Detalhes técnicos e limitações

Voltar ao resumo de privacidade

Chat privado no navegador. Sem instalar aplicativo, sem vincular telefone ou e-mail. Sem salvar automaticamente suas conversas no aparelho.

Versão 0.6.1: laboratório para dados fictícios, com criptografia experimental ainda sem auditoria. Não é garantia de anonimato ou ausência de vestígios.

O que fica no aparelho?

O aplicativo não cria um histórico persistente de conversas em localStorage, IndexedDB ou modo offline. Para mostrar mensagens e arquivos, ele precisa decifrá-los na memória. Navegador e sistema operacional podem conservar resíduos em memória, disco, swap, hibernação ou registros de falha. Não garantimos que uma análise forense não encontre conteúdo.

Visualizar um anexo transfere bytes ao aparelho, mesmo sem salvar na pasta Downloads. Downloads, capturas, gravações, fotografias e cópias do destinatário ficam fora do controle da plataforma.

Ao trocar de aplicativo

A tela é ocultada imediatamente e as mensagens exibidas são removidas da interface. Por até 30 segundos, as chaves desbloqueadas, o rascunho e o arquivo selecionado podem permanecer em memória, para permitir selecionar arquivos ou consultar outro aplicativo. Ao voltar, a sessão é validada no servidor antes de mostrar o chat.

Após 30 segundos fora da tela ou 2 minutos sem interação, o cliente bloqueia, descarta rascunhos e remove referências às chaves. “Sair e bloquear” faz isso imediatamente. Sair da página também bloqueia. A execução depende dos eventos e recursos do navegador: processos suspensos ou encerrados abruptamente podem impedir a limpeza no momento esperado. Remover referências não sobrescreve a memória física.

O que fica no servidor?

Mensagens e anexos cifrados são retidos pelo prazo escolhido. Contas, chaves públicas, cofre cifrado, participantes, nomes de grupos, horários e registros de acesso (IP, usuário e data) são metadados. No laboratório, registros de acesso têm retenção programada de seis meses. O serviço não oculta seu IP.

Um novo login com credenciais válidas permite acessar o histórico ainda retido. A plataforma não exige telefone ou e-mail para cadastro; isso não significa ausência de dados identificáveis.

Quando as mensagens expiram?

Envios gratuitos novos expiram 24 horas após o envio, mesmo sem leitura. O remetente Premium escolhe 1h, 24h, 7 dias, 30 dias ou “manter”. O prazo é individual por mensagem, não por sala. Comprar Premium depois não prolonga mensagens gratuitas anteriores.

“Manter” depende do benefício do remetente, com exclusão prevista 90 dias após seu Premium terminar. Renovar antes da exclusão pode estender essa modalidade. Mensagens removidas não são restauradas pela renovação. Contatos e salas continuam disponíveis quando mensagens expiram.

Exclusão lógica e remoção da tela não provam destruição de todos os bytes: cópias, backups, WAL do SQLite e mecanismos do sistema exigem revisão própria.

Conta e convites

Use um pseudônimo e uma senha forte, guardados de forma segura. Não há recuperação de usuário ou senha. Uma nova sessão invalida a anterior; a outra tela pode levar algum tempo para perceber a revogação.

Convites internos exigem o @ exato e aceite; convites por link são de uso único. Não revelamos se um @ desconhecido existe, recusou ou bloqueou o convite. Compartilhar links por outros serviços pode registrar o contato nesses canais.

Contato com @ oculto

Em conversas reservadas individuais, o remetente usa um identificador e chaves específicos daquela conversa. O cliente oficial não apresenta seu @ nem suas chaves públicas globais ao destinatário por esse fluxo. A plataforma continua conhecendo a conta e seus registros de acesso.

Não é anonimato garantido: conteúdo, horários, arquivos, relações anteriores e o comportamento de bloqueios podem permitir inferências. O servidor fornece JavaScript e chaves, portanto um servidor malicioso permanece fora das garantias deste laboratório. O recurso não foi auditado.

Recebimento reservado é desativado por padrão. É necessário aceitar o convite; não há mensagem nem anexo antes do aceite. Gratuitamente, é possível recusar ou bloquear a conta de origem. Outra conta criada pela mesma pessoa não é reconhecida de forma infalível.

Limites do piloto: até 3 tentativas reservadas por 24h no gratuito e 20 no Premium; uma por par remetente/destinatário por 24h; até 30 solicitações reservadas recebidas por 24h. Respostas genéricas não confirmam entrega, existência de conta, recusa ou bloqueio. Limites e controles não eliminam spam ou ataques com várias contas.

Apelidos pessoais são cifrados no navegador e armazenados no servidor para leitura somente pelo dono através de suas chaves. Editar exige Premium; o apelido existente continua legível ao perder o benefício. Não revela nem altera a identidade para o outro participante.

As chaves privadas da conversa são guardadas em cofre cifrado para o próprio dono. Apagar a sala elimina registros associados no serviço, sem alegação de destruição forense. O esquema continua sem forward secrecy.