Bezpieczeństwo

Stan na 19.10.2026, wersja 0.1.2

Opisujemy tylko to, co naprawdę działa w wydanej wersji. Rzeczy w przygotowaniu są oznaczone wprost.

Połączenie

• Szyfrowanie między komputerami. Obraz, klawiatura, mysz, schowek i czat idą bezpośrednio między komputerami w szyfrowanym kanale WebRTC (DTLS-SRTP). Nasz serwer połączeń i przekaźnik TURN przekazują tylko zaszyfrowane dane i nie widzą obrazu ani tego, co piszesz.
• Nic przed akceptacją. Komputer nie wysyła obrazu i nie przyjmuje sterowania, dopóki ktoś przy nim nie zaakceptuje połączenia albo łączący się nie poda hasła dostępu nienadzorowanego.
• Ochrona przed zgadywaniem hasła dostępu. Po 3 błędnych hasłach z jednego urządzenia komputer blokuje kolejne próby na 5 minut.

Konto

• Hasło nie trafia na serwer. Aplikacja wylicza z niego klucz (Argon2id) na Twoim urządzeniu; serwer przechowuje tylko jego skrót.
• Zapisane hasła do komputerów w książce adresowej są szyfrowane na Twoim urządzeniu (XChaCha20-Poly1305). Nie mamy do nich klucza. Nazwy, tagi i notatki w książce nie są szyfrowane w ten sposób.
• Logowanie dwuskładnikowe (2FA, TOTP) z opcją zapamiętania urządzenia na 30 dni; listę zaufanych urządzeń możesz w każdej chwili wyczyścić.
• Limity prób logowania: 10 błędnych haseł na 15 minut dla jednego konta i 20 prób na minutę z jednego adresu IP.

Oprogramowanie i infrastruktura

• Podpisane aktualizacje. Aplikacja instaluje tylko aktualizację z poprawnym podpisem cyfrowym. Każdy plik do pobrania ma sumę SHA-256.
• Serwery w UE. Serwer połączeń i przekaźnik TURN działają w Helsinkach (Finlandia, Hetzner).
• Podgląd w przeglądarce ładuje kod z naszego serwera, więc wymaga zaufania do niego bardziej niż aplikacja na komputerze.

Stan

Więcej

• Zgłaszanie podatności i security.txt
• Polityka prywatności Zdalnej
• Status usług