Beveiliging
Laatst bijgewerkt: 14 oktober 2026
Je berichten worden op je apparaat versleuteld. Zonder account blijft je dagboek op dat apparaat en wordt er niets van naar ons gestuurd. Met een account bereiken berichten ons alleen versleuteld. De sleutel die ze opent, is vergrendeld met een passphrase die alleen jij kent, en die passphrase verlaat je apparaat nooit. Wij bewaren dat dagboek, maar kunnen het niet lezen. Raak je je passphrase kwijt, dan kan niemand die berichten terughalen, ook wij niet.
PrivaLog is niet open source. Met deze pagina leggen we in plaats daarvan vast wat de code doet. Ze beschrijft de apps voor iPhone, iPad en Mac en de webapp zoals ze nu werken.
Als je een dagboek begint, maakt de app een dagboeksleutel: een willekeurig getal van 256 bits dat je berichten versleutelt en ontsleutelt. Berichten worden versleuteld met AES-256-GCM, een veelgebruikte versleutelingsmethode. Die merkt ook knoeien op: als een versleuteld bericht is veranderd, weigert de app het te openen in plaats van gewijzigde tekst te tonen.
Als je zonder account begint, is er geen passphrase. De dagboeksleutel staat in de sleutelhanger van je apparaat, en het dagboek gaat open zoals je je apparaat ontgrendelt: met Face ID, Touch ID of de toegangscode van je apparaat. Dat is een slot in de app, geen tweede sleutel: wie je apparaat kan ontgrendelen, kan het dagboek openen. Op een apparaat zonder toegangscode gaat het dagboek niet op slot. Er gaat niets van je dagboek naar ons. De sleutel is niet aan dit ene apparaat gebonden, dus een versleutelde back-up van je iPhone of iPad, in iCloud of op een computer, bevat je dagboek en de sleutel. Hoe goed die back-up beschermd is, hangt van Apple af: een iCloud-back-up is alleen met Geavanceerde gegevensbescherming end-to-end versleuteld. Wij krijgen nooit een kopie.
Als je een account aanmaakt, kies je een dagboek-passphrase van minstens 8 tekens. De app maakt daar met Argon2id een tweede sleutel van. Argon2id is een methode die elke gok traag maakt en veel geheugen kost. Die tweede sleutel vergrendelt je dagboeksleutel. Alleen de vergrendelde dagboeksleutel wordt naar ons gestuurd. Als je ontgrendelt, downloadt je apparaat de vergrendelde sleutel en doet het al het werk zelf. Je passphrase wordt nooit naar ons gestuurd. Schreef je al zonder account, dan houdt je dagboek dezelfde dagboeksleutel: de passphrase vergrendelt die, en je berichten verhuizen naar je account. Vanaf dan zit de sleutel op je apparaat niet meer in apparaatback-ups; op een nieuw apparaat gebruik je je passphrase.
Alles wat je in een bericht schrijft, wordt samen versleuteld: de titel, de tekst, je stemming, labels, de favorietmarkering en plaatsen, inclusief hun coördinaten. De datum van een bericht is niet versleuteld. Zie Wat onze servers bewaren.
Met een account open je je dagboek met je passphrase of met Face ID of Touch ID. Op een apparaat met Face ID of Touch ID gaat dat aan zodra je je passphrase aanmaakt of een dagboek met je account samenvoegt, tenzij je eerder iets anders koos. Je kunt het uitzetten in Instellingen. De app bewaart dan de dagboeksleutel, niet je passphrase, in de sleutelhanger. Die kopie blijft op dit apparaat, zit niet in back-ups en is alleen leesbaar nadat Face ID of Touch ID is gelukt. De toegangscode van je apparaat is niet genoeg: wie die heeft zien intikken, kan je dagboek nog steeds niet openen. Op een apparaat zonder Face ID of Touch ID kun je in plaats daarvan kiezen voor ontgrendelen met de toegangscode. Het systeem controleert je gezicht of vingerafdruk; PrivaLog krijgt die nooit. Voeg je een gezicht of vingerafdruk toe of verwijder je er een, dan werkt de bewaarde sleutel niet meer en ontgrendel je één keer met je passphrase.
Na het ontgrendelen blijft de dagboeksleutel in het geheugen van de app tot het dagboek op slot gaat. Dat gebeurt als je het zelf vergrendelt, uitlogt of de app sluit, en als PrivaLog zo lang op de achtergrond staat als je in Instellingen kiest: direct, na 1, 5 of 15 minuten, na een uur, of nooit. Standaard is dat 1 minuut op iPhone en iPad en 5 minuten op de Mac. Op een Mac gaat het dagboek ook meteen op slot als het scherm vergrendelt of in slaap valt, tenzij je Nooit koos. Staat de app op de achtergrond, dan is het scherm afgedekt, zodat de appkiezer je berichten niet toont. Uitloggen verwijdert de bewaarde sleutel uit de sleutelhanger. De versleutelde kopieën van je berichten blijven op het apparaat, zodat je berichten die nog niet gesynchroniseerd zijn niet kwijtraakt.
