Quem está fazendo isso
Cinco apps, uma coisa em comum
- Messenger
- Telegram
- Snapchat
O que todas elas têm em comum?
O serviço não é tão grátis quanto parece. Você é o pagamento.
Não em dinheiro. No registro de quem você conhece, com quem você fala, com que frequência, de onde e a que hora — que em poucos anos vale consideravelmente mais do que valeria uma assinatura. Nada do que vem a seguir é segredo ou acusação. É o que as próprias políticas de privacidade publicadas dessas empresas descrevem.
Você entregou os dados da sua família, e foi você quem prometeu que era permitido
O app pediu a você sua agenda de contatos, e você disse que sim. Os números nela pertencem à sua família, seus colegas, seus pacientes, seus clientes — pessoas que nunca foram consultadas, que nunca deram consentimento e que, em muitos casos, nem usam o app. Sua permissão foi aceita no lugar da delas.
Vai além do que a maioria imagina. Os próprios Termos de Serviço do WhatsApp dizem há anos que você fornece os números de telefone da sua agenda de contatos e que você “confirma estar autorizado a nos fornecer esses números”.1 Leia de novo. Você não apenas entregou os dados de contato de outras pessoas — você deu uma garantia formal de que tinha permissão delas para fazer isso. Quase ninguém jamais perguntou. Se essa informação for usada indevidamente depois, a empresa já fez você certificar que o compartilhamento era autorizado.
E você não pode entregar só os números de telefone
Quando seu telefone pergunta “Permitir acesso aos seus Contatos?”, existe uma única resposta e é tudo. Essa permissão cobre cada campo de cada registro: aniversários, datas comemorativas, endereços residenciais, as etiquetas de relacionamento que você definiu — mãe, cônjuge, filho — e o que quer que você já tenha digitado num campo de notas. Senhas de portão. Senhas de alarme. Números de conta. O número do passaporte que você guardou para uma reserva. O número da Seguridade Social que você colocou ao lado do registro de um dos pais idosos para ajudar com a papelada.
Não existe uma configuração que conceda menos. O que um app tira daquele monte é regido apenas pela própria política dele — que ele mesmo escreve e pode revisar. Em 2013 descobriu-se que a rede social Path enviava as agendas de contatos dos usuários por inteiro; ela pagou 800 mil dólares à FTC e aceitou vinte anos de auditorias de privacidade independentes.2 É isso que significa uma permissão de tudo ou nada quando alguém decide usá-la por completo.
Para ser exato, porque isso importa: os principais mensageiros dizem que pegam os números de telefone, não seu campo de notas,3 e o WhatsApp agora criptografa os nomes dos contatos no seu dispositivo antes de armazená-los.4 O problema não é que todos estejam lendo em segredo a data de nascimento da sua mãe. É que a porta que você abriu não tem fechadura, a promessa de que vão pegar só um pouco é deles para revogar quando quiserem, e as pessoas do outro lado dessa porta nunca souberam que ela existia.
As pessoas afetadas nem sequer podem se opor
Elas não têm conta, não têm relação com a empresa, e não têm como saber que isso aconteceu. Não podem pedir a exclusão de algo que nunca souberam que foi coletado. Uma empresa da qual nunca ouviram falar guarda um mapa de quem elas conhecem — montado a partir de milhares de agendas de contatos como a sua.
O envelope, não a carta
“Nós matamos pessoas com base em metadados.”
General Michael Hayden, ex-diretor da NSA e da CIA, Universidade Johns Hopkins, 20148
Vários desses apps realmente criptografam o que você escreve, e não vamos fingir o contrário. Mas os metadados — seu número de telefone, seu aparelho, seu endereço IP e, portanto, mais ou menos onde você está, com quem você troca mensagens, com que frequência, quando, e a quais grupos você pertence — são coletados, e no caso da Meta são compartilhados entre seus outros produtos. Com quem você fala às 2 da manhã, e como esse padrão muda, diz muita coisa sem que uma única palavra seja lida.
