प्रामाणिक पारदर्शकता

🔒 Friendstime कशाचे संरक्षण करते — आणि कशाचे नाही?

“सर्व काही 100 % एन्क्रिप्ट केलेले आहे” असे आम्ही तुम्हाला वचन देत नाही — ते प्रामाणिक ठरणार नाही. कोणता डेटा एंड-टू-एंड एन्क्रिप्ट केलेला आहे, कोणता सर्व्हर वाचू शकतो आणि एन्क्रिप्शन तांत्रिकदृष्ट्या काय लपवू शकत नाही हे आम्ही तुम्हाला नेमके सांगतो.

🛡️काय संरक्षित आहे?

थोडक्यात, प्रामाणिक आढावा. तपशील खाली आहेत.

डेटा	स्थिती
खाजगी चॅट्सचा मजकूर दोन्हींकडे की असलेल्या दोन खात्यांमधील मजकूर संदेश (ML-KEM-768 + AES-256-GCM); समोरच्या व्यक्तीकडे की नसल्यास मजकूर एन्क्रिप्ट न करता पाठवला जातो	✅ एंड-टू-एंड
ग्रुप चॅट्सचा मजकूर सर्व सदस्य अद्ययावत अॅप किंवा वेब-मेसेंजर वापरत असतील तेव्हा पोस्ट-क्वांटम पद्धत ML-KEM-768 ने एंड-टू-एंड एन्क्रिप्ट केलेला — तोपर्यंत एन्क्रिप्ट न केलेला	✅ अटींसह
वैयक्तिक चॅटमधील व्हॉइस संदेश, प्रतिमा, व्हिडिओ, फाइल्स दोन्ही खात्यांकडे की असेल आणि ती सध्याचे अ‍ॅप किंवा वेब मेसेंजर वापरत असतील तेव्हा एंड-टू-एंड एन्क्रिप्टेड (ML-KEM-768 + AES-256-GCM). सर्व्हरला प्रेषक, प्राप्तकर्ता, वेळ, आकार आणि प्रकार दिसतो, मजकूर नाही. ग्रुप चॅटसाठी आम्ही असे वचन देत नाही	✅ सशर्त
कॉल (व्हिडिओ आणि ऑडिओ) कॉल सध्या फक्त प्रवासादरम्यान एन्क्रिप्टेड आहेत (अ‍ॅपमध्येही). अ‍ॅप 1:1 कॉलमध्ये ML-KEM-768 मधून की आधीच ठरवते, पण ती फक्त उपशीर्षकांसाठी वापरते. प्रतिमा आणि आवाजासाठी एंड-टू-एंड एन्क्रिप्शन तयार केले आहे आणि चाचणी टप्प्यात आहे. लाइव्ह स्ट्रीम एंड-टू-एंड एन्क्रिप्शनशिवायच राहतात.	❌ फक्त प्रवासादरम्यान
वैयक्तिक चॅटमधील थेट स्थान दोन्ही खात्यांकडे की असेल तेव्हा स्थाने एंड-टू-एंड एन्क्रिप्ट केली जातात (ML-KEM-768 + AES-256-GCM); अन्यथा ती सर्व्हरवर साध्या मजकुरात साठवली जातात. कोण कोणासोबत आणि केव्हा शेअर करते हे सर्व्हरला दिसते	✅ सशर्त
व्हॉल्ट फाइल्स (लिंक) ब्राउझरमध्ये AES-256-GCM ने एन्क्रिप्ट केल्या जातात; की लिंकमधील # नंतरच्या भागात असते, जो ब्राउझर सर्व्हरला पाठवत नाही. ज्याच्याकडे पूर्ण लिंक आहे तो फाइल उघडू शकतो	✅ एंड-टू-एंड
मेटाडेटा कोण कोणाला, केव्हा लिहितो (पोहोचवण्यासाठी आवश्यक)	⚠️ सर्व्हरला दिसतो
सार्वजनिक मजकूर पोस्ट्स, प्रोफाइल, ग्रुप्स, टिप्पण्या	❌ E2EE नाही
संपर्कांबद्दल खाजगी नोंदी सर्व्हरवर वाचनीय स्वरूपात साठवल्या जातात; फक्त तुमचे खाते त्या मिळवू शकते	❌ E2EE नाही
IP पत्ता Tor (.onion) द्वारे उघडल्यास आमच्या सर्व्हरला कळत नाही — नाहीतर कळतो	✅ ऐच्छिक (Tor)
पासवर्ड साध्या मजकुरात नव्हे तर हॅश म्हणून साठवले जातात (Argon2id, अंशतः अतिरिक्त सर्व्हर-साइड गुपितासह); जुने bcrypt हॅश पुढील लॉगिनच्या वेळी अपग्रेड केले जातात	✅ हॅश केलेले

