O que construímos em vez disso

Os cinco jeitos de uma mensagem viajar

O CHANNEL usa o caminho mais direto que funciona agora, e testa nesta ordem. Cada caminho tem uma letra, e a letra numa mensagem diz qual deles a transportou.

• B
  BluetoothOs dois telefones por perto.
• W
  Wi-Fi DiretoOs dois telefones por perto. Nenhum tipo de rede está envolvido.
• L
  Rede localOs dois telefones na mesma Wi-Fi. A mensagem fica nessa rede.
• 6
  Direto pela internetOs dois telefones têm um endereço de internet IPv6, então o CHANNEL conecta um direto ao outro, sem nenhum servidor no meio. As redes no caminho podem ver que os dois endereços estão se comunicando. Desativar a caixa de mensagens para um perfil desativa este caminho também.
• I
  Caixa de mensagens da internetNosso servidor guarda a mensagem lacrada até o outro telefone buscá-la. Você pode desativar esta opção para um perfil.

Os três primeiros nunca saem da sala, e o 6 nunca toca nosso servidor. A caixa de mensagens é um recurso alternativo, não uma cópia: se outro caminho consegue alcançar o outro telefone, a mensagem vai por ali e o servidor nunca a vê. Se um rádio consegue vê-los mas a mensagem não está passando, cada contato tem seu próprio tempo de espera antes de o CHANNEL usar a caixa de mensagens em vez disso, de imediato até nunca; um contato novo começa em imediato. O e-mail é um sexto caminho: desligado até você ativá-lo para um contato, tentado depois de todos os outros e só para texto. Os serviços de e-mail no caminho podem ver quem escreveu para quem.

Ao lado de cada contato, luzinhas mostram quais caminhos estão abertos neste momento. Um contato mostra Esperando quando nada ainda consegue levar uma mensagem até ele. O CHANNEL nunca diz que alguém não está no CHANNEL, porque ele não sabe disso, e ninguém que esteja observando deveria saber também.

Por perto: sem servidor, sem internet, sem conta

Quando você e um contato estão ao alcance de Bluetooth ou Wi-Fi, sua mensagem vai direto do seu aparelho para o dele. Nenhum servidor a vê, nenhuma rede a transporta, e não há nada para interceptar em trânsito porque não há trânsito em nenhum outro lugar. Pode funcionar sem sinal e sem nenhum plano de dados — um porão, um voo, um navio, um país onde a rede é vigiada — quando os telefones estão perto e uma ligação direta se mantém. Em nossos próprios testes, o Bluetooth entre um iPhone e um telefone Android entregou 20 de 20 mensagens em cada direção, embora os resultados variem conforme o modelo do telefone. Quando uma ligação direta não se mantém e não há internet, a mensagem espera até um caminho se abrir. Se seu telefone está no bolso quando uma mensagem chega assim, o app acorda com a conexão e cria a notificação sozinho.

Também funciona onde a rede está congestionada em vez de ausente, que é o caso que a maioria das pessoas realmente encontra. Uma torre de celular é construída para as pessoas que moram, trabalham e passam pela área dela. Não é construída para uma cidade inteira de gente extra parada num quarto de milha quadrada por cinco horas, a maioria enviando fotos e vídeo do mesmo lance. Seu telefone mostra quatro barrinhas e não vai enviar um texto — porque força de sinal e capacidade são coisas diferentes, e as barrinhas só sempre mostraram a primeira. O CHANNEL não entra na fila atrás dessa multidão, porque nunca pede nada para a torre.

Ainda assim, seja realista quanto à distância. Isto é um enlace de rádio entre dois aparelhos: seu grupo a algumas fileiras de distância, o saguão, o estacionamento antes do jogo, o quarto ao lado, o mesmo vagão, um barco, um porão. Não vai alcançar do camarote até a arquibancada, e não estende seu alcance além do contato direto por rádio. Uma multidão é o pior caso para uma antena pequena — corpos absorvem essas frequências, que é exatamente por isso que a torre também está com dificuldade.

Fora de alcance: um servidor que não sabe nada

A maioria das conversas não acontece com as pessoas paradas lado a lado. Quando o rádio direto não está disponível, sua mensagem pode ficar na fila e, se você permitir, nosso servidor a transporta pela internet em vez disso.

