Detto qui una volta invece che su ogni funzione, perché vale per tutte.
Tutto ciò che metti in una conversazione — parole, foto, una posizione, una reazione, il fatto che hai letto qualcosa — arriva alla persona con cui stai parlando. Quella è la funzione, non una falla. È un rischio solo se non sei sicuro di chi sia, ed è a questo che serve il collegamento: Collegamento spiega come esserne certi, e la scheda dice Collegato quando lo sei.
Quindi il resto di queste pagine non lo ripete. Quello che dicono, in una frase, è dove una funzione espone qualcosa oltre a questo: alla rete su cui ti trovi, al nostro server, ad Apple o Google, o a un'azienda che non siamo noi. Quelle frasi sono brevi di proposito e servono perché niente ti sorprenda dopo, non per dissuaderti.
CHANNEL non carica mai i contatti. Un contatto esiste in CHANNEL perché l'hai digitato, importato, o ti sei associato con lui. Contatti › Telefono può mostrare la rubrica del tuo telefono così puoi trovare qualcuno senza doverlo ridigitare: è di sola lettura finché quella scheda è aperta, non viene mai salvata e non viene mai inviata da nessuna parte, e viene conservata solo la persona che scegli di importare.
Impostazioni › Privacy › Suggerisci persone quando condividi mette le persone a cui scrivi in cima al menu Condividi del telefono, e toccandone una si apre CHANNEL con quella persona già scelta. È disattivato finché non lo attivi. Per farlo, il sistema del telefono viene a sapere a chi scrivi e quanto spesso. Non fa nulla finché il blocco app o un PIN dell'app è attivo, e disattivarlo cancella quella registrazione.
Nulla impedisce all'altra persona di fare uno screenshot, una registrazione, o una foto di quello che le invii, e CHANNEL non lo saprebbe. Non c'è un'impostazione per questo, perché un'impostazione qui non proteggerebbe nessuno da nessuno.
Cosa è protetto su questo telefono, sempre: un'immagine a vista unica mentre è sullo schermo, il codice QR di associazione, e ogni schermata dove si digita un segreto, che sono la tastiera del PIN, il codice di emergenza, la passphrase di backup e una chiave AI. Una cattura di una di queste è vuota, e la pagina vuota dice perché. Anche la scheda nello switcher delle app è vuota.
Cosa non è protetto: le tue conversazioni e i tuoi contatti. Fare uno screenshot della tua stessa chat è normale, e la privacy di questa app si basa su cosa esce dal telefono, non su impedire al proprietario di fotografarla. L'unica eccezione è una conversazione con Privacy avanzata della chat attiva, che su un telefono Android viene protetta — vedi Messaggi.
Niente, a meno che tu non lo dica. Una notifica nomina il profilo in cui è arrivato un messaggio e nient'altro. Le anteprime — chi ha scritto, e cosa ha detto — sono disattivate all'inizio, e attivarle richiede due interruttori: uno sulla pagina del contatto e uno per il profilo, e quello del profilo è un tetto massimo. Una conversazione con Privacy avanzata della chat attiva non mostra anteprima di nulla, qualunque cosa dicano gli interruttori.
Leggi ad alta voce nel menu a tocco lungo di un messaggio usa la voce del telefono stesso, offline. Le parole non vengono inviate da nessuna parte per essere pronunciate.
Impostazioni › Privacy › Nascondi CHANNEL quando la lasci rende la scheda nello switcher delle app una pagina granata vuota invece delle tue conversazioni. È attivo finché non lo disattivi. Su un telefono Android lo stesso interruttore rifiuta anche gli screenshot dentro CHANNEL, perché lì è una sola impostazione e non due. Una fotocamera puntata sullo schermo vede comunque tutto.
Impostazioni › Blocco app › Face ID richiede lo sblocco del telefono stesso, che sia un volto, un'impronta o un codice, per aprire CHANNEL, e di nuovo dopo che è stato in background per un po'.
Impostazioni › Blocco app › PIN dell'app aggiunge un codice tuo. Funziona anche su un telefono senza alcun blocco, e viene chiesto prima di qualsiasi altra cosa. Un volto da solo non apre mai un CHANNEL protetto da PIN. Con anche Face ID attivo, viene prima il PIN, poi il volto o l'impronta. Il PIN non viene mai conservato; ne viene conservato un hash lento. Tre tentativi sbagliati avviano un ritardo che raddoppia.
