🔒 Friendstime nəyi qoruyur — və nəyi yox?
Sənə “hər şey 100 % şifrələnib” vədi vermirik — bu, dürüst olmazdı. Hansı məlumatların uçdan-uca şifrələndiyini, hansını serverin oxuya biləcəyini və şifrələmənin texniki olaraq nəyi gizlədə bilmədiyini dəqiq deyirik.
🛡️Nə qorunur?
Qısa, dürüst icmal. Təfərrüatlar aşağıdadır.
| Məlumat | Status |
|---|---|
|
Şəxsi söhbətlərin mətni
Hər ikisinin açarı olan iki hesab arasında mətn mesajları (ML-KEM-768 + AES-256-GCM); qarşı tərəfin açarı yoxdursa, mətn şifrələnmədən göndərilir
|
✅ Uçdan-uca |
|
Qrup söhbətlərinin mətni
ML-KEM-768 postkvant üsulu ilə uçdan-uca şifrələnir, bütün üzvlər aktual tətbiqdən və ya veb-messencerdən istifadə etdikdən sonra — o vaxtadək şifrələnməyib
|
✅ şərti |
|
Təkbətək söhbətlərdə səsli mesajlar, şəkillər, videolar, fayllar
Hər iki hesabın açarı olduqda və cari tətbiqdən və ya veb-messencerdən istifadə etdikdə ucdan-uca şifrələnir (ML-KEM-768 + AES-256-GCM). Server göndərəni, alıcını, vaxtı, ölçünü və növü görür, məzmunu yox. Qrup söhbətləri üçün belə bir vəd vermirik
|
✅ şərti |
|
Zənglər (görüntü və səs)
Zənglər hazırda yalnız ötürülmə zamanı şifrələnir (tətbiqdə də). Tətbiq təkbətək zənglərdə artıq ML-KEM-768-dən açar razılaşdırır, lakin ondan yalnız altyazılar üçün istifadə edir. Görüntü və səs üçün ucdan-uca şifrələmə hazırlanıb və sınaq mərhələsindədir. Canlı yayımlar ucdan-uca şifrələmə olmadan qalır.
|
❌ yalnız ötürülmə |
|
Təkbətək söhbətlərdə canlı məkan
Hər iki hesabın açarı olduqda mövqelər ucdan-uca şifrələnir (ML-KEM-768 + AES-256-GCM); əks halda serverdə açıq mətn şəklində saxlanılır. Server kimin kiminlə və nə vaxt paylaşdığını görür
|
✅ şərti |
|
Seyf faylları (keçid)
Brauzerdə AES-256-GCM ilə şifrələnir; açar keçidin # işarəsindən sonrakı hissəsindədir və brauzer bu hissəni serverə göndərmir. Tam keçidi olan hər kəs faylı aça bilər
|
✅ Ucdan-uca |
|
Metadata
Kim kimə nə vaxt yazır (çatdırılma üçün lazımdır)
|
⚠️ serverə görünür |
|
Açıq məzmun
Paylaşımlar, profillər, qruplar, şərhlər
|
❌ E2EE yoxdur |
|
Kontaktlar haqqında şəxsi qeydlər
Serverdə oxuna bilən şəkildə saxlanılır; onları yalnız sizin hesabınız əldə edə bilər
|
❌ E2EE yoxdur |
|
IP ünvanı
Tor (.onion) ilə daxil olduqda serverimiz onu bilmir — əks halda bilir
|
✅ istəyə bağlı (Tor) |
|
Parollar
Açıq mətn şəklində deyil, heş kimi saxlanılır (Argon2id, qismən əlavə gizli server dəyəri ilə); köhnə bcrypt heşləri növbəti girişdə yenilənir
|
✅ heşlənmiş |
🔒 Şəxsi söhbətlər — mətn uçdan-uca şifrələnib
Şəxsi mesajlarının mətni cihazında şifrələnir və yalnız alıcıda yenidən oxuna bilir; server bu halda yalnız şifrəli mətn (ciphertext) saxlayır. Şəxsi açarın serverdə şifrələnmiş şəkildə saxlanılır və cihazında parolundan əldə edilən açarla kilidi açılır — buna görə söhbətlərinin təhlükəsizliyi parolunun gücündən asılıdır. Qarşı tərəfin hələ açarı yoxdursa və ya şifrələmə cihazda uğursuz olarsa, mətn mesajı da şifrələnməmiş şəkildə göndərilir.
