Pular para o conteúdo

WaChat

Segurança

Segurança e privacidade

A chave no seu dispositivo. Os dados no seu navegador e no seu Drive. A web lendo diretamente. Nenhum servidor nosso vê uma única mensagem — e aqui está exatamente o porquê.

  1. A chave fica com você
  2. Seu Drive, pasta oculta
  3. A web lê diretamente

Não é uma promessa — é uma arquitetura. O caminho é: seu celular ou navegador → seu Drive → seu navegador. Não há parada na nossa casa.

Não conseguimos ler suas mensagens. Por design.

O que vemos — e o que não vemos

Podemos ver

  • Que uma conta existe e quando entrou pela última vez
  • O estado da sua assinatura e o grupo de preço
  • Eventos genéricos de uso, como "conversa aberta" (se a análise de uso estiver ativada)

Não podemos ver

  • Nenhuma mensagem, nome ou número de telefone
  • Nenhuma foto, mensagem de voz ou documento
  • Sua chave de 64 dígitos ou frase secreta
  • Os outros arquivos do seu Google Drive

O caminho completo dos dados

1) Seu backup do WhatsApp é descriptografado com a sua chave no seu dispositivo — no worker em segundo plano do navegador ou dentro do app para Android. 2) As mensagens vão para um banco de dados local; a mídia fica como arquivos nomeados pelo seu hash. 3) Se você quiser, os backups são enviados para a pasta oculta do app (appDataFolder) no seu próprio Google Drive, apenas com o escopo drive.appdata. 4) O WaChat Web lê os mesmos arquivos do Drive direto no navegador com o seu próprio token.

O que nosso servidor guarda

O id da sua conta (Firebase Auth), o estado da sua assinatura (plano, validade, grupo de preço) e — só se você vincular um navegador pelo app — um token de atualização do Drive criptografado com o Cloud KMS por dispositivo vinculado, revogável pelo app. Nenhum arquivo de conversa, nenhuma mídia, nenhuma chave do WhatsApp, nenhuma frase secreta.

Vinculando um navegador com um código

O navegador gera um par de chaves e um código de uso único de 8 caracteres, válido por 3 minutos. O app o aprova com o token da sua conta, e o servidor criptografa o token de login para a chave pública do navegador — assim, mesmo alguém que conseguisse ler o registro não poderia usá-lo.

Criptografia opcional com frase secreta

AES-256-GCM com uma chave derivada por PBKDF2 (200.000 iterações) a partir de uma frase secreta escolhida por você. O salt é armazenado com o backup; a frase secreta, não. Se você a esquecer, não há recuperação — nem por nós.

Permissões

Android: Drive (apenas appdata), acesso à pasta do WhatsApp pelo seletor de arquivos do sistema, contatos opcionais para os nomes, notificações. Web: nada além dos arquivos e pastas que você mesmo escolhe; a persistência de armazenamento é solicitada para que o navegador não apague suas conversas.

Divulgação responsável

Tudo o que está acima corresponde à política de privacidade e ao formulário de segurança de dados do Google Play. Se encontrar uma falha, escreva para security@wachatplus.com; respondemos em até dois dias úteis e damos crédito a quem reporta e deseja ser citado.

Guarde a conversa inteira.

Importe sua primeira conversa em menos de um minuto — grátis, no seu navegador, sem conta.