cifra
PT EN
Baixar
mensageiro privado para android · código aberto

Fale sem deixar rastro.

Sem número, sem e-mail, sem conta. Sua identidade nasce no seu celular, e nenhum servidor sabe quem você é.

As mensagens saem cifradas do seu celular, passam pela rede Tor — que esconde de onde você se conecta — e chegam a um servidor que não consegue lê-las nem sabe quem mandou.

Baixar para Android Como funciona
versão 0.1.0 · android 10 ou mais novo · precisa do orbot · grátis, sem anúncios
sem cadastroNenhum dado pessoal: nem número, nem e-mail, nem nome. O seu ID é criado no celular, e só você tem a chave dele.
o servidor não lêEle só repassa envelopes fechados, sem saber quem mandou, e apaga cada um assim que o celular de quem recebe confirma que guardou.
só pela rede torO app não conecta de outro jeito. O servidor nunca fica sabendo de onde você se conecta.
como funciona

Do zero à primeira mensagem em quatro passos.

Não existe conta nem agenda: você e a outra pessoa instalam o Cifra e trocam os seus IDs. Tudo acontece nos dois celulares.

01

Crie a sua identidade

Um toque, e o app gera no celular uma identidade só sua. Ela vira um ID de 16 letras e números e um desenho único, para reconhecer de relance. Nenhum dado pessoal é pedido.

02

Anote as 12 palavras

Elas são a única cópia da sua identidade. Com elas, você recupera o ID num celular novo e abre o seu backup; sem elas, a identidade se perde junto com o aparelho. Quem as tiver vira você: guarde no papel, longe do celular.

03

Troque o ID com quem você confia

Mande o seu ID por onde quiser e cole o da outra pessoa em “Nova conversa”. Não há busca por nome, lista de contatos nem QR code. Quem escreve sem ser seu contato chega como pedido, para aceitar, recusar ou bloquear.

04

Confira o número de segurança (opcional)

Cada conversa tem um número de 60 dígitos, igual nos dois celulares. Se os dois batem, ninguém está se passando pelo seu contato. Compare pessoalmente ou cole o número que a pessoa mandou por outro canal, e marque a conversa como verificada.

o caminho de uma mensagem

Só os dois celulares leem. O resto do caminho vê envelopes fechados.

A criptografia segue os protocolos publicados do Signal, implementada em código aberto. Nada inventado em casa.

seu celularFecha o envelopeA mensagem é cifrada com uma chave nova a cada envio. O remetente vai dentro do envelope, e todo envelope tem o mesmo tamanho: de fora, uma mensagem longa é igual a um “oi”.
rede torEsconde de onde você falaO Orbot leva o envelope pela rede Tor. O servidor recebe sem saber a sua localização na internet.
servidorGuarda sem saber de quemDeixa o envelope na caixa de quem recebe e o apaga quando o celular dela confirma que guardou. Vê só que uma caixa recebeu algo, e a hora. Se ninguém busca em 14 dias, apaga sem entregar.
rede torDe novo, sem endereçoQuem recebe também busca a sua caixa pela rede Tor.
celular de quem recebeAbre o envelopeSó aqui a mensagem e o remetente aparecem.

Fotos, vídeos e arquivos (até 25 MB) viajam à parte, cifrados do mesmo jeito e guardados pelo mesmo prazo. Deles, o caminho vê só o tamanho aproximado.

recursos

Você decide o que fica e o que some.

Cada opção explica, no próprio app, o que acontece ao ligar. Nada depende de uma nuvem.

conversas ocultas

Somem da lista. Voltam com um código.

Escolha um código secreto e oculte as conversas que quiser: elas saem da lista, da busca e das notificações. Para ver de novo, digite o código no campo de busca. Sem ele, nada na tela indica que elas existem.

pânico

Segure o botão. Tudo some.

Em menos de dois segundos, o Cifra destrói as chaves e apaga conversas, contatos e ajustes deste celular; com conexão, pede ao servidor que apague o seu ID e a sua caixa. Não tem volta: a identidade só retorna com as 12 palavras, e o que você salvou na galeria ou exportou como backup continua onde estava.