Seu número de telefone é a chave que une tudo
Como seu número é sua identidade nesses serviços, ele se torna a chave que une suas mensagens a qualquer outro registro associado a esse número: corretores de dados, programas de fidelidade, vazamentos antigos, perfis de publicidade. Em 2021, os dados de cerca de 533 milhões de usuários do Facebook — nomes, números de telefone, localizações, datas de nascimento e endereços de e-mail — foram publicados de graça num fórum criminoso. A Comissão de Proteção de Dados da Irlanda multou a Meta em 265 milhões de euros por isso, e a investigação foi sobre as ferramentas de importação de contatos do Messenger e do Instagram — exatamente o recurso descrito acima.5 Números não são trocados, e a data de nascimento da sua mãe também não. Essa é permanente.
E quando um mandado é inconveniente, os dados podem simplesmente ser comprados
A maioria das pessoas presume que a polícia precisa de uma ordem judicial para rastrear onde estiveram. Desde 2018 isso é verdade quando o governo obriga uma operadora a entregar os dados. Não é verdade quando eles os compram.
Milhares de apps comuns — de clima, jogos, compras, apps de oração — carregam kits de publicidade que reportam a localização silenciosamente. Corretores de dados compram essa telemetria, combinam e revendem. Agências governamentais estão entre os clientes, e o argumento para não precisar de mandado é simplesmente que uma compra não é uma busca. Isso não é especulação: a própria comunidade de inteligência dos Estados Unidos disse isso num relatório que depois desclassificou, no qual constatou que as agências interpretavam de forma restrita a decisão da Suprema Corte para continuar comprando informações protegidas, e reconheceu que podiam rastrear persistentemente milhões de americanos sem mandado, desde que pagassem por isso.6
Nem “anonimizado” oferece proteção alguma. Um rastro de localização é uma impressão digital: o lugar onde você dorme e o lugar onde trabalha já bastam para identificá-lo, e tudo mais que você visita se anexa a esse nome. Em 2024 a FTC abriu seus primeiros casos proibindo corretores de vender dados de localização sensíveis — rastros que revelavam visitas a clínicas, locais de culto e tratamento de dependência química.7
Nada disso exige que alguém tenha feito algo errado, e nada disso exige que você seja avisado. O mercado existe porque os apps carregam kits de publicidade que coletam dados. Para ser preciso, isto não é uma acusação contra os mensageiros citados acima — eles não vendem sua localização a corretores. É a água em que toda a economia de apps nada, e a maioria das pessoas não tem ideia de que isso acontece.
O Channel não carrega kits de publicidade, nem análise de dados, nem código de terceiros de nenhum tipo. Não há telemetria para agregar, então não há nada para comprar — com ou sem mandado.
Mensagens armazenadas são um risco que sobrevive à conversa
Quando mensagens ou backups ficam nos servidores de uma empresa, podem ser exigidos judicialmente numa ação ou num divórcio, apresentados numa fase de descoberta de provas, apreendidos ou expostos num vazamento. Combine um número vazado com um nome e algumas relações, e você tem a matéria-prima para phishing, fraude de troca de SIM e redefinição de senhas. Uma conversa que você teve anos atrás se torna um risco que você não consegue aposentar.
Nem todo mensageiro faz isso, e seria desonesto sugerir o contrário. O Signal é uma organização sem fins lucrativos financiada por doações que não monetiza seus usuários, e é por isso que não está na lista acima. Preferimos que você confie nesta página a vencer uma discussão com ela.
Por que isso importa para você
A privacidade importa!
Não porque você tenha algo a esconder. Porque um registro de com quem você fala é um registro de quem você é — seu médico, seu advogado, seu representante sindical, a vaga a que você se candidatou, a pessoa que você deixou, o diagnóstico que você ainda não contou para ninguém.
Você não consegue descompartilhar. Os dados são copiados, combinados, revendidos, mantidos mesmo depois que a empresa que os coletou já não existe, e expostos por um vazamento numa firma com a qual você nunca escolheu lidar. Uma política que hoje protege você pode ser reescrita num e-mail que você não vai ler.
A única informação que não pode vazar, ser exigida judicialmente, vendida ou exposta num vazamento é a informação que nunca foi coletada. Esse é todo o design.
O que construímos em vez disso
Channel
Não uma política de privacidade melhor. Menos coisa coletada desde o início. O único registro que não pode vazar, ser exigido judicialmente, vendido ou exposto num vazamento é o que nunca foi criado, então o Channel é feito para nunca criá-lo — e onde uma mensagem pode viajar sem tocar em nenhuma empresa, é isso que ela faz.
O que o Channel faz em vez disso
- Sem conta. Nada para se cadastrar, nada para fazer login.
