Як WindChat вас захищає

Ми проєктуємо WindChat так, щоб звичайне листування було закрите від рекламних мереж і випадкового перехоплення. Що вже вбудовано в продукт:

  • Увесь трафік іде через HTTPS/TLS між пристроєм або браузером і windchat.net.
  • Нативні застосунки шифрують тіла API-запитів і відповідей AES-256-GCM — повідомлення не йдуть як відкритий JSON.
  • Кожен нативний API-виклик підписується HMAC-SHA256 (ключ, мітка часу й підпис), щоб зменшити ризик підробки та повторного використання.
  • Облікові записи підтверджуються телефоном одноразовими кодами; паролі зберігаються через bcrypt, а не відкритим текстом.
  • Вхід, реєстрація, скидання пароля та надсилання OTP обмежені за частотою; зловживальні IP можуть тимчасово блокуватися.
  • На платформах Apple можна вимагати App Attest і DeviceCheck, щоб до API зверталися лише справжні збірки застосунку (коли перевірки увімкнено).
  • Токени сесії зберігаються в Keychain на iOS і в HttpOnly-cookie на сайті — не в легкодоступному storage браузера.
  • Секрети та робочі дані чатів лежать поза публічною текою сайту і не віддаються як звичайні файли.
  • У застосунках WindChat немає сторонніх рекламних або аналітичних SDK.

WindChat — не end-to-end шифрування: сервіс обробляє повідомлення, щоб їх доставити. Оператори можуть увімкнути додаткове шифрування збережених даних чатів. Подробиці — у Політиці конфіденційності.

Нативні застосунки підключаються до WindChat через зашифровані endpoint /api/ на цьому домені. Це публічна головна сторінка сайту.