Notizen, die nach dem Lesen verbrennen.
BurnPony versiegelt eine Notiz auf deinem Handy mit AES-256-GCM, gibt dir einen Link und tritt beiseite. Der Empfänger öffnet ihn in jedem Browser — keine App, kein Konto — und nach dem letzten erlaubten Aufruf ist die Notiz weg. Der Server in der Mitte hält nur Chiffretext.
Auf deinem Handy versiegelt. Verbrannt, nachdem sie gelesen haben.
Kostenlos im App Store, bei Google Play und F-Droid.
Nichts zum Anmelden, nichts zu konfigurieren. Installieren, Notiz schreiben, Link teilen.
BurnPony ist für iPhone kostenlos. Im App Store herunterladen.
Kostenlos bei Google Play und F-Droid. Bei Google Play holen oder bei F-Droid holen.
Builds für macOS, Linux und Windows, signiert und mit Prüfsumme. Zu den Downloads.
Empfänger brauchen nie eine App. Eine Notiz ist ein Link, der in jedem modernen Browser auf jeder Plattform entschlüsselt wird.
Schreiben. Verlinken. Verbrennen sehen.
Das ganze Produkt sind drei Schritte, und die Verschlüsselung passiert vor Schritt zwei.
Schreiben und versiegeln
Tippe die Notiz auf deinem Handy. Bevor irgendetwas hochgeladen wird, wird sie auf dem Gerät mit AES-256-GCM verschlüsselt — der Schlüssel wird aus 32 frischen Zufallsbytes abgeleitet, und diese Bytes verlassen dein Handy in keiner Anfrage.
Einen Link teilen
Du erhältst einen einzigen Link mit dem Entschlüsselungsschlüssel im #Fragment — dem Teil, den Browser für sich behalten. Sende ihn über einen beliebigen Kanal, oder lass den Empfänger den QR-Code persönlich scannen. Zweiten Faktor gewünscht? Füge eine Passphrase hinzu und teile sie separat.
Es verbrennt
Der Empfänger tippt in einem beliebigen modernen Browser auf Anzeigen, und die Notiz wird direkt dort entschlüsselt. Beim letzten erlaubten Aufruf löscht der Server den Chiffretext in derselben Transaktion. Ungelesenes verbrennt ohnehin, sobald der von dir gewählte Ablauf erreicht ist.
Gebaut, damit die Mitte nichts hält.
Jede Design-Entscheidung weist in dieselbe Richtung: Der Server speichert, was er nicht lesen kann, für möglichst kurze Zeit.
Auf deinem Gerät versiegelt
AES-256-GCM mit einem Schlüssel, der per HKDF-SHA256 aus frischen Zufallsbytes abgeleitet wird — alles auf deinem Handy, bevor ein einziges Byte hochgeladen wird. Der Server erhält Chiffretext, Punkt.
Der Schlüssel reist nie
Der Entschlüsselungsschlüssel steckt im #Fragment des Links. Browser senden Fragmente niemals an Server — nicht an unseren, an keinen. Wer den Link hat, hat den Schlüssel; der Server hat ihn nie.
Verbrennt beim letzten Aufruf
Stelle 1 bis 100 Aufrufe ein. Wird der letzte abgerufen, wird der Chiffretext in derselben Datenbank-Transaktion gelöscht — nicht nach einem Aufräumplan, nicht irgendwann. Im selben Moment.
Läuft planmäßig ab
Wähle 1 Stunde bis 30 Tage. Alle fünf Minuten läuft ein Durchlauf und löscht alles, dessen Zeit abgelaufen ist, gelesen oder nicht. Nichts bleibt liegen, nur weil niemand geklickt hat.
Passphrase als zweiter Faktor
Verlange optional eine Passphrase, gestreckt mit PBKDF2-HMAC-SHA256 über 600.000 Iterationen und in den Schlüssel gemischt. Teile sie über einen anderen Kanal, und der Link allein öffnet nichts.
Empfangsbestätigungen, offengelegt
Aktiviere eine Lesebestätigung und du erfährst, wann die Notiz geöffnet wurde — und der Empfänger wird informiert, bevor er sie anzeigt. BurnPony betreibt kein stilles Lese-Tracking.
Vorzeitig verbrennen
Jede Notiz, die du erstellst, erscheint im Tab „Gesendet“ mit Live-Status — genutzte Aufrufe, Öffnungszeiten bei aktivierten Bestätigungen — und einem Verbrennen-Knopf, der sie sofort vom Server löscht.
Ein Viewer, den du lesen kannst
Empfänger erhalten eine einzige, in sich geschlossene Seite: keine Frameworks, keine Cookies, keine externen Anfragen, abgesichert mit einer strikten Content-Security-Policy. Der Quelltext ist das Audit.
Niemals ein Konto
Keine Anmeldung zum Senden, keine zum Lesen, keine Benutzernamen-Datenbank, keine Analytik. Es gibt hier nichts über dich, das durchsickern könnte.
Der Server hält Chiffretext und eine Uhr.
Eine Notiz muss irgendwo leben, zwischen dem Schreiben und dem Lesen. Dieses Irgendwo speichert einen versiegelten Blob, den es nicht öffnen kann, eine zufällige ID, Zeitstempel und einen Aufrufzähler — und ist eine Notiz einmal verbrannt, abgelaufen oder nie erstellt worden, liefert der Link für alle drei Fälle exakt dieselbe Antwort, sodass der Server nicht einmal bestätigen kann, dass je eine Notiz existierte. Lieber die Mitte selbst betreiben? Die Einstellungen der App akzeptieren eine eigene Server-URL. Lies die vollständige Aufschlüsselung auf der Sicherheitsseite — oder geh ganz nach unten: dem v1-Protokoll spezifiziert jedes Byte, und der Code ist öffentlich.
Häufige Fragen.
Ist BurnPony schon verfügbar?
Braucht der Empfänger die App?
Was kann der Server lesen?
Was passiert, wenn die Aufrufe aufgebraucht sind?
Was bringt eine Passphrase?
Sind Lesebestätigungen stilles Tracking?
Wie groß und wie lange können Notizen sein?
Ist es Open Source?
Manches gehört nicht in einen Chatverlauf.
Sende sie stattdessen als Notiz, die einmal gelesen wird und dann verbrennt.
Im App Store laden Bei Google Play holen Bei F-Droid holen Für Desktop herunterladen Notiz im Browser erstellen