Clann is end-to-end versleuteld

Wat wordt versleuteld

In een versleuteld gezin—elk gezin vanaf augustus 2026 en elk ouder gezin waarvan een beheerder dit heeft ingeschakeld—worden de media vóór het uploaden op je apparaat versleuteld:

• Foto’s — elk opgeslagen formaat, inclusief kleine voorbeelden en miniaturen.
• Video’s — op dezelfde manier versleuteld en tijdens het afspelen stukje voor stukje ontsleuteld.
• Bewerkte versies — uitsneden en rotaties worden op je telefoon opnieuw versleuteld, nooit op een server.
• Locatie — wordt op je telefoon uit het bestand verwijderd voordat het wordt geüpload.

Schakelt je gezin versleuteling later in, dan worden bestaande foto’s en video’s in de bibliotheek ook versleuteld—niet alleen nieuwe uploads.

Wat niet versleuteld is, staat volledig bij de bekende beperkingen hieronder, waaronder bijschriften, reacties en albumnamen. We hebben liever dat je dit nu leest dan dat je het later ontdekt.

Zo werkt de versleuteling van Clann

Kort gezegd: sleutels worden op telefoons gemaakt, nooit op onze servers. Voor wie dit naast het protocol wil leggen volgen hier de details:

• AES-256-GCM — elke foto en video wordt verzegeld met geauthenticeerde versleuteling in blokken van 1 MiB volgens de OAE2 STREAM-constructie. Daardoor wordt geknoei gedetecteerd in plaats van stilzwijgend doorgelaten.
• Sleutels per item — elke foto en video krijgt een eigen willekeurige sleutel; één buitgemaakt item kan niets anders openen.
• Tijdperken voor groepssleutels — je gezin deelt een sleutel met versies per tijdperk. Als iemand vertrekt, komt er een nieuw tijdperk en kan die persoon latere uploads niet lezen.
• X25519-sleuteluitwisseling — de familiesleutel gaat naar elk apparaat in een verzegelde verpakking die alleen dat apparaat kan openen. Onze servers sturen deze pakketten door zonder ze te kunnen openen.
• Ed25519-apparaatidentiteiten — elk apparaat heeft een ondertekeningsidentiteit en apparaten verifiëren elkaars sleutels in plaats van onze servers blind te vertrouwen. De app waarschuwt als een nieuw apparaat toetreedt of een bestaand apparaat verandert.
• Herstelarchitectuur — omdat sleutels op apparaten staan, is een verloren telefoon het echte risico. Het apparaat van een familielid kan je toegang herstellen en een herstelzin van 12 woorden werkt als niemand anders beschikbaar is.

Kan Clann mijn foto’s zien?

Nee. In een versleuteld gezin kunnen we je foto’s en video’s niet zien. Ze worden vóór het uploaden op je apparaat versleuteld en de sleutels bestaan alleen op de apparaten van je familie. Sinds augustus 2026 is elk nieuw gezin vanaf het begin versleuteld. Onze servers bewaren versleutelde gegevens en verzegelde sleutelpakketten, maar geen sleutel die ze opent.

Dat dekt de twee belangrijkste zorgen: dat wij je foto’s lezen of dat iemand steelt wat wij opslaan. Ons gepubliceerde dreigingsmodel beschrijft verder waartegen het ontwerp wel en niet beschermt, inclusief onderdelen waaraan we nog werken.

Wat we wel kunnen zien staat hieronder, en met de demo bovenaan deze pagina kun je de versleuteling zelf controleren.

Is de versleuteling van Clann open source?

Ja. Clann publiceert de cryptografische implementatie en protocoldocumentatie, zodat onderzoekers en gebruikers de werking kunnen controleren in plaats van ons op ons woord te geloven.

De demo op deze pagina gebruikt precies die gepubliceerde bibliotheek. Het bestand dat hij maakt is dus echt versleuteld en geen illustratie.

Bekijk de broncode op GitHub →

Bekende beperkingen

Versleuteling maakt je niet onzichtbaar. Elk eerlijk systeem heeft grenzen; dit zijn die van ons.

• Gezinnen die vóór augustus 2026 zijn aangemaakt, zijn niet versleuteld totdat een beheerder dit inschakelt. Nieuwe gezinnen zijn standaard versleuteld. Bij oudere gezinnen is een bewuste stap nodig, omdat elk apparaat een sleutel moet hebben voordat een bestaande bibliotheek kan worden omgezet. Tot die tijd zijn ze niet versleuteld. Na inschakeling worden ook bestaande foto’s en video’s versleuteld.
• Bijschriften, reacties en albumnamen zijn niet versleuteld. Ga ervan uit dat wij kunnen lezen wat je typt. We willen de versleuteling later ook hierop toepassen.
• We kunnen basismetadata zien. We zien dat een bestand bestaat, wie het uploadde, wanneer, bij welk gezin het hoort, de grootte en of het een foto of video is. Andere fotometadata—cameragegevens, instellingen en ingebedde informatie—worden vóór het uploaden op je telefoon verwijderd.
• Bekijken in een webbrowser vraagt een extra stap. De sleutel bereikt onze servers nooit, dus iemand uit de familie keurt die browser goed vanaf hun telefoon.

Wat kan Clann nog wel zien?

Dezelfde lijst, duidelijk verdeeld in wat de versleuteling wel en niet beschermt.

• We kunnen niet zien de foto of video zelf, op geen enkel formaat, ook miniaturen niet.
• We kunnen niet zien waar een versleutelde foto is gemaakt.
• We kunnen wel zien dat een bestand bestaat, wie het uploadde, wanneer, bij welk gezin het hoort, hoe groot het is en of het een foto of video is.
• We kunnen wel zien bijschriften, reacties en albumnamen.

Wat gebeurt er als ik mijn telefoon verlies?

Dit is de vraag die bij versleuteling echt telt en die veel producten slecht beantwoorden. Als sleutels alleen op telefoons staan, klinkt een verloren telefoon als verloren foto’s.

Dat is niet zo, want je familie is de back-up. Een familielid kan je toegang vanaf de eigen telefoon in een paar tikken herstellen: dat apparaat heeft de familiesleutel al en geeft een kopie aan je nieuwe telefoon. Je kunt ook vooraf een herstelzin van 12 woorden bewaren. Clann is zo ontworpen dat buitengesloten raken moeilijk is, omdat dit voor een familiefoto-app een veel waarschijnlijker probleem is dan afluisteren.

Technische documentatie

Voor onderzoekers, journalisten en iedereen aan wie een ouder deze pagina doorstuurt.

• GitHub-repository → — de cryptografische implementatie, tests en testvectoren voor meerdere talen.
• PROTOCOL.md → — de normatieve specificatie: sleutelhiërarchie, bestandsformaat, groepslidmaatschap en herstel.
• Dreigingsmodel → — waartegen dit beschermt en waartegen uitdrukkelijk niet.

Deel familiefoto’s zonder publiek

Clann is een privéplek voor de foto’s van je familie—zonder openbare feed, advertenties, vreemden of verkoop van gegevens.

Gratis te downloaden.