Hanya Anda dan penerima pesan Anda yang bisa membacanya
Cryptico adalah messenger anonim untuk web, Android, dan iPhone: tanpa nomor telepon, tanpa email, tanpa nama asli. Setiap pesan dienkripsi ujung-ke-ujung, dan kode server tidak bisa membukanya bahkan seandainya kami menginginkannya.
Tanpa pendaftaran, tanpa nomor telepon — langsung terbuka di browser.
Akun adalah sebuah frasa, bukan seorang pribadi
Anda mendaftar tanpa memberi apa pun. Cryptico membuat identitas acak dan frasa pemulihan 12 kata, dan frasa itulah akunnya — semua kunci Anda diturunkan darinya. Tidak ada nomor untuk diverifikasi, tidak ada alamat untuk dikonfirmasi, tidak ada profil yang menautkannya kembali kepada Anda. Nama pengguna bersifat opsional: ambil kalau Anda ingin bisa ditemukan, lewati kalau tidak.
Empat hal yang benar-benar bisa kami pertanggungjawabkan
- 01
Server tidak bisa membaca pesan Anda
Ini sifat dari hasil build, bukan kebijakan. Biner server tidak mengompilasi definisi isi pesan, jadi di dalamnya tidak ada jalur kode yang bisa membukanya. Sebuah pemeriksaan di pipeline kami menggagalkan build jika hal itu tidak lagi berlaku.
check-proto-content-boundary.mjs - 02
Tidak pernah ada pengenal dunia nyata
Tidak ada nomor telepon, alamat email, atau nama asli — tidak di aplikasi, tidak di basis data, tidak di protokol. Pemeriksaan otomatis menolak setiap perubahan yang menambahkannya. Sebuah kolom nomor telepon pernah lolos ke draf kartu kontak; kolom itu dihapus dan slotnya dipensiunkan selamanya.
check-forbidden-columns.mjs - 03
Signal Protocol, dengan kesepakatan kunci pasca-kuantum
PQXDH untuk jabat tangan, Double Ratchet untuk pesan, Sender Keys untuk grup. Setiap sesi menambahkan pertukaran pasca-kuantum Kyber-1024 di atas yang klasik — bukan sebagai pilihan, melainkan di setiap jabat tangan — sehingga lalu lintas yang direkam hari ini tidak menjadi terbaca oleh komputer kuantum di masa depan. Yang berjalan setelah jabat tangan adalah kriptografi konvensional, karena itu kami menyebutnya kesepakatan kunci pasca-kuantum, bukan mengklaimnya dari ujung ke ujung.
libsignal · PQXDH · Kyber-1024 - 04
Panggilan yang tak bisa didengar server kami sendiri
Panggilan satu lawan satu berjalan langsung antarperangkat; tidak ada server yang menyentuh medianya sama sekali. Panggilan grup melewati server media kami, dan setiap frame sudah terenkripsi sebelum sampai ke sana, dengan kunci yang tidak pernah diterima server itu. Sebuah pemeriksaan build menjaga kunci media panggilan tetap sepenuhnya di luar kode server.
check-call-media-key-boundary.mjs
Apa yang benar-benar bisa Anda lakukan dengannya
Sebuah messenger, bukan demonstrasi. Semua di daftar ini ada di dalam produk, di setiap platform yang masuk akal untuknya.
Obrolan yang berperilaku seperti obrolan
Teks dengan sebutan, balasan, suntingan, hapus untuk semua orang, reaksi, teruskan, pilih banyak, dan markah pribadi. Tanda terkirim dan dibaca, indikator sedang mengetik, draf, pencarian dalam satu obrolan maupun lintas semuanya. Jajak pendapat, daftar centang, titik peta, dan kartu kontak saat teks biasa tidak cukup.
Grup hingga 128 anggota
Buat grup, tambah dan keluarkan orang, undang lewat tautan dengan masa berlaku dan batas pemakaian, sebut satu orang atau semuanya. Server menyebarkan pesan ke semua anggota dan tidak pernah tahu nama grup, deskripsinya, atau dari mana namanya berasal.
Berkas, foto, dan suara
Delapan jenis lampiran hingga 100 MiB masing-masing — foto, video, pesan suara, catatan video, berkas, GIF, stiker, audio — lengkap dengan album dan spoiler. Setiap berkas dikunci di perangkat Anda dengan kuncinya sendiri yang sekali pakai dan diperiksa dari perusakan sebelum dibuka.
Mini-app di dalam messenger
Katalog, pemasangan sekali ketuk, dan runtime tersandbox, ditambah konsol pengembang dan tombol laporan anonim. Aplikasi yang checksum-nya tidak cocok dengan manifesnya tidak akan berjalan sama sekali.
Pemblokiran yang benar-benar memblokir
Pesan dari pengirim yang diblokir tidak pernah sampai kepada Anda di obrolan pribadi, dan ia tidak pernah tahu bahwa pesannya tidak sampai. Blokir berlaku 180 hari, dan setiap upaya menulis memperpanjangnya.
