AbsentKey sırlarınızı telefonunuzda şifreler. Yedekleme veya paylaşım seçerseniz sunucuya şifreli içerik gönderilir; özel anahtarınız ve kurtarma ifadeniz gönderilmez. Ücretsiz yerel kasayı hesap açmadan, çevrimdışı kullanabilirsiniz; sırlarınız cihazda kalır.
AbsentKey şifrelerinizi görebiliyor mu?
Hayır. Sırlarınızı çözecek özel anahtarlar bizde değildir.
Her yeni sır için cihazınızda rastgele 32 baytlık bir içerik anahtarı üretilir. İçerik, bu anahtar ve rastgele 24 baytlık bir nonce ile XSalsa20-Poly1305 kullanılarak şifrelenir. İçerik anahtarı da sizin X25519 açık anahtarınızla sealed box içinde korunur.
12 kelimelik BIP39 kurtarma ifadenizin entropisinden HKDF-SHA256 ile X25519 anahtar çiftiniz türetilir. İfade ve özel anahtar sunucuya gönderilmez. Senkronizasyon sırasında şifreli içerik, şifrelenmiş içerik anahtarları ve açık anahtarlar yüklenir.
Özel anahtar cihazda Expo SecureStore içinde saklanır ve içerik çözülürken uygulama belleğine alınır. Biyometri veya cihaz PIN’i uygulamanın kilidini açar; şifreleme anahtarını üretmez.
Şu da ilginç: 2025 yılındaki bir Proton anketine göre Amerikalıların %76’sı uygulama seçerken şifrelemenin önemli olduğunu söylüyor. Ama aynı kişilerin %41’i Gmail’in uçtan uca şifreli olduğunu sanıyor. Değil. İnsanların varsaydıkları ile gerçekte olanlar arasındaki uçurum geniş. AbsentKey varsayıma yer bırakmaz. Sırlar cihazda şifrelenir; sunucuya onları çözecek özel anahtarlar gönderilmez.
”Zero-knowledge” pratikte ne anlama gelir?
Zero-knowledge burada AbsentKey’in sırlarınızı okuyamaması demektir. Sunucu şifreli içeriği ve şifrelenmiş içerik anahtarlarını saklar. Ayrıca açık anahtarları ve erişim kontrolü verilerini (kim ne talep edebilir, hangi zamanlayıcılar ayarlandı) işler.
Bulut hizmetlerinin çoğu verilerinizi “durağan halde” ve “aktarım sırasında” şifreler. Kulağa güvenli geliyor, değil mi? Ama anahtarları şirket tutar. İstedikleri zaman her şeyi çözebilirler. Veritabanına erişimi olan çalışanları da çözebilir. Bir saldırgan anahtar altyapısını ele geçirirse, sistemdeki tüm veriler aynı anda açığa çıkar.
Sunucularımız sırlarınızı okuyamaz; özel anahtarlarınız bizde değildir.
2025’te bir veri ihlalinin küresel ortalama maliyeti 4,44 milyon dolara ulaştı (IBM, 2025). Verizon DBIR’a göre ihlallerin %60’ında insan faktörü vardı. Özel anahtarların sunucuda bulunmaması, sunucudaki şifreli içeriğin tek başına çözülmesini önler.
Bir sunucu ihlalinde şifreli içerik çalınabilir. Saldırganın içerik anahtarlarını çözecek özel anahtarlara sahip olması gerekir. Bu koruma, ihlalin zararsız olduğu anlamına gelmez.
Sunucularımız ele geçirilirse ne olur?
Sorulmaya değer soru budur. Her şirket “güvenliği ciddiye alıyoruz” der. Bunların çoğu aynı zamanda verilerinizin anahtarlarını da elinde tutar; bu da bir ihlalin her şeyi açığa çıkarması demektir.
Birisi AbsentKey’in tüm sunucularını ele geçirseydi şunlarla ayrılırdı:
- Şifreli sırlar ve şifrelenmiş içerik anahtarları (sunucuda özel anahtar yok)
- Erişim kontrolü meta verisi (kim ne talep edebilir, zamanlayıcı süreleri)
- Açık anahtarlar (içeriği tek başına çözemezler)
- Hesaplara bağlı e-posta adresleri
Bulamayacakları şeyler: şifreleriniz, kripto seed phrase’leriniz, özel dosyalarınız. Bunların hiçbiri sunucularımızda okunabilir biçimde bulunmuyor. Hiç bulunmadı.
Tüketicilerin %65’i bir ihlalin ardından bir markaya olan güvenini anında yitirdiğini söylüyor (SQ Magazine, 2026). Şifreleme bu güven kaybını veya bir ihlalin hizmeti kesintiye uğratmasını önlemez.
