01Documentado
El contenido de un Hat está cifrado de extremo a extremo
City of Hats documenta cifrado en el cliente para mensajes, archivos y llamadas entre Hats, de modo que la infraestructura de entrega maneja contenido cifrado y no el texto de la conversación.
AlcanceComunicación entre Hats en clientes compatibles de City of Hats.
EvidenciaLa especificación técnica nombra un establecimiento de claves híbrido X25519 y ML-KEM-768, Double Ratchet y cifrado autenticado AES-256-GCM.
Limitación importanteEl cifrado no protege el texto legible en un dispositivo comprometido o desbloqueado ni frente a un destinatario que graba lo que puede leer.
Leer la especificación técnica →
02Observable
Un Hat no necesita teléfono ni correo electrónico
Una persona puede crear un Hat seudónimo y ser contactada mediante un código Hat o Phrase ID sin registrar un número de operador ni una identidad de correo.
AlcanceCreación básica de Hats para consumidores; los servicios de pago, administración, soporte o facturación pueden recopilar datos de cuenta separados.
EvidenciaEl flujo público de creación de Hats puede probarse sin enviar teléfono ni correo electrónico.
Limitación importanteEl seudonimato no es anonimato absoluto. Los dispositivos, las redes, los datos compartidos voluntariamente y los datos operativos de conexión siguen formando parte del modelo de amenazas.
Ver identidades seudónimas →
03Observable
No existe una bóveda de recuperación de conversaciones en el proveedor
El mensajero para consumidores está diseñado sin una bóveda de City of Hats capaz de restaurar el historial de una conversación Hat perdida.
AlcanceMensajes Hat y estado de conversación guardado en el dispositivo; los registros empresariales separados siguen la Política de privacidad.
EvidenciaEl comportamiento de recuperación del producto y la documentación de privacidad indican que City of Hats no puede restaurar contenido destruido o perdido con el dispositivo.
Limitación importanteTambién es una contrapartida de disponibilidad: perder el único dispositivo autorizado puede significar perder los mensajes para siempre.
Leer la política de datos →
04Documentado
El establecimiento de claves usa un híbrido poscuántico
El diseño publicado combina X25519 clásico con ML-KEM-768 antes de derivar las claves usadas por el protocolo de conversación.
AlcanceSesiones Hat compatibles en clientes que ejecutan la versión actual del protocolo.
EvidenciaLos algoritmos y la construcción híbrida se documentan en las páginas de Transparencia y Chats seguros.
Limitación importanteNombrar algoritmos sólidos no equivale a una auditoría independiente de la implementación. La seguridad también depende de la integración, las claves, los clientes y el criptoanálisis futuro.
Revisar el diseño de chat seguro →
05Documentado
Las llamadas no exponen una IP directa al interlocutor
La voz y el vídeo están diseñados para usar medios cifrados retransmitidos, no una ruta entre pares que revele la IP de cada participante al otro.
AlcanceLlamadas de voz y vídeo de City of Hats que usan la arquitectura de retransmisión documentada.
EvidenciaLas páginas Llamadas cifradas y Transparencia describen medios solo por retransmisión y claves nuevas para cada llamada.
Limitación importanteLa retransmisión y los proveedores de red siguen procesando conexiones para la entrega. Esto no oculta un dispositivo de su propia red ni evita su compromiso.
Ver la arquitectura de llamadas →
06Observable
El remitente puede reducir la exposición después de enviar
Modos como Ver una vez, Retirar, GeoLock, Envío certificado, Marca de agua invisible y Channel Seal restringen el acceso, la retención o la divulgación normales.
AlcanceMensajes y archivos enviados con el control elegido en clientes compatibles.
EvidenciaLos controles y los flujos del destinatario son visibles en el producto y están documentados en sus páginas.
Limitación importanteNinguna aplicación puede hacer olvidar a un destinatario autorizado, impedir todas las cámaras externas o proteger texto ya capturado fuera del visor.
Examinar los modos de seguridad →
