Hier einmal gesagt statt bei jeder Funktion, weil es für alle gilt.
Alles, was du in eine Unterhaltung gibst — Worte, Bilder, einen Standort, eine Reaktion, die Tatsache, dass du etwas gelesen hast — geht an die Person, mit der du sprichst. Das ist die Funktion, kein Leck. Ein Risiko ist es nur, wenn du nicht sicher bist, wer sie ist, und genau dafür ist das Verknüpfen da: Verknüpfen zeigt, wie man sicher wird, und das Card sagt Verknüpft, sobald du es bist.
Der Rest dieser Seiten wiederholt das deshalb nicht. Was sie sagen, in einem Satz, ist dort, wo eine Funktion etwas darüber hinaus preisgibt: an das Netzwerk, in dem du bist, an unseren Server, an Apple oder Google, oder an eine Firma, die nicht wir sind. Diese Sätze sind absichtlich kurz und stehen da, damit dich später nichts überrascht, nicht um dir etwas auszureden.
CHANNEL lädt nie Kontakte hoch. Ein Kontakt existiert in CHANNEL, weil du ihn eingetippt, importiert oder mit ihm verbunden hast. Kontakte › Telefon kann das eigene Adressbuch deines Telefons zeigen, damit du jemanden finden kannst, ohne ihn neu einzutippen: Es wird nur gelesen, während dieser Tab offen ist, nie gespeichert und nirgendwohin gesendet, und nur die Person, die du bewusst importierst, wird behalten.
Einstellungen › Privatsphäre › Personen beim Teilen vorschlagen zeigt die Personen, denen du schreibst, oben im Teilen-Menü deines Telefons, und ein Tipp auf eine davon öffnet CHANNEL mit dieser Person bereits ausgewählt. Es ist aus, bis du es einschaltest. Dafür erfährt das System deines Telefons, wem du schreibst und wie oft. Solange App-Sperre oder eine App-PIN aktiv ist, geschieht nichts, und das Ausschalten löscht diese Aufzeichnung.
Nichts hindert die andere Person daran, einen Screenshot zu machen, aufzunehmen oder zu fotografieren, was du ihr schickst, und CHANNEL würde das nicht wissen. Dafür gibt es keine Einstellung, weil eine Einstellung hier niemanden vor niemandem schützen würde.
Was auf diesem Telefon immer geschützt ist: ein Einmal ansehen-Bild, während es auf dem Bildschirm ist, der Verbindungs-QR-Code, und jeder Bildschirm, auf dem ein Geheimnis eingetippt wird — das PIN-Feld, der Notfallcode, die Backup-Passphrase und ein AI-Schlüssel. Eine Aufnahme davon ist leer, und die leere Seite sagt, warum. Die Karte im App-Wechsler ist ebenfalls leer.
Was nicht geschützt ist: deine Unterhaltungen und deine Kontakte. Einen Screenshot von deiner eigenen Unterhaltung zu machen ist gewöhnlich, und die Privatsphäre dieser App beruht darauf, was das Telefon verlässt, nicht darauf, ihren Besitzer am Fotografieren zu hindern. Die eine Ausnahme ist eine Unterhaltung mit eingeschaltetem Erweiterter Chat-Schutz, den ein Android-Telefon tatsächlich schützt — siehe Nachrichten.
Nichts, außer du sagst es. Eine Benachrichtigung nennt das Profil, in dem eine Nachricht angekommen ist, und nicht mehr. Vorschauen — wer geschrieben hat, und was sie gesagt haben — sind anfangs aus, und sie einzuschalten braucht zwei Schalter: einen auf der Seite des Kontakts und einen für das Profil, und der des Profils ist eine Obergrenze. Eine Unterhaltung mit eingeschaltetem Erweiterten Chat-Schutz zeigt keine Vorschau, egal was die Schalter sagen.
Vorlesen im Menü für langes Drücken auf eine Nachricht benutzt die eigene Stimme des Telefons, offline. Die Worte werden nirgendwohin gesendet, um gesprochen zu werden.