Esse servidor não é um serviço de mensagens. Ele não consegue ler suas mensagens — elas continuam criptografadas de ponta a ponta o caminho todo, e ele nunca tem as chaves. Ele não guarda contas, e um número de telefone ou endereço de e-mail que você prova fica guardado como um hash com chave, nunca como o número ou o endereço em si. Ele identifica sua caixa de entrada só por um token que muda a cada dez minutos, e nosso código não guarda os endereços IP que se conectam a ele; a Netlify, empresa que o hospeda, mantém seus próprios registros de acesso, que os incluem. Uma mensagem é excluída no momento em que a entrega é confirmada, e tudo o que ninguém coleta expira por conta própria: trinta dias, a menos que você escolha uma semana ou um dia.

Nada de novo para aprender

O CHANNEL parece e funciona como o mensageiro que você já usa — a mesma lista de conversas, a mesma tela de conversa, os mesmos gestos. A privacidade está no encanamento, não nos controles, e é deliberadamente idêntica em todas as plataformas, para que alternar entre seu telefone e seu Mac não ensine nada de novo.

O que tem no app

Tudo abaixo está nos dois apps. A página Status lista cada recurso.

Perfis

Um perfil é uma identidade separada: suas próprias chaves, seus próprios contatos, suas próprias conversas. Dois perfis num mesmo telefone não compartilham nada, e ninguém com quem você fale consegue saber que dois deles estão no mesmo telefone. Um perfil novo pode começar como cópia de um já existente, mas só as configurações são copiadas. Chaves, contatos, mensagens e verificação nunca são, porque um perfil que os compartilhasse não seria uma identidade separada.

Adicionar alguém, pessoalmente ou por convite

Um de vocês mostra um código de pareamento e o outro o digita, ou você envia um por algo que vocês já usam. O código carrega uma chave pública e nada secreto, então é seguro mostrá-lo em público. Quando alguém pareia lendo o seu código na sua tela, depois cada telefone diz isso: essa pessoa estava ali, e é isso que está sendo verificado. A página de cada contato mostra também um Número de segurança, oito grupos de cinco dígitos iguais nos dois telefones, para que vocês dois possam compará-lo pessoalmente ou numa chamada. Comparar é opcional: nada pede isso, e uma conversa funciona igual quer você olhe ou não. Você também pode simplesmente escrever para alguém em um número ou endereço que a pessoa provou ser dela: a mensagem é selada e fica na fila, um convite é deixado para ela, e assim que ela aceita a mensagem sai sem mais nenhum toque seu.

Ser encontrado

Você pode deixar que as pessoas falem com você por um número de telefone ou um endereço de e-mail, mas primeiro precisa comprovar que é seu. Um código de seis dígitos é enviado por mensagem de texto, por uma ligação que lê os dígitos em voz alta duas vezes, ou por e-mail. Comprovar um valor e divulgá-lo são dois interruptores separados, então um número verificado pode continuar privado, e um valor que você não comprovou fica inerte. Nosso servidor não guarda nenhuma lista de pessoas verificadas nem nenhuma lista de números: um convite é endereçado a um slot derivado do próprio número, e é aceito quer alguém venha a buscá-lo ou não, então deixar um não diz a ninguém se o número pertence a um usuário do CHANNEL. Um número que você divulga é diferente: quem o tem pode perguntar se ele está publicado, e nosso servidor guarda cada slot sob um hash com chave, então uma cópia dos seus registros sem essa chave não permite testar números, enquanto quem tiver os dois pode testar todo número possível.

Mensagens

Mensagens temporárias com um temporizador que os dois lados podem ver, removidas dos dois telefones assim que vistas e assim que o tempo se esgota. Ver uma vez para uma foto, protegida de capturas de tela enquanto está na tela. Fotos, do próprio seletor do seu telefone ou da câmera, com uma configuração que mantém as fotos totalmente fora da Internet. Fotos e vídeos são redesenhados antes de sair, então a cópia não leva localização, hora da captura nem modelo da câmera. Confirmações de leitura, nos dois sentidos ou em nenhum. Tradução feita pelo próprio tradutor do telefone, então o texto nunca sai do telefone para ser traduzido. Uma linha de área de transferência acima do campo de composição. E botões de chamada que passam a bola para os apps de chamada que você já usa, em vez de fingir que o CHANNEL faz a chamada sozinho.

Escrever para alguém que não usa o CHANNEL sai do app Mensagens do seu próprio telefone, do seu próprio número. Uma mensagem de texto não é criptografada de ponta a ponta e nunca passa pelo nosso servidor.

