Segurança da conta e do acesso

Uma conta sem dados pessoais

Ao abrir pela primeira vez, o AiThao cria uma conta com um identificador anónimo, um número do AiThao atribuído aleatoriamente e um nome de utilizador que pode alterar. O nome de apresentação, foto e estado são facultativos, e as pessoas encontram o seu perfil através do número, nome de utilizador ou código QR.

Voltar à conta num novo telemóvel

• Iniciar sessão com Apple ou Google: o AiThao recebe apenas um identificador de conta fixo e, caso o fornecedor o envie, um endereço de e-mail.
• Código por e-mail: o servidor guarda um hash do endereço e uma pista curta com carateres ocultos, não o próprio endereço.
• Código de recuperação: um código de utilização única que guarda consigo; apenas o respetivo hash é armazenado. A sua utilização encerra a sessão em todos os outros aparelhos e elimina as suas chaves, pelo que um telemóvel perdido deixa de poder utilizar a conta.

Sessões

Os tokens de acesso são válidos por 15 minutos e os de renovação por 30 dias. Cada token de renovação funciona uma única vez: utilizá-lo gera um novo par, e se um antigo for apresentado novamente, toda a sessão é revogada. O servidor armazena apenas um hash de cada token de renovação.

Controlos na aplicação

• Bloqueio da aplicação: exija Face ID ou o seu código para abrir o AiThao.
• Privacidade do perfil: escolha quem vê o seu perfil — todos, os seus contactos ou ninguém.
• Estado online: «online» e «visto pela última vez» constituem um registo temporal único que expira, nunca um histórico. Ocultar o estado tem exatamente o mesmo efeito de estar offline.
• Pré-visualização das notificações: a pré-visualização de uma mensagem encriptada é encriptada para o seu telemóvel, pelo que nem a Apple nem o servidor do AiThao a conseguem ler. A chave das pré-visualizações é renovada a cada 30 dias.
• Bloqueio de contactos: um contacto bloqueado deixa de poder comunicar consigo.