O ciclo de vida criptográfico completo

Quando você aperta Criptografar, o navegador obtém uma nova chave de conteúdo de 256 bits do WebCrypto CSPRNG e criptografa os seus dados com AES-256-GCM. O GCM é autenticado: cada bloco leva uma etiqueta de 128 bits, então qualquer adulteração posterior é detectada em vez de ser descriptografada silenciosamente.

Textos e arquivos são tratados da mesma forma — ambos viram um único bloco binário opaco, preenchido até um tamanho padrão para que uma senha curta e um arquivo pequeno pareçam iguais. O texto legível nunca passa pela rede e nunca sai da memória da aba.

O seu link carrega uma semente aleatória de 256 bits no fragmento da URL — tudo o que vem depois do #. Pela especificação de URL, o navegador remove o fragmento e nunca o inclui na requisição enviada aos nossos servidores. A partir dessa semente, o navegador deriva, com HKDF, um valor de busca para encontrar o segredo e a chave que desembrulha a chave de conteúdo. O servidor só vê um hash do valor de busca.

O navegador do destinatário lê a semente do fragmento e faz a mesma derivação localmente. É isso que “conhecimento zero” significa aqui: ter o texto cifrado, por si só, não serve para nada sem o link.

Se você define uma senha, ela é reforçada com o Argon2id — uma função de derivação de chave que exige muita memória — e combinada com a semente para formar a chave que embrulha a chave de conteúdo. A senha em si nunca é transmitida nem armazenada; só você e o destinatário a conhecem. As tentativas erradas são repetidas no navegador do destinatário, com dados que ele já tem, então o servidor não consegue contá-las.

A exigência de memória torna caros os ataques de adivinhação offline em grande escala, mesmo com GPUs e ASICs. Envie a senha por um canal diferente do link, e os dois fatores nunca se encontram num mesmo lugar. O módulo Argon2 é baixado em toda criação e revelação, então a rede não consegue saber quais segredos usam senha.

O bloco é enviado por TLS e armazenado em repouso como texto cifrado, junto com credenciais em hash, o seu tempo de vida e um horário de expiração arredondado. De propósito, não guardamos identidade do remetente, destinatário, log de IPs, horário de criação nem histórico de acessos. Não existe sistema de contas para ligar um segredo a uma pessoa. O limite de requisições funciona sobre um HMAC do endereço, com um salt que é trocado periodicamente, então nada de antes de uma troca pode ser ligado a nada de depois.

Como o objeto armazenado não tem sentido sem a semente no fragmento, uma invasão do servidor ou uma ordem judicial só rende bytes opacos e hashes que não podem ser revertidos em nada.

Nada é buscado quando a página de revelação carrega: a requisição só sai com um clique ou tecla de verdade, então verificadores de links e pré-visualizações de chat não conseguem consumir um segredo. Num segredo de uso único, o servidor reivindica a linha numa única atualização condicional — exatamente uma requisição vence — e o segredo conta como consumido a partir desse momento. O mesmo navegador pode baixar de novo durante 15 minutos se a conexão cair; ninguém mais pode, e uma reivindicação não confirmada é destruída, nunca desfeita. Segredos com prazo são uma leitura simples até expirarem.

Todo segredo tem também um link de destruição privado. Abri-lo não destrói nada por si só; confirmar apaga o texto cifrado imediatamente — antes que qualquer destinatário possa lê-lo.