每一项功能，都是为了少留一条痕迹。

这不是一张功能勾选表。下面每一项都对应通讯泄露的一种具体路径——内容、身份、时间，或者手机落到别人手里的那一刻。

加密

端到端加密

每台设备在本地生成自己的密钥对。私钥永不离开设备——不上传云端、不在我们这里托管，也无法从授权码反推。消息只为某一台配对设备加密，也只有那台设备能解开。

什么时候用得上 你人在海外远程谈条款，而对方的员工共用一台办公电脑。即使消息文件被从那台机器上拷走，它依然只是密文。

身份

没有一个需要注册或可被搜索的统一账号 ID。不要邮箱、不要短信验证、没有用户名；兑换授权码后，通过扫描二维码建立联系。因为没有中心化身份标识，也就不存在会被拖库、被调取、被交叉比对的账号目录。

什么时候用得上 可搜索的账号 ID 或手机号，会在 App 与法律身份之间留下长期关联。传纸条两者都不创建。

架构

消息以密文形式借道你指定的邮箱传输。你从不需要收发邮件——这一切由 App 完成，聊天体验与主流通讯软件一致。变的是归属：投递通道属于你，不属于我们，因此不存在一台可以被查封、被监控、被关停的中心消息服务器。

什么时候用得上 中心化的消息服务器既是单点故障，也是单点胁迫。你自己掌控的中继，两样都不是。

留存

按会话设定存活时间。到期后消息在双方设备上删除——不是归档，也不是移进隐藏文件夹。配合什么都不留的中继，最常见的那条取证路径（从被查扣的手机里翻出旧聊天）会一无所获。

什么时候用得上 大部分通讯事故发生在几个月之后：一段旧对话在完全不该出现的场合被翻了出来。

受迫场景

被要求解锁手机，和被黑客攻击，是两种完全不同的威胁，需要两种不同的答案。输入关怀模式密码，App 会直接显示为普通邮箱客户端；界面上没有传纸条的痕迹，也没有迹象表明正常模式存在。

什么时候用得上 边检、工作场所检查，或任何「拒绝解锁本身就是问题」的场合。

所有权

一次付费，无需续费。恢复二维码可以把授权迁移到新设备；迁移完成的那一刻，旧设备即时失效、无法再打开。没有会到期的订阅，也没有可以把你锁在门外的服务端账号。

什么时候用得上 丢手机应该只是丢一部手机，而不是丢掉通讯能力——更不该把访问权交给捡到它的人。

一次买断，无需账号。兑换授权即可使用。