Einstellungen › Privatsphäre › App ausblenden, wenn du sie verlässt macht die Karte im App-Wechsler zu einer leeren, granatroten Seite statt zu deinen Unterhaltungen. Es ist an, solange du es nicht ausschaltest. Auf einem Android-Telefon lehnt derselbe Schalter auch Screenshots in CHANNEL ab, weil es dort eine Einstellung ist und nicht zwei. Eine auf den Bildschirm gerichtete Kamera sieht weiterhin alles.
Einstellungen › App-Sperre › Face ID verlangt die eigene Entsperrung des Telefons, ob das nun ein Gesicht, ein Fingerabdruck oder ein Code ist, um CHANNEL zu öffnen, und erneut, nachdem es eine Weile im Hintergrund war.
Einstellungen › App-Sperre › App-PIN fügt einen eigenen Code hinzu. Er funktioniert sogar auf einem Telefon ganz ohne Sperre, und er wird vor allem anderen abgefragt. Ein Gesicht allein öffnet ein PIN-geschütztes CHANNEL nie. Ist auch Face ID an, kommt zuerst die PIN, dann das Gesicht oder der Fingerabdruck. Die PIN wird nie gespeichert; ein langsamer Hash von ihr schon. Drei falsche Versuche starten eine Verzögerung, die sich verdoppelt.
Niemand kann diese PIN wiederherstellen. Du nicht, wir nicht. Wir halten sie nie — nur einen langsamen Hash, der eine Antwort prüfen, aber keine erzeugen kann. Es gibt kein Konto, keine hinterlegte E-Mail-Adresse und niemanden, an den du dich wenden könntest. Vergisst du sie, sind die Nachrichten auf diesem Telefon weg.
Wähl also eine, die du auch in sechs Monaten noch kennst, und erstell eine Sicherung, bevor du sie festlegst (Einstellungen › Backup), aufbewahrt an einem Ort, den du ohne diese App erreichst.
Dieser Preis ist auch, warum CHANNEL weniger von einer PIN verlangt als eine Website. Nur zwei werden abgelehnt:
Das sind die ersten beiden Dinge, die jeder probiert. Alles andere gehört dir, Wiederholungen eingeschlossen: 1223, 7788 und 1911 sind alle in Ordnung. Eine Regel, die sie verböte, würde dich zu einem Code drängen, den du aufschreibst oder vergisst, und Vergessen ist das Ergebnis, das dich alles kostet.
Vier Ziffern reichen. Sechs sind besser, wenn du sie dir merken kannst — und möchtest du lieber Worte, schalte Buchstaben und Zahlen verwenden an und tipp stattdessen eine Phrase ein.
Das Erraten ist bereits anderswo geregelt: Die Verzögerung nach falschen Versuchen verdoppelt sich, und das Prüfen eines Versuchs ist absichtlich langsam. Eine längere PIN bringt darüber hinaus sehr wenig. Alles hängt davon ab, dass du sie dir merkst.
Die PIN wird nicht auf ein verknüpftes Gerät kopiert. Jedes bekommt seine eigene, sodass eine Entsperrung hier dort nie etwas entsperrt, und ein verlorenes Gerät gibt die anderen nicht preis.
Beide sind aus, bis du sie einschaltest, unter Einstellungen › App-Sperre, und beide sind für ein Gerät gedacht, das jemand anderes in der Hand haben könnte.
Für Profilwechsel nach PIN fragen. Der Profilwähler ist eine Liste von Identitäten, die du absichtlich getrennt hältst, und ohne diesen Schalter öffnet sich jede davon mit einem Tipp. Schalt ihn an, und ein Wechsel fragt zuerst nach der App-PIN — sogar bei einem Profil ohne eigene Sperre, denn geschützt wird der Wechsel, nicht das Ziel.
Das ist der Fall des geliehenen Tablets. Unter einem Login gibt es für CHANNEL keine Möglichkeit, zwei Personen zu unterscheiden, also ist die PIN die einzige Trennung, die es gibt.
Vor dem Löschen nach PIN fragen. Einen Kontakt, eine Unterhaltung oder ein Profil zu löschen fragt zuerst nach der App-PIN und dann trotzdem noch, ob du das wirklich gemeint hast. Zwei verschiedene Fragen: ob du darfst, und ob du es so gemeint hast.
