Datenschutz

Flüsterpost ist so gebaut, dass möglichst wenig Daten überhaupt entstehen. Der kürzeste ehrliche Satz zur Datenverarbeitung lautet: Der Inhalt deiner Notiz wird hier nicht verarbeitet, weil er nie lesbar ankommt.

Was gespeichert wird

Zu jeder Notiz liegen genau vier Angaben in der Datenbank:

• eine zufällig erzeugte ID, die keinen Bezug zu dir hat
• ein verschlüsselter Byte-Block, der ohne den Schlüssel bedeutungslos ist
• der Ablaufzeitpunkt
• ein Ja/Nein, ob zum Öffnen ein Passwort nötig ist

Nicht gespeichert werden: Erstellungszeitpunkt, IP-Adresse, Browserkennzeichen, Absender, Empfänger, Betreff oder irgendeine Form von Zugriffshistorie.

Der Schlüssel

Verschlüsselt und entschlüsselt wird ausschließlich in deinem Browser (AES-GCM über die eingebaute WebCrypto-Schnittstelle). Der Schlüssel steht im Link hinter dem #. Dieser Teil einer Adresse wird von Browsern grundsätzlich nicht an den Server geschickt. Er erreicht diesen Server daher nicht — weder im Klartext noch anderweitig.

Ist zusätzlich ein Passwort gesetzt, werden beide Teile gebraucht: der Zufall aus dem Link und das Passwort. Sie werden im Browser zusammengeführt (PBKDF2-SHA256 mit 600.000 Runden, danach HKDF-SHA256). Weil der Anteil aus dem Link hier nie ankommt, kann der Server das Passwort nicht einmal durchprobieren.

Löschung

Eine Notiz wird beim Abruf gelöscht, spätestens jedoch mit Ablauf der gewählten Lebensdauer. Gelöschte Daten werden durch regelmäßiges Verdichten der Datenbank auch aus dem Freispeicher der Datei entfernt.

Missbrauchsschutz

Damit niemand den Dienst zumüllt, ist die Zahl neuer Notizen pro Stunde und IP-Adresse begrenzt. Dafür wird kein Klartext der IP gespeichert, sondern ein Hash aus IP, Zeitscheibe und einem serverseitigen Geheimnis. Dieser Zähler verfällt nach einer Stunde und lässt sich nicht auf eine IP-Adresse zurückrechnen.

Cookies, Analyse, Werbung

Keine Cookies, keine Reichweitenmessung, keine Werbung, keine Einbindung fremder Server. Die Seite lädt ausschließlich eigene Dateien; eine strenge Content-Security-Policy setzt das zusätzlich technisch durch.

Server-Protokolle

Das Zugriffsprotokoll für diese Subdomain ist auf das technisch Nötige beschränkt. Andernfalls würde hintenrum genau die Art von Metadaten wieder eingesammelt, die das Konzept vorne vermeidet.

Was du uns glauben musst

Dass all das zutrifft, ist eine Eigenschaft des Codes, der hier läuft. Von außen kann das niemand beweisen. Deshalb ist der Quelltext öffentlich einsehbar.

Verantwortlich

Marc Schüßler — marc@chaosinstitut.de. Siehe Impressum.