Політика конфіденційності

Як працює сервіс

Encrypt.One — безкоштовний сервіс для передачі паролів, ключів і файлів одноразовими посиланнями. Реєстрація не потрібна. Сервіс розробляє та підтримує FINAL LEVEL.

Посилання ви надсилаєте самі будь-яким зручним способом. Месенджер, пошту чи SMS можуть перехопити, і тоді секрет відкриє той, хто першим перейде за посиланням. Для важливих даних задавайте пароль на відкриття й повідомляйте його іншим каналом.

Секрети й файли

Текст і прикріплений файл шифруються в браузері алгоритмом AES-256-GCM через вбудований Web Crypto API ще до надсилання. Назва й тип файлу шифруються разом із вмістом.

На сервері зберігаються лише:

• зашифровані дані;
• строк зберігання;
• позначка, чи прикріплено файл;
• перевірочний геш пароля, якщо ви задали пароль на відкриття.

Ключ розшифрування — частина посилання після символу #. Браузер не надсилає цю частину на сервер, тому ні ми, ні той, хто отримає доступ до сервера, не можемо розшифрувати дані. З тієї ж причини ми не можемо відновити секрет, якщо посилання загублено.

Пароль на відкриття

Сам пароль не залишає браузер. З пароля та ключа посилання браузер обчислює два незалежні значення: ключ шифрування й перевірочний геш (PBKDF2 із 600 000 ітерацій, потім HKDF). На сервер надходить лише геш. За ним сервер перевіряє пароль, але не може дізнатися ні сам пароль, ні ключ.

Після трьох неправильних спроб секрет видаляється. Лічильник спроб зберігається в пам’яті сервера й прив’язаний до секрету, а не до відвідувача.

Коли дані видаляються

• одразу після того, як одержувач відкрив секрет;
• коли ви натискаєте «Знищити зараз» на сторінці посилання;
• після третього неправильного пароля;
• після завершення вибраного строку, від 1 години до 7 днів. Прострочений секрет одразу перестає видаватися, а його дані стираються під час щоденного очищення.

Видалений секрет відновити не можна. Боти месенджерів, які будують прев’ю посилання, секрет не витрачають: дані видаються лише після натискання «Показати секрет».

Технічні журнали

Сервер застосунку записує лише запити до API: тип запиту, результат і час обробки. До журналу не потрапляють IP-адреси, ідентифікатори секретів, токени, адреси сторінок і вміст запитів.

Щоб захистити сервіс від перебору та зловживань, сервер обмежує частоту запитів з однієї IP-адреси. Адреса використовується лише в оперативній пам’яті й не зберігається.

Перед застосунком працює вебсервер, який може вести стандартний журнал доступу: IP-адресу, час і адресу сторінки без частини після #. Такі журнали використовуються лише для захисту від атак і зберігаються обмежений час.

Cookie та сховище браузера

Ми не використовуємо рекламні й аналітичні cookie. Сайт зберігає в браузері лише те, що потрібно для роботи:

• cookie lang — мову, якщо ви вибрали її в перемикачі;
• у localStorage — тему оформлення, позначку про закритий банер вибору мови та позначки про посилання, знищені з цього браузера;
• у sessionStorage — пароль із генератора, поки він переноситься у форму на головній. Він видаляється одразу після вставлення.

На сервер із цього потрапляє лише cookie мови: за нею сервер вибирає версію сторінки. Усе це можна видалити в налаштуваннях браузера.

Сторонні сервіси

Сайт не завантажує сторонні скрипти, шрифти, лічильники та рекламу: усе, зокрема шрифти, віддається з нашого сервера. Ми не продаємо й не передаємо дані третім особам.

Кнопки надсилання в Telegram, WhatsApp і поштою, а також посилання на сайти спонсорів — звичайні посилання. Зовнішній сервіс отримує дані, лише коли ви на них натискаєте, і далі діє його власна політика.

Генератор паролів

Паролі, фрази й PIN-коди створюються у вашому браузері криптографічним генератором випадкових чисел і не надсилаються на сервер.

Відкритий код

Вихідний код сервісу відкритий на GitHub: можна перевірити, як влаштоване шифрування, або розгорнути власну копію.

Ваші права

Ми не знаємо, хто створив або відкрив секрет: сервіс не пов’язує дані з людьми, акаунтами чи IP-адресами. Тому ми не можемо знайти, видати чи видалити дані конкретної людини. Щоб видалити свій секрет раніше строку, відкрийте сторінку посилання й натисніть «Знищити зараз».

Зміни політики

Якщо політика зміниться, ми опублікуємо нову версію на цій сторінці й оновимо дату вгорі.

Питання

Питання про конфіденційність ставте в issues на GitHub.