Manuale utente

1. Registrazione e primo accesso

Nella schermata iniziale, tocca "Registrati" e inserisci la tua email e uno username. Non è richiesto nessun numero di telefono.

Dopo la registrazione vedrai una sola volta tre informazioni, che devi salvare subito in un posto sicuro (un gestore di password, ad esempio):

• Username e password: lo username è il primo campo, la password decide quale profilo si apre. Con lo stesso username puoi avere più profili, ognuno con la sua password.
• ID pubblico: è quello che condividi con le persone che vuoi aggiungere come contatti. Non rivela la tua email.
• Combinazione segreta: serve per rivelare le chat nascoste (vedi la sezione dedicata).

Se perdi la password puoi reimpostarla via email, ma solo se l'email del profilo è stata verificata. Senza password e senza email verificata il profilo non è recuperabile.

2. Profili multipli sullo stesso dispositivo

Puoi creare più profili (ad esempio uno personale e uno di copertura) con lo stesso username ma password diverse. Quando inserisci username e password si apre il profilo corrispondente, senza una schermata di scelta che riveli quanti profili esistono. Non puoi usare la stessa password per due profili con lo stesso username.

3. Aggiungere contatti e chattare

Tocca "+ Aggiungi contatto" e inserisci l'ID pubblico della persona. Si apre una chat in tempo reale, cifrata end-to-end (vedi sezione 7).

4. Chat nascoste e combinazione segreta

Da una chat apri il menu e scegli "Nascondi/mostra questa chat". Una chat nascosta non appare più nella lista principale.

Per farla riapparire, digita la tua combinazione segreta (quella mostrata una sola volta alla registrazione) nella barra di ricerca: tutte le chat nascoste torneranno visibili finché non blocchi di nuovo l'app.

5. Profilo di copertura

Alla registrazione puoi spuntare "Crea come profilo di copertura": è un profilo pensato per essere mostrato in caso di controllo, senza contenere indizi sull'esistenza di altri profili sullo stesso dispositivo.

6. Messaggi a tempo (autodistruzione)

Prima di inviare un messaggio, puoi scegliere dal menu a tendina un tempo di autodistruzione: 30 secondi, 5 minuti o 1 ora. Trascorso quel tempo, il messaggio viene rimosso.

7. Crittografia end-to-end: come funziona davvero

Questo non è uno slogan di marketing: ogni messaggio è cifrato nel tuo browser, prima di essere inviato al server, con questo schema:

1. Al primo accesso il tuo dispositivo genera una coppia di chiavi ECDH (curva P-256): la chiave pubblica va sul server, quella privata resta sul dispositivo, cifrata con la tua password. In più prepara un lotto di chiavi pubbliche monouso («prekey»).
2. Per ogni messaggio, il tuo browser genera una chiave temporanea e preleva dal server UNA prekey monouso del contatto. Combina tre scambi ECDH (la tua identità, la chiave temporanea, la prekey) e deriva con HKDF-SHA256 una chiave AES-GCM a 256 bit valida solo per quel messaggio.
3. Il messaggio viene cifrato con quella chiave e un IV casuale; l'intestazione è autenticata, quindi non può essere alterata. Il server riceve solo testo cifrato.
4. Il destinatario ricostruisce la stessa chiave, legge il messaggio e subito dopo elimina la prekey privata: da quel momento il messaggio non è più decifrabile da nessuno, nemmeno con le tue chiavi di lungo periodo.

È lo stesso tipo di matematica (ECDH + AES-GCM) usata da molti protocolli sicuri moderni, applicata qui tramite la Web Crypto API nativa del browser, senza librerie esterne.

Forward secrecy: i messaggi passati restano al sicuro

Anche se qualcuno ottenesse le tue chiavi di lungo periodo (ad esempio rubando il dispositivo), non potrebbe decifrare i messaggi che hai già ricevuto, perché le loro chiavi sono state eliminate. Il testo che hai già letto resta solo nella cache locale cifrata del tuo dispositivo.

