Как WindChat вас защищает

Мы проектируем WindChat так, чтобы обычная переписка была закрыта от рекламных сетей и случайного перехвата. Что уже встроено в продукт:

  • Весь трафик идёт по HTTPS/TLS между устройством или браузером и windchat.net.
  • Нативные приложения шифруют тела API-запросов и ответов AES-256-GCM — сообщения не уходят как открытый JSON.
  • Каждый нативный API-вызов подписывается HMAC-SHA256 (ключ, метка времени и подпись), чтобы снизить риск подделки и повторного использования.
  • Аккаунты подтверждаются по телефону одноразовыми кодами; пароли хранятся через bcrypt, а не открытым текстом.
  • Вход, регистрация, сброс пароля и отправка OTP ограничены по частоте; злоупотребляющие IP могут временно блокироваться.
  • На платформах Apple можно требовать App Attest и DeviceCheck, чтобы к API обращались только подлинные сборки приложения (когда проверки включены).
  • Токены сессии хранятся в Keychain на iOS и в HttpOnly-cookie на сайте — не в легкодоступном storage браузера.
  • Секреты и рабочие данные чатов лежат вне публичной папки сайта и не отдаются как обычные файлы.
  • В приложениях WindChat нет сторонних рекламных или аналитических SDK.

WindChat — не end-to-end шифрование: сервис обрабатывает сообщения, чтобы их доставить. Операторы могут включить дополнительное шифрование хранимых данных чатов. Подробности — в Политике конфиденциальности.

Нативные приложения подключаются к WindChat через зашифрованные endpoint /api/ на этом домене. Это публичная главная страница сайта.