Localização

Envie uma única localização, captada no momento em que você toca e nunca guardada, ou compartilhe ao vivo por 15 minutos, uma hora ou 12 horas, atualizando enquanto o app está aberto e terminando sozinha. Entre dois telefones com CHANNEL, a mensagem carrega coordenadas em vez de um link, então a pessoa que recebe escolhe como ver. Um compartilhamento chega como um único cartão que se move no lugar em vez de encher a conversa com linhas novas. Tocar nele abre um mapa dentro do CHANNEL com os dois telefones nele, a distância e uma seta apontando para o outro telefone, e a partir dali você pode passar para qualquer app de mapas instalado no seu telefone. Enquanto um compartilhamento está em andamento, um alfinete fica no topo da conversa, e quem está compartilhando recebe uma contagem regressiva que pode estender ou parar. O CHANNEL não lê sua localização em nenhum outro momento.

O bloqueio e o código de coação

O bloqueio do app é um código seu, de pelo menos seis caracteres, pedido antes de qualquer outra coisa, e funciona até num telefone sem bloqueio nenhum. Nem o rosto nem a digital abrem o CHANNEL. O código nunca é guardado: onde o chip de segurança do telefone consegue conferi-lo, o chip confere, e senão só se guarda um cálculo lento de mão única dele, então ninguém consegue redefini-lo, nem nós. Um segundo código, diferente, apaga tudo o que o CHANNEL guarda no telefone: primeiro a chave que sela os armazenamentos, depois as identidades, depois cada arquivo. O app então abre como recém-instalado, e nada na tela diz que isso aconteceu. Conversas e contatos ficam selados no disco sob uma chave que fica no telefone; no Android, também fotos, vídeos e arquivos. No iPhone, esses têm a criptografia de arquivos do próprio iOS, e também a chave do CHANNEL enquanto o Modo Seguro está ativado.

AI

Onde a AI roda depende do telefone. Num iPhone ou Mac compatível com Apple Intelligence, ou num telefone Android compatível com Gemini Nano, ela roda no próprio aparelho — sem conta, sem chave, sem custo, e nada sai dele. Em qualquer outro caso, e como alternativa num telefone, você adiciona sua própria conta com OpenAI, Anthropic ou xAI: a chave fica no seu telefone, nosso servidor nunca a vê, e você pode adicionar mais de uma. Resumos, respostas sugeridas e traduções são enviados só quando você pede: sem chamadas em segundo plano, sem resumos automáticos. Cada um mostra exatamente o que vai sair do telefone, incluindo as palavras da outra pessoa quando você escolhe incluí-las, e o botão que você aperta é o consentimento. As respostas automáticas são a exceção: ativadas em um perfil, elas mesmas respondem às mensagens individuais recebidas, e as respostas saem sem que você as veja antes. Ela pode escrever ou reformular um rascunho, corrigir ortografia e gramática, deixar uma mensagem mais curta, mais amigável ou mais formal, sugerir respostas, resumir uma conversa, traduzir uma mensagem, ou responder uma pergunta sobre uma foto. Você também pode ativar uma conta como contato, para que ChatGPT, Claude ou Grok apareça na sua lista de contatos e você converse com ela como com qualquer outra pessoa.

Backup e restauração

Desativado a menos que você use, e nunca em silêncio. O CHANNEL lacra seus perfis, identidades, contatos, conversas e configurações num único arquivo sob uma frase secreta que você escolhe, e o entrega ao próprio seletor de arquivos do seu telefone, então você decide para onde ele vai. Nunca guardamos a frase secreta e não conseguimos recuperá-la, e nunca recebemos o arquivo. Mensagens temporárias e de ver uma vez nunca são incluídas, e os anexos ficam de fora por causa do tamanho. Restaurar substitui tudo no telefone, e é assim que você muda para um novo.

Transportando para outras pessoas

Ajustes tem um interruptor de Retransmitir a outros, desativado a menos que você o ative. Com ele ativado, este telefone se oferece para transportar correspondência lacrada para contatos que outro telefone ainda não consegue alcançar, e entregá-la depois; um telefone que transporta não consegue ler o que carrega. Não vamos exagerar sobre isso. Transportar só compensa quando há telefones suficientes rodando CHANNEL num mesmo lugar, e isso ainda não foi medido em hardware real com densidade real. Está no produto e no protocolo. Não é uma promessa.

Ajuda, dentro do app

Páginas de ajuda em linguagem simples vêm dentro do CHANNEL, nos mesmos cinco idiomas do app. Funcionam sem rede, não entram em contato com ninguém, e nada do que você lê nelas é reportado a ninguém.