se na můj článek Šifrované úložiště.