🔒 Çfarë mbron Friendstime — dhe çfarë jo?
Nuk ju premtojmë se „gjithçka është 100 % e fshehtëzuar" — kjo nuk do të ishte e ndershme. Ju themi saktësisht cilat të dhëna janë të fshehtëzuara skaj-më-skaj, çfarë mund të lexojë serveri dhe çfarë nuk mund të fshehë teknikisht fshehtëzimi.
🛡️Çfarë është e mbrojtur?
Përmbledhja e shkurtër dhe e ndershme. Detajet gjenden më poshtë.
| Të dhëna | Statusi |
|---|---|
|
Teksti i bisedave private
Mesazhe me tekst midis dy llogarive që të dyja kanë një çelës (ML-KEM-768 + AES-256-GCM); nëse personi tjetër nuk ka çelës, teksti dërgohet i pakriptuar
|
✅ Skaj-më-skaj |
|
Teksti i bisedave në grup
I fshehtëzuar skaj-më-skaj me metodën post-kuantike ML-KEM-768, sapo të gjithë anëtarët të përdorin një aplikacion të përditësuar ose Web-Messenger — deri atëherë i pafshehtëzuar
|
✅ me kusht |
|
Mesazhe zanore, imazhe, video, skedarë në bisedat 1:1
Të kriptuara nga skaji në skaj (ML-KEM-768 + AES-256-GCM) kur të dyja llogaritë kanë një çelës dhe përdorin një aplikacion të përditësuar ose mesazherin në ueb. Serveri sheh dërguesin, marrësin, kohën, madhësinë dhe llojin, jo përmbajtjen. Për bisedat në grup nuk e japim këtë premtim
|
✅ me kusht |
|
Thirrjet (video dhe audio)
Thirrjet aktualisht kriptohen vetëm gjatë transportit (edhe në aplikacion). Aplikacioni te thirrjet 1:1 negocion tashmë një çelës nga ML-KEM-768, por e përdor vetëm për titrat. Kriptimi nga skaji në skaj për figurën dhe zërin është ndërtuar dhe ndodhet në fazën e testimit. Transmetimet e drejtpërdrejta mbeten pa kriptim nga skaji në skaj.
|
❌ vetëm transport |
|
Vendndodhja e drejtpërdrejtë në bisedat 1:1
Pozicionet kriptohen nga skaji në skaj (ML-KEM-768 + AES-256-GCM) kur të dyja llogaritë kanë një çelës; përndryshe ruhen në tekst të thjeshtë në server. Serveri sheh kush ndan me kë dhe kur
|
✅ me kusht |
|
Skedarët e kasafortës (lidhje)
Kriptohen në shfletues me AES-256-GCM; çelësi ndodhet në pjesën e lidhjes pas #, të cilën shfletuesi nuk ia dërgon serverit. Kushdo që ka lidhjen e plotë mund ta hapë skedarin
|
✅ nga skaji në skaj |
|
Metadhëna
Kush i shkruan kujt dhe kur (e nevojshme për dërgimin)
|
⚠️ e dukshme për serverin |
|
Përmbajtja publike
Postime, profile, grupe, komente
|
❌ pa E2EE |
|
Shënime private për kontaktet
Ruhen të lexueshme në server; vetëm llogaria jote mund t'i marrë
|
❌ pa E2EE |
|
Adresa IP
Kur hapet përmes Tor (.onion), serveri ynë nuk e mëson — përndryshe po
|
✅ opsionale (Tor) |
|
Fjalëkalimet
Nuk ruhen në tekst të thjeshtë, por si hash (Argon2id, pjesërisht me një sekret shtesë nga ana e serverit); hash-et më të vjetra bcrypt përditësohen në hyrjen e radhës
|
✅ me hash |
🔒 Bisedat private — teksti i fshehtëzuar skaj-më-skaj
Teksti i mesazheve tuaja private fshehtëzohet në pajisjen tuaj dhe bëhet i lexueshëm përsëri vetëm te marrësi; serveri ruan atëherë vetëm tekstin e fshehtëzuar (ciphertext). Çelësi juaj privat ruhet i fshehtëzuar në server dhe shkyçet në pajisjen tuaj me një çelës që rrjedh nga fjalëkalimi juaj — prandaj siguria e bisedave tuaja varet nga forca e fjalëkalimit tuaj. Nëse pala tjetër nuk ka ende çelës ose fshehtëzimi dështon në pajisje, edhe një mesazh tekstual del i pafshehtëzuar.
