Приватность в мессенджере: что мы делаем, а что нет

Утюг-чат (Iron Messenger) — мессенджер, где приватность включаешь и проверяешь сам: без номера телефона при регистрации, с незнакомцами, которые ждут в «Запросах», с режимом призрака по таймеру и удалением, которое стирает файл с сервера сразу. Сквозного шифрования в Утюге нет, и здесь прямо написано, что это значит, чтобы ты решал со всеми фактами на руках.

Что на самом деле должен делать приватный мессенджер?

Для большинства приватность в чате — это не про спецслужбы. Это про типа из качалки, который нашёл твой ник, про админа, который закидывает тебя в сорок групп, про бывшую, которая палит, когда ты был в сети, и про фотку, отправленную в два ночи, о которой ты уже жалеешь.

Поэтому начали мы именно с этого. Каждая функция ниже защищает того, кто её включает, и ни одна не спрятана за пейволом. Правило короткое: приватность никогда не бывает Premium. Premium продаёт украшения (темы, больше стикерпаков, громкие реакции), а не «кто может меня найти».

Можно ли пользоваться мессенджером без номера телефона?

Да. Для аккаунта в Утюге нужны ник, почта и пароль — или один тап через Google. Номер для восстановления можно добавить потом, если хочешь запасной вход в аккаунт, но это не обязательно, и его никто не видит.

Это важнее, чем кажется. В приложениях на номерах тебя находит любой, у кого есть твой номер, а каждый, кому ты пишешь, его получает. Здесь до тебя достукиваются по @нику — только строчные латинские буквы и цифры. Кому его давать, решаешь ты.

В публичных ссылках и QR-кодах тоже нет порядковых номеров. Никто не посчитает наших пользователей и не переберёт аккаунты, меняя цифру в адресе, а медиа лежат по случайным адресам, которые не угадать.

Как решать, кто может тебе написать?

Основную работу делают четыре настройки. Все они на экране «Приватность».

• Шлюз для незнакомцев. Когда он включён, чат от человека не из контактов уходит в «Запросы», а не в список чатов. Ни пуша, ни связи в контактах, ни загруженных фото. Принимаешь или блокируешь — и блок заодно чистит «Запросы».
• Скрытый ник. Тебя просто нет в поиске. Это не исчезновение: ссылки и QR, которые ты уже раздал, работают дальше, потому что ник — это адрес, который ты даёшь сам.
• Режим призрака. Стань невидимкой на час, на день или на сколько угодно дней, часов и минут. Когда таймер кончится, режим выключится сам, так что случайно зависнуть призраком не получится.
• «Кто может». Выбери, кто видит, когда ты был в сети, кто может тебя отмечать и кто добавляет тебя в группы: все, твои контакты или (для «был в сети» и поиска) никто.

А потом проверь себя в Зеркале приватности. Оно показывает твой профиль дважды: ровно так, как его получает незнакомец, и ровно так, как его видит контакт. Если там торчит что-то лишнее, ты заметишь это первым.

«Удалить» правда удаляет?

Да, и быстро. Удалённое сообщение пропадает у всех в чате, а если в нём было фото или видео, файл стирается из нашего хранилища в той же транзакции. Не после уборки в следующем месяце. Сразу.

Для фоток, которые не должны оставаться, есть лимит просмотра: один взгляд, 3, 5 или 30 секунд. Фото приходит размытым, отсчёт идёт с момента открытия, и файл удаляется с сервера, когда его закроет последний получатель. Неоткрытое исчезает через 7 дней. Про это есть отдельный гайд — исчезающие фото, вместе с тем, чего они не умеют.

А если хочешь уйти совсем, удали аккаунт прямо в приложении. Профиль, аватар и привязка Google стираются, все сессии разлогиниваются. Без писем в поддержку и без квеста «а вы точно уверены».

Как аккаунт защищён от взлома?

• Пароли хранятся только как bcrypt-хеши. Сам пароль мы не видим.
• Перебор — тупик. Пять неверных попыток блокируют аккаунт на 15 минут, и считаются они по всем адресам, а не по одному IP. Ботнет получает те же пять попыток, что и ты.
• Ключ сессии лежит в Android Keystore на телефоне и в Windows Credential Locker на ПК, а не в обычном файле.
• В сети всё идёт только по HTTPS: TLS 1.2 или новее, с HSTS на каждом нашем домене.
• Наша админка просит пароль и одноразовый код из почты, так что одним утёкшим паролем админа ничего не открыть.

Мы держим свежие мажорные версии всего, на чём стоим (React Native, Expo, PHP, Laravel), и каждый релиз проходит аудит зависимостей. Когда баг сидит в чужой библиотеке, мы чиним его у себя и отправляем фикс авторам.

Чего Утюг не обещает

В Утюг-чате нет сквозного шифрования. Сообщения идут по HTTPS и хранятся на нашем сервере, чтобы дойти до каждого твоего устройства. То есть технически оператор сервиса может их прочитать.

Это решение, а не недосмотр. Поиск по всему чату, превью в пушах, очередь модерации и встроенные инструменты для групп требуют сервера, который видит текст. Как и обещание тем, кто жалуется на нарушителя: что жалобу посмотрят и ответят. Нигде в приложении, в сторах или на этом сайте ты не найдёшь намёка на «сквозное шифрование», и не найдёшь, пока это неправда.

Если ты защищаешься от самого оператора сервиса, бери инструмент, сделанный под эту задачу. Если от незнакомцев, любопытных знакомых, угонщиков аккаунтов и старых сообщений, которые висят вечно, — это ровно то, что делает Утюг, и бесплатно.

Ещё две честные заметки:

• Блокировки скриншотов нет. Мы пробовали, на реальных устройствах она не держалась, и мы её убрали, чтобы не продавать обещание, которое телефон не выполняет. Навести камеру на экран может кто угодно.
• На жалобу отвечают. Пожалуйся на сообщение или аккаунт, и решение придёт тебе сообщением от живого админа на твоём языке: бан, мут, удалено, предупреждение или «нарушений нет». Тот, на кого ты жаловался, не узнает, кто это был.

Хочешь картину шире? Вот что такое Утюг-чат, а вот честное сравнение с Telegram и WhatsApp.