De volledige cryptografische levenscyclus

Als je op Versleutelen drukt, haalt de browser een nieuwe 256-bit inhoudssleutel uit de WebCrypto CSPRNG en versleutelt je gegevens met AES-256-GCM. GCM is geauthenticeerd: elk blok heeft een 128-bit tag, zodat later knoeien wordt gedetecteerd in plaats van stilletjes te worden ontsleuteld.

Tekst en bestanden worden precies hetzelfde behandeld: beide worden één ondoorzichtige binaire blob, opgevuld tot een standaardgrootte, zodat een kort wachtwoord en een klein bestand er hetzelfde uitzien. De leesbare tekst komt nooit op het netwerk en verlaat nooit het geheugen van het tabblad.

Je link bevat een willekeurige 256-bit seed in het fragment van de URL: alles na de #. Volgens de URL-specificatie haalt de browser het fragment eraf en wordt het nooit meegestuurd in het verzoek aan onze servers. Uit die seed leidt de browser met HKDF een opzoekwaarde af om het geheim te vinden, plus de sleutel die de inhoudssleutel ontsluit. De server ziet alleen ooit een hash van de opzoekwaarde.

De browser van de ontvanger leest de seed uit het fragment en doet dezelfde afleiding lokaal. Dat is wat „zero-knowledge” hier betekent: wie alleen de versleutelde data heeft, kan er zonder de link niets mee.

Stel je een wachtwoordzin in, dan wordt die opgerekt met Argon2id, een geheugenintensieve functie voor sleutelafleiding, en samen met de seed gecombineerd tot de sleutel die de inhoudssleutel inpakt. De wachtwoordzin zelf wordt nooit verstuurd of opgeslagen; alleen jij en de ontvanger kennen hem. Verkeerde pogingen worden in de browser van de ontvanger opnieuw geprobeerd op gegevens die die al heeft, dus de server kan ze niet tellen.

Door de geheugenintensiviteit wordt grootschalig offline raden duur, zelfs met GPU's en ASIC's. Deel de wachtwoordzin via een ander kanaal dan de link, dan komen de twee factoren nooit op één plek samen. De Argon2-module wordt bij elk aanmaken en tonen opgehaald, zodat het netwerk niet kan zien welke geheimen er een gebruiken.

De blob wordt geüpload via TLS en opgeslagen als versleutelde data, naast gehashte toegangsgegevens, de levensduur en een afgeronde vervaltijd. We bewaren bewust geen identiteit van de afzender, ontvanger, IP-log, aanmaaktijd of toegangsgeschiedenis. Er is geen accountsysteem om een geheim aan een persoon te koppelen. Snelheidsbeperking werkt met een HMAC van het adres met een salt die regelmatig wisselt, zodat niets van vóór een wissel te koppelen is aan iets daarna.

Omdat het opgeslagen object zonder de seed uit het fragment betekenisloos is, levert een gehackte server of een gerechtelijk bevel alleen ondoorzichtige bytes en hashes op die niet terug te rekenen zijn naar iets bruikbaars.

Er wordt niets opgehaald als de pagina om het geheim te tonen laadt: het verzoek gaat pas de deur uit bij een echte klik of toetsaanslag, zodat linkscanners en chatvoorbeelden een geheim niet kunnen opgebruiken. Bij een eenmalig geheim claimt de server de rij in één voorwaardelijke update (precies één verzoek wint) en vanaf dat moment geldt het geheim als gebruikt. Dezelfde browser kan 15 minuten lang opnieuw downloaden als de verbinding wegvalt; niemand anders kan dat, en een onbevestigde claim wordt vernietigd, nooit teruggedraaid. Geheimen met een tijdslimiet zijn gewoon leesbaar tot ze verlopen.

Elk geheim heeft ook een privé-vernietigingslink. Die openen vernietigt op zich nog niets; pas na bevestiging wordt de versleutelde data direct gewist, voordat een ontvanger het kan lezen.