Hingga sepuluh perangkat pada satu akun
Tautkan perangkat baru dengan frasa, lihat seluruh daftarnya, lepaskan salah satunya — bahkan saat Anda tidak punya sesi aktif yang tersisa. Kontak, folder, daftar obrolan, blokir, dan pengaturan berpindah dalam keadaan terenkripsi. Arsip pesan Anda sebagian besar tidak; yang itu ada di bagian “yang tidak kami janjikan”.
Panggilan, satu lawan satu maupun grup
Audio dan video, kamera depan dan belakang, hingga delapan petak video sekaligus, angkat tangan, bagikan layar, indikator mikrofon dan kamera di setiap petak. Media melewati relai secara bawaan, jadi pihak lain tidak pernah melihat alamat Anda.
Folder, sematan, dan obrolan yang senyap
Folder berbasis aturan, obrolan tersemat, obrolan dibisukan, tampilan media bersama, dan spanduk koneksi yang mengatakan apa adanya tentang sambungan Anda. Sebutan tetap menembus obrolan yang dibisukan — yang satu itu memang disengaja.
Bagaimana ini sebenarnya bekerja
Versi singkatnya, untuk orang yang ingin memeriksa alih-alih percaya begitu saja.
- Jabat tangan
- PQXDH: Curve25519 ditambah pra-kunci Kyber-1024, di setiap sesi tanpa kecuali, sehingga kesepakatan kunci tahan kuantum sejak pesan pertama.
- Pesan
- Double Ratchet: setiap pesan menggerakkan kunci maju, sehingga kunci yang didapat belakangan tidak membuka apa yang sudah lewat.
- Grup
- Sender Keys, hingga 128 anggota. Server tahu daftar anggota karena harus menyebarkan pesan; server tidak tahu nama grupnya.
- Panggilan grup
- Frame dienkripsi sebelum sampai ke server media kami. Kuncinya dibuat oleh perangkat yang memulai panggilan, dibagikan oleh messenger itu sendiri, dan dirotasi setiap kali ada yang bergabung atau keluar.
- Berkas dan foto
- AES-256-GCM dengan kunci baru untuk tiap berkas, dibawa di dalam amplop terenkripsi, serta pemeriksaan SHA-256 sebelum apa pun didekripsi. Penyimpanan menyimpan byte yang tidak bisa ditafsirkannya.
- Di perangkat Anda
- Basis data pesan lokal terenkripsi saat tersimpan — SQLCipher di Android dan iPhone, AES-256-GCM di browser.
- Frasa pemulihan Anda
- Dua belas kata. Setiap kunci akun diturunkan darinya: BIP39, lalu Argon2id dengan 64 MiB dan tiga lintasan untuk setiap tebakan, itulah yang membuat serangan tebak-paksa tidak ekonomis. Server tidak menyimpan apa pun yang bisa membalikkannya.
- Memverifikasi lawan bicara
- Nomor keamanan 60 digit untuk tiap percakapan, dan kode enam digit yang muncul di dalam panggilan untuk dibacakan salah satu dari Anda. Kode panggilan dihitung dari koneksi itu saja, jadi selalu berbeda setiap kali.
- Kunci aplikasi
- PIN empat digit yang dibungkus Argon2id dan AES-256-GCM, lima percobaan, biometrik bila perangkat menyediakannya, dan kunci otomatis saat menganggur. PIN membuka perangkat; frasa memiliki akunnya.
- Pengaturan dan kontak
- Disinkronkan sebagai ciphertext dengan kunci yang diturunkan dari frasa pemulihan Anda — bahkan nama tiap catatan berupa hash berkunci, bukan teks. Server menyimpan gumpalan data buram, bukan kolom.
- Pustaka
- Android dan iPhone memakai pustaka resmi Signal. Signal sama sekali tidak menerbitkan build-nya untuk browser, jadi mesin web kami kompilasi sendiri dari sumber milik Signal, dipatok ke versi persis — satu baris diubah agar bisa dibangun di sini, dan tidak ada yang disentuh di bagian kriptografinya.
Yang tidak kami janjikan
Halaman depan setiap messenger memberi tahu apa yang dilindunginya. Yang ini juga memberi tahu apa yang tidak, karena bagian yang tidak bisa kami perbaiki justru bagian yang paling perlu Anda ketahui.
Kami bisa melihat siapa berbicara dengan siapa
Enkripsi ujung-ke-ujung menyembunyikan apa yang Anda katakan, bukan fakta bahwa Anda mengatakannya. Untuk mengirimkan pesan, server harus tahu siapa penerimanya dan kapan. Server juga menyimpan keanggotaan grup, karena penyebaran pesan mustahil tanpa itu. Kami tidak bisa jujur mengklaim bahwa kami tidak tahu siapa berbicara dengan siapa. Yang bisa kami klaim adalah kami tidak pernah melihat isinya, dan kode server bahkan tidak bisa menguraikannya.
Notifikasi push membocorkan waktu ke Google dan Apple
Notifikasi Android melewati Firebase Cloud Messaging dan notifikasi iPhone melewati layanan Apple. Push itu tidak membawa teks maupun pengirim — tetapi penyedianya melihat perangkat mana yang dibangunkan dan pada jam berapa, dan itu cukup untuk merekonstruksi siapa berbicara dengan siapa lewat korelasi waktu. Anonimitas akun tidak mencakup fakta dan waktu komunikasi selama layanan pihak lain menjadi pengangkut sinyal pembangun.
