SimpleX Chat

A alegação do SimpleX é estreita e absoluta: ele diz ser a primeira rede de mensagens sem identificador de usuário de nenhum tipo — sem número de telefone, sem nome de usuário, nem mesmo um número aleatório — e tudo o mais que ele oferece decorre disso. Sua página inicial resume a promessa a ser livre na sua rede, e diz que cada contato e cada grupo vive no seu aparelho, e não no banco de dados de um servidor. É de código aberto, qualquer pessoa pode operar um servidor, e a empresa diz que canais e comunidades grandes vão pagar pelo seu, para que o projeto possa se manter independente. As próprias alegações de escala dele são modestas ao lado do resto deste lote — mais de dois milhões de downloads é o número que ele apresenta — e o financiamento vem de investidores, doações e uma rodada de financiamento coletivo com participação, e não dos usuários.

Você se conecta enviando a alguém um link de convite de uso único ou um código QR, e o link contém apenas chaves públicas e funciona uma vez só, que é o que o torna seguro para enviar por qualquer canal. Se você preferir ser alcançável sem distribuir um link novo a cada vez, usa um endereço em vez disso; de qualquer modo, a outra parte precisa perguntar ao seu cliente antes que uma conexão seja feita, e você pode recusar. As duas partes precisam estar on-line no mesmo momento para completar essa primeira conexão, que é o preço de não haver identidade no servidor, e depois que ela é feita nenhum dos dois precisa estar presente ao mesmo tempo para conversar. Os grupos funcionam com cinco funções, de proprietário a observador, e o aplicativo existe para celulares, computadores e linha de comando, com servidores auto-hospedados opcionais e suporte a Tor.

Nada é vendido hoje: não há tabela de preços nem nível pago, e o aplicativo é gratuito nas duas lojas. O incomum é que a empresa diz isso como um estado temporário, e não como um princípio. Sua seção de perguntas frequentes chama o modelo de negócio de trabalho em andamento, esboça um modelo freemium planejado e faz as contas em público, e sua política diz que a intenção é cobrar por recursos opcionais de forma transparente e justa. A página do aplicativo no Google Play já traz uma faixa de compras dentro do aplicativo sem nenhum item vinculado a ela, que é a única pista do que pode vir a ser vendido. O dinheiro hoje vem de investidores privados e capital de risco, além de doações, e a empresa está conduzindo uma rodada de financiamento coletivo com participação para quem quiser uma fatia do plano inacabado.

A idade mínima é 13, declarada nas condições de uso com a ressalva de que pode ser maior onde você mora, e nenhuma barreira de idade é descrita em lugar nenhum. A criptografia é detalhada mais do que em qualquer outra plataforma deste lote — um double ratchet com sigilo futuro, mensagens preenchidas até um tamanho fixo para que seu comprimento não revele nada, arquivos divididos em blocos — e a alegação da empresa é que os servidores não conseguem descriptografar o conteúdo nem sequer ver o tamanho do que passa por eles. A retenção é publicada com números e não com garantias: as mensagens são removidas de forma irreversível dos servidores de retransmissão predefinidos assim que são entregues ou depois de 21 dias, e os arquivos depois de 48 horas, com a ressalva honesta de que outros operadores podem manter registros. As declarações sobre metadados trazem as duas metades, o que é raro. Os servidores predefinidos não registram os endereços IP dos aparelhos que se conectam a eles, e a mesma política diz que os servidores podem armazenar temporariamente dados que poderiam ser ligados a um aparelho, incluindo endereços IP e localização, e que provedores de hospedagem e de rede mantêm os próprios registros. Duas revelações contradizem o marketing e valem ser citadas: o servidor de notificações push da empresa consegue ver para quantas filas de mensagens um aparelho tem notificações ativadas e aproximadamente quantas mensagens cada uma recebe, e um bot de diretório armazena as buscas feitas e o conteúdo dos grupos registrados nele. O abuso é tratado na arquitetura e não na moderação editorial, já que ninguém consegue contatar você sem um convite, e operadores que não conseguem ler mensagens ainda podem remover links e arquivos dos seus servidores. O projeto também publica auditorias tanto da sua implementação quanto do desenho do seu protocolo, o que quase nada mais aqui faz.

Pessoas que não vão entregar um número de telefone nem um endereço de e-mail, e que preferem um endereço pelo qual ninguém consegue encontrá-las a um nome de usuário que qualquer um pode buscar. Serve para quem se sente à vontade com backups manuais e com um aparelho por perfil, já que um segundo aparelho não pode assumir o primeiro em silêncio, e é voltado a quem se importa com privacidade e não ao usuário casual: montar uma conversa significa trocar um link, e a primeira conexão só se completa se os dois lados estiverem on-line juntos. Esse mesmo projeto limita como você o usa — um perfil não pode rodar em dois aparelhos ao mesmo tempo sem atrapalhar as conversas, e vincular um celular a um computador exige ter os dois na mesma rede para fazer isso.

A alegação técnica mais forte deste lote e o balanço mais cuidadoso do que ela não cobre. Sem identificadores, sem repositório central, servidores que não conseguem ler o que transportam — e então, nos mesmos documentos: um servidor de notificações que vê quantas filas você tem e aproximadamente quantas mensagens chegam, um bot de diretório que guarda o que lhe é perguntado, e operadores de retransmissão que podem registrar o que os servidores predefinidos não registram. Diante do marketing, são essas frases que tornam o resto crível, porque uma plataforma que faz uma alegação menor e a cumpre vale mais do que uma alegação maior deixada no vago. A regra de retenção é publicada em dias e não em garantias, as auditorias são nomeadas e datadas, e o modelo de negócio abertamente inacabado é a última coisa honesta da página: nada está sendo vendido ainda, e a empresa diz o que pretende vender quando começar.