Kostenlos im App Store, Google Play & F-Droid

Notizen, die nach dem Lesen verbrennen.

BurnPony versiegelt eine Notiz auf deinem Handy mit AES-256-GCM, gibt dir einen Link und tritt beiseite. Der Empfänger öffnet ihn in jedem Browser — keine App, kein Konto — und nach dem letzten erlaubten Aufruf ist die Notiz weg. Der Server in der Mitte hält nur Chiffretext.

AES-256-GCM auf deinem Gerät versiegelt kein Konto · App für Empfänger · Analytik 1–100 Aufrufe, dann Asche
DU SERVER · CHIFFRETEXT JEDER BROWSER Schlüssel bleibt im #Fragment

Auf deinem Handy versiegelt. Verbrannt, nachdem sie gelesen haben.

// holen

Kostenlos im App Store, bei Google Play und F-Droid.

Nichts zum Anmelden, nichts zu konfigurieren. Installieren, Notiz schreiben, Link teilen.

iOS jetzt verfügbar

BurnPony ist für iPhone kostenlos. Im App Store herunterladen.

Android jetzt verfügbar

Kostenlos bei Google Play und F-Droid. Bei Google Play holen oder bei F-Droid holen.

Desktop jetzt verfügbar

Builds für macOS, Linux und Windows, signiert und mit Prüfsumme. Zu den Downloads.

Jeder Browser keine Installation

Empfänger brauchen nie eine App. Eine Notiz ist ein Link, der in jedem modernen Browser auf jeder Plattform entschlüsselt wird.

// so funktioniert's

Schreiben. Verlinken. Verbrennen sehen.

Das ganze Produkt sind drei Schritte, und die Verschlüsselung passiert vor Schritt zwei.

01

Schreiben und versiegeln

Tippe die Notiz auf deinem Handy. Bevor irgendetwas hochgeladen wird, wird sie auf dem Gerät mit AES-256-GCM verschlüsselt — der Schlüssel wird aus 32 frischen Zufallsbytes abgeleitet, und diese Bytes verlassen dein Handy in keiner Anfrage.

02

Einen Link teilen

Du erhältst einen einzigen Link mit dem Entschlüsselungsschlüssel im #Fragment — dem Teil, den Browser für sich behalten. Sende ihn über einen beliebigen Kanal, oder lass den Empfänger den QR-Code persönlich scannen. Zweiten Faktor gewünscht? Füge eine Passphrase hinzu und teile sie separat.

03

Es verbrennt

Der Empfänger tippt in einem beliebigen modernen Browser auf Anzeigen, und die Notiz wird direkt dort entschlüsselt. Beim letzten erlaubten Aufruf löscht der Server den Chiffretext in derselben Transaktion. Ungelesenes verbrennt ohnehin, sobald der von dir gewählte Ablauf erreicht ist.

// was du bekommst

Gebaut, damit die Mitte nichts hält.

Jede Design-Entscheidung weist in dieselbe Richtung: Der Server speichert, was er nicht lesen kann, für möglichst kurze Zeit.

Auf deinem Gerät versiegelt

AES-256-GCM mit einem Schlüssel, der per HKDF-SHA256 aus frischen Zufallsbytes abgeleitet wird — alles auf deinem Handy, bevor ein einziges Byte hochgeladen wird. Der Server erhält Chiffretext, Punkt.

Der Schlüssel reist nie

Der Entschlüsselungsschlüssel steckt im #Fragment des Links. Browser senden Fragmente niemals an Server — nicht an unseren, an keinen. Wer den Link hat, hat den Schlüssel; der Server hat ihn nie.

Verbrennt beim letzten Aufruf

Stelle 1 bis 100 Aufrufe ein. Wird der letzte abgerufen, wird der Chiffretext in derselben Datenbank-Transaktion gelöscht — nicht nach einem Aufräumplan, nicht irgendwann. Im selben Moment.

Läuft planmäßig ab

Wähle 1 Stunde bis 30 Tage. Alle fünf Minuten läuft ein Durchlauf und löscht alles, dessen Zeit abgelaufen ist, gelesen oder nicht. Nichts bleibt liegen, nur weil niemand geklickt hat.

Passphrase als zweiter Faktor

Verlange optional eine Passphrase, gestreckt mit PBKDF2-HMAC-SHA256 über 600.000 Iterationen und in den Schlüssel gemischt. Teile sie über einen anderen Kanal, und der Link allein öffnet nichts.

Empfangsbestätigungen, offengelegt

Aktiviere eine Lesebestätigung und du erfährst, wann die Notiz geöffnet wurde — und der Empfänger wird informiert, bevor er sie anzeigt. BurnPony betreibt kein stilles Lese-Tracking.

Vorzeitig verbrennen

Jede Notiz, die du erstellst, erscheint im Tab „Gesendet“ mit Live-Status — genutzte Aufrufe, Öffnungszeiten bei aktivierten Bestätigungen — und einem Verbrennen-Knopf, der sie sofort vom Server löscht.