- Não é preciso número de telefone nem endereço de e-mail. Você pode comprová-lo se quiser que as pessoas consigam falar com você sem te conhecer antes, e mesmo assim nada é publicado a menos que você decida.
- Nunca se envia sua agenda de contatos. O app pode mostrar sua própria agenda para que você escolha um nome; essa lista nunca sai do seu telefone.
- Sem análise de dados, sem identificadores de publicidade, sem SDKs de terceiros.
- Sem histórico de mensagens em nenhum servidor depois que a entrega é confirmada.
- Quando seu contato está por perto, não há nenhuma conexão com a internet — então não há conta, não há roaming, e não há nada para interceptar no meio do caminho.
Os quatro jeitos de uma mensagem viajar
O Channel usa o caminho mais direto que funciona agora, e testa nesta ordem. Cada caminho tem uma letra, e a letra numa mensagem diz qual deles a transportou.
- WWi-Fi DiretoOs dois telefones por perto. Nenhum tipo de rede está envolvido.
- BBluetoothOs dois telefones por perto.
- LRede localOs dois telefones na mesma Wi-Fi. A mensagem fica nessa rede.
- ICaixa de mensagens da internetNosso servidor guarda a mensagem lacrada até o outro telefone buscá-la. Você pode desativar esta opção para um perfil.
Os três primeiros nunca saem da sala. A Internet é um recurso alternativo, não uma cópia: se um rádio consegue alcançar o outro telefone, a mensagem vai por ali e o servidor nunca a vê. Se um rádio consegue vê-los mas a mensagem não está passando, cada contato tem seu próprio tempo de espera antes de o Channel usar a caixa de mensagens em vez disso, de imediato até nunca, com quinze minutos como padrão.
Ao lado de cada contato, luzinhas mostram quais caminhos estão abertos neste momento. Um contato mostra Esperando quando nada ainda consegue levar uma mensagem até ele. O Channel nunca diz que alguém não está no Channel, porque ele não sabe disso, e ninguém que esteja observando deveria saber também.
Por perto: sem servidor, sem internet, sem conta
Quando você e um contato estão ao alcance de Bluetooth ou Wi-Fi, sua mensagem vai direto do seu aparelho para o dele. Nenhum servidor a vê, nenhuma rede a transporta, e não há nada para interceptar em trânsito porque não há trânsito em nenhum outro lugar. Funciona sem sinal e sem nenhum plano de dados — um porão, um voo, um navio, um hospital, um país onde a rede é vigiada. Se seu telefone está no bolso quando uma mensagem chega assim, o app acorda com a conexão e cria a notificação sozinho.
Também funciona onde a rede está congestionada em vez de ausente, que é o caso que a maioria das pessoas realmente encontra. Uma torre de celular é construída para as pessoas que moram, trabalham e passam pela área dela. Não é construída para uma cidade inteira de gente extra parada num quarto de milha quadrada por cinco horas, a maioria enviando fotos e vídeo do mesmo lance. Seu telefone mostra quatro barrinhas e não vai enviar um texto — porque força de sinal e capacidade são coisas diferentes, e as barrinhas só sempre mostraram a primeira. O Channel não entra na fila atrás dessa multidão, porque nunca pede nada para a torre.
Ainda assim, seja realista quanto à distância. Isto é um enlace de rádio entre dois aparelhos: seu grupo a algumas fileiras de distância, o saguão, o estacionamento antes do jogo, o quarto ao lado, o mesmo vagão, um barco, um porão. Não vai alcançar do camarote até a arquibancada, e não estende seu alcance além do contato direto por rádio. Uma multidão é o pior caso para uma antena pequena — corpos absorvem essas frequências, que é exatamente por isso que a torre também está com dificuldade.
Fora de alcance: um servidor que não sabe nada
A maioria das conversas não acontece com as pessoas paradas lado a lado. Quando o rádio direto não está disponível, sua mensagem pode ficar na fila e, se você permitir, nosso servidor a transporta pela internet em vez disso.
Esse servidor não é um serviço de chat. Ele não consegue ler suas mensagens — elas continuam criptografadas de ponta a ponta o caminho todo, e ele nunca tem as chaves. Ele não sabe quem você é: sem contas, sem números de telefone, sem endereços de e-mail. Ele identifica sua caixa de entrada só por um token que muda a cada dez minutos, e está configurado para não registrar os endereços IP que se conectam a ele. Uma mensagem é excluída no momento em que a entrega é confirmada, e tudo o que ninguém coleta expira por conta própria: sete dias por padrão, trinta no máximo, e você pode configurar um prazo mais curto.