Sunucunun ele geçirilmesi veri kaybına veya erişim kurallarının bozulmasına da yol açabilir. Sırların şifrelenmesi ile sunucunun erişim kurallarını doğru uygulaması ayrı güvenlik meseleleridir.
Talep bazlı erişim sizi nasıl korur?
Şifreleme, “sunucu verilerimi okuyabiliyor mu?” sorununu çözer. Ama şifre mirası söz konusu olduğunda, çoğu kişinin düşünmediği başka bir açı var: ya birisi alıcının telefonunu ele geçirirse?
Şifre paylaşım araçlarının çoğu, paylaştığınız anda alıcılara hemen erişim verir. Telefon mu çalındı? Hesap mı ele geçirildi? Saldırgan her şeyi görür.
AbsentKey farklı çalışır. Paylaştığınız her kişi için bir bekleme süresi belirlersiniz; anlıktan 365 güne kadar. Anlık erişim seçmediyseniz, alıcıların önce erişim talep etmesi gerekir. Talep ettiklerinde:
- Bir push bildirimi alırsınız.
- Onaylayabilir, reddedebilir veya bekleyebilirsiniz.
- Yanıt vermezseniz belirlediğiniz zamanlayıcı geri sayar.
- Yalnızca zamanlayıcı dolduğunda alıcı erişim kazanır.
Henüz erişim verilmemiş bir paylaşımda, alıcı önce talep gönderir ve size bildirim gelir. Alıcı daha önce sırrı açmış veya bir kopyasını kaydetmişse, bu kopyayı geri alamazsınız. Bekleme süreleri ve onay kuralları sunucuda uygulanır; kriptografik bir zaman kilidi değildir.
Verizon’un 2025 raporuna göre şifrelerin %94’ü iki veya daha fazla hesapta tekrar kullanılıyor. Birisi bir hesabı kırar ve bu kimlik bilgilerini bir paylaşım hizmetine girmek için kullanırsa, talep bazlı erişim sizinle veriniz arasındaki bir başka duvardır. Şifreleme içeriği korur. Erişim kontrolü kapıyı korur.
Paylaşım, sırları açığa çıkarmadan nasıl çalışır?
Bir sır paylaştığınızda cihazınız, içerik anahtarını sizin özel anahtarınız ve alıcının açık anahtarıyla crypto_box_easy kullanarak şifreler. Bu işlem X25519 tabanlı anahtar anlaşmasına dayanır. Alıcı, kendisi için şifrelenmiş anahtarı kendi özel anahtarıyla açar ve sırrı cihazında çözer.
Sunucu şifreli içeriği ve alıcı için şifrelenmiş içerik anahtarını iletir. Özel anahtarlar cihazlarda kalır.
# Şematik akış: sırlar cihazda şifrelenir. const contentKey = randomBytes(32) const nonce = randomBytes(24) const cipher = secretbox(secret, nonce, contentKey) const sealedKey = seal(contentKey, ownerPublicKey) upload(cipher, nonce, sealedKey) # Kurtarma ifadesi ve özel anahtar yüklenmez.
Aynı sır farklı kişilerle paylaşıldığında her alıcı için ayrı bir şifrelenmiş içerik anahtarı oluşturulur. Sunucu bunları saklar, fakat kendi başına açamaz.
Şifreli sırları ağdan veya sunucudan kopyalamak, tek başına onları okumaya yetmez. Cihazın, kurtarma ifadesinin veya özel anahtarın ele geçirilmesi ise farklı bir risktir.
Kodu kendiniz inceleyebilirsiniz
AbsentKey’in mobil istemcisi GitHub’da kaynak koduyla yayımlanıyor. Sırların cihazda şifrelendiğini, özel anahtarların ve kurtarma ifadesinin sunucuya gönderilmediğini koddan inceleyebilirsiniz.
CompareCheapSSL’in 2025 verilerine göre tüketicilerin %53’ü şeffaf uygulamalara sahip markalara daha çok güvenme eğiliminde. Ama biz güven istemiyoruz. Şunu söylüyoruz: kod burada, kendiniz bakın.
XSalsa20-Poly1305 şifrelemesi ve X25519 tabanlı anahtar işlemleri libsodium ile yapılır. HKDF-SHA256 ise @noble/hashes kütüphanesinden gelir. Hazır kriptografi kütüphaneleri kullanmak, uygulamanın tamamının bağımsız denetimden geçtiği anlamına gelmez.
Yapmadığımız şeyler
Bazen bir hizmetin ne yapmadığı konusunda net olmak yardımcı olur.
