🔒 Zer babesten du Friendstime-k — eta zer ez?
Ez dizugu agintzen «dena 100 % zifratuta dago» — hori ez litzateke zintzoa izango. Zehazki esaten dizugu zein datu dauden muturretik muturrera zifratuta, zeintzuk irakur ditzakeen zerbitzariak eta zer ezin duen ezkutatu zifratzeak teknikoki.
🛡️Zer dago babestuta?
Ikuspegi labur eta zintzoa. Xehetasunak azpian daude.
| Datuak | Egoera |
|---|---|
|
Txat pribatuen testua
Biek gakoa duten bi konturen arteko testu-mezuak (ML-KEM-768 + AES-256-GCM); beste pertsonak gakorik ez badu, testua zifratu gabe bidaltzen da
|
✅ Muturretik muturrera |
|
Talde-txaten testua
Muturretik muturrera zifratuta ML-KEM-768 metodo postkuantikoarekin, kide guztiek aplikazio eguneratua edo web-mezularitza erabiltzen dutenean —ordura arte zifratu gabe
|
✅ baldintzapean |
|
Ahots-mezuak, irudiak, bideoak eta fitxategiak bakarkako txatetan
Muturretik muturrera zifratuta (ML-KEM-768 + AES-256-GCM), bi kontuek gakoa dutenean eta aplikazio eguneratu bat edo web-mezularia erabiltzen dutenean. Zerbitzariak bidaltzailea, hartzailea, ordua, tamaina eta mota ikusten ditu, ez edukia. Talde-txatetarako ez dugu halako promesarik egiten
|
✅ baldintzapean |
|
Deiak (bideoa eta audioa)
Deiak une honetan garraioan bakarrik zifratuta daude (aplikazioan ere). Aplikazioak 1:1 deietan ML-KEM-768-ko gako bat negoziatzen du dagoeneko, baina azpitituluetarako soilik erabiltzen du. Irudi eta audiorako muturretik muturrerako zifratzea eraikita dago eta proba-fasean dago. Zuzeneko emankizunek muturretik muturrerako zifratzerik gabe jarraitzen dute.
|
❌ garraioa bakarrik |
|
Zuzeneko kokapena bakarkako txatetan
Kokapenak muturretik muturrera zifratzen dira (ML-KEM-768 + AES-256-GCM) bi kontuek gakoa dutenean; bestela, testu argian gordetzen dira zerbitzarian. Zerbitzariak ikusten du nork norekin eta noiz partekatzen duen
|
✅ baldintzapean |
|
Kutxa gotorreko fitxategiak (esteka)
Nabigatzailean zifratzen dira AES-256-GCM bidez; gakoa estekaren # ondorengo zatian dago, eta nabigatzaileak ez dio zerbitzariari bidaltzen. Esteka osoa duen edonork ireki dezake fitxategia
|
✅ Muturretik muturrera |
|
Metadatuak
Nork nori idazten dion, noiz (mezua entregatzeko behar da)
|
⚠️ zerbitzariarentzat ikusgai |
|
Eduki publikoak
Argitalpenak, profilak, taldeak, iruzkinak
|
❌ E2EE-rik ez |
|
Kontaktuei buruzko ohar pribatuak
Zerbitzarian irakurgai gordetzen dira; zure kontuak bakarrik eskura ditzake
|
❌ E2EE gabe |
|
IP helbidea
Tor (.onion) bidez sartzen bazara, gure zerbitzariak ez du ezagutzen — bestela bai
|
✅ aukerakoa (Tor) |
|
Pasahitzak
Ez dira testu argian gordetzen, hash gisa baizik (Argon2id, batzuetan zerbitzariko sekretu gehigarri batekin); bcrypt hash zaharrak hurrengo saio-hasieran eguneratzen dira
|
✅ hash bidez |
🔒 Txat pribatuak — testua muturretik muturrera zifratuta
Zure mezu pribatuen testua zure gailuan zifratzen da eta hartzailearen aldean bakarrik bihurtzen da irakurgarri; zerbitzariak zifratutako testua bakarrik gordetzen du. Zure gako pribatua zifratuta dago zerbitzarian eta zure gailuan desblokeatzen da zure pasahitzetik eratorritako gako batekin — beraz, zure txaten segurtasuna zure pasahitzaren indarraren araberakoa da. Zure solaskideak oraindik gakorik ez badu edo gailuan zifratzeak huts egiten badu, testu-mezu bat ere zifratu gabe bidaltzen da.
