Cosa abbiamo costruito invece

I cinque modi in cui viaggia un messaggio

CHANNEL prende il percorso più diretto che funziona in questo momento, e li prova in quest'ordine. Ogni percorso ha una lettera, e la lettera su un messaggio ti dice quale lo ha trasmesso.

• B
  BluetoothEntrambi i telefoni nelle vicinanze.
• W
  Wi-Fi direttoEntrambi i telefoni nelle vicinanze. Non è coinvolta nessuna rete di alcun tipo.
• L
  Rete localeEntrambi i telefoni sulla stessa Wi-Fi. Il messaggio resta su quella rete.
• 6
  Diretto via internetEntrambi i telefoni hanno un indirizzo internet IPv6, quindi CHANNEL li collega direttamente, senza alcun server in mezzo. Le reti intermedie possono vedere che i due indirizzi stanno comunicando. Disattivare la casella per un profilo disattiva anche questo percorso.
• I
  Casella di posta InternetIl nostro server conserva il messaggio sigillato finché l'altro telefono non lo ritira. Puoi disattivare questo percorso per un profilo.

I primi tre non lasciano mai la stanza, e 6 non tocca mai il nostro server. La casella è una soluzione di riserva, non una copia: se un altro percorso può raggiungere l'altro telefono, il messaggio passa di lì e il server non lo vede mai. Se una radio li vede ma il messaggio non passa, ogni contatto ha il proprio tempo di attesa prima che CHANNEL usi invece la casella, da subito a mai; un nuovo contatto parte da subito. L'email è un sesto percorso: spento finché non lo attivi per un contatto, provato dopo tutti gli altri e solo per il testo. I servizi di posta lungo il percorso possono vedere chi ha scritto a chi.

Accanto a ogni contatto, piccole luci mostrano quali percorsi sono aperti in questo momento. Un contatto mostra In attesa quando ancora nulla può trasmettergli un messaggio. CHANNEL non ti dice mai che qualcuno non è su CHANNEL, perché non lo sa, e nemmeno chi osserva dovrebbe saperlo.

A portata: nessun server, nessun internet, nessuna bolletta

Quando tu e un contatto siete a portata di Bluetooth o Wi-Fi, il tuo messaggio va direttamente dal tuo dispositivo al suo. Nessun server lo vede, nessuna rete lo trasporta, e non c'è niente da intercettare in transito perché non c'è nulla in transito altrove. Può funzionare senza segnale e senza alcun piano dati — uno scantinato, un volo, una nave, un paese dove la rete è sorvegliata — quando i telefoni sono vicini e un collegamento diretto regge. Nei nostri test, il Bluetooth tra un iPhone e un telefono Android ha consegnato 20 messaggi su 20 in entrambe le direzioni, anche se i risultati variano secondo il modello di telefono. Quando un collegamento diretto non regge e non c'è internet, il messaggio aspetta che si apra un percorso. Se il telefono è in tasca quando un messaggio arriva in questo modo, l'app si risveglia sulla connessione e crea da sola la notifica.

Funziona anche dove la rete è congestionata piuttosto che assente, che è il caso in cui la maggior parte delle persone si trova davvero. Un ripetitore è costruito per le persone che vivono, lavorano e passano nella sua zona. Non è costruito per l'equivalente di una città intera di persone in più, ferme in un quarto di chilometro quadrato per cinque ore, la maggior parte a mandare foto e video della stessa azione. Il telefono mostra quattro tacche e non riesce a inviare un SMS — perché l'intensità del segnale e la capacità sono due cose diverse, e le tacche hanno sempre mostrato solo la prima. CHANNEL non si mette in coda dietro quella folla, perché non chiede mai nulla al ripetitore.

Sii però realistico sulla distanza. Questo è un collegamento radio tra due telefoni: il tuo gruppo a poche file di distanza, l'atrio, il parcheggio prima della partita, la stanza accanto, la stessa carrozza, una barca, uno scantinato. Non arriverà dai palchi alle gradinate economiche, e non estende la tua portata oltre il contatto radio diretto. Una folla è il caso più difficile per una piccola antenna — i corpi assorbono queste frequenze, ed è esattamente per questo che anche la torre fatica.

Fuori portata: un server che non sa nulla

La maggior parte delle conversazioni non avviene stando fianco a fianco. Quando la radio diretta non è disponibile, il tuo messaggio può essere messo in coda e, se lo permetti, trasportato invece dal nostro server via internet.

