O que o CHANNEL guarda, e o que ele nunca tem.

O que o CHANNEL faz em vez disso

• Nunca se envia sua agenda de contatos. O app pode mostrar sua própria agenda para que você escolha um nome; essa lista nunca sai do seu telefone.
• Sem análise de dados sobre você, sem relatório de falhas, sem identificador de publicidade, sem SDK de publicidade ou rastreamento. Um Mac em que você deixa uma IA usar um perfil envia uma vez por dia a contagem das chamadas dessa IA, sem vínculo com ninguém.
• Nenhuma cópia de uma mensagem individual lacrada no nosso servidor depois de buscada. As publicações de um grupo formal ficam guardadas, criptografadas, por 30 dias, ou por um ano quando um membro denuncia o grupo.
• Quando seu contato está por perto, não é preciso conexão com a internet quando uma ligação direta se mantém — então não há conta, não há roaming, e não há nada para interceptar no meio do caminho.

Quem consegue ver o quê

Nosso servidor de caixa postal

Ele vê que um envelope lacrado chegou a um endereço de caixa postal, quando, e aproximadamente quanto ele pesa, arredondado para um de alguns tamanhos fixos. O endereço é um pseudônimo: pertence a uma conversa, muda a cada dez minutos e não carrega nome, número de telefone nem conta. Assim, o servidor pode saber que um endereço recebe correio e aproximadamente quando, mas nada nele diz de quem é o endereço, o que uma mensagem diz ou quem a enviou, porque a identidade do remetente está dentro da parte lacrada. Nosso código não guarda os endereços IP dos dispositivos que se conectam a ele; a Netlify, empresa que hospeda o servidor, mantém seus próprios registros de acesso, que os incluem. A única exceção é um limitador de taxa, que guarda um hash com chave do bloco de rede de quem chama por até duas horas para desacelerar abusos, depois o apaga.

Escrever para alguém com quem você não pareou

Quando você escreve para um número, endereço ou handle que alguém publicou, seu telefone busca as chaves públicas dessa pessoa no nosso servidor, para que a primeira mensagem possa ser lacrada enquanto o telefone dela está desligado. É o único ponto em que nosso servidor fica entre duas pessoas que não se encontraram: um servidor que decidisse se comportar mal poderia entregar chaves próprias e ler essa primeira troca, e nada na tela mostraria. O pareamento com um código que você lê na tela da outra pessoa não tem esse limite, porque o código carrega a chave. Para uma pessoa que você alcançou por um valor publicado, o Número de segurança na página de contato dela é a verificação: compare-o pessoalmente ou numa chamada, e uma chave substituída aparece como um número diferente. Comparar é opcional, e nada no CHANNEL pede isso.

Alguém observando sua rede

Alguém observando sua rede consegue ver que este telefone fala com o CHANNEL. Não consegue ler o que você diz nem ver para quem são suas mensagens. Uma chamada que vai direto entre dois telefones mostra o endereço de rede de cada telefone ao outro, e a quem observar qualquer uma das duas redes; com “Somente pela internet” ativado (Ajustes › Chamadas), não.

Se o telefone for levado

O que está num telefone é o que pode ser lido nele. O bloqueio do app, em Ajustes, é um PIN do app de pelo menos seis caracteres; nem o rosto, nem a digital, nem o código do telefone abrem o CHANNEL. Se o chip de segurança deste telefone passa num teste que o CHANNEL faz ao definir o PIN, o chip confere o PIN e uma cópia do armazenamento do telefone não serve para adivinhá-lo; senão, guarda-se um cálculo lento de mão única do PIN, contra o qual uma cópia pode testar tentativas. O código de coação, definido ao lado, abre o app e apaga no mesmo instante tudo o que o CHANNEL guarda naquele telefone, sem uma segunda etapa de confirmação. Ele é para alguém sem autoridade legal para exigir o seu PIN; onde a lei obriga você a desbloquear, usá-lo pode ser, por si só, um crime. Privacidade neste dispositivo tem os detalhes, incluindo quanto tempo leva para adivinhar um PIN.

O Double Ratchet

O núcleo que os dois apps compartilham é um núcleo criptográfico desenvolvido de forma independente que implementa um design de Double Ratchet baseado na especificação publicada pelo Signal, com estabelecimento de sessão, recuperação e extensões pós-quânticas próprias do CHANNEL. O ratchet é a parte do design que muda a chave da mensagem à medida que você conversa. Ele foi testado com os testes e o fuzzing descritos abaixo e revisado por modelos de IA externos, que o último item de «Como conferimos nosso trabalho» nomeia. Seus limites, inclusive o que pode ler quem tiver a chave de pareamento, estão na página de criptografia.