Nessuno può recuperare questo PIN. Non tu, non noi. Non lo teniamo mai — solo un hash lento che può verificare una risposta e non può produrne una. Non c'è un account, nessuna email registrata e nessuno a cui rivolgersi. Dimenticalo e i messaggi su questo telefono sono spariti.
Quindi scegline uno che ricorderai ancora tra sei mesi, e fai un backup prima di impostarlo (Impostazioni › Backup), conservato da qualche parte che puoi raggiungere senza questa app.
Quel costo è anche il motivo per cui CHANNEL chiede meno a un PIN di quanto faccia un sito web. Solo due sono rifiutati:
Sono le prime due cose che chiunque prova. Tutto il resto è tuo, ripetizioni incluse: 1223, 7788 e 1911 vanno tutte bene. Una regola che le vietasse ti spingerebbe verso un codice che scrivi da qualche parte o dimentichi, e dimenticarlo è l'esito che ti costa tutto.
Quattro cifre bastano. Sei sono meglio se te le ricorderai — e se preferisci le parole, attiva Usa lettere e numeri e digita una frase invece.
Indovinare è già gestito altrove: il ritardo dopo i tentativi sbagliati raddoppia, e controllare un tentativo è deliberatamente lento. Un PIN più lungo aggiunge molto poco sopra a questo. Ricordarlo aggiunge tutto.
Il PIN non viene copiato su un dispositivo collegato. Ognuno ha il proprio, così sbloccare qui non sblocca mai lì, e un dispositivo che perdi non consegna gli altri.
Entrambi sono disattivati finché non li attivi, in Impostazioni › Blocco app, ed entrambi sono per un dispositivo che qualcun altro potrebbe tenere in mano.
Chiedi il PIN per cambiare profilo. Il selettore di profilo è un elenco di identità che tieni apposta separate, e senza questo se ne apre una qualsiasi con un tocco. Attivalo e cambiare chiede prima il PIN dell'app — anche verso un profilo che non ha un proprio blocco, perché quello che viene protetto è il cambio, non la destinazione.
Questo è il caso del tablet prestato. Sotto un unico accesso, il telefono o il tablet non dà a CHANNEL modo di distinguere due persone, quindi il PIN è l'unica separazione che c'è.
Chiedi il PIN prima di eliminare. Eliminare un contatto, una conversazione o un profilo chiede prima il PIN dell'app, e poi chiede comunque se intendevi proprio quello. Due domande diverse: se sei autorizzato a farlo, e se lo intendevi davvero.
Non c'è nessun periodo di tolleranza su nessuno dei due. Il blocco dell'app aspetta un minuto prima di chiedere di nuovo, così uscire per copiare un codice non ti costa uno sblocco; quel ragionamento non si applica a qualcosa che nulla può annullare. Un'eliminazione qui è reale — il record se ne va, non un semplice contrassegno — quindi essere avvisati è l'unica protezione.
Nessuno dei due usa il tuo volto o la tua impronta. Su un dispositivo condiviso quelli sono spesso disponibili a chiunque lo tenga in mano; il PIN è la parte che non lo è.
Un profilo può avere un codice tutto suo, separato da quello dell'app. In Impostazioni › Privacy, con Questo profilo attivo, tocca Imposta PIN del profilo. Una volta impostato, la riga diventa Cambia PIN del profilo, e Rimuovi PIN del profilo compare sotto.
È davvero un secondo codice: il suo sale, il suo conteggio di tentativi sbagliati, il suo ritardo. Tentare la porta di un profilo non blocca l'app, e conoscere il PIN dell'app non apre il profilo. Il senso di avere più profili è che siano separati, e un solo codice per tutti farebbe sembrare quella separazione reale solo a chi ti ha visto digitare una volta.
L'ordine segue quello dell'app. Aprire l'app chiede il PIN dell'app, poi il volto o l'impronta. Aprire un profilo protetto chiede il PIN del profilo, poi il suo volto o impronta se Blocca questo profilo è attivo. Un volto da solo non apre mai un'identità che ha chiesto un secondo segreto.
Una differenza rispetto al blocco dell'app è voluta: la schermata d'accesso del profilo nomina il profilo, cosa che la schermata di blocco dell'app non fa mai.