Quel server non è un servizio di messaggistica. Non può leggere i tuoi messaggi — restano crittografati end-to-end per tutto il tragitto, e non detiene mai le chiavi. Non tiene account, e un numero di telefono o un indirizzo email che dimostri viene conservato come hash con chiave, mai come il numero o l’indirizzo stesso. Identifica la tua casella solo con un token che cambia ogni dieci minuti, e il nostro codice non conserva gli indirizzi IP che vi si collegano; Netlify, l’azienda che lo ospita, tiene i propri registri di accesso, che li includono. Un messaggio viene eliminato nel momento in cui la ricezione è confermata, e tutto ciò che nessuno raccoglie scade da solo: trenta giorni, a meno che tu non scelga una settimana o un giorno.

Niente di nuovo da imparare

CHANNEL ha l'aspetto e il funzionamento del messenger che già usi — lo stesso elenco di conversazioni, la stessa schermata della conversazione, gli stessi gesti. La privacy sta nell'impianto, non nei comandi, ed è deliberatamente identica su ogni piattaforma, così passare dal telefono al Mac non ti insegna niente di nuovo.

Cosa c'è nell'app

Tutto quello che segue è nelle due app. La pagina Stato elenca ogni funzione.

Profili

Un profilo è un'identità separata: le sue chiavi, i suoi contatti, le sue conversazioni. Due profili sullo stesso telefono non condividono nulla, e nessuno con cui parli può capire che due di essi sono sullo stesso telefono. Un nuovo profilo può partire come copia di uno esistente, ma vengono copiate solo le impostazioni. Chiavi, contatti, messaggi e verifiche non lo sono mai, perché un profilo che le condividesse non sarebbe un'identità separata.

Aggiungere qualcuno, di persona o su invito

Uno di voi mostra un codice di accoppiamento e l’altro lo digita, oppure gliene mandi uno con qualcosa che usate già. Il codice porta una chiave pubblica e nulla di segreto, quindi è sicuro mostrarlo in pubblico. Quando qualcuno si accoppia leggendo il tuo codice dal tuo schermo, dopo ogni telefono lo dice: quella persona era lì, ed è questo che viene verificato. La pagina di ogni contatto mostra anche un Numero di sicurezza, otto gruppi di cinque cifre uguali sui due telefoni, così potete confrontarlo di persona o in una chiamata. Confrontare è facoltativo: nulla lo richiede, e una conversazione funziona allo stesso modo che tu lo guardi o no. Puoi anche semplicemente scrivere a qualcuno a un numero o a un indirizzo di cui ha dimostrato di essere il titolare: il messaggio viene sigillato e messo in coda, gli viene lasciato un invito, e appena lo accetta parte senza altri tocchi da parte tua.

Farsi trovare

Puoi permettere alle persone di raggiungerti a un numero di telefono o un indirizzo email, ma prima devi dimostrare che è tuo. Un codice a sei cifre viene inviato tramite SMS, tramite una chiamata che legge le cifre ad alta voce due volte, o via email. Dimostrare un valore e renderlo pubblico sono due interruttori separati, così un numero verificato può restare privato, e un valore non dimostrato è inerte. Il nostro server non tiene nessun elenco di persone verificate né nessun elenco di numeri: un invito è indirizzato a uno slot derivato dal numero stesso, e viene accettato indipendentemente dal fatto che qualcuno lo ritiri mai, così lasciarne uno non dice a nessuno se il numero appartiene a un utente CHANNEL. Un numero che rendi pubblico è diverso: chi lo ha può chiedere se è pubblicato, e il nostro server archivia ogni slot sotto un hash con chiave, quindi una copia dei suoi dati senza quella chiave non permette di verificare numeri, mentre chi detiene entrambi può verificare ogni numero possibile.

Messaggi

Messaggi a scomparsa con un timer visibile a entrambe le parti, rimossi da entrambi i telefoni una volta visti e trascorso il tempo. Vista unica per un'immagine, protetta dagli screenshot finché è sullo schermo. Foto, dal selettore del telefono o dalla fotocamera, con un'impostazione che tiene le immagini completamente fuori da Internet. Foto e video vengono ridisegnati prima di partire, così la copia non porta posizione, ora dello scatto né modello della fotocamera. Conferme di lettura, in entrambe le direzioni o in nessuna. Traduzione fatta dal traduttore del telefono stesso, così il testo non lascia mai il telefono per essere tradotto. Una riga degli appunti sopra il campo di scrittura. E pulsanti di chiamata che passano il testimone alle app di chiamata che già usi, invece di far finta che sia CHANNEL a effettuare la chiamata.

Scrivere a chi non usa CHANNEL parte dall'app Messaggi del tuo telefono, dal tuo numero. Un SMS non è cifrato end-to-end e non passa mai dal nostro server.