Estamos dizendo claramente que este caminho existe, e que sua mensagem sim passa por um servidor quando você o usa. Um mensageiro que só funcionasse ao lado do seu contato não seria muito útil, e preferimos dizer exatamente qual é o recurso alternativo a deixar você supor que ele é algo que não é.
Nada de novo para aprender
O Channel parece e funciona como o mensageiro que você já usa — a mesma lista de conversas, a mesma tela de chat, os mesmos gestos. A privacidade está no encanamento, não nos controles, e é deliberadamente idêntica em todas as plataformas, para que alternar entre seu telefone e seu computador não ensine nada de novo.
O que tem no app
Tudo abaixo está nas versões de teste atuais. O painel de status a seguir diz quais partes já foram testadas em telefones reais e quais não.
Perfis
Um perfil é uma identidade separada: suas próprias chaves, seus próprios contatos, suas próprias conversas. Dois perfis num mesmo telefone não compartilham nada, e ninguém com quem você fale consegue saber que dois deles estão no mesmo telefone. Um perfil novo pode começar como cópia de um já existente, mas só as configurações são copiadas. Chaves, contatos, mensagens e verificação nunca são, porque um perfil que os compartilhasse não seria uma identidade separada.
Adicionar alguém, pessoalmente ou por convite
Um telefone mostra um código QR e o outro escaneia, ou os dois telefones pareiam por Bluetooth ou pela mesma Wi-Fi e cada um mostra um código de confirmação de seis dígitos para comparar. O código carrega uma chave pública e nada secreto, então é seguro mostrá-lo em público, e se os dois códigos de confirmação baterem, ninguém se meteu entre vocês. Toda conversa também tem um número de segurança que você pode comparar pessoalmente uma vez, e o Channel avisa se ele mudar. Você também pode simplesmente escrever para alguém num número ou endereço que a pessoa já comprovou ser dela: a mensagem é lacrada e fica na fila, um convite é deixado para ela, e no momento em que aceita, a mensagem sai sem você precisar tocar em mais nada.
Ser encontrado
Você pode deixar que as pessoas falem com você por um número de telefone ou um endereço de e-mail, mas primeiro precisa comprovar que é seu. Um código de seis dígitos é enviado por mensagem de texto, por uma ligação que lê os dígitos em voz alta duas vezes, ou por e-mail. Comprovar um valor e divulgá-lo são dois interruptores separados, então um número verificado pode continuar privado, e um valor que você não comprovou fica inerte. Nosso servidor não guarda nenhuma lista de pessoas verificadas nem nenhuma lista de números: um convite é endereçado a um slot derivado do próprio número, e é aceito quer alguém venha a buscá-lo ou não, então o servidor não consegue responder se um determinado número pertence a um usuário do Channel.
Mensagens
Mensagens temporárias com um temporizador que os dois lados podem ver, removidas dos dois telefones assim que vistas e assim que o tempo se esgota. Ver uma vez para uma foto, protegida de capturas de tela enquanto está na tela. Fotos, do próprio seletor do seu telefone ou da câmera, com uma configuração que mantém as fotos totalmente fora da Internet. Confirmações de leitura, nos dois sentidos ou em nenhum. Tradução feita pelo próprio tradutor do telefone, então o texto nunca sai do telefone para ser traduzido. Uma linha de área de transferência acima do campo de composição. E botões de chamada que passam a bola para os apps de chamada que você já usa, em vez de fingir que o Channel faz a chamada sozinho.
Localização
Envie uma única localização, captada no momento em que você toca e nunca guardada, ou compartilhe ao vivo por 15 minutos, uma hora ou 8 horas, atualizando enquanto o app está aberto e terminando sozinha. Entre dois telefones com Channel, a mensagem carrega coordenadas em vez de um link, então a pessoa que recebe escolhe como ver. Um compartilhamento chega como um único cartão que se move no lugar em vez de encher a conversa com linhas novas. Tocar nele abre um mapa dentro do Channel com os dois telefones nele, a distância e uma seta apontando para o outro telefone, e a partir dali você pode passar para qualquer app de mapas instalado no seu telefone. Enquanto um compartilhamento está em andamento, um alfinete fica no topo da conversa, e quem está compartilhando recebe uma contagem regressiva que pode estender ou parar. O Channel não lê sua localização em nenhum outro momento.
