El recorrido completo de los datos
1) Tu copia de WhatsApp se descifra con tu clave en tu dispositivo, en el proceso en segundo plano del navegador o dentro de la app de Android. 2) Los mensajes van a una base de datos local; la multimedia se queda como archivos nombrados por su hash. 3) Si tú quieres, las copias se suben a la carpeta oculta de la app (appDataFolder) de tu propio Google Drive, únicamente con el alcance drive.appdata. 4) WaChat Web lee esos mismos archivos de Drive directamente en el navegador con tu propio token.
Qué guarda nuestro servidor
El identificador de tu cuenta (Firebase Auth), el estado de tu suscripción (plan, vencimiento, grupo de precio) y, solo si vinculas un navegador desde la app, un token de actualización de Drive cifrado con Cloud KMS para cada dispositivo vinculado y revocable desde la app. Ningún archivo de chat, ninguna multimedia, ninguna clave de WhatsApp, ninguna contraseña.
Vincular un navegador con un código
El navegador genera un par de claves y un código de 8 caracteres de un solo uso, válido durante 3 minutos. La app lo aprueba con el token de tu cuenta y el servidor cifra el token de inicio de sesión con la clave pública del navegador, así que ni siquiera alguien capaz de leer el registro podría usarlo.
Cifrado opcional con contraseña
AES-256-GCM con una clave derivada mediante PBKDF2 (200.000 iteraciones) a partir de la contraseña que elijas. La sal se guarda junto a la copia; la contraseña no. Si la olvidas no hay recuperación posible, tampoco de nuestra parte.
Permisos
Android: Drive (solo appdata), acceso a la carpeta de WhatsApp mediante el selector de archivos del sistema, contactos opcionales para los nombres y notificaciones. Web: nada más allá de los archivos y carpetas que elijas tú; se solicita la persistencia del almacenamiento para que el navegador no borre tus chats.
Divulgación responsable
Todo lo anterior coincide con la política de privacidad y con el formulario de seguridad de los datos de Google Play. Si encuentras una debilidad, escribe a security@wachatplus.com; respondemos en dos días hábiles y damos crédito a quien quiera aparecer.