Реализованные меры безопасности

Molvo применяет хеширование паролей Argon2, короткоживущие access-сессии, ротацию refresh-токенов, отзыв доступа и проверку принадлежности объектов. Регистрационные секреты уведомлений шифруются на сервере. Приватные ключи защищённых чатов хранятся на клиенте; Backend хранит зашифрованные MLS-события и архивы. Локальная защита зависит также от операционной системы и безопасности устройства пользователя.

После подтверждения удаления сервер блокирует вход и поздние персональные записи; долговечная очередь повторяет очистку после сбоя. Внешний журнал подтверждённых удалений проверяется перед открытием восстановленного Backend. Минимальные юридические подтверждения отделены от профилей, доступ ограничен и учитывается, срок технически контролируется. Автоматическая запись об уничтожении не заменяет подписанный акт.

Запросы переноса устройств подтверждаются через серверные проверки подписи, аккаунта, устройства, состояния и срока. FCM и Web Push направляют уведомления только на действующие доверенные устройства; при отправке повторно проверяются привязка и актуальность запроса. Push не содержит решения о переносе и не выполняет его автоматически.

Новые управляемые резервные копии создаются ежедневно, возрастная очистка запускается ежечасно. Полный перевод всех рабочих журналов и новых копий при обновлениях ещё не принят. Не подтверждены сроки внешних копий и география всех хранилищ. Независимая сертификация, полное соответствие 152-ФЗ, Google Play и требованиям всех поставщиков не заявляются. Описание уязвимости направляйте на privacy@molvo.online без чужих данных и секретов.