O bloqueio e o código de coação
O Channel pode pedir o próprio desbloqueio do seu telefone para abrir, e você pode adicionar um código próprio, de 4 a 8 dígitos, que é pedido antes de qualquer outra coisa e funciona até num telefone sem bloqueio nenhum. Nenhum dos dois códigos é armazenado, só um hash lento dele, então ninguém consegue redefinir um, nós incluídos. Um segundo código, diferente, apaga tudo o que o Channel guarda no telefone: primeiro a chave que lacra os armazenamentos, depois as identidades, depois cada arquivo. O app então abre como se estivesse recém-instalado, e nada na tela diz que isso aconteceu. Tudo o que o Channel grava no disco é criptografado sob uma chave guardada no hardware seguro do telefone, então um arquivo copiado ou um backup roubado do dispositivo não rende nada sem ela.
AI
Onde a AI roda depende do telefone. Num iPhone compatível com Apple Intelligence, ela roda no próprio telefone — sem conta, sem chave, sem custo, e nada sai dele. Em qualquer outro caso, e como alternativa num iPhone, você adiciona sua própria conta com OpenAI, Anthropic ou xAI: a chave fica no seu telefone, nosso servidor nunca a vê, e você pode adicionar mais de uma. Nada é enviado sozinho: sem chamadas em segundo plano, sem resumos automáticos, sem respostas sugeridas que você não pediu. Todo uso mostra exatamente o que vai sair do telefone, incluindo as palavras da outra pessoa quando você escolhe incluí-las, e o botão que você aperta é o consentimento. Ela pode escrever ou reformular um rascunho, corrigir ortografia e gramática, deixar uma mensagem mais curta, mais amigável ou mais formal, sugerir respostas, resumir uma conversa, traduzir uma mensagem, ou responder uma pergunta sobre uma foto. Você também pode ativar uma conta como contato, para que ChatGPT, Claude ou Grok apareça na sua lista de contatos e você converse com ela como com qualquer outra pessoa.
Backup e restauração
Desativado a menos que você use, e nunca em silêncio. O Channel lacra seus perfis, identidades, contatos, conversas e configurações num único arquivo sob uma frase secreta que você escolhe, e o entrega ao próprio seletor de arquivos do seu telefone, então você decide para onde ele vai. Nunca guardamos a frase secreta e não conseguimos recuperá-la, e nunca recebemos o arquivo. Mensagens temporárias e de ver uma vez nunca são incluídas, e os anexos ficam de fora por causa do tamanho. Restaurar substitui tudo no telefone, e é assim que você muda para um novo.
Transportando para outras pessoas
Ajustes tem um interruptor de Retransmitir a outros, desativado a menos que você o ative. Com ele ativado, este telefone se oferece para transportar correspondência lacrada para contatos que outro telefone ainda não consegue alcançar, e entregá-la depois; um telefone que transporta não consegue ler o que carrega. Não vamos exagerar sobre isso. Transportar só compensa quando há telefones suficientes rodando Channel num mesmo lugar, e isso ainda não foi medido em hardware real com densidade real. Está no produto e no protocolo. Não é uma promessa.
Ajuda, dentro do app
Onze páginas de ajuda em linguagem simples vêm dentro do Channel, nos mesmos cinco idiomas do app. Funcionam sem rede, não entram em contato com ninguém, e nada do que você lê nelas é reportado a ninguém.
Onde ele realmente está
O que funciona hoje, e o que não funciona
Status em 10 de setembro de 2026.
Uma página como esta costuma ser escrita no futuro. Aqui está no presente, em vez disso. Cada item abaixo carrega uma etiqueta dizendo em qual dos quatro estados ele está, e a etiqueta é escrita por extenso em vez de sugerida por uma cor ou uma tipografia.
- Lançado e testadoNos apps agora, e testado em telefones reais.
- Lançado, não totalmente verificadoNas versões de teste atuais, mas ainda não confirmado funcionando de ponta a ponta por um testador.
- Em andamentoSendo construído agora.
- PlanejadoProjetado e registrado, mas não iniciado.
