Beveiligingswhitepaper

Hoe Moments de herinneringen van je gezin beschermt

Dit document legt uit hoe Moments de momenten van je gezin privé houdt: wat er wordt versleuteld, wie de sleutels heeft, wat onze servers wel en niet kunnen zien, en — omdat vertrouwen wordt verdiend met eerlijkheid — precies waar de grenzen liggen.

Versie 1.1 — juli 2026 Geldt voor de Moments-apps voor Android, iOS en Windows

1. De kerngarantie

Moments is gebouwd rond één belofte: onze servers slaan uitsluitend versleutelde gegevens op en hebben nooit een sleutel die je inhoud kan ontgrendelen. Elke foto, video, elk bijschrift, elke reactie en emoji-reactie wordt op je toestel versleuteld voordat die het verlaat, en kan alleen worden ontsleuteld op de toestellen van de mensen die jij hebt gekozen.

Het gevolg is onomwonden: een volledige inbraak in onze systemen zou onthullen wie met wie deelt, wanneer en hoeveel — maar nul inhoud. Er is geen beheerdersweergave van je foto's, geen supporttool die een moment kan openen, en niets bruikbaars om te overhandigen in reactie op een juridisch verzoek om inhoud.

Onze servers zien, bewaren of verwerken nooit een leesbaar moment. Alle versleuteling en ontsleuteling gebeurt binnen de apps, op de toestellen van je familie.

2. Onze ontwerpprincipes

  • De server krijgt je inhoud nooit toevertrouwd. Hij slaat vergrendelde gegevens op en dwingt af wie wat mag ophalen — hij kan je momenten nooit lezen of sleutels aanmaken.
  • Toegang is cryptografie, geen vinkjes. Waar mogelijk betekent "deze persoon kan dit niet zien" dat die geen sleutel heeft die het opent — niet dat een instelling nee zegt.
  • Fail closed. Zodra er enige twijfel is of een sleutel nog veilig te gebruiken is, weigert de app te plaatsen totdat dat is opgelost — hij neemt het risico nooit namens jou.
  • Een archief, geen chat. Moments is een blijvend familiearchief: inhoud moet decennialang leesbaar blijven en herstelbaar zijn op nieuwe toestellen. Onze versleuteling is ontworpen voor duurzaamheid, niet voor verdwijnende berichten.
  • Eerlijkheid over grenzen. Waar we een afweging accepteren (en elk echt systeem heeft die), staat het opgeschreven in dit document, niet verborgen.

3. Hoe je momenten worden beschermd

  • Versleuteld vóór het uploaden. Elk moment wordt op je toestel versleuteld met breed geauditeerde versleuteling volgens de industriestandaard — dezelfde AES-256-familie die wordt vertrouwd voor bank- en overheidsgegevens. Nergens zelfgemaakte cijfers.
  • Sleutels blijven bij je familie. De sleutels die je momenten ontgrendelen bestaan alleen op de toestellen van je familie. Wat onze servers bewaren zijn vergrendelde dozen die ze niet kunnen openen.
  • Elk moment afzonderlijk verzegeld. Elk moment wordt afzonderlijk beschermd, zodat zelfs in het slechtst denkbare geval de blootstelling beperkt zou blijven tot één enkel moment — nooit je hele dagboek.
  • Manipulatie wordt gedetecteerd. Alle opgeslagen gegevens zijn cryptografisch geauthenticeerd: alles wat gewijzigd, afgekapt of aan elkaar geplakt is, wordt gedetecteerd en geweigerd in plaats van stilzwijgend getoond.

4. Wie wat kan zien

Een space is uitsluitend op uitnodiging, en de uitnodiging is de enige deur. Van daaruit wordt toegang afgedwongen door versleuteling, niet door instellingen:

  • Een lid verwijderen verwijdert het echt. Vanaf het moment dat iemand wordt verwijderd, worden nieuwe momenten verzegeld met verse sleutels die diegene nooit ontvangt. Zelfs als diegene op een of andere manier de opgeslagen gegevens zou bemachtigen, zou er nooit iets nieuws voor hem of haar opengaan.
  • "Alleen vanaf nu" wordt gemeend. Een lid dat zonder geschiedenis is uitgenodigd, kan eerdere momenten niet lezen — en onze servers leveren die momenten niet eens aan diegene, zodat hij of zij niet kan zien hoeveel er bestaan, wanneer of van wie.
  • Groepspublieken zijn echte muren. Een moment beperken tot "alleen grootouders" is geen zichtbaarheidsvlag: alleen de leden van die groep ontvangen ooit de sleutel ervan. Voor alle anderen zou het moment net zo goed niet kunnen bestaan — het is afwezig, niet verborgen.
  • Beheerders behouden het beheer. Beheerders van een space behouden altijd het overzicht over de space waarvoor ze verantwoordelijk zijn, inclusief beperkte momenten.