Posizione

Invia una singola rilevazione, presa nel momento in cui tocchi e mai conservata, oppure condividi in diretta per 15 minuti, un'ora o 12 ore, con aggiornamenti finché l'app è aperta e la fine automatica. Tra due telefoni CHANNEL il messaggio porta le coordinate invece di un link, così chi lo riceve sceglie come vederle. Una condivisione arriva come un'unica scheda che si muove sul posto invece di riempire la conversazione di nuove righe. Toccandola si apre una mappa dentro CHANNEL con entrambi i telefoni, la distanza e una freccia che punta verso l'altro telefono, e da lì puoi passare a qualsiasi app di mappe installata sul telefono. Mentre una condivisione è attiva un puntatore resta in cima alla conversazione, e chi condivide ha un conto alla rovescia che può estendere o fermare. CHANNEL non legge la tua posizione in nessun altro momento.

Il blocco, e il codice di emergenza

Il blocco dell'app è un codice tuo, di almeno sei caratteri, chiesto prima di tutto, e funziona anche su un telefono senza alcun blocco. Né il volto né l'impronta aprono CHANNEL. Il codice non viene mai salvato: dove il chip di sicurezza del telefono può verificarlo, lo verifica il chip, altrimenti se ne conserva solo un calcolo lento a senso unico, quindi nessuno può reimpostarlo, nemmeno noi. Un secondo codice, diverso, cancella tutto ciò che CHANNEL conserva sul telefono: prima la chiave che sigilla gli archivi, poi le identità, poi ogni file. L'app si apre poi come appena installata, e niente sullo schermo dice che è successo. Conversazioni e contatti sono sigillati sul disco con una chiave che resta sul telefono; su Android anche foto, video e file. Su iPhone questi hanno la cifratura dei file di iOS, e in più la chiave di CHANNEL mentre la Modalità sicura è attiva.

AI

Dove gira l'AI dipende dal telefono. Su un iPhone o un Mac che supporta Apple Intelligence, o su un telefono Android che supporta Gemini Nano, gira sul dispositivo stesso — nessun account, nessuna chiave, nessun costo, e niente esce. Ovunque altro, e come riserva su un telefono, aggiungi un tuo account con OpenAI, Anthropic o xAI: la chiave resta sul telefono, il nostro server non la vede mai, e puoi aggiungerne più di uno. Riepiloghi, risposte suggerite e traduzioni vengono inviati solo quando li chiedi: nessuna chiamata in background, nessun riepilogo automatico. Ognuno ti mostra esattamente cosa uscirà dal telefono, incluse le parole dell'altra persona quando scegli di includerle, e il pulsante che premi è il consenso. Le risposte automatiche sono l'eccezione: attivate su un profilo, rispondono da sole ai messaggi individuali in arrivo, e le sue risposte partono senza che tu le veda prima. Può scrivere o rielaborare una bozza, correggere ortografia e grammatica, rendere un messaggio più breve, più amichevole o più formale, suggerire risposte, riassumere una conversazione, tradurre un messaggio, o rispondere a una domanda su un'immagine. Puoi anche attivare un account come contatto, così ChatGPT, Claude o Grok compare nel tuo elenco contatti e ci scrivi come con chiunque altro.

Backup e ripristino

Disattivato finché non lo usi, e mai silenzioso. CHANNEL sigilla i tuoi profili, identità, contatti, conversazioni e impostazioni in un unico file protetto da una passphrase che scegli tu, e lo consegna al selettore file del telefono, così decidi tu dove va. Non conserviamo mai la passphrase e non possiamo recuperarla, e non riceviamo mai il file. I messaggi a scomparsa e a vista unica non sono mai inclusi, e gli allegati sono esclusi per motivi di dimensione. Ripristinare sostituisce tutto sul telefono, ed è così che passi a uno nuovo.

Inoltro per altri

In Impostazioni c'è un interruttore Inoltro per altri, disattivato finché non lo accendi. Con questo attivo, il telefono si offre di trasportare posta sigillata per contatti che un altro telefono non può ancora raggiungere, e di consegnarla più tardi; un telefono che la trasporta non può leggere cosa trasporta. Non vogliamo vendertela meglio di quanto sia. L'inoltro ripaga solo quando ci sono abbastanza telefoni con CHANNEL nello stesso posto, e questo non è stato misurato su hardware reale a densità reale. È nel prodotto e nel protocollo. Non è una promessa.

Guida, dentro l'app

Pagine di guida semplice viaggiano dentro CHANNEL, nelle stesse cinque lingue dell'app. Funzionano senza rete, non contattano nessuno, e nulla di quello che leggi al loro interno viene segnalato a chicchessia.