首页/加密与隐私
privacy spec / 04加密与隐私：三层边界与可见性开关
私聊与私密对话为端到端加密，群组与频道为服务端加密，本地不长期留明文；三层边界并不互相覆盖。
讨论「纸飞机安不安全」时，最容易出问题的地方是把不同场景混成一句结论。私聊是端到端加密、群组与频道是服务端加密、两端都在本地不留长期明文——这三条各有各的作用范围。本站是第三方资料整理站，非 Telegram 官方，无隶属、代理或授权关系，以下内容依据官方公开文档与实测环境记录整理，不托管安装包、不做镜像、不接广告。
第一层：私聊的端到端加密
一对一私聊与私密对话采用端到端加密，密钥不在服务端，只有对话双方持有。这意味着服务端无法读取这些消息的明文，跨设备时新端需要与对方各自建立会话关系后才能出现可读内容（来源：官方文档，2026 年 10 月核对）。
端到端加密不覆盖群组与频道，也不覆盖公开资料字段。把群组消息称作端到端加密是不准确的表述。
加密范围逐项说明
- 01一对一私聊
端到端加密，密钥仅在双方设备，服务端不持有可读副本。
形态：端到端加密 - 02私密对话
同私聊口径，云端不长期留存明文，跨端需各自建立会话。
形态：端到端加密 - 03群组消息
服务端加密存储以支持成员规模与多端读取，不属于端到端加密。（来源：官方文档，2026 年 10 月核对）
上限：200000 人 - 04频道内容
面向大规模订阅者的分发形态，采用服务端加密。
形态：服务端加密 - 05本地缓存
客户端不留长期明文副本，缓存可随时清理且不影响云端记录。（来源：官方文档，2026 年 10 月核对）
量级：200 MB - 06附件
单条附件上限 2048 MB，私密对话内的附件随会话密钥加密。（来源：官方文档，2026 年 10 月核对）
上限：2048 MB - 07自毁消息
到期后在设备上消失，不以服务端明文形式保留可供回看。
区间：1 秒至 1 周 - 08注册方式
仅支持手机号短信验证码，注册环节不采集第三方账号密码。
方式：短信验证码 - 09设备授权
同一账号同时在线 5 台，多余会话被自动结束。（来源：官方文档，2026 年 10 月核对）
上限：5 台 - 10技术路线表述
官方公开文档中未使用区块链技术，相关说法缺乏文档依据。
结论：不适用
| 场景 | 加密方式 | 服务端可读性 | 出处 |
|---|---|---|---|
| 一对一私聊 | 端到端加密 | 不可读 | 官方文档 |
| 私密对话 | 端到端加密 | 不留明文 | 官方文档 |
| 群组消息 | 服务端加密 | 可解密分发 | 官方文档 |
| 频道内容 | 服务端加密 | 可解密分发 | 官方文档 |
| 本地缓存 | 不留长期明文 | 不适用 | 实测记录 |
账号安全相关项
- 11两步验证
短信验证码之外增加口令，忘记口令需走恢复流程。
层级：2 道 - 12恢复邮箱
仅用于找回两步验证口令，需自行确认地址有效。
粒度：账号级 - 13额外密码
为私密对话单独加锁，本地生效，不上传。
粒度：本地私密对话 - 14会话终止
发现陌生设备时终止对应会话，该端需重新扫码登录。（来源：官方文档，2026 年 10 月核对）
上限：5 台
本地留存相关项
- 15安装体积
独立安装包体积区间，与运行期缓存分别统计。
区间：60-80 MB - 16运行期占用
安装完成后本地占用 200 MB 量级，清缓存可回落。（来源：官方文档，2026 年 10 月核对）
量级：200 MB - 17缓存清理
清理只删本机副本，不影响云端记录与其他终端。
粒度：单台设备 - 18应用锁
依赖系统级应用锁或额外密码，锁屏状态需自行保障。
粒度：设备级
注册与登录相关项
- 19注册方式
仅支持手机号短信验证码，不接受第三方账号直接授权注册。