🔒 खाजगी चॅट्स — मजकूर एंड-टू-एंड एन्क्रिप्ट केलेला

तुमच्या खाजगी संदेशांचा मजकूर तुमच्या डिव्हाइसवर एन्क्रिप्ट होतो आणि फक्त प्राप्तकर्त्याकडेच पुन्हा वाचता येतो; सर्व्हर तेव्हा फक्त सायफरटेक्स्ट साठवतो. तुमची खाजगी की सर्व्हरवर एन्क्रिप्ट केलेल्या स्वरूपात असते आणि तुमच्या पासवर्डमधून काढलेल्या कीने तुमच्या डिव्हाइसवर अनलॉक होते — म्हणून तुमच्या चॅट्सची सुरक्षा तुमच्या पासवर्डच्या ताकदीवर अवलंबून आहे. समोरच्याकडे अजून की नसल्यास किंवा डिव्हाइसवर एन्क्रिप्शन अयशस्वी झाल्यास, मजकूर संदेशही एन्क्रिप्ट न करता जातो.

तुम्ही हे कसे ओळखू शकता

एन्क्रिप्ट केलेल्या संदेशाच्या सूचनेमध्ये मजकुराचा कोणताही भाग नसतो, फक्त 🔒 एन्क्रिप्ट केलेला संदेश सारखी सूचना असते — सर्व्हरकडे फक्त सायफरटेक्स्ट असल्याने तो कोणताही भाग तयार करू शकत नाही.

मजकूर AES-256-GCM ने एन्क्रिप्ट केला जातो; त्यासाठीची की पोस्ट-क्वांटम पद्धत ML-KEM-768 वापरून देवाणघेवाण केली जाते — किंवा एखाद्या खात्याकडे अजून ML-KEM की नसल्यास RSA-OAEP ने. की तुमच्या खात्याची असते, एका उपकरणाची नाही: तुमच्या पासवर्डने साइन इन केल्यानंतर तुमचे प्रत्येक उपकरण तुमचे चॅट डिक्रिप्ट करू शकते. सर्व सदस्य सध्याचे अ‍ॅप किंवा वेब मेसेंजर वापरू लागताच ग्रुप चॅटमधील मजकूरही ML-KEM-768 ने एंड-टू-एंड एन्क्रिप्ट केला जातो. दोन्ही खात्यांकडे की असेल तेव्हा वैयक्तिक चॅटमधील व्हॉइस संदेश, प्रतिमा, व्हिडिओ आणि फाइल्सही एंड-टू-एंड एन्क्रिप्ट केल्या जातात. कॉल सध्या फक्त प्रवासादरम्यान एन्क्रिप्टेड आहेत; प्रतिमा आणि आवाजासाठी एंड-टू-एंड एन्क्रिप्शन चाचणी टप्प्यात आहे. एन्क्रिप्शनचे स्वतंत्र ऑडिट आतापर्यंत झालेले नाही.