Es gibt keine Karenzzeit bei beidem. Die App-Sperre wartet vor der erneuten Abfrage eine Minute, damit ein kurzer Weg, um einen Code abzuschreiben, dich keine Entsperrung kostet; diese Überlegung gilt nicht für etwas, das nichts rückgängig machen kann. Ein Löschen hier ist echt — der Eintrag ist weg, nicht nur markiert —, deshalb ist das Fragen der ganze Schutz.
Keines der beiden benutzt dein Gesicht oder deinen Fingerabdruck. Auf einem geteilten Gerät stehen die oft demjenigen zur Verfügung, der es gerade in der Hand hat; die PIN ist der Teil, der das nicht tut.
Ein Profil kann einen eigenen Code haben, getrennt von dem der App. Tipp unter Einstellungen › Privatsphäre, mit eingeschaltetem Dieses Profil, auf Profil-PIN festlegen. Einmal gesetzt, liest die Zeile Profil-PIN ändern, und Profil-PIN entfernen erscheint darunter.
Es ist wirklich ein zweiter Code: eigenes Salt, eigene Zählung falscher Versuche, eigene Verzögerung. An der Tür eines Profils zu raten sperrt nicht die App, und die PIN der App zu kennen öffnet nicht das Profil. Der Sinn mehrerer Profile ist, dass sie getrennt sind, und ein Code für alle würde diese Trennung nur für jemanden echt aussehen lassen, der dich einmal beim Eintippen beobachtet hat.
Die Reihenfolge folgt der der App. Die App zu öffnen fragt nach der App-PIN, dann nach Gesicht oder Fingerabdruck. Ein geschütztes Profil zu öffnen fragt nach der Profil-PIN, dann, falls Dieses Profil sperren an ist, nach dessen Gesicht oder Fingerabdruck. Ein Gesicht allein öffnet nie eine Identität, die ein zweites Geheimnis verlangt hat.
Ein Unterschied zur Sperre der App ist Absicht: Der Eingangsbildschirm des Profils nennt das Profil, was der eigene Sperrbildschirm der App nie tut.
Ein Profil mit eigener PIN oder mit eingeschaltetem Dieses Profil sperren wird überall abgefragt, wo ein anderes Profil es erreichen kann, nicht nur in der Profilauswahl:
Das Profil, in dem du bist, wurde schon geöffnet, darum gilt nichts davon für es.
Ein Profil mit eigener PIN kann einen eigenen Notfallcode haben: Profil-Notfallcode, unter Profil-PIN entfernen. Wie jeder Code in CHANNEL ist er freiwillig, und nichts fordert dich auf, einen festzulegen.
An der Stelle eingegeben, an der dieses Profil nach seiner PIN fragt, öffnet er das Profil genau wie die PIN. Wenn es sich öffnet, sind die Unterhaltungen und Kontakte dieses Profils weg: jede Nachricht, jede Karte außer der eigenen des Profils, ihre Bilder, die Anhänge und offene Einladungen. Ein Anruf an es wird beendet. Das Profil bleibt, mit seinem Namen, seiner PIN und seiner eigenen Karte, und jedes andere Profil auf dem Telefon bleibt unberührt. Nichts auf dem Bildschirm sagt, was passiert ist, und nichts wird an irgendwen gesendet.
Der Notfallcode der App ist derjenige, der das ganze Telefon leert.
Ein Profil zu löschen nimmt seine PIN und seinen Notfallcode mit.
Eine Karte gehört zu dem Profil, in dem sie entstanden ist. Jemand, der dir in einem Profil schreibt, wird dort hinzugefügt und nirgendwo sonst, und ein Kontakt, den du von Hand eintippst, ist genauso: Zwei Profile auf einem Telefon teilen nichts, außer du sagst es.
Die Karte selbst sagt, zu welchem sie gehört, unter Anzeigen in, und du kannst es dort ändern, ohne den Editor zu öffnen. Sie fragt zuerst nach, weil diese Einstellung entscheidet, wer die Karte dieser Person sehen kann, und ein versehentlicher Tipp sie nicht stillschweigend erweitern sollte. So oder so bleiben ihre Nachrichten in dem Profil, in dem sie angekommen sind; eine Unterhaltung wird nie zwischen Profilen geteilt, nur die Karte.