Lançado e testado
- Lançado e testadoMensagens lacradas entre dois telefones, abertas só no telefone para o qual foram enviadas.
- Lançado e testadoEntrega pela caixa de mensagens da internet, com a marca em cada mensagem dizendo qual caminho a transportou.
- Lançado e testadoPareamento pessoalmente: o código QR, o código de confirmação de seis dígitos, e o número de segurança na página do contato.
- Lançado e testadoPerfis: chaves, contatos e conversas separados, e cópia só das configurações quando você cria um novo.
- Lançado e testadoMensagens temporárias e ver uma vez, com a foto de ver uma vez protegida de capturas de tela enquanto está na tela.
- Lançado e testadoFotos, nas duas direções, lacradas como qualquer outra mensagem.
- Lançado e testadoEnviar sua localização, e compartilhá-la ao vivo por um tempo fixo com uma contagem regressiva que você pode estender ou parar.
- Lançado e testadoTudo o que o app grava no disco, criptografado sob uma chave guardada no hardware seguro do telefone.
- Lançado e testadoAs páginas de ajuda dentro do app, e as configurações que escolhem com que frequência o telefone procura correspondência.
Lançado, não totalmente verificado
Estes estão nas versões de teste atuais. Ainda não foram confirmados funcionando de ponta a ponta por alguém segurando dois telefones, então não vamos dizer que funcionam.
- Lançado, não totalmente verificadoDescoberta por Bluetooth entre um iPhone e um telefone Android. Ainda precisa de um novo teste com os dois telefones na mesma sala.
- Lançado, não totalmente verificadoEntrega por Wi-Fi Direto e rede local.
- Lançado, não totalmente verificadoAcordar o telefone por correspondência à espera, seja por relógio ou no momento em que um envelope chega.
- Lançado, não totalmente verificadoVerificação por ligação telefônica, que lê o código em voz alta duas vezes.
- Lançado, não totalmente verificadoVerificação por mensagem de texto, que ainda está esperando o registro de operadora nos Estados Unidos.
- Lançado, não totalmente verificadoEscrever para alguém que ainda não pareou com você, de modo que a primeira mensagem seja o convite.
- Lançado, não totalmente verificadoO mapa desenhado dentro do app, com a distância e a seta de bússola.
- Lançado, não totalmente verificadoAI. Num iPhone compatível com Apple Intelligence, as respostas são produzidas no próprio telefone, sem chave e sem que nada seja enviado a lugar nenhum; em qualquer outro caso, e como alternativa, uma conta própria. Já foi vista respondendo de um provedor real, num simulador em vez de num telefone.
- Lançado, não totalmente verificadoBackup e restauração, incluindo mudar para um telefone diferente.
- Lançado, não totalmente verificadoO PIN do app, o código de coação, e transportar correspondência lacrada para outras pessoas.
- Lançado, não totalmente verificadoDispositivos vinculados: vincular um segundo dispositivo, escolher qual perfil ele carrega, o PIN do app protegendo a vinculação, e a remoção de um dispositivo tendo efeito imediato.
- Lançado, não totalmente verificadoIdentificadores: reivindicar um nome, e ser encontrado por ele por alguém que não conhece seu número nem seu endereço. Um por perfil, registrado de modo que o servidor nunca guarde uma lista legível.
- Lançado, não totalmente verificadoApagar seus dados: tudo, ou tudo exceto seus cartões de contato, que voltam sem parear. E apagar um dispositivo vinculado a partir do telefone que o vinculou.
- Lançado, não totalmente verificadoReações: uma entre seis, uma por pessoa por mensagem, e ninguém é notificado de uma.
- Lançado, não totalmente verificadoArquivar uma conversa, deslizando a linha ou mantendo-a pressionada, e trazê-la de volta das mesmas duas formas.
- Lançado, não totalmente verificadoO app em espanhol, português, alemão e italiano, seguindo o idioma do próprio telefone. O inglês continua sendo o texto de referência.
- Lançado, não totalmente verificadoDuas colunas numa tela larga: a lista ao lado da conversa, os contatos ao lado do cartão.
- Lançado, não totalmente verificadoA data acima da primeira mensagem de cada dia, e uma mensagem enviada duas vezes sendo reconhecida em vez de mostrada duas vezes.
- Lançado, não totalmente verificadoPáginas de ajuda que podem se atualizar sozinhas sem uma nova versão do app, e só quando você aperta o botão que as busca.
