O que construímos em vez disso

Os quatro jeitos de uma mensagem viajar

O CHANNEL usa o caminho mais direto que funciona agora, e testa nesta ordem. Cada caminho tem uma letra, e a letra numa mensagem diz qual deles a transportou.

• W
  Wi-Fi DiretoOs dois telefones por perto. Nenhum tipo de rede está envolvido.
• B
  BluetoothOs dois telefones por perto.
• L
  Rede localOs dois telefones na mesma Wi-Fi. A mensagem fica nessa rede.
• I
  Caixa de mensagens da internetNosso servidor guarda a mensagem lacrada até o outro telefone buscá-la. Você pode desativar esta opção para um perfil.

Os três primeiros nunca saem da sala. A Internet é um recurso alternativo, não uma cópia: se um rádio consegue alcançar o outro telefone, a mensagem vai por ali e o servidor nunca a vê. Se um rádio consegue vê-los mas a mensagem não está passando, cada contato tem seu próprio tempo de espera antes de o CHANNEL usar a caixa de mensagens em vez disso, de imediato até nunca, com quinze minutos como padrão.

Ao lado de cada contato, luzinhas mostram quais caminhos estão abertos neste momento. Um contato mostra Esperando quando nada ainda consegue levar uma mensagem até ele. O CHANNEL nunca diz que alguém não está no CHANNEL, porque ele não sabe disso, e ninguém que esteja observando deveria saber também.

Por perto: sem servidor, sem internet, sem conta

Quando você e um contato estão ao alcance de Bluetooth ou Wi-Fi, sua mensagem vai direto do seu aparelho para o dele. Nenhum servidor a vê, nenhuma rede a transporta, e não há nada para interceptar em trânsito porque não há trânsito em nenhum outro lugar. Funciona sem sinal e sem nenhum plano de dados — um porão, um voo, um navio, um hospital, um país onde a rede é vigiada. Se seu telefone está no bolso quando uma mensagem chega assim, o app acorda com a conexão e cria a notificação sozinho.

Também funciona onde a rede está congestionada em vez de ausente, que é o caso que a maioria das pessoas realmente encontra. Uma torre de celular é construída para as pessoas que moram, trabalham e passam pela área dela. Não é construída para uma cidade inteira de gente extra parada num quarto de milha quadrada por cinco horas, a maioria enviando fotos e vídeo do mesmo lance. Seu telefone mostra quatro barrinhas e não vai enviar um texto — porque força de sinal e capacidade são coisas diferentes, e as barrinhas só sempre mostraram a primeira. O CHANNEL não entra na fila atrás dessa multidão, porque nunca pede nada para a torre.

Ainda assim, seja realista quanto à distância. Isto é um enlace de rádio entre dois aparelhos: seu grupo a algumas fileiras de distância, o saguão, o estacionamento antes do jogo, o quarto ao lado, o mesmo vagão, um barco, um porão. Não vai alcançar do camarote até a arquibancada, e não estende seu alcance além do contato direto por rádio. Uma multidão é o pior caso para uma antena pequena — corpos absorvem essas frequências, que é exatamente por isso que a torre também está com dificuldade.

Fora de alcance: um servidor que não sabe nada

A maioria das conversas não acontece com as pessoas paradas lado a lado. Quando o rádio direto não está disponível, sua mensagem pode ficar na fila e, se você permitir, nosso servidor a transporta pela internet em vez disso.

Esse servidor não é um serviço de chat. Ele não consegue ler suas mensagens — elas continuam criptografadas de ponta a ponta o caminho todo, e ele nunca tem as chaves. Ele não guarda contas, e um número de telefone ou endereço de e-mail que você prova fica guardado como um hash com chave, nunca como o número ou o endereço em si. Ele identifica sua caixa de entrada só por um token que muda a cada dez minutos, e está configurado para não registrar os endereços IP que se conectam a ele. Uma mensagem é excluída no momento em que a entrega é confirmada, e tudo o que ninguém coleta expira por conta própria: sete dias por padrão, trinta no máximo, e você pode configurar um prazo mais curto.

Nada de novo para aprender

O CHANNEL parece e funciona como o mensageiro que você já usa — a mesma lista de conversas, a mesma tela de chat, os mesmos gestos. A privacidade está no encanamento, não nos controles, e é deliberadamente idêntica em todas as plataformas, para que alternar entre seu telefone e seu computador não ensine nada de novo.

O que tem no app

Tudo abaixo está nas versões de teste atuais. A página Status diz quais partes já foram testadas em telefones reais e quais não.

Perfis

Um perfil é uma identidade separada: suas próprias chaves, seus próprios contatos, suas próprias conversas. Dois perfis num mesmo telefone não compartilham nada, e ninguém com quem você fale consegue saber que dois deles estão no mesmo telefone. Um perfil novo pode começar como cópia de um já existente, mas só as configurações são copiadas. Chaves, contatos, mensagens e verificação nunca são, porque um perfil que os compartilhasse não seria uma identidade separada.

Adicionar alguém, pessoalmente ou por convite

Quando alguém pareia lendo o seu código na sua tela, depois cada telefone diz isso: essa pessoa estava ali, e é isso que está sendo verificado. Você também pode simplesmente escrever para alguém em um número ou endereço que a pessoa provou ser dela: a mensagem é selada e fica na fila, uma convite é deixado para ela, e assim que ela aceita a mensagem sai sem mais nenhum toque seu.

