Polityka prywatności

Jak działa usługa

Encrypt.One to bezpłatna usługa udostępniania haseł, kluczy i plików za pomocą jednorazowych linków. Rejestracja nie jest potrzebna. Usługę rozwija i prowadzi FINAL LEVEL.

Link wysyłasz samodzielnie w dowolny sposób. Wiadomość w komunikatorze, e-mail lub SMS może zostać przechwycona, a sekret otrzyma osoba, która pierwsza otworzy link. Dla ważnych danych ustaw hasło do otwarcia i przekaż je innym kanałem.

Sekrety i pliki

Tekst i załączony plik są szyfrowane w przeglądarce algorytmem AES-256-GCM przez wbudowane Web Crypto API przed wysłaniem. Nazwa i typ pliku są szyfrowane razem z zawartością.

Na serwerze przechowywane są tylko:

• zaszyfrowane dane;
• czas wygaśnięcia;
• informacja, czy dołączono plik;
• skrót weryfikacyjny hasła, jeśli ustawiono hasło do otwarcia.

Klucz odszyfrowania to część linku po znaku #. Przeglądarki nigdy nie wysyłają tej części na serwer, więc ani my, ani osoba z dostępem do serwera nie możemy odszyfrować danych. Z tego samego powodu nie możemy odzyskać sekretu, jeśli link zostanie utracony.

Hasło do otwarcia

Samo hasło nigdy nie opuszcza przeglądarki. Na podstawie hasła i klucza z linku przeglądarka wyprowadza dwie niezależne wartości: klucz szyfrowania i skrót weryfikacyjny (PBKDF2 z 600 000 iteracji, a następnie HKDF). Na serwer trafia tylko skrót. Serwer używa go do sprawdzenia hasła, ale nie może poznać hasła ani klucza.

Po trzech błędnych próbach sekret jest usuwany. Licznik prób jest przechowywany w pamięci serwera i przypisany do sekretu, nie do odwiedzającego.

Kiedy dane są usuwane

• natychmiast po otwarciu sekretu przez odbiorcę;
• po naciśnięciu „Zniszcz teraz” na stronie linku;
• po trzecim błędnym haśle;
• po upływie wybranego czasu, od godziny do siedmiu dni. Wygasły sekret przestaje być natychmiast udostępniany, a jego dane są usuwane podczas codziennego czyszczenia.

Usuniętego sekretu nie można odzyskać. Boty komunikatorów tworzące podgląd linku nie zużywają sekretu: dane są wydawane dopiero po naciśnięciu „Pokaż sekret”.

Dzienniki techniczne

Serwer aplikacji zapisuje tylko żądania API: ich typ, wynik i czas przetwarzania. Adresy IP, identyfikatory sekretów, tokeny, adresy stron i treść żądań nie są zapisywane.

Aby chronić usługę przed atakami siłowymi i nadużyciami, serwer ogranicza częstotliwość żądań z jednego adresu IP. Adres jest używany tylko w pamięci i nie jest zapisywany.

Serwer WWW przed aplikacją może prowadzić standardowy dziennik dostępu: adres IP, czas i adres strony bez części po #. Dzienniki te służą wyłącznie do ochrony przed atakami i są przechowywane przez ograniczony czas.

Cookies i pamięć przeglądarki

Nie używamy reklamowych ani analitycznych plików cookies. Strona zapisuje w przeglądarce tylko to, co potrzebne do działania:

• cookie lang — język, jeśli wybrano go w przełączniku;
• w localStorage — motyw, informację o zamknięciu banera językowego i oznaczenia linków zniszczonych z tej przeglądarki;
• w sessionStorage — hasło z generatora podczas przenoszenia do formularza na stronie głównej. Jest usuwane zaraz po wstawieniu.

Na serwer trafia z tego tylko cookie języka, którego serwer używa do wyboru wersji strony. Wszystko można usunąć w ustawieniach przeglądarki.

Usługi zewnętrzne

Strona nie ładuje zewnętrznych skryptów, czcionek, liczników ani reklam: wszystko, w tym czcionki, jest udostępniane z naszego serwera. Nie sprzedajemy ani nie przekazujemy danych podmiotom trzecim.

Przyciski wysyłania przez Telegram, WhatsApp i e-mail oraz linki do stron sponsorów są zwykłymi linkami. Zewnętrzna usługa otrzymuje dane dopiero po kliknięciu, a następnie obowiązuje jej własna polityka.

Generator haseł

Hasła, frazy i kody PIN są tworzone w przeglądarce przez kryptograficzny generator liczb losowych i nigdy nie są wysyłane na serwer.

Otwarty kod źródłowy

Kod źródłowy jest otwarty na GitHubie: możesz sprawdzić szyfrowanie lub uruchomić własną kopię.

Twoje prawa

Nie wiemy, kto utworzył lub otworzył sekret: usługa nie łączy danych z osobami, kontami ani adresami IP. Dlatego nie możemy znaleźć, wydać ani usunąć danych konkretnej osoby. Aby usunąć sekret przed upływem czasu, otwórz stronę linku i naciśnij „Zniszcz teraz”.

Zmiany polityki

Jeśli ta polityka się zmieni, opublikujemy nową wersję na tej stronie i zaktualizujemy datę u góry.

Pytania

Pytania dotyczące prywatności zadawaj w zgłoszeniach na GitHubie.