Ein Viewer, den du lesen kannst

Empfänger erhalten eine einzige, in sich geschlossene Seite: keine Frameworks, keine Cookies, keine externen Anfragen, abgesichert mit einer strikten Content-Security-Policy. Der Quelltext ist das Audit.

Niemals ein Konto

Keine Anmeldung zum Senden, keine zum Lesen, keine Benutzernamen-Datenbank, keine Analytik. Es gibt hier nichts über dich, das durchsickern könnte.

// die Mitte

Der Server hält Chiffretext und eine Uhr.

Eine Notiz muss irgendwo leben, zwischen dem Schreiben und dem Lesen. Dieses Irgendwo speichert einen versiegelten Blob, den es nicht öffnen kann, eine zufällige ID, Zeitstempel und einen Aufrufzähler — und ist eine Notiz einmal verbrannt, abgelaufen oder nie erstellt worden, liefert der Link für alle drei Fälle exakt dieselbe Antwort, sodass der Server nicht einmal bestätigen kann, dass je eine Notiz existierte. Lieber die Mitte selbst betreiben? Die Einstellungen der App akzeptieren eine eigene Server-URL. Lies die vollständige Aufschlüsselung auf der Sicherheitsseite — oder geh ganz nach unten: dem v1-Protokoll spezifiziert jedes Byte, und der Code ist öffentlich.

// Fragen

Häufige Fragen.

Ist BurnPony schon verfügbar?
Ja. BurnPony ist kostenlos im App Store für iPhone erhältlich, und es gibt eine Desktop-Version für macOS, Linux und Windows. Es ist auch kostenlos bei Google Play und F-Droid für Android erhältlich.
Braucht der Empfänger die App?
Nein. Eine Notiz ist ein Link, der in jedem modernen Browser öffnet. Die Viewer-Seite holt die versiegelte Notiz und entschlüsselt sie direkt dort mit dem eingebauten WebCrypto des Browsers — der Schlüssel steckt im Teil des Links nach dem #, den Browser nie an einen Server senden.
Was kann der Server lesen?
Chiffretext, den er nicht öffnen kann, plus das Minimum an Buchführung: eine zufällige Notiz-ID, Zeitstempel, das Aufruf-Kontingent und ob eine Bestätigung angefordert wurde. Der Entschlüsselungsschlüssel erreicht ihn nie, ebenso wenig die Auto-Ausblenden-Einstellung, die verschlüsselt in der Notiz reist.
Was passiert, wenn die Aufrufe aufgebraucht sind?
In dem Moment, in dem der letzte erlaubte Aufruf abgerufen wird, löscht der Server den Chiffretext in derselben Datenbank-Transaktion. Von da an liefert der Link exakt dieselbe Antwort wie eine abgelaufene Notiz — oder eine, die nie existiert hat.
Was bringt eine Passphrase?
Ein zweiter Faktor. Die Passphrase wird mit PBKDF2-HMAC-SHA256 über 600.000 Iterationen gestreckt und in den Verschlüsselungsschlüssel gemischt, sodass der Link allein nicht mehr genügt. Teile sie über einen anderen Kanal als den Link. Falsche Versuche scheitern lokal im Browser des Empfängers und verbrauchen nie Aufrufe.
Sind Lesebestätigungen stilles Tracking?
Nein. Wenn du eine Bestätigung aktivierst, sieht der Empfänger vor dem Anzeigen der Notiz einen Hinweis. Du erhältst eine bewusst allgemeine Push-Nachricht — „Eine Notiz wurde geöffnet.“ — die keinen Notizinhalt über Apples Server transportiert.
Wie groß und wie lange können Notizen sein?
Bis zu 50.000 Zeichen pro Notiz. Der Ablauf reicht von 1 Stunde bis 30 Tage und das Aufruf-Kontingent von 1 bis 100 Aufrufe — welches Limit zuerst erreicht wird, verbrennt die Notiz.
Ist es Open Source?
Ja, vollständig. Die App, der Relay-Server und der Viewer sind unter github.com/norsehorse-dev/BurnPonyiOS unter der Apache-2.0-Lizenz öffentlich, zusammen mit der v1-Protokollspezifikation und den implementierungsübergreifenden Testvektoren. Auch jeder Notiz-Link ist sein eigenes Audit: Der Viewer ist eine einzige, in sich geschlossene Seite, sodass der Quelltext genau das Programm zeigt, das deinen Schlüssel verarbeitet, und die ausgelieferte Seite ist nachweislich Byte für Byte identisch mit ihrem veröffentlichten Quelltext.

Manches gehört nicht in einen Chatverlauf.

Sende sie stattdessen als Notiz, die einmal gelesen wird und dann verbrennt.

Im App Store laden Bei Google Play holen Bei F-Droid holen Für Desktop herunterladen Notiz im Browser erstellen