Что шифруется
В актуальном проекте новые вложения, голосовые и видеосообщения основного редактора чата шифруются на устройстве перед загрузкой. Используются AES-256-GCM и обёртка ключей для получателей. Поддержка требует обновлённого клиента и хоста.
Старые файлы автоматически не перешифровываются. Аватары, оформление, публичные посты, эмодзи и стикеры остаются публичными по своему назначению. Нельзя утверждать, что вся переписка Sibrel имеет сквозное шифрование.
Ключи и восстановление
Перед первой отправкой защищённого файла создаётся отдельный пароль доступа. Закрытые ключи хранятся в IndexedDB устройства; на сервере может храниться копия, зашифрованная отдельным паролем. Сохраните резервную копию и пароль.
- При смене отпечатков ключей сверяйте их с собеседником по другому каналу.
- Получатель без подходящего ключа не сможет прочитать файл; появление ключа позднее не гарантирует доступ к старому вложению.
- Утрата устройства, копии ключей и пароля может означать потерю доступа.
- Исключение участника не отзывает уже полученные ключи и сохранённые им файлы.
- Вредоносный клиент или скомпрометированное устройство могут прочитать данные до шифрования.
Удаление аккаунта
Откройте «Настройки → Аккаунт и безопасность → Опасная зона». Подтвердите текущий пароль и необратимость действия.
- Профиль, почта, пароль, сессии, контакты, членство и личные настройки удаляются.
- Сообщения, ответы и вложения сохраняются; автор отображается как «Удалённый аккаунт».
- Перед удалением передайте принадлежащие вам сообщества или удалите их отдельно.
- Недоступный связанный хост при предварительной проверке может блокировать операцию.
- Сохранённые получателями копии и резервные копии операторов не исчезают автоматически.
Для отдельных вопросов об удалении данных напишите оператору своего хоста. Для проекта Sibrel — support@sibrel.net.
Боты, вебхуки и сторонние сервисы
Бот может читать разрешённые ему каналы и обрабатывать события. Его автор может использовать отдельное хранилище и собственные правила. Давайте минимальные права и выясняйте, какие данные он сохраняет.
В зависимости от настроек хоста в обработке могут участвовать S3, SMTP, LiveKit, Firebase Cloud Messaging и сервис определения страны/города по IP. Состав получателей должен быть отражён в политике конкретного оператора.
Сообщить о проблеме
Об уязвимости сообщайте на support@sibrel.net с темой «Безопасность Sibrel». Приложите описание, версии и безопасный пример воспроизведения. Не публикуйте чужие данные и действующие секреты. Не тестируйте чужие хосты без разрешения.
Жалобы на поведение пользователей направляйте через встроенную жалобу либо модератору сообщества. Для обжалования укажите идентификатор случая и факты.