Security Architecture

We use AES-256-GCM, the same encryption standard as banks and intelligence agencies. Encryption is performed client-side in your browser with cryptographically secure keys.

Your message is encrypted from the moment of entry to decryption at the recipient. Neither during transmission nor storage can we or third parties view the content.

We implement true Zero-Knowledge architecture: encryption keys are never transmitted to our servers. Even with a complete server compromise, your data remains secure.

All encryption keys are created with cryptographically secure random generators in your browser. The keys are 256-bit strong and mathematically practically unbreakable.

Optionally protect your encrypted messages with an additional password. This is hashed using ARGON2ID and provides an extra security layer - even if the decryption link is compromised.

Neben der Verschlüsselung implementiert Encipher.Me umfassende Server-Sicherheitsmaßnahmen: Content-Security-Policy (CSP) mit Nonce-basierter Script-Kontrolle verhindert XSS-Angriffe und die Ausführung nicht autorisierter Skripte. HSTS Preload mit einem Jahr Gültigkeit erzwingt verschlüsselte HTTPS-Verbindungen auf Browser-Ebene. X-Frame-Options DENY verhindert Clickjacking-Angriffe. CSRF-Token schützen alle Formulare vor Cross-Site Request Forgery. Rate-Limiting und automatische IP-Sperren wehren Brute-Force-Angriffe ab. Ein Honeypot-System erkennt und blockiert automatisierte Bot-Zugriffe. Permissions-Policy deaktiviert Kamera, Mikrofon, Geolocation und Payment-API. Alle diese Maßnahmen arbeiten zusammen nach dem Defense-in-Depth-Prinzip: Selbst wenn eine Schutzebene versagt, greifen die übrigen.