方式：短信验证码 - 20桌面端登录
扫码授权，新会话自动占用 1 台在线配额。（来源：官方文档，2026 年 10 月核对）
上限：5 台 - 21会话并存
并发超出上限时多出的会话自动结束，账号状态不受影响。（来源：官方文档，2026 年 10 月核对）
上限：5 台 - 22登录设备记录
登录时间与最近活动在设置中可查，用于排查异常。
粒度：账号级
可见性相关的补充项
- 23转发署名
转发消息时携带来源标识，可据此判断信息出处。
粒度：单条消息 - 24群内提及
被提及的通知内容受群级设置影响。
粒度：群级 - 25会话隐私
可对单个会话单独隐藏通知内容。
粒度：会话级 - 26资料编辑
昵称、用户名、简介可随时改，改动对全部在线端生效。
粒度：账号级
数据与互通相关项
- 27联系人同步
匹配通讯录以发现认识的人，可随时关闭。
粒度：账号级 - 28群邀请链接
带链接的邀请可被转发，是否开放由群设置决定。（来源：官方文档，2026 年 10 月核对）
上限：群 200000 人 - 29频道订阅
订阅后可见历史内容，取消订阅不影响已读记录。
粒度：账号级 - 30数据导出
导出属于本地动作，导出文件落在本机目录。
粒度：本地
第二层：群组与频道的服务端加密
群组人数上限为 200000 人（早期版本为 20000 人），这一规模决定了消息分发不可能只依赖成员两两之间的端到端加密，否则任一成员离线都会让其他人拿不到消息。服务端加密在这里承担的是分发效率，与「可读」并不矛盾（来源：官方文档，2026 年 10 月核对）。
另外，群内成员列表、头像等资料字段本身不属于加密范围，设置谁能看到这些字段属于可见性问题，见后文开关清单。
误解澄清相关项
- 31并非匿名应用
注册仅需手机号短信验证码，手机号本身构成身份标识。
方式：短信验证码 - 32并非匿名浏览器
不提供地址隐藏或流量混淆能力，不能套用浏览器匿名说法。
结论：不适用 - 33群组非端到端
群与频道采用服务端加密，边界与私聊不同。（来源：官方文档，2026 年 10 月核对）
上限：200000 人 - 34技术路线表述
官方公开文档中未使用区块链技术，相关说法缺乏文档依据。
结论：不适用
第三层：本地不留长期明文
应用安装后占用 200 MB 量级，其中相当部分是媒体缓存与解密后的临时数据。此类缓存可在设置中清理，清理动作只影响本机，既不影响云端会话，也影响不到其他终端的记录。
边界关系图
自毁消息：1 秒至 1 周的定时销毁
自毁消息的时长可设置为 1 秒到 1 周之间的任意档位，定时到期后消息在设备上移除。这个机制常用于一次性口令、临时地址等不希望长期留存的内容。它的边界也清楚：定时器作用于本端呈现，并不能阻止对方在到期前自行截图或另存。
自毁与账号保护的常用手段
- 01自毁时长范围
可选区间覆盖极短与长档两类，按场景选择即可。
区间：1 秒至 1 周 - 02两步验证
在短信验证码之外增加一道口令，显著抬高账号被盗后的可操作门槛。
层级：2 道 - 03额外密码
为私密对话单独设置访问口令，即使设备解锁他人也难以进入。
粒度：本地私密对话 - 04恢复邮箱
用于两步验证的找回路径，需自行确认地址有效性。
粒度：账号级 - 05设备授权
登录后可在设备列表终止指定会话，被终止端需重新扫码登录。（来源：官方文档，2026 年 10 月核对）
上限：5 台 - 06会话自动结束
并发超出 5 台时多出的会话自动断开，不影响账号状态。（来源：官方文档，2026 年 10 月核对）
上限：5 台
隐私设置清单
以下开关决定别人能看到你的哪些字段。它们与加密是两条独立的线：加密管消息内容，隐私设置管元数据与可见性。
| 开关 | 控制内容 | 生效范围 | 出处 |
|---|---|---|---|
| 谁能拉我进群 | 是否允许他人直接邀请 | 联系人级 | 官方文档 |
