A Arpokrat tem domicílio legal na Suíça e opera sua rede de relays em jurisdições independentes, sobre hardware construído para resistir ao comprometimento físico — não apenas ao ataque remoto. Esta página mostra como ela é construída, para que você não precise confiar apenas na nossa palavra.
Nossos servidores são burros por design. Eles nunca ficam sabendo quem fala com quem — e esquecem o resto.
A infraestrutura da Arpokrat não roda em nenhuma das grandes plataformas de nuvem dos EUA — nem Amazon Web Services, nem Google Cloud, nem Microsoft Azure, nem Cloudflare — nem em outras. É uma escolha arquitetural deliberada, com uma consequência jurídica concreta: uma ordem sob o CLOUD Act dos EUA funciona obrigando um provedor sediado nos EUA a entregar dados que controla, e a Arpokrat não opera nenhuma infraestrutura nesses provedores que tal ordem pudesse alcançar. Esses quatro são apenas os exemplos mais conhecidos — o mesmo raciocínio exclui qualquer provedor sob jurisdição dos EUA.
Novo no CLOUD Act?
Onde uma empresa está sediada define quais governos podem coagi-la. Escolhemos a Suíça de forma deliberada.
Nossa entidade jurídica está estabelecida em Zug, sob o mesmo marco do Crypto Valley que tornou o cantão um lar para projetos criptográficos e descentralizados. Nossos servidores web públicos rodam em Genebra, em data centers Tier III+ com certificação ISO, e estão sujeitos à rigorosa Lei Federal Suíça de Proteção de Dados (FADP).
A criptografia protege os dados em trânsito. Mas um relay é uma máquina física em um rack — por isso também projetamos para o dia em que alguém obtiver acesso físico a ele.
As mensagens aguardando entrega vivem apenas na RAM volátil, nunca em disco. O swap está desativado, de modo que o sistema não pode paginar essa memória para o armazenamento — é isso que faz o “só RAM” realmente valer.
Como os dados pendentes vivem apenas na RAM, cortar a energia os elimina instantaneamente. Um relay examinado após o desligamento não guarda nenhum conteúdo de mensagem em disco.
O acesso administrativo é limitado a duas pessoas — redundância caso uma esteja indisponível, sem ampliar a superfície de ataque.
Os manifestos de versão do ArpokratOS, do Messenger e do instalador web são assinados em uma máquina Qubes OS dedicada e isolada da rede, que nunca tocou a internet — e nunca tocará. As chaves de assinatura jamais chegam a um dispositivo conectado.
Relays em países com legislação de privacidade, independentes das grandes alianças de vigilância — nenhuma jurisdição sozinha controla a rede.
Esta é a referência mais aprofundada por trás do que a página do Messenger resume.
Suíça
Islândia
Panamá
Malásia
MaurícioNosso warrant canary é atualizado e assinado com PGP em uma cadência regular. Enquanto ele continuar aparecendo, não recebemos nenhuma ordem sigilosa sobre a qual não pudéssemos avisá-lo.
Ver o Warrant Canary Leia o códigoCada entrada do canary é assinada com PGP — você mesmo pode verificar a assinatura.
Veja o que isso significa para as suas mensagens na página do Messenger
.
Gerencia as comunicações de uma organização? Conheça o Enterprise
.