Segurança e privacidade

Como o waited protege suas fotos

Atualizado em

No waited, uma foto é criptografada no celular de quem envia antes de sair: nossos servidores guardam só uma versão ilegível, sem a chave para abri-la. Por padrão, ela só abre uma vez, as capturas de tela são bloqueadas, ela não é salva na galeria e é apagada depois de 7 dias. Veja como funciona, o que vemos, o que não vemos e os limites de qualquer proteção.

Criptografia de ponta a ponta

No cadastro, seu celular cria um par de chaves. A chave privada fica no cofre do celular (o Keychain no iPhone, o Keystore no Android) e nunca sai de lá. Só a chave pública é enviada para os nossos servidores, para que seus amigos possam te enviar fotos.

No envio, sua foto é criptografada no seu celular com uma chave aleatória, de uso único (XSalsa20-Poly1305). Depois, essa chave é selada para cada destinatário com a chave pública dele (X25519), e também para você, para que você possa rever sua foto.

Nossos servidores só recebem a foto criptografada e essas chaves seladas, que eles não conseguem abrir. A foto só é descriptografada no app do seu amigo, na memória, na hora de ser exibida.

Uma espera garantida pelo servidor

Enquanto a espera não termina, nossos servidores se recusam a entregar a foto criptografada e a chave dela ao destinatário. Por isso, não dá para abri-la antes da hora, nem com um app modificado: só os desafios que você aprova e os créditos do seu amigo adiantam o desbloqueio.

As proteções de cada foto

  • Visualização única (padrão): a foto abre uma única vez. Assim que ela é aberta, a chave que permite vê-la é apagada dos nossos servidores.
  • Capturas bloqueadas (padrão): prints e gravações de tela são bloqueados durante a visualização, tanto no iPhone quanto no Android, e a foto fica escondida no alternador de apps. Se mesmo assim o celular detectar uma captura, você recebe uma notificação.
  • Sem salvar na galeria (padrão): a foto não sai do app, a não ser que você permita que seu amigo a salve na galeria dele.
  • Sem prévia (padrão): nada fica visível antes do desbloqueio. Se você permitir, seu amigo vê uma miniatura desfocada, criptografada com uma chave própria: ela nunca dá acesso à foto de verdade.
  • Escondida em segundo plano: a foto some da tela assim que o app vai para o segundo plano.

Você define essas proteções uma vez nas suas preferências de envio e pode ajustá-las para cada conversa. Quando uma foto parece sensível, o próprio app impõe as proteções máximas.

Exclusão automática

Cada foto é apagada automaticamente dos nossos servidores, para você e para o seu amigo: depois de 7 dias por padrão, ou de 24 horas ou 30 dias, como você preferir. Se a espera for mais longa, a foto fica até um dia depois do desbloqueio, para que seu amigo tenha tempo de vê-la. Os backups também são apagados em menos de uma hora.

Você também pode cancelar um envio em até 2 minutos e apagar uma foto a qualquer momento depois que ela for revelada. Quando você exclui sua conta, suas fotos, suas mensagens e seus créditos são apagados.

O que nossos servidores veem, e o que eles não veem

O que eles não veem

  • Suas fotos: só uma versão criptografada, sem a chave para abri-la.
  • A prévia desfocada delas, criptografada com uma chave própria.
  • Sua chave privada, que fica no seu celular.

O que eles veem

  • Seu nome de usuário e sua foto de perfil (públicos na sua página de perfil), seu mês e ano de nascimento.
  • Seus amigos, e quem envia uma foto para quem, e quando.
  • As configurações de cada foto: espera, proteções, desafios.
  • Suas mensagens de texto e seus créditos.

As mensagens de texto não têm criptografia de ponta a ponta: elas são criptografadas durante a transferência (HTTPS) e depois armazenadas nos nossos servidores para exibir suas conversas.

Como a lei francesa exige dos provedores de hospedagem, guardamos por um ano os dados que permitem identificar o autor de um conteúdo (conta, data, endereço IP), nunca o conteúdo em si. Não vendemos seus dados e não há nenhuma publicidade. Todos os detalhes na política de privacidade.

Quando uma foto é denunciada

Se o seu amigo denunciar uma das suas fotos, o app dele a envia descriptografada para a nossa equipe de moderação, junto com a denúncia: é o único caso em que podemos ver uma foto. Ela passa então a ser armazenada criptografada, com uma chave guardada fora dos nossos servidores de dados, e cada consulta feita por um moderador fica registrada.

A nudez é proibida. Uma análise feita no celular, sem enviar nada para nós, impede quem tem menos de 18 anos de enviar ou ver uma foto que pareça conter nudez. Para um adulto, o app pede confirmação e impõe as proteções máximas.

Os limites, com toda a transparência

  • Nenhum app consegue impedir que alguém fotografe a tela com outro aparelho. Não envie nada que você não gostaria de ver compartilhado.
  • Num celular hackeado, ou desbloqueado por outra pessoa, uma foto pode ser vista no momento em que aparece na tela.
  • Sua chave privada nunca sai do seu celular: se você trocar de aparelho, as fotos recebidas antes não vão abrir no novo.
  • Um link de convite (uma foto enviada para alguém que não tem o app) contém o segredo que abre a foto: a primeira pessoa que abrir o link no app fica com a foto. Envie o link só para a pessoa certa.
  • Como na maioria dos apps de mensagens criptografadas, são os nossos servidores que repassam as chaves públicas. O waited não oferece verificação de chaves entre amigos, como os números de segurança do Signal.

Um espaço entre amigos

  • Você só recebe fotos dos seus amigos: vocês precisam seguir um ao outro.
  • Denunciar ou bloquear alguém leva dois toques, a partir de uma foto ou de uma conversa. Uma foto que envolve um menor é analisada com prioridade, em até 24 horas.
  • O waited é para quem tem 16 anos ou mais.
  • Você exclui sua conta quando quiser, direto no app.

Pressão, chantagem, foto íntima divulgada: a tela “Ajuda e segurança” do app, nas configurações, mostra quem pode te ajudar.

Perguntas frequentes

O waited consegue ver minhas fotos?

Não. Suas fotos são criptografadas no seu celular e nossos servidores guardam só uma versão ilegível, sem a chave para abri-la. Única exceção: se o seu amigo denunciar uma das suas fotos, o app dele nos envia a foto para moderação.

Minhas fotos são apagadas de verdade?

Sim: dos nossos servidores, para você e para o seu amigo, depois de 7 dias por padrão (24 horas ou 30 dias, como você preferir), e antes disso, se você as apagar. Os backups também são apagados em menos de uma hora. Só uma foto denunciada pode ser guardada por mais tempo, para a moderação ou uma investigação.

O que acontece se meu amigo tentar tirar um print?

Por padrão, as capturas são bloqueadas durante a visualização. Se mesmo assim o celular detectar uma captura, você recebe uma notificação. Mas nada impede que alguém fotografe a tela com outro aparelho.

Minhas mensagens têm criptografia de ponta a ponta?

As fotos, sim. As mensagens de texto são criptografadas durante a transferência e armazenadas nos nossos servidores, mas não de ponta a ponta.

Que tal experimentar?

O waited é grátis, no iPhone e no Android.

Ainda não está nas lojas: deixe seu e-mail e avisamos você no dia do lançamento.

Um único e-mail, no dia do lançamento. Nada mais. Privacidade