Lo que construimos en su lugar

Las cinco formas en que viaja un mensaje

CHANNEL toma el camino más directo que funciona en este momento, y los prueba en este orden. Cada camino tiene una letra, y la letra en un mensaje te dice cuál lo transportó.

• B
  BluetoothAmbos teléfonos cerca.
• W
  Wi-Fi directoAmbos teléfonos cerca. No interviene ningún tipo de red.
• L
  Red localAmbos teléfonos en el mismo Wi-Fi. El mensaje se queda en esa red.
• 6
  Directo por internetAmbos teléfonos tienen una dirección de internet IPv6, así que CHANNEL los conecta directamente, sin ningún servidor en medio. Las redes intermedias pueden ver que las dos direcciones se están comunicando. Desactivar el buzón para un perfil también desactiva esta ruta.
• I
  Buzón de internetNuestro servidor guarda el mensaje sellado hasta que el otro teléfono lo recoge. Puedes desactivar esta opción para un perfil.

Las tres primeras nunca salen de la habitación, y 6 nunca toca nuestro servidor. El buzón es un respaldo, no una copia: si otra ruta puede alcanzar al otro teléfono, el mensaje va por ahí y el servidor nunca lo ve. Si una radio puede verlos pero el mensaje no está pasando, cada contacto tiene su propio tiempo de espera antes de que CHANNEL use el buzón en su lugar, desde de inmediato hasta nunca; un contacto nuevo empieza en de inmediato. El correo es una sexta ruta: apagada hasta que la activas para un contacto, se prueba después de todas las demás y solo para texto. Los servicios de correo por el camino pueden ver quién escribió a quién.

Junto a cada contacto, pequeñas luces muestran qué caminos están abiertos en este momento. Un contacto muestra Esperando cuando todavía nada puede llevarle un mensaje. CHANNEL nunca te dice que alguien no está en CHANNEL, porque no lo sabe, y tampoco debería saberlo nadie que esté observando.

Al alcance: sin servidor, sin internet, sin factura

Cuando tú y un contacto están al alcance de Bluetooth o Wi-Fi, tu mensaje va directamente de tu dispositivo al suyo. Ningún servidor lo ve, ninguna red lo transporta, y no hay nada que interceptar en tránsito porque no hay tránsito por ningún otro lado. Puede funcionar sin señal y sin plan de datos en absoluto — un sótano, un vuelo, un barco, un país donde se vigila la red — cuando los teléfonos están cerca y un enlace directo se mantiene. En nuestras propias pruebas, Bluetooth entre un iPhone y un teléfono Android entregó 20 de 20 mensajes en cada dirección, aunque los resultados varían según el modelo de teléfono. Cuando un enlace directo no se mantiene y no hay internet, el mensaje espera hasta que se abre una vía. Si tu teléfono está en tu bolsillo cuando llega un mensaje de esta forma, la app se activa con la conexión y crea la notificación por sí misma.

También funciona donde la red está congestionada en lugar de ausente, que es el caso que la mayoría de la gente realmente encuentra. Una torre celular está construida para las personas que viven, trabajan y circulan por su zona. No está construida para toda una ciudad de gente extra de pie en un cuarto de milla cuadrada durante cinco horas, la mayoría enviando fotos y video de la misma jugada. Tu teléfono muestra cuatro barras y no enviará un texto — porque la intensidad de la señal y la capacidad son cosas distintas, y las barras solo te mostraron la primera. CHANNEL no hace fila detrás de esa multitud, porque nunca le pide nada a la torre.

Aun así, sé realista sobre la distancia. Esto es un enlace de radio entre dos teléfonos: tu grupo a unas filas de distancia, el vestíbulo, el estacionamiento antes del partido, la habitación de al lado, el mismo vagón, un barco, un sótano. No llegará del palco a las gradas baratas, y no extiende tu alcance más allá del contacto directo por radio. Una multitud es el peor caso para una antena pequeña — los cuerpos absorben estas frecuencias, que es precisamente por qué la torre también tiene dificultades.

Fuera de alcance: un servidor que no sabe nada

La mayoría de las conversaciones no ocurren de pie uno junto al otro. Cuando la radio directa no está disponible, tu mensaje se puede poner en cola y, si tú lo permites, nuestro servidor lo transporta por internet en su lugar.