Em andamento
- Em andamentoMensagens em grupo. As regras estão escritas, e o núcleo compartilhado que as aplica está construído e testado contra vetores gerados. Nenhum dos dois apps consegue alcançá-lo ainda: nenhum grupo jamais foi enviado, e isso não tem data.
- Em andamentoAs páginas de ajuda em espanhol, português, alemão e italiano. Os apps e este site já estão traduzidos; a ajuda está sendo feita agora.
Planejado
Projetado e registrado, não iniciado. Nada aqui carrega uma data, e nada aqui deve ser lido como uma promessa.
- PlanejadoUma entrevista de configuração. Uma primeira execução passo a passo cobrindo seu nome e foto, como seu telefone é acordado, quais caminhos você permite, o bloqueio, como você pode ser encontrado, a AI e o app de mapas, que você poderia fechar e retomar a qualquer momento.
- PlanejadoCréditos de AI do Channel. Para pessoas que preferem não abrir uma conta com um provedor, a opção de comprar créditos e usar os nossos, com preço do dobro do que nos custa e dito com clareza, com a nota honesta de que quem usa muito AI se sai melhor com sua própria chave.
- PlanejadoUm provedor de AI personalizado. Aponte o Channel para o seu próprio servidor em vez do de uma empresa. Se seu telefone já roda Tailscale, um endereço privado funcionaria sem nada extra no app.
- PlanejadoPontes para outras redes de chat, só onde a rede realmente permita um cliente de verdade. Telegram, e SMS no Android, são os dois candidatos honestos. Uma conversa em ponte seria marcada como não lacrada de ponta a ponta pelo Channel, porque só uma ponta seria nossa.
- PlanejadoChats em grupo. Veja Em andamento acima — o núcleo está escrito, e nenhum dos dois apps consegue alcançá-lo.
- PlanejadoUm app para computador. Vincular um segundo dispositivo já funciona entre telefones; um computador é a peça que falta construir.
- PlanejadoImagens com AI.
- PlanejadoUm código separado por perfil, para que um perfil possa ser aberto com um código que não abra os outros.
Leia a documentação
As notas de design, o protocolo de comunicação, o passo a passo de ameaças, os documentos de exportação e privacidade, e as páginas de ajuda exatamente como vêm no app estão todos publicados em channelmessenger.net/docs. Publicar isso não nos custa nada: um design que dependesse do sigilo da própria descrição já estaria quebrado. Preferimos ser conferidos a ser acreditados.
Se você está apontando um assistente para isto. /docs/all.md é toda a documentação num único arquivo markdown, feito para ser lido do início ao fim.
Como ele se compara
Com honestidade, incluindo onde perdemos. Uma tabela que só nos favorecesse não diria nada a você, e você teria razão em não acreditar no resto da página.
| Channel | Signal | Telegram | ||
|---|---|---|---|---|
| Funciona sem internet e sem sinal, quando seu contato está por perto | ✓ | — | — | — |
| Não precisa de número de telefone | ✓ | — | — | — |
| Sem conta para criar | ✓ | — | — | — |
| Nunca envia sua agenda de contatos para lugar nenhum | ✓ | — | ~ | — |
| Criptografado de ponta a ponta por padrão | ✓ | ✓ | ✓ | — |
| Sem identificadores de publicidade nem código de rastreamento de terceiros | ✓ | — | ✓ | — |
| Chats em grupo | — | ✓ | ✓ | ✓ |
| Chamadas de voz e vídeo | — | ✓ | ✓ | ✓ |
| App para computador | planejado | ✓ | ✓ | ✓ |
| As pessoas que você conhece já estão nele | — | ✓ | ✓ | ✓ |
| Grátis | — | ✓ | ✓ | ✓ |
- O Signal verifica quais dos seus contatos usam Signal enviando formas embaralhadas dos números para um hardware lacrado, em vez de enviar a agenda em si. Muito melhor que as outras, mas não é nada desprezível.
- O Telegram criptografa os chats comuns entre você e os servidores dele, não de ponta a ponta. Só os “Chats Secretos” separados são criptografados de ponta a ponta, e eles não são o padrão.
- O Channel será pago. As outras são grátis porque você é o pagamento — que é o argumento que esta página inteira faz, e é justo nos cobrar pelo outro lado dele.