Şifrələnmiş mesaj haqqında bildirişdə mətndən heç bir parça yoxdur, yalnız 🔒 Şifrələnmiş mesaj kimi qeyd var — server parça yarada bilmir, çünki onda yalnız şifrəli mətn var.
Məzmun AES-256-GCM ilə şifrələnir; bunun üçün açar post-kvant metodu ML-KEM-768 ilə mübadilə edilir — və ya hesabın hələ ML-KEM açarı yoxdursa, RSA-OAEP ilə. Açar tək bir cihaza deyil, hesabınıza aiddir: parolunuzla daxil olduqdan sonra cihazlarınızın hər biri söhbətlərinizi deşifrə edə bilər. Bütün üzvlər cari tətbiqdən və ya veb-messencerdən istifadə edən kimi qrup söhbətlərinin mətni də ML-KEM-768 ilə ucdan-uca şifrələnir. Təkbətək söhbətlərdə səsli mesajlar, şəkillər, videolar və fayllar da hər iki hesabın açarı olduqda ucdan-uca şifrələnir. Zənglər hazırda yalnız ötürülmə zamanı şifrələnir; görüntü və səs üçün ucdan-uca şifrələmə sınaq mərhələsindədir. Şifrələmənin müstəqil auditi indiyədək aparılmayıb.
🌐 Açıq məzmun — qəsdən E2EE deyil
Paylaşımlar, profillər, qruplar və şərhlər açıq nəzərdə tutulub və serverdə oxuna bilən şəkildə saxlanılır. Bu, uçdan-uca şifrələmə deyil — və biz bunu dürüst şəkildə belə adlandırırıq. Lent, axtarış və moderasiyanın ümumiyyətlə işləməsi üçün bu texniki cəhətdən zəruridir.
Əsas qayda: başqalarının görməsi nəzərdə tutulan şeyi server də görə bilər. Həqiqətən şəxsi qalmalı olan isə mətn kimi ikili şəxsi söhbətə aiddir.
🧾 Metadata — E2EE-nin gizlətmədiyi
Uçdan-uca şifrələmə məzmunu qoruyur, lakin marşrutlaşdırma metadatalarını yox. Mesajı çatdırmaq üçün server kimin kimlə nə vaxt əlaqə saxladığını bilməlidir. Bu “kim-kimlə-nə vaxt” məlumatı texniki cəhətdən qaçılmazdır — biz bunu gizlətmirik.
Uçdan-uca şifrələnmiş mesajlarda məzmun serverdə yalnız şifrəli mətn kimi mövcuddur. Göndərən, alıcı, vaxt və mesajın növünü server oxuna bilən şəkildə saxlayır.
🧅 Şəbəkə məxfiliyi — Tor (.onion)
İstifadə etmək istəyənlər üçün Friendstime əlavə olaraq Tor şəbəkəsində Onion xidməti (.onion) kimi də əlçatandır. Onion ünvanı ilə daxil olduqda Friendstime IP ünvanını bilmir, internet provayderin isə hansı səhifəyə baxdığını görmür. Bəzi funksiyalar başqa serverlərə müraciət edir — məsələn, kart ödənişləri, quraşdırılmış videolar, zənglər və canlı yayımlar; bu bağlantılar Onion xidmətindən kənara çıxır.
Bu yalnız Friendstime-a Tor Brauzerində daxil olduqda keçərlidir. Adi bağlantı ilə server IP ünvanını bilir — hər veb sayt kimi. Tor haradan gəldiyini gizlədir — hesabınla daxil olan kimi kim olduğunu yox. Android tətbiqində quraşdırılmış Tor rejimi yoxdur.
🐞Təhlükəsizlik boşluğu tapdın?
Friendstime-da zəiflik aşkar etsən, xahiş edirik, bunu bildiriş formamız vasitəsilə məxfi şəkildə bizə bildir — hesabsız da mümkündür. Orada bildirişlərlə necə işlədiyimiz də yazılıb.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.