Ese servidor no es un servicio de mensajería. No puede leer tus mensajes — permanecen cifrados de extremo a extremo todo el camino, y nunca tiene las claves. No guarda cuentas, y un número de teléfono o una dirección de correo que demuestres se guarda como un hash con clave, nunca como el número o la dirección en sí. Identifica tu buzón solo mediante un token que cambia cada diez minutos, y nuestro código no guarda las direcciones IP que se conectan a él; Netlify, la empresa que lo aloja, guarda sus propios registros de acceso, que las incluyen. Un mensaje se elimina en el momento en que se confirma su recepción, y todo lo que nadie recopila caduca por sí solo: treinta días, salvo que elijas una semana o un día.

Nada nuevo que aprender

CHANNEL se ve y funciona como el mensajero que ya usas — la misma lista de conversaciones, la misma pantalla de conversación, los mismos gestos. La privacidad está en la tubería, no en los controles, y es deliberadamente idéntica en cada plataforma para que moverte entre tu teléfono y tu Mac no te enseñe nada nuevo.

Qué hay en la app

Todo lo de abajo está en las dos apps. La página Estado enumera cada función.

Perfiles

Un perfil es una identidad separada: sus propias claves, sus propios contactos, sus propias conversaciones. Dos perfiles en un mismo teléfono no comparten nada, y nadie con quien hables puede saber que dos de ellos están en el mismo teléfono. Un perfil nuevo puede empezar como copia de uno existente, pero solo se copian los ajustes. Las claves, los contactos, los mensajes y la verificación nunca se copian, porque un perfil que los compartiera no sería una identidad separada.

Agregar a alguien, en persona o por invitación

Uno de ustedes muestra un código de emparejamiento y el otro lo escribe, o le envías uno por algo que ya usan. El código lleva una clave pública y nada secreto, así que es seguro mostrarlo en público. Cuando alguien se empareja leyendo tu código de tu pantalla, después cada teléfono lo dice: esa persona estaba ahí, y eso es lo que se comprueba. La página de cada contacto muestra además un Número de seguridad, ocho grupos de cinco dígitos iguales en los dos teléfonos, para que ambos puedan compararlo en persona o en una llamada. Comparar es opcional: nada lo pide, y una conversación funciona igual lo mires o no. También puedes simplemente escribirle a alguien a un número o dirección que haya demostrado que es suya: el mensaje se sella y queda en cola, se le deja una invitación, y en cuanto la acepta sale sin que tengas que tocar nada más.

Ser encontrado

Puedes dejar que la gente te contacte por un número de teléfono o una dirección de correo electrónico, pero primero tienes que comprobar que es tuyo. Se envía un código de seis dígitos por mensaje de texto, por una llamada que lee los dígitos en voz alta dos veces, o por correo electrónico. Comprobar un valor y publicarlo son dos interruptores separados, así que un número verificado puede seguir siendo privado, y un valor que no has comprobado está inerte. Nuestro servidor no guarda ninguna lista de personas verificadas ni ninguna lista de números: una invitación se dirige a una ranura derivada del propio número, y se acepta sin importar si alguien la recoge alguna vez, así que dejar una no le dice a nadie si el número pertenece a un usuario de CHANNEL. Un número que publicas es distinto: quien lo tenga puede preguntar si está publicado, y nuestro servidor guarda cada ranura bajo un hash con clave, así que una copia de sus registros sin esa clave no sirve para comprobar números, mientras que quien tenga ambas cosas puede comprobar todos los números posibles.

Mensajes

Mensajes temporales con un temporizador que ambos lados pueden ver, eliminados de los dos teléfonos una vez vistos y una vez que se cumple el tiempo. Ver una vez para una foto, protegida de las capturas de pantalla mientras está en pantalla. Fotos, desde el propio selector de tu teléfono o la cámara, con un ajuste que mantiene las fotos completamente fuera de internet. Las fotos y los vídeos se redibujan antes de salir, así que la copia no lleva ubicación, ni hora de captura, ni modelo de cámara. Confirmaciones de lectura, en ambos sentidos o en ninguno. Traducción hecha por el propio traductor del teléfono, así que el texto nunca sale del teléfono para traducirse. Una fila de portapapeles encima del compositor. Y botones de llamada que ceden el paso a las apps de llamadas que ya usas, en lugar de fingir que CHANNEL hace la llamada por sí mismo.

Escribir a alguien que no usa CHANNEL sale desde la app Mensajes de tu propio teléfono, desde tu propio número. Un mensaje de texto no está cifrado de extremo a extremo, y nunca pasa por nuestro servidor.