Leia de novo as últimas quatro linhas. Ainda não temos chats em grupo, nem chamadas, nem app para computador, e quase ninguém está nele. Essas são razões reais para continuar usando o que você já tem, e preferimos que você ouça isso de nós. O que o topo da tabela compra para você é uma conversa que nunca passa por nenhuma empresa — e essa é a única linha pela qual achamos que vale a pena trocar.
Saiba quando abrir
Me avise quando abrir
Deixe um endereço e vamos escrever uma vez quando o Channel Messenger abrir para o público, e depois disso só quando houver uma nova versão para baixar. Essa é toda a razão pela qual a lista existe.
Guardamos seu endereço e a data em que você o enviou. Nada mais — sem nome, sem endereço IP, sem rastreamento. Nunca é vendido, compartilhado ou alugado, não é usado para nada além das duas coisas acima, e todo e-mail que enviamos tem um cancelamento de um clique. Peça e vamos excluí-lo.
Disponibilidade
- iOS — testes fechados
- Android — testes fechados
- macOS — planejado
- Windows — planejado
O Channel Messenger está em testes fechados tanto na App Store quanto no Google Play, e ainda não tem lançamento público. Esta página vai trazer os links quando isso acontecer.
Fontes
Toda afirmação acima sobre uma empresa citada vem dos próprios termos publicados dessa empresa, do próprio blog de engenharia dela, ou de uma ação de fiscalização governamental. Confira.
- WhatsApp, Termos de Serviço (revisão de 28 de janeiro de 2020): “Você nos fornece os números de telefone dos usuários do WhatsApp e de seus outros contatos na agenda de endereços do seu celular regularmente, e confirma estar autorizado a nos fornecer esses números.” A mesma cláusula aparece na revisão de 2016. whatsapp.com ↩
- Federal Trade Commission, Path Social Networking App Settles FTC Charges it Deceived Consumers and Improperly Collected Personal Information from Users’ Mobile Address Books, 1º de fevereiro de 2013 — multa de 800 mil dólares e vinte anos de avaliações de privacidade independentes. ftc.gov ↩
- WhatsApp, Política de Privacidade, sobre os números de telefone fornecidos a partir da agenda de contatos de um usuário. whatsapp.com/legal/privacy-policy ↩
- Meta Engineering, IPLS: Privacy-preserving storage for your WhatsApp contacts, 22 de outubro de 2024 — nomes de contato criptografados com uma chave gerada no dispositivo do usuário. engineering.fb.com ↩
- Data Protection Commission (Irlanda), Decision in Facebook “Data Scraping” Inquiry, 28 de novembro de 2022 — multa de 265 milhões de euros e uma advertência. A investigação examinou o Facebook Search, o Importador de Contatos do Facebook Messenger e o Importador de Contatos do Instagram; o conjunto de dados extraído cobria cerca de 533 milhões de pessoas e incluía nomes, números de telefone, localizações, datas de nascimento e endereços de e-mail. dataprotection.ie ↩
- Office of the Director of National Intelligence, Senior Advisory Group Panel Declassified Report on Commercially Available Information (datado de janeiro de 2022, divulgado em junho de 2023). O painel constatou que elementos da comunidade de inteligência interpretam de forma restrita Carpenter v. United States (2018) para continuar comprando informações de corretores de dados que, de outra forma, exigiriam processo legal. dni.gov ↩
- Federal Trade Commission, FTC Order Prohibits Data Broker X-Mode Social and Outlogic from Selling Sensitive Location Data, 9 de janeiro de 2024 — o primeiro acordo da Comissão com um corretor de dados sobre informações sensíveis de localização; uma ordem semelhante contra a InMarket Media veio em seguida, em 18 de janeiro de 2024. ftc.gov · ordem contra a InMarket ↩
- General Michael Hayden, diretor da NSA de 1999 a 2005 e da CIA de 2006 a 2009, falando no Simpósio de Relações Exteriores da Universidade Johns Hopkins em 2014, em debate com David Cole. Para ser justo, ele acrescentou logo em seguida: “Mas não é isso que fazemos com esses metadados” — referindo-se à coleta doméstica. O ponto se sustenta sozinho: o homem que comandou as duas agências estava explicando que metadados sozinhos são considerados base suficiente para uma ação letal, sem que ninguém leia uma única palavra de conteúdo. Clipe de vídeo, Just Security ↩