メールやSlackで送ったパスワードは、経由した各サービスの受信箱、バックアップ、チャット履歴に読める状態で残ります。Secret Dropは機密データを送信前にブラウザで暗号化するため、サーバーが受け取るのは読み取れないデータだけです。
あなたの秘密がどう守られるか
-
秘密を書く
ブラウザでメッセージを入力するか、ファイルを選択します。
-
ブラウザで暗号化
ブラウザがランダムな鍵を生成し、Web Crypto APIを通じてAES-256-GCMでコンテンツをローカルで暗号化します。
-
サーバーが暗号文を保存
サーバーは暗号化されたデータを鍵なしで保存するため、復号する手段がありません。
-
鍵はURLに残る
ブラウザは復号化鍵をURLフラグメント（#の後）に配置します。ブラウザがこの部分をサーバーに送信することはありません。
-
受信者が復号化
受信者がリンクを開くと、ブラウザが暗号化されたデータを取得し、URLの鍵を使用してローカルで復号化します。
-
シークレットが破棄される
秘密が閲覧制限または有効期限に達すると、サーバーは暗号化されたコンテンツを完全に削除します。残るのは存在の痕跡だけで、復号できるものは何もありません。
Secure by design
以下のアーキテクチャ上の選択は、それぞれ攻撃者がアクセスできる範囲と、私たち自身がアクセスできる範囲を制限します。
ゼロナレッジ
サーバーは暗号化キーを受け取りません。この設計はOWASPの暗号化ストレージ原則に沿っています。データベースを盗んだ攻撃者が得られるのは、復号できない暗号化データだけです。
パスワード不要の認証
使い捨てのマジックリンクがパスワードの代わりになります。データベースには認証情報が保存されていないため、データベースを盗んだ攻撃者が解読できるものはありません。
鍵はデバイスから出ません
復号キーはURLフラグメント（#の後）に置かれます。ブラウザはフラグメントをサーバーに送信しないため、鍵がリクエストやサーバーログに現れることはありません。
完全な破棄
シークレットが閲覧制限または有効期限に達すると、サーバーは暗号化されたコンテンツを削除し、存在の痕跡だけを残します。有効期限を短くし閲覧制限を設定すると、シークレットが露出する時間を短縮できます。
フランス国内で運用
私たちのサーバーはフランス国内にあり、欧州連合の管轄下にあります。データはGDPRの対象となってEU域内にとどまり、第三国へ移転されることはありません。
トラッキングなし
サードパーティCookie、トラッキングピクセル、外部サービスは使用していません。私たちは第三者とデータを共有せず、このサイトでのあなたの行動をプロファイリングしたり販売したりすることもありません。