5. Foto's, video's & de Beveiligd-tag

  • Media wordt versleuteld zoals al het andere. Foto's en video's — ook lange — worden op je toestel versleuteld vóór het uploaden en opgeslagen in een manipulatiebestendige vorm: knippen, herordenen of aan elkaar plakken van het opgeslagen bestand wordt gedetecteerd.
  • Video's bestaan nooit onbeschermd op schijf. Video's spelen direct af terwijl ze in rust versleuteld blijven; ze worden alleen in het geheugen op het toestel van de kijker ontsleuteld, en nooit als afspeelbaar bestand weggeschreven.
  • De Beveiligd-tag. Een moment dat als Beveiligd is gemarkeerd, kan door kijkers niet worden opgeslagen, gedeeld of gedownload, en de media ervan bestaat nooit onversleuteld in de opslag van het toestel van de kijker.
  • Schermopname is in de hele app geblokkeerd. Op Android worden screenshots geweigerd en blijven opnames leeg. Op Windows verschijnt de app zwart in opnames en schermdelingen. Op iOS gebruiken we dezelfde bescherming waarop de hele sector vertrouwt — met een eerlijke kanttekening: iOS biedt geen officiële manier om opname te blokkeren, dus als een toekomstige iOS-update die zou uitschakelen, zou de app simpelweg de blokkering verliezen in plaats van het risico te lopen dat je foto's leeg worden weergegeven. We controleren dit bij elke iOS-release.

Wat geen enkele app kan voorkomen: een geroot of gejailbreakt toestel kan zijn eigen scherm lezen, en niets houdt een tweede telefoon tegen om het scherm van de eerste te fotograferen. De Beveiligd-tag legt de lat aanzienlijk hoger; hij heft de natuurkunde niet op, en we doen niet alsof dat wel zo is.

6. Je toestellen & herstel

  • Een nieuw toestel moet worden goedgekeurd. Een nieuwe telefoon kan niet zomaar inloggen en je spaces lezen. Een van je bestaande toestellen moet het goedkeuren, waarbij beide schermen een overeenkomende verificatiecode tonen — wat ook betekent dat niemand, zelfs onze eigen servers niet, een vervalst toestel in je account kan binnensmokkelen.
  • Alles verliezen is een menselijke beslissing, geen automatische. Wie al zijn toestellen verliest, begint opnieuw zonder inhoud. Een beheerder van de space moet het herstel van die toegang persoonlijk bevestigen — opnieuw toegang krijgen na totaal verlies wordt behandeld als opnieuw worden toegelaten.
  • Eigenaars hebben een herstelzin. Eigenaars van een space bewaren een herstelzin van 12 woorden waarmee hun spaces kunnen worden hersteld zonder dat er nog enig toestel over is. De app controleert of je hem daadwerkelijk hebt opgeslagen voordat erop wordt vertrouwd, en wij zien hem nooit.

Er is geen key escrow. Wij bewaren nooit je herstelzin of enige sleutel die eruit is afgeleid. Als een eigenaar zowel zijn toestellen als zijn herstelzin verliest, kunnen wij de inhoud niet herstellen — dat is de eerlijke prijs van een systeem waarin wij die ook niet kunnen lezen.

7. Inloggen

  • Nergens wachtwoorden. Je logt in met een eenmalige link die naar je e-mail wordt gestuurd. Links verlopen binnen enkele minuten en werken precies één keer — er is niets om te hergebruiken, te phishen of te laten uitlekken bij een inbraak.
  • Sessies zijn kortstondig en roteren automatisch. Uitloggen beëindigt de sessie op onze servers, niet alleen op je toestel.
  • Inloggen is niet hetzelfde als lezen. Zelfs iemand die je e-mail in handen had, zou alleen als jou kunnen inloggen — die zou niets kunnen ontsleutelen, omdat zijn toestel nog steeds goedkeuring nodig zou hebben van een van de jouwe.