Eine Karte lebt in einem Profil. Wenn Sie dieser Person aus einem anderen schreiben möchten, öffnen Sie dort ihre Karte und wählen Sie Aus diesem Profil schreiben.
Kopiert wird, was auf der Karte steht — der Name, die Nummern, die Adressen — und sonst nichts. Schlüssel werden nie kopiert, und auch nicht, wie sicher sich die App der Identität ist, denn beides sind Tatsachen über die Kopplung, die jenes Profil gemacht hat, und nicht über die Person. Das neue Profil beginnt also einen gewöhnlichen Erstkontakt: die andere Person wird gefragt, wie eine fremde, und ihr wird nichts darüber gesagt, dass Sie es wieder sind.
Dieser Preis ist das Feature, das richtig arbeitet. Ein Profil, das die Kopplung des anderen erbte, würde der anderen Person sagen, dass zwei Profile eine Person sind — genau das Einzige, wozu Profile da sind, um es zu vermeiden.
Ändern Sie den Namen oben auf ihrer Karte in einen beliebigen. Dieses Profil zeigt dann diesen Namen, eine Karte, die die Person schickt, ersetzt nie einen Namen, den Sie gewählt haben, und kein anderes Profil ist betroffen.
Das ändert einen Namen in einer Liste und sonst nichts. Eine Mitteilung kann die Nachricht weiterhin zitieren, ein Screenshot zeigt weiterhin den Verlauf, und wer dieses Profil öffnet, liest alles. Es schützt einen Blick auf eine Liste von Unterhaltungen, was man durchaus wollen kann, und es ist kein Schloss.
Wenn dieser Blick die Sorge ist, schalten Sie auf ihrer Karte auch die Vorschauen für diese Person aus, denn ein anderer Name mit eingeschalteten Vorschauen ist genau die Falle, die das sonst wäre.
Unter einem Login trennt das Betriebssystem zwei Personen nicht. Alles, was CHANNEL hält, ist für jeden erreichbar, der das Gerät gerade hält. Die PIN ist hier keine Annehmlichkeit; sie ist die gesamte Trennung.
Schalt Andere nutzen dieses Gerät unter Einstellungen › App-Sperre ein. Dieser eine Schalter tut, wofür sonst drei Einstellungen nötig wären: Die App sperrt sich in dem Moment, in dem sie den Bildschirm verlässt, ohne Karenzzeit, und jeder Profilwechsel fragt nach der PIN. Es ist absichtlich ein Schalter — ein Tablet herumzureichen sollte nicht bedeuten, herauszufinden, welche Einstellungen sich zu dem Schutz addieren, den du willst.
Gib dann jedem Profil einer Person seine eigene PIN, unter Einstellungen › Privatsphäre mit ausgewähltem Dieses Profil. Diese eine Einstellung tut drei Dinge:
Schalt auf derselben Seite Vor dem Löschen nach PIN fragen ein. Löschen ist hier echt — der Eintrag ist weg, und nichts stellt ihn wieder her —, deshalb ist das Fragen der ganze Schutz.
Deine Kontakte und Unterhaltungen sind ohnehin zwischen den Profilen getrennt, ob du eine PIN setzt oder nicht -- jedes Profil führt seine eigenen. Bei der PIN geht es darum, wer ein Profil öffnen kann, nicht darum, die Listen auseinanderzuhalten.
Die ehrliche Grenze. Nichts davon macht ein geteiltes Gerät privat. Wer es hält, sieht trotzdem, dass CHANNEL installiert ist, dass Profile existieren, und dass Nachrichten ankommen. Ein Profil, auf das es wirklich ankommt, gehört nicht auf ein Gerät, das andere mitbenutzen, und keine Einstellung auf dieser Seite ändert das.
Der Notfallcode der App gehört auch hierher: Er zerstört alles, was CHANNEL auf dem Gerät hält, auf einem geteilten also das von allen. Der eigene Notfallcode eines Profils erreicht nur dieses Profil.