Zoeken gebeurt op je apparaat, in berichten die al ontsleuteld in het geheugen staan. Er wordt geen zoekindex naar de schijf geschreven of naar ons gestuurd.
Dit geldt voor accounts. Een dagboek zonder account komt nooit op onze servers. We gebruiken Supabase voor accounts en opslag. Ons Supabase-project staat in de EU, in Ierland. Elk account kan alleen bij zijn eigen rijen; de database dwingt dat af.
Kortom: we zien dat je een account hebt, je e-mailadres, op welke dagen je schreef en wanneer. We zien niet wat je schreef.
Cloudsync vereist een actieve proefperiode of Pro. Zonder dat blijven nieuwe berichten op je apparaat en worden ze niet naar ons gestuurd. Berichten die eerder zijn gesynchroniseerd, blijven versleuteld bewaard tot je ze of je account verwijdert. De vergrendelde dagboeksleutel en de ontgrendelcontrole worden voor elk account bewaard.
Als je je account verwijdert, worden je account, berichten, vergrendelde sleutel en abonnementsstatus direct uit onze database verwijderd. Kopieën kunnen nog een beperkte tijd in back-ups van onze dienstverleners staan. Aankoopgegevens die Apple en RevenueCat bewaren, worden hierdoor niet verwijderd.
Met een account gebruikt PrivaLog twee aparte geheimen. Ze hebben elk een andere taak.
Je accountwachtwoord wordt via een versleutelde verbinding verstuurd om je in te loggen, zoals op elke website. Je dagboek-passphrase wordt helemaal niet verstuurd. Gebruik voor beide iets anders.
De plaats die je kiest, wordt alleen in het versleutelde bericht bewaard. De apps en de ingelogde webapp bevatten geen analyse- of advertentiecode.
Offline kopieën zijn op dezelfde manier versleuteld als de kopieën op onze servers.
De webapp versleutelt in je browser, met dezelfde methode en instellingen als de apps: AES-256-GCM via de ingebouwde Web Crypto van de browser, en Argon2id via een WebAssembly-bibliotheek.
Er is één belangrijk verschil. Een app uit de App Store is ondertekend en gecontroleerd voordat hij bij je komt, en blijft hetzelfde tot je hem bijwerkt. De webapp wordt elke keer dat je hem opent door onze server gestuurd. Als die server aangepaste code zou sturen, kan die code je passphrase lezen terwijl je hem typt. Als je de webversie gebruikt, vertrouw je bij elk bezoek ons en onze hostingpartij.
Een paar maatregelen beperken dit, maar nemen het niet weg. De site wordt alleen via HTTPS geleverd. Een Content Security Policy laat pagina's alleen verbinden met onze eigen site en de hierboven genoemde diensten, en alleen afbeeldingen van onze eigen site laden. Inline scripts zijn wel toegestaan, omdat het framework van de site die nodig heeft. We gebruiken geen Subresource Integrity.
Na het ontgrendelen bewaart de webapp je dagboeksleutel in de opslag van de browser, in een vorm die de pagina kan gebruiken maar niet kan lezen of kopiëren. Het tabblad kan hem gebruiken tot je het dagboek vergrendelt, uitlogt of het tabblad sluit. Er is geen automatische time-out. Uitloggen verwijdert alle bewaarde sleutels, maar laat de versleutelde kopieën van je berichten in de browser staan.
Wil je het sterkere model, gebruik dan de app voor iPhone, iPad of Mac.
Er is geen reset en geen herstel. Wij hebben je passphrase en je dagboeksleutel niet, dus we kunnen je dagboek niet voor je openen, en niemand anders ook. Dat is bewust: een ingang voor ons zou ook een ingang voor anderen zijn. Zonder de passphrase zijn je berichten niet meer te lezen. Je kunt je account verwijderen en een nieuw account beginnen.
{"v":1,"user_id":…,"entry_id":…,"entry_date":…,"crypto_schema_version":…}Vind je een beveiligingsprobleem, mail dan naar privacy@nextdevstudio.com. Beschrijf de stappen om het te reproduceren, en geef ons redelijk de tijd om het op te lossen voordat je details publiceert.
14 oktober 2026. Als we veranderen hoe versleuteling, opslag of externe diensten werken, werken we deze pagina bij. Zie ook het privacybeleid.