La cassaforte delle chiavi

Chiavi private, prekey e cache dei messaggi sono salvate nel browser solo in forma cifrata (AES-GCM), con una chiave derivata dalla tua password tramite PBKDF2-SHA256 (310.000 iterazioni). Se accedi con la biometria, ti viene chiesta la password una volta per aprire la cassaforte. Cambiando password, la cassaforte viene ricifrata.

Verifica che sia davvero lui: numero di sicurezza

Nella chat tocca l'icona 🔑: vedi un numero di 60 cifre, uguale per entrambi. Confrontalo con il tuo contatto di persona o a voce: se coincide, nessuno si sta intromettendo. Se la chiave di un contatto cambia (nuovo dispositivo o possibile intercettazione), compare un avviso e l'invio resta bloccato finché non scegli «Accetta nuova chiave».

8. Sblocco biometrico (Face ID / Touch ID / impronta)

Nelle impostazioni del profilo (icona ⚙️) trovi "Attiva sblocco con Face ID / impronta". Attivandolo, il tuo dispositivo crea una passkey tramite WebAuthn/FIDO2 e la registra sul server (solo la chiave pubblica, mai il dato biometrico).

Da quel momento, nella schermata di accesso apparirà un pulsante "Sblocca con biometria": lo usi al posto della password, e il tuo sistema operativo (non l'app) verifica Face ID, Touch ID, l'impronta Android o Windows Hello. Il dato biometrico non lascia mai il tuo dispositivo.

Puoi disattivarlo in qualsiasi momento dalle stesse impostazioni.

9. Cambiare lingua

In alto a destra, in ogni schermata dell'app, trovi un selettore di lingua. Anche questo sito è disponibile nelle stesse 11 lingue: italiano, inglese, spagnolo, francese, tedesco, portoghese, arabo, cinese, hindi, russo e giapponese. La lingua scelta nell'app viene ricordata sul dispositivo.

10. App mobile native (iOS/Android)

L'app nativa (React Native/Expo) per iOS e Android è pronta e in fase di test: chat, cassaforte, invio P2P, chiamate, verifica in due passaggi, blocco biometrico e notifiche push senza contenuto, con la stessa crittografia end-to-end della webapp. La pubblicazione su App Store e Google Play è in arrivo; nel frattempo la webapp funziona da qualsiasi browser e si può aggiungere alla schermata Home.

11. Limiti di sicurezza dichiarati

Per onestà, ecco i limiti che restano, anche se la crittografia è reale e non solo dichiarata:

• Prekey esaurite: se un contatto resta offline a lungo e finisce le chiavi monouso, il messaggio usa comunque una chiave nuova ma senza l'eliminazione monouso, quindi con una forward secrecy meno forte.
• Messaggi legati a questo dispositivo: per progetto, lo storico decifrato non si sposta. Su un nuovo dispositivo o dopo un recupero password via email la cassaforte precedente non è recuperabile: si parte con una nuova identità e i contatti vedono l'avviso di cambio chiave.
• La cassaforte vale quanto la password: scegline una lunga e unica. Chi ha il dispositivo già sbloccato con l'app aperta può leggere le chat, come per qualunque app.
• Metadati visibili al server: mittente, orario, reazioni e scadenza dei messaggi a tempo non sono cifrati.
• Recupero solo via email: se perdi sia la password sia l'accesso all'email verificata, il profilo non è recuperabile. Se usi più profili (ad esempio uno di copertura), usa email diverse: un link di recupero rivela a chi controlla l'email che il profilo esiste.

12. Risoluzione dei problemi

"Non riesco a cifrare: il contatto non ha ancora una chiave pubblica"

Succede se il tuo contatto non ha ancora effettuato l'accesso dopo l'ultimo aggiornamento dell'app (la chiave viene generata e caricata automaticamente al login). Chiedigli di accedere una volta: dopo potrai scrivergli normalmente.

"Ho perso la password"

Vai in «Password dimenticata?» nella schermata di accesso, inserisci email e username: se l'email del profilo è verificata ricevi un link valido 1 ora. Se l'email non era verificata, il profilo non è recuperabile e va creato di nuovo. Conserva sempre la password in un gestore di password.