Ser encontrado

Você pode deixar que as pessoas falem com você por um número de telefone ou um endereço de e-mail, mas primeiro precisa comprovar que é seu. Um código de seis dígitos é enviado por mensagem de texto, por uma ligação que lê os dígitos em voz alta duas vezes, ou por e-mail. Comprovar um valor e divulgá-lo são dois interruptores separados, então um número verificado pode continuar privado, e um valor que você não comprovou fica inerte. Nosso servidor não guarda nenhuma lista de pessoas verificadas nem nenhuma lista de números: um convite é endereçado a um slot derivado do próprio número, e é aceito quer alguém venha a buscá-lo ou não, então o servidor não consegue responder se um determinado número pertence a um usuário do CHANNEL.

Mensagens

Mensagens temporárias com um temporizador que os dois lados podem ver, removidas dos dois telefones assim que vistas e assim que o tempo se esgota. Ver uma vez para uma foto, protegida de capturas de tela enquanto está na tela. Fotos, do próprio seletor do seu telefone ou da câmera, com uma configuração que mantém as fotos totalmente fora da Internet. Confirmações de leitura, nos dois sentidos ou em nenhum. Tradução feita pelo próprio tradutor do telefone, então o texto nunca sai do telefone para ser traduzido. Uma linha de área de transferência acima do campo de composição. E botões de chamada que passam a bola para os apps de chamada que você já usa, em vez de fingir que o CHANNEL faz a chamada sozinho.

Localização

Envie uma única localização, captada no momento em que você toca e nunca guardada, ou compartilhe ao vivo por 15 minutos, uma hora ou 8 horas, atualizando enquanto o app está aberto e terminando sozinha. Também existe um compartilhamento sem hora de término, que dura até você parar. Entre dois telefones com CHANNEL, a mensagem carrega coordenadas em vez de um link, então a pessoa que recebe escolhe como ver. Um compartilhamento chega como um único cartão que se move no lugar em vez de encher a conversa com linhas novas. Tocar nele abre um mapa dentro do CHANNEL com os dois telefones nele, a distância e uma seta apontando para o outro telefone, e a partir dali você pode passar para qualquer app de mapas instalado no seu telefone. Enquanto um compartilhamento está em andamento, um alfinete fica no topo da conversa, e quem está compartilhando recebe uma contagem regressiva que pode estender ou parar. O CHANNEL não lê sua localização em nenhum outro momento.

O bloqueio e o código de coação

O CHANNEL pode pedir o próprio desbloqueio do seu telefone para abrir, e você pode adicionar um código próprio, de 4 a 8 dígitos, que é pedido antes de qualquer outra coisa e funciona até num telefone sem bloqueio nenhum. Nenhum dos dois códigos é armazenado, só um hash lento dele, então ninguém consegue redefinir um, nós incluídos. Um segundo código, diferente, apaga tudo o que o CHANNEL guarda no telefone: primeiro a chave que lacra os armazenamentos, depois as identidades, depois cada arquivo. O app então abre como se estivesse recém-instalado, e nada na tela diz que isso aconteceu. Tudo o que o CHANNEL grava no disco é criptografado sob uma chave guardada no hardware seguro do telefone, então um arquivo copiado ou um backup roubado do dispositivo não rende nada sem ela.

AI

Onde a AI roda depende do telefone. Num iPhone compatível com Apple Intelligence, ela roda no próprio telefone — sem conta, sem chave, sem custo, e nada sai dele. Em qualquer outro caso, e como alternativa num iPhone, você adiciona sua própria conta com OpenAI, Anthropic ou xAI: a chave fica no seu telefone, nosso servidor nunca a vê, e você pode adicionar mais de uma. Nada é enviado sozinho: sem chamadas em segundo plano, sem resumos automáticos, sem respostas sugeridas que você não pediu. Todo uso mostra exatamente o que vai sair do telefone, incluindo as palavras da outra pessoa quando você escolhe incluí-las, e o botão que você aperta é o consentimento. Ela pode escrever ou reformular um rascunho, corrigir ortografia e gramática, deixar uma mensagem mais curta, mais amigável ou mais formal, sugerir respostas, resumir uma conversa, traduzir uma mensagem, ou responder uma pergunta sobre uma foto. Você também pode ativar uma conta como contato, para que ChatGPT, Claude ou Grok apareça na sua lista de contatos e você converse com ela como com qualquer outra pessoa.

Backup e restauração

Desativado a menos que você use, e nunca em silêncio. O CHANNEL lacra seus perfis, identidades, contatos, conversas e configurações num único arquivo sob uma frase secreta que você escolhe, e o entrega ao próprio seletor de arquivos do seu telefone, então você decide para onde ele vai. Nunca guardamos a frase secreta e não conseguimos recuperá-la, e nunca recebemos o arquivo. Mensagens temporárias e de ver uma vez nunca são incluídas, e os anexos ficam de fora por causa do tamanho. Restaurar substitui tudo no telefone, e é assim que você muda para um novo.

Transportando para outras pessoas

Ajustes tem um interruptor de Retransmitir a outros, desativado a menos que você o ative. Com ele ativado, este telefone se oferece para transportar correspondência lacrada para contatos que outro telefone ainda não consegue alcançar, e entregá-la depois; um telefone que transporta não consegue ler o que carrega. Não vamos exagerar sobre isso. Transportar só compensa quando há telefones suficientes rodando CHANNEL num mesmo lugar, e isso ainda não foi medido em hardware real com densidade real. Está no produto e no protocolo. Não é uma promessa.

Ajuda, dentro do app

Páginas de ajuda em linguagem simples vêm dentro do CHANNEL, nos mesmos cinco idiomas do app. Funcionam sem rede, não entram em contato com ninguém, e nada do que você lê nelas é reportado a ninguém.