Account- en inlogbeveiliging

Een account zonder persoonsgegevens

Bij de eerste start maakt AiThao een account met een anonieme ID, een willekeurig toegewezen AiThao-nummer en een gebruikersnaam die je kunt wijzigen. Weergavenaam, foto en status zijn optioneel, en mensen vinden je via je nummer, gebruikersnaam of QR-code.

Weer binnenkomen op een nieuwe telefoon

• Inloggen met Apple of Google: AiThao krijgt alleen een vaste account-ID en, als de aanbieder die meestuurt, een e-mailadres.
• E-mailcode: de server bewaart een hash van het adres en een korte gemaskeerde hint, niet het adres zelf.
• Herstelcode: een eenmalige code die je zelf bewaart, waarvan alleen een hash wordt opgeslagen. Gebruik je hem, dan worden alle andere apparaten uitgelogd en hun sleutels verwijderd, zodat een verloren telefoon het account niet kan blijven gebruiken.

Sessies

Toegangstokens gelden 15 minuten en vernieuwingstokens 30 dagen. Elk vernieuwingstoken werkt één keer: gebruik ervan geeft een nieuw paar, en wordt een oud token opnieuw aangeboden, dan wordt de hele sessie ingetrokken. De server bewaart van elk vernieuwingstoken alleen een hash.

Instellingen in de app

• App-vergrendeling: vereis Face ID of je toegangscode om AiThao te openen.
• Profielprivacy: kies wie je profiel ziet — iedereen, je contacten of niemand.
• Onlinestatus: ‘online’ en ‘laatst gezien’ zijn één aflopende tijdstempel, nooit een log. Verbergen ziet er precies uit als offline zijn.
• Meldingsvoorbeelden: het voorbeeld van een versleuteld bericht is versleuteld voor je telefoon, dus Apple noch de server van AiThao kan het lezen. De sleutel voor voorbeelden wordt elke 30 dagen vervangen.
• Blokkeren: een geblokkeerd contact kan je niet meer bereiken.