Lo sblocco biometrico non appare

Richiede un dispositivo con Face ID, Touch ID, impronta o Windows Hello configurato, un browser aggiornato e una connessione HTTPS (la webapp in produzione la usa già). Deve inoltre essere stato attivato almeno una volta dalle impostazioni.

«Messaggio non più leggibile»

Per sicurezza la chiave di ogni messaggio viene eliminata appena l'hai letto: il testo resta solo nella cache cifrata di questo dispositivo. Se cambi dispositivo, svuoti i dati del browser o reimposti la password via email, i messaggi precedenti non sono più recuperabili. È il prezzo della forward secrecy.

13. Cassaforte e strumenti Securmy

Dal pulsante 🛡️ nella barra laterale apri la Cassaforte. Tutto ciò che contiene è cifrato nel tuo dispositivo con AES-256-GCM, con una chiave custodita nella tua cassaforte e protetta dalla password: il server non riceve mai file, note o password.

Cassaforte file

Aggiungi file (fino a 100 MB ciascuno) dalla scheda File. Se la casella è attiva, le foto vengono ripulite dai metadati prima di essere salvate. Puoi scaricare, inviare via P2P o eliminare ogni file.

Invio P2P via link

Scegli un file e un tempo di scadenza (10 minuti o 1 ora): ottieni un link monouso. Il file viaggia direttamente al destinatario, cifrato con una chiave che sta solo dopo il simbolo # del link e non arriva mai al server. Tieni aperta la pagina finché il trasferimento non è finito.

Pulisci foto

Ridisegna l'immagine eliminando EXIF, posizione GPS e miniature. Funziona con JPEG, PNG e WebP; per gli altri formati la pulizia automatica non è disponibile.

Note e password

Le note e le credenziali restano cifrate nella cassaforte. Il generatore crea password casuali; quando copi una password, gli appunti si svuotano dopo 20 secondi.

Messaggi a visualizzazione singola

Scegli «Visualizzazione singola» accanto al campo del messaggio. Il destinatario tocca per vedere: il testo resta visibile 10 secondi, poi viene distrutto sul suo dispositivo e sul server. Non impedisce a chi legge di fare una foto allo schermo.

Chiamate audio e video

Dai pulsanti 📞 e 🎥 nell'intestazione della chat. Audio e video viaggiano direttamente tra i dispositivi, cifrati. Entrambi vedono un codice di 4 cifre: confrontatelo a voce, se coincide la chiamata non è stata intercettata.

Verifica in due passaggi

In Sicurezza puoi attivare i codici TOTP con un'app di autenticazione (Google Authenticator, Aegis, 1Password…). Dopo l'attivazione, per accedere con la password serve anche il codice a 6 cifre. Lo sblocco biometrico resta un metodo di accesso separato.

Backup e cancellazione di emergenza

Il backup contiene file, note e password cifrati con una frase segreta di almeno 10 caratteri che scegli tu: senza di essa non è recuperabile. I messaggi non sono inclusi. La cancellazione di emergenza rimuove dal dispositivo chiavi, cache dei messaggi, file, note e password e non si può annullare.

Limiti da conoscere

• La sincronizzazione tra dispositivi è facoltativa e a pagamento (pacchetti di spazio): i dati restano cifrati nel dispositivo e il server non ha la chiave. Senza un piano la cassaforte resta solo locale; il backup serve comunque per spostarla.
• Per nascondere il tuo IP in invii P2P e chiamate attiva Sicurezza → Protezione IP (relay cifrato), dove il servizio ha un server TURN. Senza relay l'altra persona può vedere il tuo IP e su reti molto restrittive la connessione può fallire.
• Il gestore di password è essenziale: non compila i moduli da solo e non sostituisce un gestore dedicato per usi professionali.
• Se perdi la password e la frase del backup, i dati cifrati non sono recuperabili: nessuno, nemmeno noi, può aprirli.