Mezu zifratu baten jakinarazpenean ez dago testuaren zatirik, 🔒 Mezu zifratua bezalako ohar bat baizik — zerbitzariak ezin du zatirik osatu, zifratutako testua bakarrik baitu.
Edukia AES-256-GCM bidez zifratzen da; horretarako gakoa ML-KEM-768 metodo post-kuantikoaren bidez trukatzen da — edo RSA-OAEP bidez, kontu batek oraindik ML-KEM gakorik ez badu. Gakoa zure kontuarena da, ez gailu bakar batena: zure pasahitzarekin saioa hasi ondoren, zure gailu bakoitzak zure txatak deszifra ditzake. Talde-txaten testua ere muturretik muturrera zifratzen da ML-KEM-768 bidez, kide guztiek aplikazio eguneratu bat edo web-mezularia erabiltzen dutenean. Bakarkako txatetako ahots-mezuak, irudiak, bideoak eta fitxategiak ere muturretik muturrera zifratzen dira, bi kontuek gakoa dutenean. Deiak une honetan garraioan bakarrik zifratzen dira; irudi eta audiorako muturretik muturrerako zifratzea proba-fasean dago. Orain arte ez dago zifratzearen auditoretza independenterik.
🌐 Eduki publikoak — nahita E2EE gabe
Argitalpenak, profilak, taldeak eta iruzkinak publikoak izateko pentsatuta daude eta irakurgarri daude zerbitzarian. Hau ez da muturretik muturrerako zifratzea — eta horrela zintzo aitortzen dugu. Teknikoki beharrezkoa da feed-ak, bilaketak eta moderazioak funtziona dezaten.
Erregela praktikoa: besteek ikusi behar badute, zerbitzariak ere ikus dezake. Benetan pribatu geratu behar duena testu gisa bi pertsonaren arteko txat pribatu batean idatzi behar da.
🧾 Metadatuak — E2EE-k ezkutatzen ez duena
Muturretik muturrerako zifratzeak edukia babesten du, baina ez bideratze-metadatuak. Mezu bat entregatzeko, zerbitzariak jakin behar du nork nor eta noiz komunikatzen duen. «Nork noiz norekin» informazio hori teknikoki saihestezina da — ez dugu isilik gordetzen.
Muturretik muturrera zifratutako mezuetan, edukia zifratutako testu gisa bakarrik dago zerbitzarian. Bidaltzailea, hartzailea, denbora eta mezu-mota irakurgarri gordetzen ditu zerbitzariak.
🧅 Sareko pribatutasuna — Tor (.onion)
Nahi duenarentzat, Friendstime Onion zerbitzu gisa Tor sarean (.onion) ere eskuragarri dago. Onion helbidearen bidez sartzean, Friendstime-k ez du zure IP helbidea ezagutzen, eta zure Interneteko hornitzaileak ez du ikusten zer orri bisitatzen duzun. Funtzio batzuek beste zerbitzari batzuekin hitz egiten dute — adibidez txartel bidezko ordainketek, txertatutako bideoek, deiek eta zuzeneko emisioek; konexio horiek Onion zerbitzutik kanpo ateratzen dira.
Hori Friendstime Tor Browser-en irekitzen duzunean bakarrik aplikatzen da. Konexio arrunt batekin, zerbitzariak zure IP helbidea ezagutzen du — webgune guztietan bezala. Torrek nondik zatozen ezkutatzen du — ez nor zaren, zure kontuarekin saioa hasten duzunean. Android aplikazioak ez du Tor modurik integratuta.
🐞Segurtasun-zulo bat aurkitu duzu?
Friendstime-n ahultasun bat aurkitzen baduzu, jakinarazi iezaguzu konfidentzialki gure jakinarazpen-inprimakiaren bidez — konturik gabe ere bai. Han azaltzen da, halaber, jakinarazpenekin nola jokatzen dugun.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.