Why is this safer than email or Slack?

Email and Slack store your secret in plaintext on their servers, in message logs, in archives, and on every device that ever opened the conversation. Vaulted stores only encrypted ciphertext, deletes it after the view limit is hit, and the decryption key never reaches our server — so a server breach exposes nothing readable.

What happens if Vaulted gets hacked?

An attacker would only see encrypted blobs. The AES-256-GCM key never touches our servers — it lives in the URL fragment (the part after the # in the link), which browsers explicitly never send in HTTP requests. Without the key from the link, the ciphertext is useless.

Why is the key stored in the URL fragment?

The fragment (everything after #) is a client-only part of the URL defined in RFC 3986. Browsers never include it in HTTP requests, so the encryption key only lives on the sender’s machine and the recipient’s machine — never on a server, never in our access logs, never in CDN caches.

Is Vaulted open source? Can I verify the encryption myself?

Yes. The encryption code runs entirely in your browser and you can inspect it via DevTools, or follow our 5-minute verification guide to confirm no plaintext is sent over the wire. The CLI, GitHub Action, and MCP server are all open source on github.com/vaulted-fyi.

What if the recipient never opens the link?

The secret auto-expires after the time you set (up to 30 days), at which point it is deleted from Redis. View counts are also enforced atomically — once the limit is hit, the ciphertext is removed regardless of expiry.

Como funciona

Criptografia de ponta a ponta em quatro passos e, em seguida, uma demonstração ao vivo do que o nosso servidor realmente vê. Alterne o diagrama abaixo para ver os detalhes técnicos.

Remetente

Digita um segredo

O navegador criptografa

AES-256-GCM

O servidor armazena

Apenas o bloco criptografado

O destinatário descriptografa

Chave do fragmento da URL

A criptografia acontece no seu navegador — o servidor nunca vê o texto simples.

A chave vive no fragmento da URL (#). Os fragmentos nunca são enviados ao servidor.

Defina um limite de visualizações e uma expiração. Uma vez atingidos, o segredo é excluído permanentemente.

Veja a criptografia zero-knowledge ao vivo

Digite qualquer texto, criptografe-o no seu navegador e depois alterne a visualização para ver o que o nosso servidor realmente recebe. O texto simples e as chaves nunca saem desta página.

Texto simples (criptografado localmente com AES-256-GCM)

O que o seu navegador vê

Texto simples

Chave de criptografia (base64url)

Texto cifrado (base64url)

A criptografia roda no seu navegador por meio da Web Crypto API. Acione o interruptor para ver a versão redigida que o nosso servidor realmente recebe.

Quer o passo a passo completo?

Abrir o playground de criptografia completo →

Quer saber mais?

Leia o nosso guia visual sobre criptografia de ponta a ponta — com uma demonstração interativa, uma comparação dos tipos de criptografia e perguntas frequentes.

Perguntas frequentes

Criar um segredo →

Como funciona

Veja a criptografia zero-knowledge ao vivo

Perguntas frequentes

Por que isso é mais seguro do que e-mail ou Slack?

O que acontece se o Vaulted for hackeado?

Por que a chave fica armazenada no fragmento da URL?

O Vaulted é open source? Posso verificar a criptografia eu mesmo?

E se o destinatário nunca abrir o link?