Perguntas, respondidas

Não. Não há cadastro nem nada para instalar. Abra o shhnote, escreva o seu segredo, compartilhe o link. Só isso.

Um segredo de uso único só pode ser lido pela primeira pessoa que o abrir — depois disso ele é destruído, e você vai saber que alguém o leu porque o destinatário certo não encontra nada. Para mais segurança, você pode adicionar uma senha e enviá-la separadamente, para que só o link não baste. E se mudar de ideia, você mesmo pode destruir o segredo com o seu link de destruição privado.

Não. A chave que o desbloqueia nunca chega até nós — ela fica guardada dentro do seu link, do seu lado. Nós só temos uma versão embaralhada que não temos como abrir.

Você escolhe a expiração — de 15 minutos a 14 dias. Quando o prazo acaba, o segredo é apagado automaticamente, tenha sido aberto ou não.

Um segredo de uso único é destruído no momento em que é aberto. Um segredo com prazo pode ser aberto de novo até expirar — mas a página nunca diz quanto tempo resta, então trate todo segredo como algo a guardar já na primeira leitura.

Um segundo link, privado, que você recebe ao criar um segredo. Ao abri-lo aparece uma confirmação; confirmar destrói o segredo imediatamente, antes que alguém possa lê-lo. Guarde-o só para você.

Sim. Os arquivos são criptografados no seu navegador exatamente como o texto e viajam dentro do mesmo bloco selado. Tudo recebe preenchimento até tamanhos padrão, então nem nós conseguimos distinguir uma nota curta de um arquivo pequeno.

Criar e revelar um segredo exige JavaScript, porque a criptografia acontece no seu navegador. Funciona no Tor Browser no nível “Mais seguro”; no nível “O mais seguro”, o WebAssembly fica desativado, então segredos protegidos por senha não podem ser abertos, e a página avisa isso. Todas as outras páginas funcionam sem JavaScript.

A revelação executa uma única atualização condicional que muda a linha de “ativa” para “reivindicada”. Duas requisições simultâneas não podem ter sucesso ao mesmo tempo; a segunda encontra um registro já reivindicado e recebe a mesma resposta “nenhum segredo encontrado” que qualquer outra pessoa. A reivindicação nunca é desfeita: se o download se perder, quem tem o token da reivindicação baixa de novo dentro da janela; caso contrário, o segredo é destruído sem ser lido.

Os parâmetros de consulta são enviados ao servidor e acabam em logs de acesso, proxies e ferramentas de análise. O fragmento (depois do #) é definido pela especificação de URL para ficar no lado do cliente — o navegador nunca o coloca na requisição HTTP. Essa propriedade é a base de todo o design de conhecimento zero. Depois de uma revelação, a página também remove o fragmento da barra de endereço e do histórico.

A página de visualização é o mesmo documento estático para todos os segredos e não busca nada ao carregar. A requisição só é enviada com um clique ou tecla confiável — um click() por script ou um envio de formulário não contam. Os verificadores automáticos (segurança de e-mail, pré-visualizações de chat, antivírus) só carregam essa estrutura estática.

Sim. Todo o código-fonte é público sob a licença AGPLv3, o protocolo está descrito numa especificação com vetores de conformidade que qualquer implementação pode usar para se testar, e há um guia de hospedagem própria. Você pode auditar a criptografia no lado do cliente e rodar a sua própria instância, para que a fronteira de confiança seja inteiramente sua.

Não guardamos logs de acesso por segredo nem histórico de IPs. O limite de requisições usa um hash com chave do endereço, com um salt que é trocado periodicamente e, a cada troca, zera todos os contadores. As denúncias de abuso são contadas por dia; não há registro de qual segredo foi denunciado.

Sim — a mesma que este site usa. A documentação a descreve, e o pacote cliente de código aberto implementa o protocolo para as suas próprias ferramentas.