8. Vertaling & versleuteling

Gezinnen schrijven in verschillende talen, en Moments kan berichten en reacties vertalen naar de taal van elke lezer. Waar het platform dat toelaat, gebeurt dit nu op het toestel zelf; AI-vertaling in de cloud is de uitzondering achter een toestemmingsdrempel, niet de regel:

  • Vertaling op het toestel (vandaag op Android) vertaalt lokaal, na een kleine eenmalige taaldownload. De tekst verlaat de end-to-end-envelop nooit, en er komt geen derde partij aan te pas.
  • AI-vertaling in de cloud dekt platforms die nog geen engine op het toestel hebben, plus de optionele stap "Verbeteren met AI" op elk resultaat van het toestel. Je toestel ontsleutelt de tekst lokaal, en stuurt die pas dan, via een versleutelde verbinding door onze servers, door naar een AI-vertaaldienst van een derde partij. We loggen of bewaren de tekst nooit, en hij wordt niet gebruikt om modellen te trainen.
  • Vertalingen worden alleen op je toestel bewaard, beschermd in rust, en gewist wanneer je uitlogt.
  • Zelfs welke talen je familie spreekt, is niet iets wat onze servers kunnen lezen.

De eerlijke afweging: voor de duur van een cloud-AI-vertaalaanroep verlaat de tekst de end-to-end-envelop — hij is leesbaar tijdens de overdracht naar ons en naar de AI-aanbieder. Cloudvertaling is daarom strikt opt-in en op basis van toestemming: er wordt nooit iets naar de cloud gestuurd voordat jij erom vraagt, en niet voordat een toestemmingsdialoog precies dit heeft uitgelegd. Vertaling op het toestel kent die afweging niet — de tekst verlaat je toestel helemaal niet — en we brengen ze naar meer platforms; zie sectie 10.

9. Eerlijke grenzen

Beschermd tegen

  • Een volledige inbraak in onze servers of opslag — je inhoud is overal versleuteld.
  • Een nieuwsgierige of juridisch gedwongen host: er is geen inhoud om te zien en geen bruikbare sleutel om te overhandigen.
  • Een verwijderd lid dat toekomstige momenten leest, zelfs met toegang tot de opgeslagen gegevens.
  • Een lid dat zonder geschiedenis is uitgenodigd en eerdere momenten bereikt — of zelfs maar te weten komt dat ze bestaan.
  • Manipulatie van opgeslagen inhoud of media — wijzigingen worden gedetecteerd en geweigerd.
  • Inbraken in de stijl van wachtwoorddatabases — er zijn geen wachtwoorden.

Geaccepteerde afwegingen, zwart op wit

  • Wanneer een moment plaatsvond, is zichtbaar voor onze servers. Dit is de bewuste afweging die het leeftijdsfilter en de tijdlijn mogelijk maakt. De geboortedatum van je kind blijft versleuteld, zodat een datum nergens anders een leeftijd wordt dan op de toestellen van je familie.
  • Reacties toegevoegd aan oude momenten. Een verwijderd lid dat zijn toestel heeft gehouden, zou — alleen als ook onze opgeslagen gegevens zouden zijn gekraakt — reacties kunnen lezen die later zijn toegevoegd aan momenten die het al had. Onze servers weigeren diegene op het moment dat hij of zij geen lid meer is; deze uitzondering vereist daarbovenop een inbraak.
  • De Beveiligd-tag zelf is zichtbaar — de app moet weten dat een moment Beveiligd is voordat hij het ontgrendelt. Het onthult precies dat ene feit en geen inhoud.
  • AI-vertaling in de cloud wordt tijdens de aanroep onversleuteld overgedragen — opt-in en openlijk vermeld (sectie 8); vertaling op het toestel is hierdoor niet geraakt.

Niet beschermd tegen

  • Een gecompromitteerd toestel van een lid. Een toestel dat jou een foto kan tonen, bezit noodzakelijkerwijs wat het nodig heeft om die te ontsleutelen. Dit is inherent aan elk end-to-end versleuteld systeem.
  • Metadata. Wie met wie deelt, wanneer, hoe vaak en hoeveel gegevens — zichtbaar voor onze servers, zoals bij vrijwel alle praktische systemen.
  • Een tweede camera gericht op een scherm.

10. Wat volgt

  • Vertaling op het toestel op meer platforms — uitgerold op Android, waar tekst de versleutelde envelop nooit verlaat; we brengen dezelfde lokale vertaling naar onze andere platforms, zodat de afweging beschreven in sectie 8 overal verdwijnt.
  • Voortdurende versterking — we blijven versterken hoe toestellen en sleutels tegen elkaar worden geverifieerd, en we evalueren deze beschermingen bij elke platformrelease.

Deze whitepaper wordt bijgewerkt telkens wanneer onze beschermingen veranderen. Denk je een kwetsbaarheid in Moments te hebben gevonden, dan horen we graag van je: security@momentsapp.eu.