Alles, was du brauchst, und nichts, was dich beobachtet
Aphotic kann, was ein Messenger im Alltag können muss, und jedes Teil verrät dem Relay so gut wie nichts.
Nachrichten
Private Unterhaltungen, private Umschläge
Text, Reaktionen und Antworten sind Ende-zu-Ende-verschlüsselt, mit einer eigenen Post-Quanten-Triple-Ratchet-Sitzung pro Kontakt. Direktnachrichten nutzen standardmäßig Sealed Sender, deshalb erfährt der Relay nie, wer sie geschickt hat.
- Verschwindende Nachrichten mit Timern von 30 Sekunden bis 7 Tagen, durchgesetzt im verschlüsselten Inhalt und für den Server unsichtbar
- Die Volltextsuche läuft nur auf deinem Gerät; der Index verlässt nie den verschlüsselten Tresor
- Deterministische Nachrichtenreihenfolge: Unterhaltungen sehen auf beiden Seiten gleich aus, auch über ein langsames Netz
Kontakte
Niemand erreicht dich ohne Zustimmung
Es gibt kein Verzeichnis, in dem man dich finden könnte. Neue Kontakte kommen als Anfragen: Bis du annimmst, landet keine einzige Nachricht eines Fremden in deinen Chats.
- Teile deine ID als QR-Code oder kurze Zeichenfolge, ohne Telefonnummer oder Nutzernamen-Datenbank
- Anfragen lassen sich annehmen, ablehnen oder blockieren, bevor eine Unterhaltung existiert
- Blockieren, Stummschalten und Entfernen passieren lokal. Die Gegenseite erfährt nichts davon
Gruppen
Gruppen für den engen Kreis, Communities für die Menge
Alltagsgruppen fassen bis zu 20 Mitglieder. Jede Nachricht wird für jedes Mitglied einzeln verschlüsselt; einen geteilten Schlüssel auf dem Server gibt es nicht. Für größere Runden skalieren Communities auf bis zu 5.000 Mitglieder mit MLS-basierter Gruppenverschlüsselung, bei der jede Mitgliederänderung die Schlüssel erneuert. Namen sind in beiden Fällen verschlüsselt. Der Relay speichert nur Ciphertext.
- Einladungslinks sind widerrufbar: Zwei Notschalter machen einen geleakten Link unbrauchbar
- Der Gruppenschlüssel reist im Einladungslink selbst; der Server hält ihn nie
- Rollen und Berechtigungen regeln, wer einladen, umbenennen oder schreiben darf
- Communities sind invite-only mit expliziter Aufnahme; entfernte Mitglieder sind von allem Späteren ausgeschlossen. Vorerst nur Text
Medien
Anhänge und Sprache, Ende-zu-Ende-verschlüsselt
Dateien bis 25 MB werden vor dem Upload auf deinem Gerät verschlüsselt, mit einem frischen Zufallsschlüssel pro Datei. Sprachnachrichten werden direkt in einen verschlüsselten Blob aufgenommen, mit Wellenform-Vorschau.
- Sprachnotizen nutzen eine konstante Bitrate, damit ihre Größe nicht verrät, was gesagt wurde
- Auf Wunsch verfremdet dein Gerät deine Stimme vor dem Senden, ohne Cloud
- Medien werden nur auf dem Empfängergerät entschlüsselt; der Relay speichert opake Blobs
Benachrichtigungen
Push ohne Push-Server
Benachrichtigungen gibt es, aber keine läuft über Google oder Apple. Normale Apps werden von einem Push-Dienst geweckt, der den Relay und dein Nachrichten-Timing an Dritte weitergibt. Aphotics eigener Hintergrundprozess hält die Tor-Verbindung, fragt in deinem Takt nach neuen Nachrichten und erzeugt die Benachrichtigung lokal auf dem Telefon.
- Die App entfernt den Inhalt aus Sperrbildschirm-Vorschauen selbst, unabhängig von der Android-Einstellung
- Ohne Push-Token und Weckkanal über Dritte zeichnet niemand auf, wer wann online ist
Backups
Deine Daten bewegen sich nur, wenn du sie bewegst
Backups sind eine einzelne verschlüsselte Datei, die du bei Bedarf erstellst und ablegst, wo du willst. Der Telefonwechsel ist eine direkte Geräte-zu-Gerät-Übertragung; eine Cloud-Kopie entsteht nie.
- Backup-Dateien schützt eine Passphrase mit speicherharter Schlüsselableitung
- Bei der Geräteübertragung zieht deine Identität auf das neue Telefon um, und das alte gibt sie ab
Was wir weggelassen haben
Manche Funktionen fehlen absichtlich, weil jede davon die Daten erzeugen würde, die dieses Design vermeiden soll.
Lesebestätigungen & Tipp-Anzeigen
Dafür hat Aphotic kein Datenformat. Niemand sieht, wann du liest, zögerst oder umformulierst.
Sprach- & Videoanrufe
Echtzeit-Anrufe über Tor erfüllen unsere Latenz- und Anonymitätsansprüche heute nicht. Sprachnachrichten decken den asynchronen Fall ab.
Cloud-Backup
Ein Server-Archiv würde die 7-Tage-Warteschlange überdauern und zum Beschlagnahmeziel werden. Backups bleiben in deiner Hand.
Nur-Store-Vertrieb
Ein Store-Konto erzeugt eine Installationsspur und einen Takedown-Hebel. Ein Play-Eintrag kommt der Bequemlichkeit halber dazu, aber das signierte APK, das du selbst verifizierst, bleibt der Hauptweg.
Sieh dir an, wie es gebaut ist
Die Sicherheitsseite erklärt das Protokoll, den Tresor und die Tor-Architektur hinter diesen Funktionen.