🌐 सार्वजनिक मजकूर — जाणीवपूर्वक E2EE नाही

पोस्ट्स, प्रोफाइल, ग्रुप्स आणि टिप्पण्या सार्वजनिक असाव्यात अशा हेतूने आहेत आणि सर्व्हरवर वाचता येण्याजोग्या स्वरूपात असतात. हे एंड-टू-एंड एन्क्रिप्शन नाही — आणि आम्ही ते प्रामाणिकपणे तसेच सांगतो. Feed, शोध आणि मॉडरेशन चालण्यासाठी हे तांत्रिकदृष्ट्या आवश्यक आहे.

सोपा नियम: इतरांनी पाहावे असे वाटत असेल, तर सर्व्हरही ते पाहू शकतो. जे खरोखर खाजगी राहायला हवे, ते दोघांमधील खाजगी चॅटमध्ये मजकूर म्हणून ठेवा.

🧾 मेटाडेटा — E2EE जे लपवत नाही

एंड-टू-एंड एन्क्रिप्शन मजकुराचे संरक्षण करते, पण रूटिंग मेटाडेटाचे नाही. संदेश पोहोचवण्यासाठी सर्व्हरला कोण कोणाशी केव्हा संवाद साधतो हे माहीत असावे लागते. ही “कोण-कोणाशी-केव्हा” माहिती तांत्रिकदृष्ट्या टाळता येत नाही — आम्ही ती लपवत नाही.

एंड-टू-एंड एन्क्रिप्ट केलेल्या संदेशांचा मजकूर सर्व्हरवर फक्त सायफरटेक्स्ट म्हणून असतो. प्रेषक, प्राप्तकर्ता, वेळ आणि संदेशाचा प्रकार सर्व्हर वाचता येण्याजोग्या स्वरूपात साठवतो.

🧅 नेटवर्क गोपनीयता — Tor (.onion)

ज्यांना वापरायचे आहे त्यांच्यासाठी Friendstime अतिरिक्त Tor नेटवर्कमध्ये Onion सेवा (.onion) म्हणूनही उपलब्ध आहे. Onion पत्त्यावरून उघडल्यास Friendstime ला तुमचा IP पत्ता कळत नाही, आणि तुम्ही कोणते पेज पाहता हे तुमचा इंटरनेट प्रदाता पाहू शकत नाही. काही वैशिष्ट्ये इतर सर्व्हरशीही संपर्क साधतात — उदाहरणार्थ कार्ड पेमेंट्स, एम्बेड केलेले व्हिडिओ, कॉल्स आणि लाइव्हस्ट्रीम्स; हे कनेक्शन्स Onion सेवा सोडून जातात.

हे फक्त तुम्ही Friendstime Tor ब्राउझरमध्ये उघडल्यासच लागू होते. सामान्य कनेक्शनवर सर्व्हरला तुमचा IP पत्ता कळतो — कोणत्याही वेबसाइटप्रमाणेच. तुम्ही कुठून येता हे Tor लपवते — तुमच्या खात्याने लॉग इन केल्यावर तुम्ही कोण आहात हे नाही. Android अॅपमध्ये अंगभूत Tor मोड नाही.

🐞सुरक्षा त्रुटी सापडली का?

तुम्हाला Friendstime मध्ये एखादी त्रुटी आढळल्यास, कृपया आमच्या अहवाल फॉर्मद्वारे ती आम्हाला गोपनीयपणे कळवा — खाते नसतानाही. आम्ही अहवाल कसे हाताळतो, हेही तिथे दिले आहे.

सुरक्षा त्रुटी कळवा

❓Frequently asked questions

Is Friendstime end-to-end encrypted?

In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.

Which methods are used?

Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.

Where are the servers?

According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.

Has the encryption been audited independently?

No. There has been no independent audit of the encryption so far.

How are passwords stored?

Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.

How do I report a security vulnerability?

Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.

हे पेज जाणीवपूर्वक साधे ठेवले आहे. सार्वजनिक Feed असलेल्या सोशल नेटवर्कमध्ये ते अशक्य असल्याने आम्ही “100 % एन्क्रिप्ट केलेले” असे म्हणत नाही. तुम्ही कशावर विसंबून राहू शकता हे आम्ही तुम्हाला नेमके सांगणे पसंत करतो.