Riwayat Anda nyaris tidak ikut berpindah
Masuk di perangkat baru memulihkan identitas, profil, kontak, folder, daftar obrolan, blokir, dan sebagian pengaturan Anda — tetapi bukan arsip pesan Anda. Orang-orang yang Anda ajak bicara mengirim ulang irisan dangkalnya, tidak lebih dalam dari 30 hari, dan hanya itu yang ada. Tidak ada cadangan riwayat Anda di sisi server, dan itu memang disengaja.
Kehilangan frasa berarti tak seorang pun bisa menolong Anda
Dukungan tidak bisa memasukkan Anda kembali, karena di sisi kami tidak ada apa pun untuk melakukannya — tidak ada nomor, alamat, maupun petunjuk kata sandi. Dua belas kata adalah keseluruhan akun. Itulah harga dari semua isi halaman ini, dan kami lebih suka Anda mengetahuinya sebelum mendaftar daripada sesudahnya.
Kami menyimpan log, hanya bukan tentang Anda
Kami menyimpan log operasional layanan, tanpa isi pesan, tanpa badan ciphertext, tanpa kunci, dan tanpa frasa pemulihan. "Tanpa log sama sekali" akan menjadi pernyataan yang keliru; "tanpa konten di dalam log" itu benar, dan itulah janji yang kami buat.
Di mana ia berjalan
Web
Terbuka di browser mana pun, tanpa perlu memasang apa pun. Seluruh 24 bahasa antarmuka ada di sini.
Buka aplikasi webterbuka di tab baruiPhone
Aplikasi native: obrolan, grup, panggilan, pesan suara, dan mini-app.
Pasang di iPhoneterbuka di tab baruAndroid
Aplikasi native, dengan obrolan, grup, dan panggilan yang sama di ponsel Anda.
Pasang di Androidterbuka di tab baru
Pertanyaan yang benar-benar ditanyakan orang
Berapa biayanya?
Tidak ada. Tidak ada tingkat berbayar, tidak ada iklan, dan tidak ada tawaran tambahan — batasannya hanya bersifat teknis, seperti 100 MiB per berkas dan 30 hari penyimpanan untuknya. Jika suatu saat ada tingkat berbayar, kami akan mengatakannya sebelum itu terjadi, bukan sesudahnya.
Apakah kodenya publik?
Belum. Kode akan diterbitkan begitu pengembangan sudah mapan. Sampai hari itu tiba, kami tidak menyebut diri kami open source — Anda tidak bisa memverifikasi klaim itu, dan kami tidak akan meminta Anda menerimanya begitu saja. Ketika repositorinya menjadi publik, alamatnya akan ada tepat di sini.
Apa yang terjadi kalau saya kehilangan frasa pemulihan?
Akunnya hilang. Tidak ada tautan atur ulang dan tidak ada cara bagi dukungan untuk memasukkan Anda kembali — jalur pemulihan yang kami kendalikan juga akan menjadi jalan masuk bagi orang lain.
Siapa yang bisa mengirimi saya pesan?
Seseorang perlu nama pengguna Anda, tautan undangan yang Anda bagikan, atau kode QR Anda. Kalau Anda lebih suka tidak bisa ditemukan sama sekali, jangan ambil nama pengguna. Anda bisa memblokir siapa pun, dan pengirim yang diblokir berhenti menjangkau Anda.
Bisakah saya memastikan bahwa saya berbicara dengan orang yang tepat?
Bisa, dengan dua cara. Setiap percakapan punya nomor keamanan 60 digit yang bisa dibandingkan kedua pihak sekali saja, dan selama panggilan kedua layar menampilkan kode enam digit yang sama — satu membacakannya, satunya memeriksa. Kode panggilan selalu baru di tiap panggilan.
Bisakah saya memakainya di lebih dari satu perangkat?
Bisa, hingga sepuluh perangkat. Masing-masing ditautkan dengan frasa pemulihan, dan mana pun bisa dilepas dari daftar. Kontak, folder, daftar obrolan, dan pengaturan berpindah dalam keadaan terenkripsi; arsip pesan Anda sebagian besar tidak.
Apakah kalian memprofilkan saya atau menjual sesuatu?
Tidak ada iklan dan tidak ada penjualan data. Halaman ini sama sekali tidak memuat analitik maupun skrip pihak ketiga — tidak ada satu pun permintaan yang keluar ke server orang lain.
Beri tahu saya kalau sudah siap
Satu pesan, pada hari ketika ada sesuatu yang layak dipasang. Tanpa buletin, tanpa rangkaian email otomatis, dan tanpa layanan surat pihak ketiga — alamatnya tetap di basis data kami sendiri dan tidak ke mana-mana.
Kami tidak mengirim konfirmasi, jadi salah ketik berarti kesunyian. Periksa alamatnya sebelum Anda mengirimkannya.