Mensagens temporáriasDe 10 segundos a 7 dias, contando do envio, por conversa ou por mensagem. Somem dos dois celulares na mesma hora. Vêm desligadas.
Apagar para todosQualquer mensagem, sua ou da outra pessoa, sem limite de tempo e sem deixar aviso no lugar. Se ela estiver sem conexão, some quando voltar.
Fotos e vídeos sem metadadosLocalização, modelo do celular, data e miniatura saem antes do envio, e as fotos são reduzidas (até 2048 px). Documentos vão sem o nome do arquivo, com o conteúdo como está.
Bloquear sozinhoDepois de 5 minutos parado (ou ao sair, 1 min, 15 min, 1 h), o app tranca e só abre com a digital ou a senha do celular. Bloqueado, nem o próprio app lê as conversas.
Bloquear capturas de telaPrints e gravações saem em branco, e a prévia no multitarefa fica vazia. Vem ligado; numa conversa, vale para os dois celulares.
Notificações cegasSó “nova mensagem”, sem nome nem texto. O aviso vem do próprio app, sem passar pelo Google — por isso ele mantém uma notificação fixa na barra.
Nada na nuvemO Cifra fica fora do backup do Google e de qualquer nuvem. Se quiser, exporte um arquivo de backup que só abre com as suas 12 palavras: leva contatos e ajustes; mensagens e conversas ocultas, não.
Confirmações de leitura e “digitando…”Desligadas por padrão. Ligadas, funcionam só entre quem também liga.
Nota pessoalUma conversa com você mesmo que nunca sai do celular.
segurança

O que o Cifra protege — e o que não protege.

Nenhum app é “100% seguro”. Este é o mapa do que ele faz e do que depende de você.

protege
O conteúdoSó os dois celulares leem. Servidor e rede veem envelopes fechados, todos do mesmo tamanho.
Quem fala com quemO servidor não guarda quem mandou cada mensagem, e a rede Tor esconde de onde cada um se conecta.
O celular bloqueadoAs conversas ficam num banco cifrado que só abre com a sua digital ou senha. Quem pegar o aparelho bloqueado não lê nada — e o que você apagou não volta.
A troca de chavesO número de segurança mostra se alguém se colocou entre você e o seu contato.
não protege
Quem recebeu a mensagemEla pode guardar, copiar ou fotografar a tela com outro aparelho.
Um app alterado do outro ladoMensagens temporárias, apagar para todos e bloqueio de prints dependem de a outra pessoa usar o Cifra original.
O celular desbloqueado na mão de alguémCom o app aberto, quem olha a tela vê. O bloqueio automático e as conversas ocultas reduzem o dano.
O fato de você usar o TorA sua operadora não vê com quem você fala, mas vê que você usa a rede Tor e quando o app está ativo.
testado antes de publicar

Durante o desenvolvimento desta versão, o app passou por 12 testes de aceitação em emulador — entre eles uma perícia com o IPED, a ferramenta de análise forense da Polícia Federal:

celular bloqueado · nada legível em 36 mil itens analisados rede · só tráfego pela rede tor, nenhum endereço exposto banco do servidor · sem conteúdo, remetente ou endereço

Os testes ainda não foram repetidos num aparelho real, e o código não passou por auditoria de segurança independente. O Cifra é novo: leve isso em conta.

Ler o relatório →
baixar

Cifra para Android.

Grátis, sem anúncios e sem rastreamento. Por enquanto, o arquivo de instalação (APK) é baixado direto daqui.

cifra 0.1.0android 10 ou mais novo
Baixar o APK você vai precisar de Android 10 ou mais novo, com PIN, padrão ou senha de bloqueio de tela. Sem bloqueio de tela, o app não guarda a identidade; se você remover o bloqueio depois, as conversas deste celular se perdem. O Orbot, app gratuito e de código aberto que liga o celular à rede Tor. Sem ele, o Cifra não conecta. Alguém do outro lado com o Cifra: não dá para falar com quem usa outro app.

O Orbot está em orbot.app, na Google Play e no F-Droid.

como instalar
1Instale o Orbot e conecte-o à rede Tor.
2Baixe o APK do Cifra e abra o arquivo. O Android avisa que ele vem de fora da loja: é normal. Permita a instalação só para o navegador que você usou.
3Abra o Cifra. Com o Orbot ligado, a lista de conversas mostra “tor · conectado”. Se mostrar “tor · indisponível”, abra o Orbot de novo.
4Anote as 12 palavras e troque o seu ID com quem você quer falar. Versões novas instalam por cima, e as conversas ficam.
o que ainda não tem iPhone e versão para computador grupos, chamadas e mensagens de voz vários celulares com a mesma identidade levar as conversas para um celular novo: a identidade e os contatos voltam, as mensagens não

Sem data para nenhum deles. O que vier instala por cima, com a mesma assinatura.