Notfallcode, unter derselben Überschrift, ist ein zweiter Code, und er erscheint erst, sobald eine PIN gesetzt ist. Gibst du ihn statt deiner PIN ein, tut er auf dem Bildschirm genau das, was deine PIN tut: Die App öffnet sich. Verändert hat sich bis dahin, dass alles, was CHANNEL auf diesem Telefon hielt, weg ist -- zuerst der Schlüssel, der die Speicher versiegelt, dann die Identitäten, dann jede Datei -- und die App, die du vor dir hast, ist leer. Nichts sagt, dass gelöscht wurde, und es gibt nichts weiter zu tippen. Es gibt keinen Bestätigungsschritt, und das ist der Sinn: Ein zweiter Tipp ist etwas, das jemand neben dir sehen und unterbrechen kann, und er würde den Notfallcode anders aussehen lassen als deinen echten. Der Preis dafür: Die Eingabe wirkt sofort und lässt sich nicht zurücknehmen. Eine anderswo aufbewahrte Kopie, etwa eine Sicherung oder ein anderes Telefon, bleibt unberührt.
Jeder Speicher, den CHANNEL schreibt, ist mit einem Schlüssel versiegelt, der die sichere Hardware dieses Telefons nie verlässt. Eine kopierte Datei, ein Disk-Image oder eine gestohlene Sicherung ergeben ohne ihn nichts.
Sonst nichts. Keine Analysen, keine Absturzberichte, keine Nutzungssignale, und die Hilfe kontaktiert niemanden, außer du tippst auf Holen.
Die gesamte Hilfe steckt in der App und funktioniert für immer, ohne dass irgendetwas verbunden ist. Wenn es neuere Seiten gibt, sagt eine Zeile oben in der Hilfe Updated help is available und bietet Holen an.
Das zu wissen kostet nichts: Die App erfährt es aus einer Abfrage, die sie ohnehin für deine Post macht, es gibt also keine zusätzliche Verbindung und kein neues Muster, das irgendjemand beobachten könnte. Die Hilfe prüft nicht beim Start oder nach einem Zeitplan, denn eine Anfrage nach Zeitplan würde melden, wenn du die App öffnest, egal ob jemand mitzählt.
Es wird nichts heruntergeladen, bevor du auf die Schaltfläche tippst, und das Blatt sagt klar, was das Tippen bewirkt. Es kontaktiert unsere öffentliche Website, channelmessenger.net, und dieser Server sieht deine Adresse. Sonst wird nichts gesendet, und die Hilfe funktioniert auch ohne. Wenn das dort, wo du bist, wichtig ist, tu es in einem Netzwerk, das nicht deines ist.
Unser Server verrät nie, wo die Seiten liegen, nur dass es neuere gibt, und die App schreibt sie erst, wenn jede Seite vollständig da ist, sodass ein Download, der auf halbem Weg abbricht, die Hilfe, die du hast, so lässt, wie sie war.
Einstellungen › KI-Funktionen nimmt Mein eigener Server als Anbieter: eine Maschine, die du betreibst, meist über ein eigenes privates Netzwerk erreicht. Nichts davon erreicht uns. Wir erfahren nie die Adresse, die Anfrage berührt unseren Server nie, und die Worte gehen an deinen Rechner und bleiben dort. Siehe Einstellungen.
Schaltest du Als Kontakt chatten für ein AI-Konto ein, ist dieser Kontakt eine Unterhaltung mit deinem eigenen Anbieter-Konto und sonst nichts. Ihm wird in seinen Anweisungen gesagt, dass es nur diese Unterhaltung sehen kann, dass es kein Gedächtnis für deine anderen Sitzungen hat, keinen Zugriff auf deine Kontakte, deinen Standort oder dein Telefon, dass es niemandem eine Nachricht schicken oder irgendeine Aktion ausführen kann, und dass es dich nie nach einem Passwort, einem Schlüssel oder einem Code fragen darf. Sonst wird ihm nie etwas von diesem Telefon gesendet. Nur du kannst ihm schreiben, und es kann niemanden erreichen.
Anfragen werden pro Konto gezählt, damit du sehen kannst, wofür ein Konto benutzt wurde.
Der englische Text ist die verbindliche Fassung; eine Übersetzung ist nur eine Hilfe. Die Hilfe liegt auf diesem Telefon und nimmt mit niemandem Kontakt auf.