Manual do usuário

1. Cadastro e primeiro acesso

Na tela inicial, toque em "Cadastre-se" e informe seu e-mail e um nome de usuário. Não é necessário número de telefone.

Após o cadastro você verá uma única vez três informações, que deve guardar imediatamente em local seguro (um gerenciador de senhas, por exemplo):

• Usuário e senha: o usuário é o primeiro campo e a senha decide qual perfil abre. Com o mesmo usuário você pode ter vários perfis, cada um com sua senha.
• ID público: é o que você compartilha com as pessoas que quer adicionar como contatos. Não revela o seu e-mail.
• Combinação secreta: serve para revelar os chats ocultos (veja a seção dedicada).

Se perder a senha, você pode redefini-la por e-mail, mas só se o e-mail do perfil tiver sido verificado. Sem senha e sem e-mail verificado, o perfil não pode ser recuperado.

2. Perfis múltiplos no mesmo dispositivo

Você pode criar vários perfis (por exemplo um pessoal e um de cobertura) com o mesmo usuário e senhas diferentes. Ao digitar usuário e senha, abre-se o perfil correspondente, sem tela de seleção que revele quantos perfis existem. Não é possível usar a mesma senha em dois perfis com o mesmo usuário.

3. Adicionar contatos e conversar

Toque em "+ Adicionar contato" e informe o ID público da pessoa. Abre-se um chat em tempo real, com criptografia de ponta a ponta (veja a seção 7).

4. Chats ocultos e combinação secreta

Em um chat, abra o menu e escolha "Ocultar/mostrar este chat". Um chat oculto deixa de aparecer na lista principal.

Para fazê-lo reaparecer, digite a sua combinação secreta (a mostrada uma única vez no cadastro) na barra de busca: todos os chats ocultos voltam a ficar visíveis até você bloquear o app novamente.

5. Perfil de fachada

No cadastro você pode marcar "Criar como perfil de fachada": um perfil pensado para ser mostrado em caso de fiscalização, sem pistas da existência de outros perfis no mesmo dispositivo.

6. Mensagens temporárias (autodestruição)

Antes de enviar uma mensagem, você pode escolher no menu suspenso um tempo de autodestruição: 30 segundos, 5 minutos ou 1 hora. Passado esse tempo, a mensagem é removida.

7. Criptografia de ponta a ponta: como funciona de verdade

Isto não é um slogan de marketing: cada mensagem é criptografada no seu navegador, antes de ser enviada ao servidor, com este esquema:

1. No primeiro acesso, o dispositivo gera um par de chaves ECDH (curva P-256): a pública vai para o servidor, a privada fica no dispositivo, cifrada com a sua senha. Também prepara um lote de chaves públicas de uso único («prekeys»).
2. Para cada mensagem, o navegador gera uma chave temporária e busca no servidor UMA prekey de uso único do contato. Combina três trocas ECDH (sua identidade, a chave temporária, a prekey) e deriva com HKDF-SHA256 uma chave AES-GCM de 256 bits válida só para aquela mensagem.
3. A mensagem é cifrada com essa chave e um IV aleatório; o cabeçalho é autenticado e não pode ser alterado. O servidor recebe apenas texto cifrado.
4. O destinatário reconstrói a mesma chave, lê a mensagem e apaga logo a prekey privada: a partir daí ninguém a decifra, nem com as suas chaves de longo prazo.

É o mesmo tipo de matemática (ECDH + AES-GCM) usado por muitos protocolos seguros modernos, aplicado aqui pela Web Crypto API nativa do navegador, sem bibliotecas externas.

Forward secrecy: as mensagens passadas continuam seguras

Mesmo que alguém obtivesse suas chaves de longo prazo (por exemplo, roubando o dispositivo), não conseguiria decifrar as mensagens já recebidas, pois as chaves foram apagadas. O texto já lido fica apenas no cache local cifrado do seu dispositivo.

