Вы даёте код — один раз.

При первом запуске приложение создаёт вашу личность и хранит её на телефоне в зашифрованном виде. Ничего никуда не отправляется, и у вас ничего не спрашивают — регистрироваться не у кого.

Список поначалу пуст. Здесь живут ваши контакты, а также группы и каналы, к которым вы присоединяетесь. Вкладки сверху фильтруют список — Все, Непрочитанные, Контакты, Группы, Каналы — и можно создавать собственные папки с любым сочетанием чатов: удержите чат и выберите Вкладки…, или нажмите + в конце ряда. Как и всё остальное, папки живут только на вашем телефоне, в зашифрованном виде. Кнопка Создать заводит контакт, группу или канал; остальное — в разделе Моя личность вверху справа.

Приглашение — это код, который вы даёте одному конкретному человеку. Вы даёте ему имя — оно остаётся на вашем телефоне и никогда не передаётся внутри кода — и приложение использует его, чтобы узнать, кто пишет, когда он делает это впервые.

Каждое приглашение работает один раз. Как только тот, для кого оно было, им воспользовался, любому другому, кто предъявит тот же код, будет отказано. Именно поэтому их по одному на контакт, а не единый код, который вы раздаёте.

Код — один обычный QR. Он несёт не ваши ключи (с постквантовыми подписями они не уместились бы и в сотню кодов), а их отпечаток и ваш адрес. Другой телефон сканирует его, запрашивает ключи у вашего телефона через Tor и сверяет их с этим отпечатком, прежде чем чему-либо доверять. До тех пор контакт показывается как «получение ключей»; это занимает несколько секунд, иногда минуту.

Если вы предпочитаете отправить его через другое приложение, Скопировать текстом даёт полное приглашение в виде текста — с ключами внутри, так что оно сработает, даже если ваш телефон будет выключен, когда его вставят. Начиная с 2.2 такой текст действителен 28 дней, и тому, кто его вставляет, тоже нужна версия 2.2; на 2.1 пусть отсканирует QR.

Имейте в виду, что́ содержит код: ваш адрес Tor. Любой, кто его увидит, сможет связаться с вами, поэтому показывайте его только тому, для кого он предназначен.

У вашей личности есть отпечаток для проверки: ряд цифр, показанный здесь. У вашего контакта он тоже есть. Именно его вы сверяете, чтобы убедиться, что между вами никто не встал, — это следующий шаг.

ID узла и отпечаток на этом снимке закрыты намеренно: они опознают конкретный телефон, а эта страница публична.

Пока вы не сверили, что контакт — действительно тот, за кого себя выдаёт, чат об этом напоминает. Нажмите Сверить сейчас: приложение покажет его отпечаток, тот же ряд цифр, что он видит на своём телефоне. Зачитайте их друг другу или сверьте по другому каналу.

Если они совпадают, нажмите Совпадает. Заголовок чата тогда покажет Отпечаток проверен, и напоминание исчезнет. Это единственное, что приложение не может сделать за вас, и это занимает десять секунд.

Под каждым отправленным вами сообщением есть состояние, и оно означает нечто вполне определённое, потому что сервера, хранящего ваши сообщения, нет:

• в очереди — другой телефон сейчас недостижим. Сообщение ждёт на вашем телефоне и продолжает повторять попытки.
• отправлено, не подтверждено — оно ушло, но телефон собеседника ещё не подтвердил приём.
• доставлено — телефон собеседника его подтвердил. Никто другой этого сделать не мог.

Сообщение, застрявшее в очереди, не значит, что что-то сломалось: оно значит, что собеседник не в сети. Небесного почтового ящика, куда его можно было бы оставить, нет.

Группа — это до двухсот человек, и ведёт её тот, кто её создал. Сервера по-прежнему нет: сообщение в группу уходит с вашего телефона по разу на каждого участника, по тем же зашифрованным сеансам один-на-один, что и всё остальное. Поэтому группы только текстовые — и поэтому приложение называет цену в данных до того, как вы создадите группу или войдёте в неё. Если участников больше шестнадцати, всем нужна версия 2.15 или новее; приложение покажет, кому обновиться.

Список участников подписан администратором группы: незаметно подсадить кого-то нельзя. Участников, которые не знали друг друга, группа знакомит между собой безопасно, без пересылки приглашений вручную. Одно важно знать до согласия: участники группы смогут узнать ваш адрес Tor — приложение говорит это прямо на экране приглашения.

