Como o waited protege suas fotos
Atualizado em
No waited, uma foto é criptografada no celular de quem envia antes de sair: nossos servidores guardam só uma versão ilegível, sem a chave para abri-la. Por padrão, ela só abre uma vez, as capturas de tela são bloqueadas, ela não é salva na galeria e é apagada depois de 7 dias. Veja como funciona, o que vemos, o que não vemos e os limites de qualquer proteção.
Criptografia de ponta a ponta
No cadastro, seu celular cria um par de chaves. A chave privada fica no cofre do celular (o Keychain no iPhone, o Keystore no Android) e nunca sai de lá. Só a chave pública é enviada para os nossos servidores, para que seus amigos possam te enviar fotos.
No envio, sua foto é criptografada no seu celular com uma chave aleatória, de uso único (XSalsa20-Poly1305). Depois, essa chave é selada para cada destinatário com a chave pública dele (X25519), e também para você, para que você possa rever sua foto.
Nossos servidores só recebem a foto criptografada e essas chaves seladas, que eles não conseguem abrir. A foto só é descriptografada no app do seu amigo, na memória, na hora de ser exibida.
Uma espera garantida pelo servidor
Enquanto a espera não termina, nossos servidores se recusam a entregar a foto criptografada e a chave dela ao destinatário. Por isso, não dá para abri-la antes da hora, nem com um app modificado: só os desafios que você aprova e os créditos do seu amigo adiantam o desbloqueio.
As proteções de cada foto
- Visualização única (padrão): a foto abre uma única vez. Assim que ela é aberta, a chave que permite vê-la é apagada dos nossos servidores.
- Capturas bloqueadas (padrão): prints e gravações de tela são bloqueados durante a visualização, tanto no iPhone quanto no Android, e a foto fica escondida no alternador de apps. Se mesmo assim o celular detectar uma captura, você recebe uma notificação.
- Sem salvar na galeria (padrão): a foto não sai do app, a não ser que você permita que seu amigo a salve na galeria dele.
- Sem prévia (padrão): nada fica visível antes do desbloqueio. Se você permitir, seu amigo vê uma miniatura desfocada, criptografada com uma chave própria: ela nunca dá acesso à foto de verdade.
- Escondida em segundo plano: a foto some da tela assim que o app vai para o segundo plano.
Você define essas proteções uma vez nas suas preferências de envio e pode ajustá-las para cada conversa. Quando uma foto parece sensível, o próprio app impõe as proteções máximas.
Exclusão automática
Cada foto é apagada automaticamente dos nossos servidores, para você e para o seu amigo: depois de 7 dias por padrão, ou de 24 horas ou 30 dias, como você preferir. Se a espera for mais longa, a foto fica até um dia depois do desbloqueio, para que seu amigo tenha tempo de vê-la. Os backups também são apagados em menos de uma hora.
Você também pode cancelar um envio em até 2 minutos e apagar uma foto a qualquer momento depois que ela for revelada. Quando você exclui sua conta, suas fotos, suas mensagens e seus créditos são apagados.
O que nossos servidores veem, e o que eles não veem
O que eles não veem
- Suas fotos: só uma versão criptografada, sem a chave para abri-la.
- A prévia desfocada delas, criptografada com uma chave própria.
- Sua chave privada, que fica no seu celular.
O que eles veem
- Seu nome de usuário e sua foto de perfil (públicos na sua página de perfil), seu mês e ano de nascimento.
- Seus amigos, e quem envia uma foto para quem, e quando.
- As configurações de cada foto: espera, proteções, desafios.
- Suas mensagens de texto e seus créditos.
As mensagens de texto não têm criptografia de ponta a ponta: elas são criptografadas durante a transferência (HTTPS) e depois armazenadas nos nossos servidores para exibir suas conversas.
Como a lei francesa exige dos provedores de hospedagem, guardamos por um ano os dados que permitem identificar o autor de um conteúdo (conta, data, endereço IP), nunca o conteúdo em si. Não vendemos seus dados e não há nenhuma publicidade. Todos os detalhes na política de privacidade.
Quando uma foto é denunciada
Se o seu amigo denunciar uma das suas fotos, o app dele a envia descriptografada para a nossa equipe de moderação, junto com a denúncia: é o único caso em que podemos ver uma foto. Ela passa então a ser armazenada criptografada, com uma chave guardada fora dos nossos servidores de dados, e cada consulta feita por um moderador fica registrada.
A nudez é proibida. Uma análise feita no celular, sem enviar nada para nós, impede quem tem menos de 18 anos de enviar ou ver uma foto que pareça conter nudez. Para um adulto, o app pede confirmação e impõe as proteções máximas.
Os limites, com toda a transparência
- Nenhum app consegue impedir que alguém fotografe a tela com outro aparelho. Não envie nada que você não gostaria de ver compartilhado.
- Num celular hackeado, ou desbloqueado por outra pessoa, uma foto pode ser vista no momento em que aparece na tela.
- Sua chave privada nunca sai do seu celular: se você trocar de aparelho, as fotos recebidas antes não vão abrir no novo.
- Um link de convite (uma foto enviada para alguém que não tem o app) contém o segredo que abre a foto: a primeira pessoa que abrir o link no app fica com a foto. Envie o link só para a pessoa certa.
- Como na maioria dos apps de mensagens criptografadas, são os nossos servidores que repassam as chaves públicas. O waited não oferece verificação de chaves entre amigos, como os números de segurança do Signal.
Um espaço entre amigos
- Você só recebe fotos dos seus amigos: vocês precisam seguir um ao outro.
- Denunciar ou bloquear alguém leva dois toques, a partir de uma foto ou de uma conversa. Uma foto que envolve um menor é analisada com prioridade, em até 24 horas.
- O waited é para quem tem 16 anos ou mais.
- Você exclui sua conta quando quiser, direto no app.
Pressão, chantagem, foto íntima divulgada: a tela “Ajuda e segurança” do app, nas configurações, mostra quem pode te ajudar.
Perguntas frequentes
O waited consegue ver minhas fotos?
Não. Suas fotos são criptografadas no seu celular e nossos servidores guardam só uma versão ilegível, sem a chave para abri-la. Única exceção: se o seu amigo denunciar uma das suas fotos, o app dele nos envia a foto para moderação.
Minhas fotos são apagadas de verdade?
Sim: dos nossos servidores, para você e para o seu amigo, depois de 7 dias por padrão (24 horas ou 30 dias, como você preferir), e antes disso, se você as apagar. Os backups também são apagados em menos de uma hora. Só uma foto denunciada pode ser guardada por mais tempo, para a moderação ou uma investigação.
O que acontece se meu amigo tentar tirar um print?
Por padrão, as capturas são bloqueadas durante a visualização. Se mesmo assim o celular detectar uma captura, você recebe uma notificação. Mas nada impede que alguém fotografe a tela com outro aparelho.
Minhas mensagens têm criptografia de ponta a ponta?
As fotos, sim. As mensagens de texto são criptografadas durante a transferência e armazenadas nos nossos servidores, mas não de ponta a ponta.
Que tal experimentar?
O waited é grátis, no iPhone e no Android.