Özel anahtarınızı ve kurtarma ifadenizi sunucuda tutmuyoruz. Yeni bir cihazda kurtarma için 12 kelimelik ifadenize ve erişilebilir şifreli yedeğinize ihtiyacınız vardır. E-posta ile giriş yapmak veya cihaz PIN’ini bilmek tek başına sırları geri getirmez. Yerel sırlarınızın tek kopyası kaybolursa, kurtarma ifadesi onları yeniden oluşturamaz. Yerel kasa hesap gerektirmeden çevrimdışı kullanılabilir; yedeklemeyi veya paylaşmayı seçmediğiniz sırlar cihazda kalır. Sır almak her zaman ücretsizdir.
Thales’in 2025 Tüketici Dijital Güven Endeksi, 14 ülkede 14.000’den fazla tüketiciyle yapıldı. Veri güveni konusunda %50’nin üzerine çıkan tek bir sektör yok (Thales, 2025). AbsentKey’in sunucuları sırları çözecek özel anahtarları tutmaz. Yine de cihazın ve kurtarma ifadesinin güvenliği size, hizmetin güvenilir biçimde işlemesi bize bağlıdır.
Sık Sorulan Sorular
AbsentKey gerçekten uçtan uca şifreli mi?
Evet. Sırlar yüklenmeden önce cihazınızda XSalsa20-Poly1305 ile şifrelenir ve alıcının cihazında çözülür. İçerik anahtarı, X25519 tabanlı işlemlerle sahibine ve seçilen alıcılara ayrı ayrı şifrelenir. Bu akışı GitHub’daki mobil istemci kodunda inceleyebilirsiniz.
Kurtarma ifademi kaybedersem ne olur?
Kurtarma ifadenizi ve cihazdaki özel anahtarınıza erişimi kaybederseniz, sırlarınızı biz çözemeyiz. İfadeyi telefonunuzdan ayrı, güvenli bir yerde saklayın. Kurtarma için şifreli verilerin de erişilebilir olması gerekir; yalnızca yerelde duran ve cihazla birlikte kaybolan dosyaları ifade geri getiremez.
Yetkililer AbsentKey’i verilerimi teslim etmeye zorlayabilir mi?
Geçerli yasal talepler kapsamında sunucuda bulunan şifreli içerik, hesap bilgileri ve erişim kontrolü verileri teslim edilebilir. Sırları çözecek özel anahtarlar ve kurtarma ifadeleri sunucularımızda bulunmaz.
AbsentKey ile mesajla şifre paylaşmak arasındaki fark nedir?
SMS uçtan uca şifreli değildir. Bazı mesajlaşma uygulamaları ise uçtan uca şifreleme sunar; yine de gönderdiğiniz bir şifre alıcının eline hemen geçer ve kopyası kalabilir. AbsentKey sırları şifreler ve erişimin ne zaman verileceğini seçmenizi sağlar. Erişimi sonradan kaldırmak, alıcının daha önce kaydettiği kopyaları silmez.
AbsentKey açık kaynak mı?
Mobil istemci GitHub’da kaynak kodlu olarak yayımlanıyor. ‘Source-available’, kodu okuyup denetleyebilmeniz demektir; lisans izin verici bir açık kaynak lisansı değildir. İstemcideki şifrelemeyi inceleyebilirsiniz. Sunucu kodu yayımlanmıyor. Sunucu sırları çözemese de hesapları, yedekleri ve erişim kurallarını yönetir.
Sırlarınız, anahtarlarınız
Güvenlik sektörünün bir güven sorunu var. Şirketler “güvenliyiz” derken, sakladığınız her şeyin anahtarlarını ellerinde tutarlar. 2025 anketinde büyük teknolojiye duyulan güven yıldan yıla 6 puan düştü (SQ Magazine, 2026). Tüketicilerin %64’ü daha güçlü veri korumalarına sahip markalara geçeceğini söyledi.
AbsentKey sırları telefonunuzda şifreler; özel anahtarınız ve kurtarma ifadeniz sunucuya gönderilmez. Bulut yedekleme kullanırsanız sunucu, açamadığı şifreli içeriği ve şifrelenmiş içerik anahtarlarını saklar.
Şifrelerinizi, kripto anahtarlarınızı ya da özel dosyalarınızı dijital miras planınızın bir parçası olarak güvendiğiniz insanlarla paylaşacaksanız, o sırları taşıyan hizmet onları okuyabilmemelidir. AbsentKey okuyamıyor. Bu pazarlama değil. Mimari.
AbsentKey’i indirin. Almak ücretsiz. iOS ve Android’de mevcut.