O cofre de chaves

Chaves privadas, prekeys e cache de mensagens ficam no navegador apenas cifrados (AES-GCM), com uma chave derivada da sua senha por PBKDF2-SHA256 (310.000 iterações). Se entrar por biometria, a senha é pedida uma vez para abrir o cofre. Ao trocar a senha, o cofre é recifrado.

Confirme que é mesmo ele: número de segurança

No chat, toque no ícone 🔑: aparece um número de 60 dígitos, igual para os dois. Compare com o contato pessoalmente ou por voz: se coincidir, ninguém está interferindo. Se a chave de um contato mudar (novo dispositivo ou possível interceptação), surge um aviso e o envio fica bloqueado até você escolher «Aceitar nova chave».

8. Desbloqueio biométrico (Face ID / Touch ID / impressão digital)

Nas configurações do perfil (ícone ⚙️) você encontra "Ativar desbloqueio com Face ID / impressão digital". Ao ativá-lo, o seu dispositivo cria uma passkey via WebAuthn/FIDO2 e a registra no servidor (apenas a chave pública, nunca o dado biométrico).

A partir daí, a tela de acesso mostrará o botão "Desbloquear com biometria": use-o no lugar da senha, e seu sistema operacional (não o app) verifica Face ID, Touch ID, impressão digital Android ou Windows Hello. O dado biométrico nunca sai do seu dispositivo.

Você pode desativá-lo a qualquer momento nas mesmas configurações.

9. Mudar de idioma

No canto superior de cada tela do app há um seletor de idioma. Este site também está disponível nos mesmos 11 idiomas: italiano, inglês, espanhol, francês, alemão, português, árabe, chinês, hindi, russo e japonês. O idioma escolhido no app fica guardado no dispositivo.

10. Apps móveis nativos (iOS/Android)

A app nativa (React Native/Expo) para iOS e Android está pronta e em fase de teste: conversas, cofre, envio P2P, chamadas, verificação em dois passos, bloqueio biométrico e notificações push sem conteúdo, com a mesma encriptação de ponta a ponta da webapp. A publicação na App Store e no Google Play vem a caminho; entretanto a webapp funciona em qualquer navegador e pode ser adicionada ao ecrã principal.

11. Limites de segurança declarados

Por honestidade, estes são os limites que permanecem, embora a criptografia seja real e não apenas declarada:

• Prekeys esgotadas: se um contato fica muito tempo offline e acaba as chaves de uso único, a mensagem ainda usa uma chave nova, mas sem exclusão única — forward secrecy mais fraca.
• Mensagens ligadas a este dispositivo: por projeto, o histórico decifrado não se move. Em um novo dispositivo ou após recuperar a senha por e-mail, o cofre anterior não é recuperável: você recomeça com nova identidade e os contatos veem o aviso de troca de chave.
• O cofre vale o que vale a senha: escolha uma longa e única. Quem tiver seu dispositivo já desbloqueado com o app aberto pode ler os chats, como em qualquer app.
• Metadados visíveis ao servidor: remetente, horário, reações e expiração das mensagens temporárias não são cifrados.
• Recuperação só por e-mail: se perder a senha e o acesso ao e-mail verificado, o perfil não é recuperável. Se usar vários perfis (por exemplo, um de cobertura), use e-mails diferentes: um link de recuperação revela a quem controla o e-mail que o perfil existe.

12. Resolução de problemas

"Não consigo criptografar: o contato ainda não tem chave pública"

Acontece se o seu contato não entrou desde a última atualização do app (a chave é gerada e enviada automaticamente no login). Peça que ele entre uma vez: depois você poderá escrever-lhe normalmente.

"Perdi minha senha"

Use "Esqueceu a senha?" na tela de acesso e informe e-mail e usuário: se o e-mail do perfil estiver verificado, você recebe um link válido por 1 hora. Caso contrário, o perfil não é recuperável e precisa ser criado de novo. Guarde sempre a senha em um gerenciador de senhas.