Un profilo con un PIN proprio, o con Blocca questo profilo attivo, viene chiesto ovunque un altro profilo possa raggiungerlo, non solo nel selettore dei profili:
Il profilo in cui sei è già stato aperto, quindi niente di tutto questo vale per lui.
Un profilo con un PIN proprio può avere un suo codice di emergenza: Codice di emergenza del profilo, sotto Rimuovi PIN del profilo. Come ogni codice in CHANNEL è facoltativo, e niente ti chiede di impostarlo.
Digitato dove quel profilo chiede il suo PIN, apre il profilo esattamente come il PIN. Quando si apre, le conversazioni e i contatti di quel profilo non ci sono più: ogni messaggio, ogni scheda tranne quella del profilo stesso, le loro immagini, gli allegati e gli inviti in sospeso. Una chiamata a lui viene chiusa. Il profilo resta, con il suo nome, il suo PIN e la sua scheda, e ogni altro profilo sul telefono resta intatto. Nulla sullo schermo dice cosa è successo, e non viene inviato nulla a nessuno.
Il codice di emergenza dell'app è quello che svuota l'intero telefono.
Eliminare un profilo porta via anche il suo PIN e il suo codice di emergenza.
Una scheda appartiene al profilo in cui è stata creata. Chi ti scrive su un profilo viene aggiunto lì e in nessun altro posto, e un contatto che digiti tu a mano è uguale: due profili sullo stesso telefono non condividono nulla a meno che tu non lo dica.
La scheda stessa dice a quale appartiene, sotto Mostra in, e puoi cambiarlo lì senza aprire l'editor. Chiede conferma prima, perché quell'impostazione decide chi può vedere la scheda di quella persona e un tocco sbagliato non dovrebbe ampliarla in silenzio. In ogni caso i suoi messaggi restano nel profilo in cui sono arrivati; una conversazione non è mai condivisa fra profili, solo la scheda.
Una scheda vive in un solo profilo. Se vuoi scrivere a quella persona da un altro, apri lì la sua scheda e scegli Scrivi da questo profilo.
Copia quello che è scritto sulla scheda — il nome, i numeri, gli indirizzi — e nulla più. Le chiavi non vengono mai copiate, e nemmeno quanto l'app è sicura della sua identità, perché entrambe sono fatti sull'associazione che quel profilo ha fatto e non sulla persona. Quindi il nuovo profilo inizia un primo contatto normale: all'altra persona viene chiesto, come a una sconosciuta, e non le viene detto nulla sul fatto che sei di nuovo tu.
Quel costo è la funzione che lavora bene. Un profilo che ereditasse l'associazione dell'altro direbbe all'altra persona che due profili sono una sola persona, che è esattamente l'unica cosa per cui i profili esistono.
Cambia il nome in cima alla sua scheda con quello che vuoi. Questo profilo mostra quel nome, una scheda che la persona invia non sostituisce mai un nome che hai scelto tu, e nessun altro profilo ne risente.
Cambia un nome in un elenco e nulla più. Una notifica può ancora citare il messaggio, uno screenshot mostra ancora la conversazione, e chi apre questo profilo legge tutto. Protegge un'occhiata a un elenco di conversazioni, che è una cosa reale da volere, e non è una serratura.
Se è l'occhiata a preoccuparti, disattiva anche le anteprime per quella persona sulla sua scheda, perché un altro nome con le anteprime attive è proprio la trappola che questo sarebbe altrimenti.
Sotto un unico accesso, il sistema operativo non separa due persone. Tutto ciò che CHANNEL conserva è raggiungibile da chiunque tenga in mano il dispositivo. Il PIN qui non è una comodità; è l'intera separazione.
Attiva Altre persone usano il dispositivo in Impostazioni › Blocco app. Quell'unico interruttore fa ciò che altrimenti richiederebbe tre impostazioni: l'app si blocca nel momento in cui lascia lo schermo senza periodo di tolleranza, e ogni cambio di profilo chiede il PIN. È un solo interruttore di proposito — passare un tablet in giro non dovrebbe richiedere di capire quali impostazioni insieme danno la protezione che vuoi.
Poi dai a ogni profilo di ogni persona un proprio PIN, in Impostazioni › Privacy con Questo profilo selezionato. Quell'unica impostazione fa tre cose:
Attiva Chiedi il PIN prima di eliminare sulla stessa pagina. Eliminare qui è reale — il record se ne va, e nulla lo ripristina — quindi essere avvisati è l'unica protezione.