Канал — это вещание в одну сторону: один публикует, читать может сколько угодно людей. У созданного вами канала свой адрес Tor и свой ключ подписи, никак не связанные с вашей личностью в мессенджере — публикация не выдаёт, кто вы и как вам написать.

Читатели присоединяются по приглашению (QR или текст) и забирают новое через анонимную цепочку. Издатель не видит, кто читает — только что канал опрашивали, но никогда кем. Каждая запись подписана каналом и сцеплена с предыдущей, так что историю нельзя переписать незаметно для читателей. По умолчанию канал обновляется только по нажатию; переключатель у каждого канала добавляет периодические фоновые проверки, если они вам нужны.

Приложение бесплатно и без рекламы. На экране пожертвований показан адрес, а рядом — короткий отпечаток.

Прежде чем что-либо отправлять, сравните этот отпечаток с тем, что на этом сайте. Если кто-то пересобрал приложение со своим адресом, именно так вы это и обнаружите. Это тот же жест, что и проверка контакта.

В Моя личность → Мосты Tor → Настроить. Большинству это не нужно. Там, где заблокирован сам Tor, средний вариант, Обойти блокировку, готов к использованию: он входит через узлы, которых нет в публичном списке, и маскирует трафик, чтобы он не выглядел как Tor.

Если и они заблокированы, Использовать мои собственные мосты принимает строки от Tor Project. Запросить ещё мосты запрашивает свежий набор по вашему текущему соединению.

В разделе Сеть кнопка Проверить onion-цепочку отправляет пакет на ваш собственный адрес через Tor и ждёт, пока он вернётся. Если вернулся — ваш телефон опубликован и достижим от начала до конца. «Опубликован» и «достижим» — это разные вещи, и здесь проверяется вторая.

Задать PIN-код означает, что ключу шифрования нужны две половины: ваш PIN-код и секрет, хранимый телефоном. Ни одной по отдельности не хватает, поэтому копия ваших данных без вас бесполезна для кого угодно. Восстановления нет — никто не сбросит его, и в этом весь смысл. Запишите его там, где держите ключ от дома, а не на телефоне.

Когда PIN-код задан, приложение также снова спрашивает его после минуты в фоне, чтобы тот, кто возьмёт ваш разблокированный телефон, не смог просто его открыть.

Если вы с контактом в одном месте и интернета нет, откройте беседу, нажмите Ещё и выберите Поговорить лично. Откроется отдельный экран: выберите, как вы находите друг друга — Автоматически (оба способа сразу), Wi‑Fi или Bluetooth, — и на сколько включить (15 минут, 1 час или 4 часа), и нажмите Включить. Включить нужно обоим, друг для друга. Через одну сеть Wi‑Fi, даже без выхода в интернет, быстрее: фото передаётся за секунды. Bluetooth (между телефонами Android) достаёт на несколько метров без роутера, но фото может идти минуту. Если Wi‑Fi нет, на Android можно нажать Создать сеть здесь: ваш телефон станет сетью, а собеседник подключится по показанным имени и паролю. Пока режим включён, значок в заголовке беседы показывает, сколько осталось; нажмите на него, чтобы вернуться на экран, сменить способ или выключить режим. Длительность по умолчанию меняется в настройках.

Что меняется, пока режим включён: любой рядом со сканером может понять, что кто‑то пользуется PrivChat, и видеть, когда и сколько вы переписываетесь, но не что и не с кем. Через Tor этого не видно. Приложение никогда никого не ищет и ничего не пересылает через третьих лиц.

Если вы не в одном месте, Передать сообщения сохраняет всё, что ждёт отправки этому контакту, в файл, который может открыть только он и по которому даже не видно, из какого он приложения. Перенесите его на флешке, отправьте любым способом или передайте тому, кто с ним увидится; он откроет его через Импортировать пакет, и сообщения появятся так, будто пришли через интернет. Пока пакет в пути, эти сообщения не уходят через интернет; если тем временем вы несколько раз пообщаетесь другим путём, они уйдут сами, а пакет потеряет силу — ничего не потеряется.

На компьютере режим «Лично» работает через локальную сеть. На iPhone пакет появится в следующей версии.

Ящик — это PrivChat без экрана на вашем домашнем устройстве (Raspberry Pi или компьютер, который не выключается) с ботом PrivChat: privchat-bot --buzon run. Пока вас нет, контакт, оказавшийся в вашей сети Wi‑Fi, оставляет ящику то, что у него для вас, и забирает то, что вы оставили ему; когда вы вернётесь, телефон заберёт всё сам. Связать ящик можно в Настройки → Мой ящик: вставьте приглашение, которое выдаёт privchat-bot buzon invitar; первый телефон, который его использует, становится владельцем.