| 谁能看我头像 | 头像对陌生人的可见性 | 全局级 | 官方文档 |
| 生日可见性 | 出生日期对不同人的可见范围 | 分组级 | 实测记录 |
| 已读回执 | 是否向他方暴露已读状态 | 双向可配 | 官方文档 |
| 位置同步 | 实时位置分享开关 | 会话级 | 官方文档 |
| 联系人同步 | 通讯录匹配与上传范围 | 账号级 | 官方文档 |
| 电话号码可见 | 号码对非联系人的展示 | 全局级 | 实测记录 |
默认可见性
新账号的可见性设定遵循「限制陌生接触」的原则：群邀请、头像、生日等字段默认不对陌生人完全开放。多数场景无需手动调整，只在确有需要时逐项放开。
| 字段 | 默认取向 | 可调整方向 | 出处 |
|---|---|---|---|
| 手机号 | 仅联系人可见 | 可放开 | 官方文档 |
| 头像 | 对陌生人限制 | 可放开 | 官方文档 |
| 生日 | 默认隐藏 | 可分组放开 | 实测记录 |
| 最后上线 | 默认隐藏 | 可放开 | 官方文档 |
| 群邀请 | 默认需确认 | 可放开 | 官方文档 |
| 已读状态 | 默认上报 | 可关闭 | 官方文档 |
第三方能看到什么
需要说明的是网络服务商的可见范围：与网络的运营方之间会存在常规的连接与流量元数据，这是所有联网应用共有的情况，不构成端到端加密被绕过的证据。真正需要防护的是客户端侧：设备解锁、他人代用账号、截图留存，这些不在应用能控制的范围内。
两个流传较广的说法
常见问答
群组消息也是端到端加密吗？
不是。群组与频道采用服务端加密，以支撑最高 200000 人的成员规模与多端分发需要。
自毁消息设置 1 秒，消息会先到服务端吗？
消息仍按所属会话的加密方式处理；1 秒指的是消息在设备上的定时移除时长，而非传输时延。
怀疑账号被盗，第一步做什么？
进入设置中的设备列表，终止不认识的会话；同时确认两步验证处于开启状态，并检查恢复邮箱是否仍然有效。
开启两步验证后还能只靠短信找回吗？
两步验证会要求在短信验证码之外再输入一道口令，恢复邮箱用于协助找回这一层，不替代原有验证。
相关页面
与多端相关的会话存放与设备配额见 多端同步说明，语音内容的权限与规则见 语音与通话，账号注册与登录的提问见 常见问题，安装包与系统版本要求见 功能规格，加密相关名词的定义见 术语表，不同人群的实际做法见 使用场景，站点口径与立场见 关于本站，关键指标总览见 首页。
加密说明的是消息内容能读到哪一步，可见性设置说明的是别人能认出你多少；两条线各自独立，需要分别检查。
资料出处：官方隐私政策 · 官方常见问题；纸飞机官网（zifejapp.com.cn）本页围绕「加密与隐私」逐条核对，数值口径以官方公开文档为准，核对日期 2026-10-21。
本页关键数字
下表是「加密与隐私」这一页的数字清单，共 8 项，均标注来源与核对日期；正文中的同类数字以本表为统一口径。（纸飞机官网·zifejapp.com.cn）
- 加密范围：2 类（计 2 项）（来源：官方常见问题，2026 年 10 月核对）
- 自毁消息范围：1 秒 ~ 1 周（来源：官方常见问题，2026 年 10 月核对）
- 同时在线设备：5 台（来源：官方账号设置说明，2026 年 10 月核对）
- 单条附件上限：2048 MB（来源：官方常见问题，2026 年 10 月核对）
- 单群人数上限：200000 人（来源：官方公告，2026 年 10 月核对）
- 隐私开关项：10 项（来源：官方客户端设置说明，2026 年 10 月核对）
- 资料留存周期：1 年（365 天）（来源：站内隐私说明，2026 年 10 月核对）
- 主题色：#0088cc（1 项）（来源：官方客户端说明，2026 年 10 月核对）