O desbloqueio biométrico não aparece

Requer um dispositivo com Face ID, Touch ID, impressão digital ou Windows Hello configurado, um navegador atualizado e uma conexão HTTPS (a aplicação web em produção já usa uma). Também precisa ter sido ativado pelo menos uma vez nas configurações.

«Mensagem não mais legível»

Por segurança, a chave de cada mensagem é apagada assim que você a lê: o texto fica só no cache cifrado deste dispositivo. Se trocar de dispositivo, limpar os dados do navegador ou redefinir a senha por e-mail, as mensagens anteriores não podem ser recuperadas. É o preço da forward secrecy.

13. Cofre e ferramentas do Securmy

Abra o Cofre pelo botão 🛡️ na barra lateral. Tudo o que ele contém é cifrado no seu dispositivo com AES-256-GCM, com uma chave guardada no seu cofre e protegida pela sua senha: o servidor nunca recebe arquivos, notas ou senhas.

Cofre de arquivos

Adicione arquivos (até 100 MB cada) na aba Arquivos. Se a caixa estiver marcada, as fotos têm os metadados removidos antes de serem guardadas. Você pode baixar, enviar por P2P ou excluir cada arquivo.

Envio P2P por link

Escolha um arquivo e um prazo de validade (10 minutos ou 1 hora): você recebe um link de uso único. O arquivo vai direto ao destinatário, cifrado com uma chave que fica só depois do # do link e nunca chega ao servidor. Mantenha a página aberta até a transferência terminar.

Limpar fotos

Redesenha a imagem descartando EXIF, localização GPS e miniaturas. Funciona com JPEG, PNG e WebP; para outros formatos a limpeza automática não está disponível.

Notas e senhas

Notas e credenciais ficam cifradas no cofre. O gerador cria senhas aleatórias; ao copiar uma senha, a área de transferência é limpa após 20 segundos.

Mensagens de visualização única

Escolha «Ver uma vez» ao lado do campo da mensagem. O destinatário toca para ver: o texto fica visível por 10 segundos e depois é destruído no dispositivo dele e no servidor. Não impede que quem lê fotografe a tela.

Chamadas de voz e vídeo

Use os botões 📞 e 🎥 no cabeçalho do chat. Áudio e vídeo viajam direto entre os dispositivos, cifrados. Os dois veem um código de 4 dígitos: comparem em voz alta; se coincidir, a chamada não foi interceptada.

Verificação em duas etapas

Em Segurança você pode ativar códigos TOTP com um app autenticador (Google Authenticator, Aegis, 1Password…). Depois de ativada, entrar com a senha exige também o código de 6 dígitos. O desbloqueio biométrico continua sendo um método de acesso separado.

Backup e apagamento de emergência

O backup contém arquivos, notas e senhas cifrados com uma frase secreta de pelo menos 10 caracteres escolhida por você: sem ela não é recuperável. As mensagens não estão incluídas. O apagamento de emergência remove do dispositivo chaves, cache de mensagens, arquivos, notas e senhas e não pode ser desfeito.

Limites que convém conhecer

• A sincronização entre dispositivos é opcional e paga (pacotes de espaço): os dados continuam cifrados no seu dispositivo e o servidor não tem a chave. Sem plano, o cofre fica só local; o backup continua a servir para o mover.
• Para ocultar o seu IP em envios P2P e chamadas, ative Segurança → Proteção de IP (relay cifrado), onde o serviço tenha um servidor TURN. Sem relay, a outra pessoa pode ver o seu IP e, em redes muito restritivas, a ligação pode falhar.
• O gerenciador de senhas é básico: não preenche formulários sozinho e não substitui um gerenciador dedicado para uso profissional.
• Se perder a senha e a frase do backup, os dados cifrados não são recuperáveis: ninguém, nem nós, consegue abri-los.