Në njoftimin për një mesazh të fshehtëzuar nuk shfaqet asnjë pjesë e tekstit, por vetëm një shënim si 🔒 Mesazh i fshehtëzuar — serveri nuk mund të formojë një pjesë teksti, sepse ka vetëm tekstin e fshehtëzuar.
Përmbajtja kriptohet me AES-256-GCM; çelësi për këtë shkëmbehet me metodën post-kuantike ML-KEM-768 — ose me RSA-OAEP, nëse një llogari nuk ka ende një çelës ML-KEM. Çelësi i përket llogarisë sate, jo një pajisjeje të vetme: pas hyrjes me fjalëkalimin tënd, secila nga pajisjet e tua mund t'i dekriptojë bisedat e tua. Teksti i bisedave në grup kriptohet gjithashtu nga skaji në skaj me ML-KEM-768 sapo të gjithë anëtarët përdorin një aplikacion të përditësuar ose mesazherin në ueb. Mesazhet zanore, imazhet, videot dhe skedarët në bisedat 1:1 kriptohen gjithashtu nga skaji në skaj kur të dyja llogaritë kanë një çelës. Thirrjet aktualisht kriptohen vetëm gjatë transportit; kriptimi nga skaji në skaj për figurën dhe zërin është në fazën e testimit. Deri tani nuk ka pasur një auditim të pavarur të kriptimit.
🌐 Përmbajtja publike — me qëllim jo E2EE
Postimet, profilet, grupet dhe komentet janë menduar si publike dhe ruhen në server të lexueshme. Kjo nuk është fshehtëzim skaj-më-skaj — dhe ne e themi këtë hapur. Është teknikisht e nevojshme që feed-i, kërkimi dhe moderimi të funksionojnë fare.
Rregull i thjeshtë: nëse duhet ta shohin të tjerët, edhe serveri mund ta shohë. Çfarë duhet të mbetet vërtet private, duhet të shkruhet si tekst në një bisedë private mes dy personash.
🧾 Metadatat — çfarë nuk fsheh E2EE
Fshehtëzimi skaj-më-skaj mbron përmbajtjen, por jo metadatat e rrugëzimit. Për ta dorëzuar një mesazh, serveri duhet të dijë kush komunikon me kë dhe kur. Ky informacion „kush-me-kë-kur" është teknikisht i pashmangshëm — ne nuk e fshehim.
Te mesazhet e fshehtëzuara skaj-më-skaj, përmbajtja ruhet në server vetëm si tekst i fshehtëzuar. Dërguesi, marrësi, koha dhe lloji i mesazhit ruhen nga serveri në formë të lexueshme.
🧅 Privatësia e rrjetit — Tor (.onion)
Për këdo që dëshiron ta përdorë, Friendstime arrihet gjithashtu si shërbim Onion në rrjetin Tor (.onion). Kur hapet përmes adresës Onion, Friendstime nuk e mëson adresën tuaj IP, dhe ofruesi juaj i internetit nuk sheh cilën faqe vizitoni. Disa funksione kontaktojnë serverë të tjerë — për shembull pagesat me kartë, videot e integruara, thirrjet dhe transmetimet live; këto lidhje dalin jashtë shërbimit Onion.
Kjo vlen vetëm kur e hapni Friendstime në shfletuesin Tor. Me një lidhje të zakonshme, serveri e njeh adresën tuaj IP — si në çdo faqe interneti. Tor fsheh nga vini — jo se kush jeni, sapo të kyçeni me llogarinë tuaj. Aplikacioni Android nuk ka mënyrë të integruar Tor.
🐞E gjetët një cenueshmëri sigurie?
Nëse zbuloni një cenueshmëri në Friendstime, ju lutemi raportojeni te ne në mënyrë konfidenciale përmes formularit tonë të raportimit — edhe pa llogari. Aty shpjegohet gjithashtu si i trajtojmë raportimet.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.