Quer conferir se o arquivo é o original?Um arquivo adulterado poderia se passar pelo Cifra. Duas conferências, para quem quiser ir até o fim.
1 · o arquivo desta versão Confira o APK que você baixou

Sem JavaScript, a conta não roda nesta página: confira no terminal, logo abaixo.

valor oficial:957628f370b10ced52808c96a223e7e4fc1631e0a48dd8f1def6bc29f644ff16 O arquivo não sai do seu aparelho: a conta é feita aqui, no navegador.
Prefere conferir no terminal?
Windows: certutil -hashfile cifra-0.1.0.apk SHA256 Linux: sha256sum cifra-0.1.0.apk macOS: shasum -a 256 cifra-0.1.0.apk
2 · quem assinou Impressão digital da chave do Cifra 52:C0:6A:21:D4:DB:82:5A:FA:C2:64:C3:C5:87:E4:71:06:9A:BD:5F:C7:44:6B:DC:3C:6C:D8:A1:BC:6A:33:F4 É a mesma em todas as versões. No computador, com o Android SDK, o comando abaixo mostra a linha “certificate SHA-256 digest” — em minúsculas e sem os dois-pontos: apksigner verify --print-certs cifra-0.1.0.apk A impressão digital também está no repositório do código. Confira em mais de um lugar.
Se algo não bater, não instale. Apague o arquivo e baixe de novo, só daqui.
perguntas

Perguntas frequentes.

Meus amigos precisam instalar também?Sim. O Cifra só fala com o Cifra: cada pessoa instala o app e o Orbot no seu Android, e vocês trocam os IDs. Não dá para conversar com quem usa WhatsApp ou outro app.
Por que preciso do Orbot? Ele é seguro?O Cifra só se conecta pela rede Tor, e no Android quem faz essa ligação é o Orbot — um app gratuito e de código aberto, disponível em orbot.app, na Google Play e no F-Droid. Não existe modo sem Tor.
Funciona no iPhone? Tem grupos, chamadas ou áudio?Ainda não. Hoje o Cifra é só para Android e só para conversas entre duas pessoas, com texto, fotos, vídeos e arquivos. Não há data para o resto.
Troquei ou perdi o celular. E agora?Com as 12 palavras, a sua identidade volta no aparelho novo, e o antigo para de receber na hora. Com um backup exportado, voltam contatos e ajustes. As mensagens ficam no celular antigo: elas não migram. Sem as palavras, a identidade se perde: crie outra e avise os seus contatos.
O que o servidor guarda, e o que quem opera consegue ver?Só o que ainda não foi entregue, cifrado e sem remetente; entregou, apaga, e o que ninguém busca some em 14 dias. Quem opera vê que um ID existe, quando a caixa dele recebe algo, quando o app está conectado e o tamanho aproximado dos arquivos. Não vê conteúdo, remetente, localização nem lista de contatos — e não guarda registro de nada.
Posso confiar? O código foi auditado?Ainda não houve auditoria independente, e os testes rodaram em emulador. Em compensação, tudo é aberto: qualquer pessoa pode ler o código do app e do servidor e conferir o arquivo que instala. É um app novo; trate-o como tal.
Quanto custa?Nada. Não tem anúncio, não tem rastreamento e não tem plano pago. O projeto se mantém com doações.
Posso rodar o meu próprio servidor?O código do servidor é aberto e qualquer pessoa pode subir uma cópia, mas o app desta versão só fala com o servidor oficial.
código aberto

Nada escondido. Confira você mesmo.

O app, o servidor e a política de privacidade são públicos, sob a licença GPLv3. A segurança vem da matemática, não de segredo: qualquer pessoa pode ler o código, apontar problemas e conferir que o arquivo instalado é o mesmo que foi publicado.

Ver o código no GitHub Política de privacidade
por que o cifra existe “A privacidade é necessária para uma sociedade aberta na era eletrônica. Privacidade não é segredo. […] Privacidade é o poder de se revelar ao mundo seletivamente.” Eric Hughes, A Cypherpunk’s Manifesto, 1993 · tradução livre O Cifra existe para você exercer esse poder: conversar sem entregar quem você é — nem mesmo para o servidor que leva a mensagem.
servidor oficial · só pela rede tor fmkanegcrocf53hmd7xnz4gnrjkewk4oo4bixebrrlxxrs4u4gpxviyd.onion doações em monero 86QtU9BtiGzRdwNZo5yd9eTbH4EHVd8xd1Cr2DpHLeBJe7Kqiz4JrzzDjq9F79XuTcGuFGi1TnouYX7deAkS7Zr4K1Hmxak Confira o endereço também dentro do app antes de enviar. contato appcifra@proton.me