Acordo de chaves pós-quântico

Entre dois telefones que ambos o têm, uma conversa começa com um segredo criado por X25519 e ML-KEM-768 (FIPS 203) juntos, de modo que quem gravar o tráfego hoje e obtiver um computador quântico mais tarde precisa quebrar os dois. Depois, cada passo da catraca de mensagens acrescenta um segredo X25519 novo, e uma vez em cada sessão da catraca os telefones também misturam um segredo ML-KEM-768 novo. As assinaturas continuam Ed25519. Há mais detalhes na página de criptografia.

Uma AI lendo as palavras dos outros

Resumir, Sugerir respostas e Traduzir podem enviar as palavras de outra pessoa para uma AI na sua própria conta. Antes de saírem, o CHANNEL remove os caracteres que uma pessoa não vê mas um modelo consegue ler, e marca as palavras como texto citado que a AI nunca deve obedecer. Isso torna muito mais difícil uma mensagem direcionar o que a AI te diz, embora não impossível, e a resposta de Resumir, Sugerir respostas ou Traduzir é sempre mostrada a você primeiro, nunca enviada sozinha. As respostas automáticas, ativadas em um perfil, são a exceção: elas enviam as respostas sem mostrá-las antes.

Como conferimos nosso trabalho

Privacidade neste dispositivo tem a mesma lista com todos os números.

• O formato de transmissão é escrito primeiro, e o núcleo compartilhado tem de reproduzir, sempre que seus testes rodam, 55 arquivos de vetores de teste gerados a partir dessa descrição.
• Um único núcleo em Rust contém a criptografia e o formato de transmissão dos dois apps, então a selagem em si é o mesmo código no iPhone e no Android.
• Um teste ou verificação cuja falha passaria despercebida é quebrado de propósito, para vê-lo falhar, antes de confiar nele.
• Cada decodificador do núcleo que lê dados de outro telefone, 137 ao todo, passa por fuzzing com um de 39 alvos. As execuções encontraram 2 bugs reais, os dois corrigidos e guardados como testes.
• Mais de 300 verificações automáticas rodam antes de um lançamento, procurando os erros que não quebram nenhuma compilação e não fazem nenhum teste falhar.
• Antes de um lançamento para Android, uma compilação otimizada exatamente como a cópia da loja é instalada e aberta num aparelho de teste, e o conjunto completo de testes no aparelho é executado.
• 39 telas são descritas uma única vez, e um teste em cada app confere que os dois as desenham do mesmo jeito.
• Mudanças críticas para a segurança são revisadas de forma adversária por modelos de IA de outras empresas, com os arquivos reais, e cada achado é conferido no código antes de qualquer mudança; alguns são descartados. Em 15 de outubro de 2026 o núcleo compartilhado, seu protocolo e seus testes foram revisados assim pelo Grok (o revisor se chama Grok Bot (SpaceXAI) e não informa versão), pelo Gemini (ele se nomeia Gemini 2.5 Flash, no nível gratuito) e pelo Kimi (da Moonshot AI; versão não informada). O nome que um modelo dá a si mesmo é uma afirmação dele, não algo que medimos. Eles leram o núcleo, não o código dos dois apps.

Leia como é feito

• Como a criptografia é usadaAs chaves, as cifras e o que cada uma protege.
• Política de privacidadeO que o app e o nosso servidor guardam, por completo.
• Análise de ameaçasQuem poderia atacar o CHANNEL, como, e o que cada tentativa renderia.
• Metadados de redeO que uma operadora de rede consegue ver, e o que não consegue.
• O protocoloCada byte que uma mensagem carrega, publicado para qualquer pessoa conferir.
• Segurança dos dadosAs respostas dadas à Apple e ao Google sobre os dados que o app trata.

Estes documentos estão em inglês.

Leia a documentação

As notas de design, o protocolo de comunicação, o passo a passo de ameaças, os documentos de privacidade, e as páginas de ajuda exatamente como vêm no app estão todos publicados em channelmessenger.net/docs. Publicar isso não nos custa nada: um design que dependesse do sigilo da própria descrição já estaria quebrado. Preferimos ser conferidos a ser acreditados.