Ubicación

Envía una única ubicación, tomada en el momento en que tocas y nunca conservada, o compártela en vivo durante 15 minutos, una hora o 12 horas, actualizándose mientras la app está abierta y terminando por sí sola. Entre dos teléfonos con CHANNEL, el mensaje lleva coordenadas en lugar de un enlace, así que la persona que lo recibe elige cómo verlo. Una ubicación compartida llega como una sola tarjeta que se mueve en su lugar en vez de llenar la conversación con líneas nuevas. Al tocarla se abre un mapa dentro de CHANNEL con ambos teléfonos en él, la distancia y una flecha que apunta al otro teléfono, y desde ahí puedes pasar a cualquier app de mapas instalada en tu teléfono. Mientras una ubicación compartida está activa, un pin permanece en la parte superior de la conversación, y la persona que comparte recibe una cuenta regresiva que puede extender o detener. CHANNEL no lee tu ubicación en ningún otro momento.

El bloqueo y el código de coacción

El bloqueo de la app es un código propio, de al menos seis caracteres, que se pide antes que nada y funciona incluso en un teléfono sin ningún bloqueo. Ni la cara ni la huella abren CHANNEL. El código nunca se guarda: donde el chip de seguridad del teléfono puede comprobarlo, lo comprueba el chip, y si no solo se guarda un cálculo lento de un solo sentido, así que nadie puede restablecerlo, ni nosotros. Un segundo código, distinto, borra todo lo que CHANNEL tiene en el teléfono: primero la clave que sella los almacenes, luego las identidades, luego cada archivo. La app se abre entonces como recién instalada, y nada en pantalla dice que ocurrió. Las conversaciones y los contactos se guardan sellados en el disco bajo una clave que se queda en el teléfono; en Android, también las fotos, los vídeos y los archivos. En iPhone, esos tienen el cifrado de archivos del propio iOS, y además la clave de CHANNEL mientras el Modo seguro está activado.

IA

Dónde se ejecuta la IA depende del teléfono. En un iPhone o un Mac compatible con Apple Intelligence, o un teléfono Android compatible con Gemini Nano, se ejecuta en el propio dispositivo — sin cuenta, sin clave, sin costo, y nada sale de él. En cualquier otro caso, y como alternativa en un teléfono, agregas tu propia cuenta con OpenAI, Anthropic o xAI: la clave se queda en tu teléfono, nuestro servidor nunca la ve, y puedes agregar más de una. Los resúmenes, las respuestas sugeridas y las traducciones se envían solo cuando los pides: sin llamadas en segundo plano, sin resúmenes automáticos. Cada uno te muestra exactamente qué va a salir del teléfono, incluidas las palabras de la otra persona cuando eliges incluirlas, y el botón que presionas es el consentimiento. Las respuestas automáticas son la excepción: activadas en un perfil, responden ellas mismas a los mensajes individuales entrantes, y sus respuestas salen sin que las veas antes. Puede escribir o reelaborar un borrador, corregir ortografía y gramática, hacer un mensaje más corto, más amigable o más formal, sugerir respuestas, resumir una conversación, traducir un mensaje, o responder una pregunta sobre una foto. También puedes activar una cuenta como contacto, así ChatGPT, Claude o Grok aparece en tu lista de contactos y le escribes como a cualquier otra persona.

Copia de seguridad y restauración

Desactivado a menos que lo uses, y nunca en silencio. CHANNEL sella tus perfiles, identidades, contactos, conversaciones y ajustes en un solo archivo bajo una frase de acceso que tú eliges, y se lo entrega al propio selector de archivos de tu teléfono, así que tú decides adónde va. Nunca guardamos la frase de acceso y no podemos recuperarla, y nunca recibimos el archivo. Los mensajes temporales y los de ver una vez nunca se incluyen, y los archivos adjuntos se dejan fuera por tamaño. Restaurar reemplaza todo en el teléfono, y así es como te mudas a uno nuevo.

Transportar para otras personas

Configuración tiene un interruptor de Retransmitir a otros, desactivado a menos que lo actives. Con él activado, este teléfono se ofrece a transportar correo sellado para contactos a los que otro teléfono todavía no puede llegar, y a entregarlo más tarde; un teléfono que transporta no puede leer lo que lleva. No vamos a exagerar sobre esto. Transportar solo vale la pena cuando hay suficientes teléfonos con CHANNEL en un mismo lugar, y eso no se ha medido en hardware real a densidad real. Está en el producto y en el protocolo. No es una promesa.

Ayuda, dentro de la app

Páginas de ayuda en lenguaje sencillo vienen dentro de CHANNEL, en los mismos cinco idiomas que la app. Funcionan sin red, no contactan a nadie, y nada de lo que lees en ellas se reporta a nadie.