Если включить С интернетом (по желанию; по умолчанию выключено), контакты смогут оставлять вам сообщения через Tor, даже когда ваш телефон выключен, а вы — забирать их откуда угодно.

Ящик хранит только ваше, в запечатанном виде: прочитать не может, и вашей личности у него никогда нет. Вы сами выбираете, кто может оставлять вам сообщения (по умолчанию — контакты, проверенные лично; им нужна версия 2.10.2 или новее). Если ящик украдут, он ничего не прочитает, а примерно через 48 часов перестанет кого‑либо узнавать; отвязать его можно с телефона. На компьютере он тоже есть в настройках. Как установить бота — в руководстве по ботам.

Маленькая радиостанция LoRa — узел Meshtastic или MeshCore (PrivChat сам распознаёт его при подключении; по радио вы общаетесь только с теми, кто в той же сети), например Seeed XIAO ESP32S3 с Wio‑SX1262, которыми пользуемся мы сами, — рядом с телефоном, связанная по Bluetooth. В Настройки → Сеть: Найти узел, PIN узла и переключатель Использовать сеть (по умолчанию выключен). Это последнее средство после Tor и «Лично»: когда ни то ни другое не доставляет, текст уходит по радио по частям, и другие узлы повторяют его на километры. Только с контактами, которых вы отметите на этом экране («По радио с»; они отмечаются сами, когда их слышно по радио, и у каждого тоже должен быть узел), и только текст и подтверждения: фото и видео ждут другого пути. Содержимое остаётся запечатанным PrivChat; радио его не видит.

Чего ждать: сообщение получает состояние «по радио», а «доставлено» — только когда придёт подтверждение собеседника, которое тоже возвращается по радио: минуты, а не секунды. Один текст — около 17 секунд эфира. В России (868,7–869,2 МГц, до 20 дБм) закон не ограничивает время передачи, но PrivChat сам держится в пределах 10 % каждого часа, чтобы одно приложение не занимало сеть, которая принадлежит всем: около десяти сообщений с подтверждением в час. Мощность в этом диапазоне ниже европейской, так что дальность чуть меньше. Экран сети показывает использованный эфир, включая то, что ваш узел повторяет от других. Когда он исчерпан, сообщения ждут и уходят в свою очередь: не отправляйте их заново вручную.

Ваш ящик с узлом работает как шлюз: вдали и без интернета вы по радио оставляете ему свои сообщения, а он доставляет их через Tor, и забираете то, что оставили вам. С контактом можно открыть свою сеть: канал со своим именем и ключом, передаваемый зашифрованным сообщением. Что видит слушающий: что ваш узел передаёт, когда, сколько и примерно откуда (передачу можно запеленговать); никогда — содержимое и адресата. На компьютере узел подключается по USB.

У «Моих заметок», чата с самим собой, с версии 2.12.0 две вкладки: «Заметки», обычный чат, и «Календарь». Напишите заметку и нажмите календарь рядом с «Отправить»: выберите день и время (или один из быстрых вариантов), задача ли это с флажком, повторяется ли (каждый день, неделю, месяц, год или по-своему), когда напомнить (до трёх напоминаний: в назначенное время или за минуты, часы или дни) и цветную метку. Из любого другого чата «Напомнить» и «Переслать → Мои заметки» делают то же самое с нужным сообщением.

Вкладка «Календарь» раскладывает всё по дням — просрочено, сегодня, завтра, на этой неделе, позже, без даты — или показывает месяц. Нажав на запись, можно отметить её выполненной, отложить на десять минут, час или до завтра, пропустить только этот раз или изменить дату. Заметка, строки которой начинаются с [ ], становится списком с флажками; кнопка списка в поле ввода пишет их за вас.

Всё остаётся на телефоне: календарь не использует системный, у него нет виджета, и он ни с чем не синхронизируется. Чтобы напоминание сработало, даже если телефон закрыл приложение, системе передаётся только время следующего напоминания, никогда не текст; с установленным PIN и закрытым приложением уведомление говорит, что есть напоминание, но не какое, пока вы не разблокируете. На компьютере напоминания приходят, пока PrivChat открыт; на iPhone при закрытом приложении они тоже сообщают лишь, что есть напоминание.