I tuoi contatti e le tue conversazioni sono già separati fra i profili, che tu metta un PIN o no: ogni profilo tiene i propri. Il PIN riguarda chi può aprire un profilo, non il tenere separati gli elenchi.
Il limite onesto. Niente di tutto questo rende privato un dispositivo condiviso. Chiunque lo tenga in mano può comunque vedere che CHANNEL è installato, che esistono profili, e che arrivano messaggi. Un profilo che conta davvero non appartiene a un dispositivo usato da altre persone, e nessuna impostazione in questa pagina lo cambia.
Anche il codice di emergenza dell'app appartiene qui: distrugge tutto ciò che CHANNEL conserva sul dispositivo, quindi su uno condiviso distrugge quello di tutti. Il codice di emergenza di un profilo raggiunge solo quel profilo.
Codice di emergenza, sotto lo stesso titolo, è un secondo codice, e compare solo una volta impostato un PIN. Digitato al posto del tuo PIN, sullo schermo fa esattamente quello che fa il tuo PIN: l'app si apre. Quello che è cambiato quando si apre è che tutto ciò che CHANNEL conservava su questo telefono non c'è più -- prima la chiave che sigilla gli archivi, poi le identità, poi ogni file -- e l'app che stai guardando è vuota. Nulla dice che c'è stata una cancellazione, e non c'è altro da toccare. Non c'è un passaggio di conferma, ed è proprio questo il punto: un secondo tocco è una cosa che chi ti sta accanto può vedere e interrompere, e farebbe sembrare il distress code diverso da quello vero. In cambio, digitarlo è immediato e non si può tornare indietro. Una copia conservata altrove, come un backup o un altro telefono, resta intatta.
Ogni archivio che CHANNEL scrive è sigillato con una chiave che non lascia mai l'hardware sicuro di questo telefono. Un file copiato, un'immagine disco o un backup rubato non danno nulla senza di essa.
Nient'altro. Nessuna analisi, nessun rapporto di crash, nessun segnale di utilizzo, e la Guida non contatta nessuno a meno che tu non prema Scarica.
L'intera Guida è dentro l'app e funziona senza nulla di connesso, per sempre. Quando esistono pagine più recenti, una riga in cima alla Guida dice Updated help is available e offre Scarica.
Saperlo non costa nulla: l'app lo impara da un sondaggio che fa già per la tua posta, quindi non c'è nessuna connessione in più e nessun nuovo schema da osservare per nessuno. La Guida non controlla all'avvio o a orologio, perché una richiesta su un programma segnalerebbe quando apri l'app, che qualcuno stesse contando oppure no.
Nulla viene scaricato finché non premi il pulsante, e il foglio dice chiaramente cosa fa premerlo. Contatta il nostro sito pubblico, channelmessenger.net, e quel server vede il tuo indirizzo. Nient'altro viene inviato, e la Guida funziona senza. Se questo conta dove ti trovi, fallo su una rete che non è la tua.
Il nostro server non dice mai dove sono le pagine, solo che ce ne sono di più recenti, e l'app le scrive solo una volta che ogni pagina è in mano, così un download che si interrompe a metà lascia la Guida che hai così com'era.
Impostazioni › Funzioni IA prende Il mio server come provider: una macchina che gestisci tu, di solito raggiunta su una rete privata tua. Nulla su di essa raggiunge noi. Non ci viene mai detto l'indirizzo, la richiesta non tocca mai il nostro server, e le parole vanno alla tua macchina e si fermano lì. Vedi Impostazioni.
Se attivi Chatta come contatto per un account AI, quel contatto è una conversazione con il tuo account del provider e nient'altro. Gli viene detto, nelle sue istruzioni, che può vedere solo questa conversazione, che non ha memoria delle tue altre sessioni, nessun accesso ai tuoi contatti, alla tua posizione o al tuo telefono, che non può inviare un messaggio o compiere alcuna azione, e che non deve mai chiederti una password, una chiave o un codice. Nient'altro su questo telefono gli viene mai inviato. Solo tu puoi scrivergli, e lui non può raggiungere nessuno.
Le richieste sono contate per account, così puoi vedere per cosa è stato usato un account.
Il testo inglese è quello di riferimento; ogni traduzione è solo una comodità. L'aiuto è salvato su questo telefono e non contatta nessuno.