Versleutelde berichtenapps vergeleken 2026: versleuteling volstaat niet meer

Open WhatsApp, Telegram, Signal, Messenger, Google Messages. Al deze apps tonen vandaag ergens in hun interface dezelfde belofte: end-to-endversleuteling. De formulering is een standaard verkoopargument geworden, net als “zonder abonnement” bij een mobiele provider. Ze onderscheidt niets meer, juist omdat ze bijna overal waar is geworden.

En toch lijken deze apps in niets op elkaar. De ene eist uw telefoonnummer en overhandigt aan justitie de lijst van mensen die u in hun adresboek hebben. De andere weet letterlijk niets over u, zelfs niet dat er een account bestaat. Daartussen maken zo’n vijftien projecten heel verschillende afwegingen, en geen enkel legt die duidelijk uit op zijn startpagina.

End-to-endversleuteling betekent dat de inhoud van uw berichten onleesbaar is voor de tussenpersoon die ze vervoert. Dat is een belangrijke verworvenheid, en het zou absurd zijn die te bagatelliseren. Maar ze zegt niets over wat diezelfde tussenpersoon buiten de inhoud te weten komt: dat u geschreven hebt, aan wie, op welk tijdstip, vanaf welk IP-adres, hoe vaak, in welke groepen, met welk telefoonnummer gekoppeld aan uw burgerlijke identiteit.

Versleuteling beschermt wat u zegt. Ze beschermt niet het feit dat u het gezegd hebt, noch aan wie, noch wanneer, noch vanwaar.

Dit artikel stelt geen rangschikking op. Er bestaat geen beste berichtenapp in het absolute, omdat er geen generieke tegenstander bestaat. Wat dit dossier biedt, is eerst een raster van zeven criteria waarmee u elke app kunt beoordelen, ook die er nog niet zijn, vervolgens een eerlijke fiche voor elk van de veertien geselecteerde apps, en ten slotte aanbevelingen naargelang het dreigingsprofiel. Elke fiche bevat een rubriek over wat de app niet beschermt, zonder uitzondering, ook de onze.

Inhoud

De zeven criteria die de versleuteling vervangen
De apps voor het grote publiek
- WhatsApp
- Telegram
De feitelijke standaard
- Signal
- Molly
De apps zonder telefoonnummer
De apps zonder enige identificator
De convergentie van 2026, de berichtenapp wordt een portefeuille
- Radar
- Zerion
Overzichtstabel
Welke app voor welk profiel
Wat wij bij Arpokrat gekozen hebben en waarom
Conclusie
Bronnen

De zeven criteria die de versleuteling vervangen

Deze sectie is de belangrijkste van het artikel. Als u er maar één leest, lees dan deze: ze stelt u in staat zelf elke berichtenapp te beoordelen, ook die welke na de publicatie van deze tekst verschijnen.

End-to-endversleuteling, een verworvenheid die niets meer onderscheidt

Het Signal-protocol, gepubliceerd in 2013 en sindsdien formeel geanalyseerd door cryptografieonderzoekers, is de feitelijke standaard geworden. WhatsApp gebruikt het sinds 2016, Google Messages gebruikt het, Messenger gebruikt het. Het cryptografische debat is grotendeels gesloten voor de inhoud van gesprekken tussen twee personen.

De vragen die nuttig blijven, gaan niet meer over de aanwezigheid van versleuteling maar over de modaliteiten ervan. Staat ze standaard aan of moet u erom vragen? Dekt ze groepen of alleen uitwisselingen tussen twee personen? Dekt ze de back-ups, of gaan die onversleuteld naar Google en Apple? Bestaat er forward secrecy, dat wil zeggen een regelmatige rotatie van sleutels die garandeert dat het compromitteren van een sleutel vandaag geen toegang geeft tot de berichten van gisteren?

Die vragen onderscheiden nog. De aanwezigheid van het woord “versleuteld” op een marketingpagina niet.

Metadata, wat de dienst weet zonder uw berichten te lezen

In mei 2014, tijdens een publiek debat aan de Johns Hopkins-universiteit tegenover jurist David Cole, sprak de voormalige directeur van de NSA en de CIA Michael Hayden een inmiddels beroemde zin uit. Cole had net de voormalige juridisch adviseur van de NSA Stewart Baker geciteerd, volgens wie “metadata u absoluut alles vertellen over iemands leven, en als u er genoeg hebt, hebt u de inhoud eigenlijk niet nodig”. Hayden antwoordde instemmend: “Wij doden mensen op basis van metadata.” Hij voegde er meteen aan toe dat dit niet was wat de Amerikaanse binnenlandse verzamelprogramma’s deden, een precisering die eerlijkheidshalve moet worden weergegeven. Ze verandert niets aan het wezenlijke: de hoogste Amerikaanse inlichtingenverantwoordelijke bevestigde publiekelijk dat metadata volstaan voor dodelijke beslissingen.

Metadata zijn in een berichtenapp alles wat niet de inhoud is: wie aan wie schrijft, op welk tijdstip, vanaf welk IP-adres, met welke frequentie, in welke groepen, met welke bestandsgrootte. Om een band tussen een journalist en een bron te reconstrueren, hoeft men hun uitwisselingen niet te lezen. Het volstaat vast te stellen dat ze elkaar begonnen te schrijven drie dagen voor de publicatie van een onderzoek. Dezelfde redenering geldt voor een advocaat en zijn cliënt, een arts en zijn patiënt, een werknemer en een vakbond, twee mensen die niet willen dat hun relatie bekend wordt.

Een dienst kan dus onberispelijk zijn wat betreft de versleuteling van de inhoud en volkomen doorzichtig wat betreft de rest. Dat is zelfs de meest voorkomende situatie. We hebben elders uiteengezet hoe dezelfde redenering geldt voor andere passieve alledaagse signalen, met name in ons artikel over de permanente locatiebepaling van de telefoon en in onze analyse van het systeem SignalTrace van Leonardo, dat trajecten en relaties reconstrueert uit enkel de in het voorbijgaan opgevangen Bluetooth-identificatoren.

Een goede vraag voor elke aanbieder: wat blijft er op uw servers staan als een rechter ze morgenochtend in beslag neemt?

De vereiste identificator, een nummer, een adres of niets

Dit is het meest concrete en meest onderschatte criterium. Drie modellen bestaan naast elkaar.

Het telefoonnummer. In de meeste landen is het gekoppeld aan een identiteitsbewijs. Het is uniek, duurzaam, en het staat al in het adresboek van honderden mensen. Een nummer eisen betekent elk account koppelen aan een burgerlijke identiteit en het ontdekken van de sociale grafiek triviaal maken: het volstaat de adresboeken te vergelijken. Het nummer is ook de bekende zwakke plek van authenticatie, zoals we lieten zien in ons artikel over tweefactorauthenticatie via sms: een geslaagde SIM-swap steelt niet alleen een code, hij steelt een berichtenidentiteit.

Het e-mailadres of een willekeurige identificator. Beter, omdat een wegwerpadres een paar seconden kost en een willekeurige identificator niets zegt. Toch blijft het een duurzame identificator aan de serverkant, dus een aanknopingspunt om sessies in de tijd te correleren.

Geen enkele identificator. Dit is het meest recente en zeldzaamste model. Er is helemaal geen account, geen adreslijst, geen permanent adres. U bestaat als een set cryptografische sleutels op uw toestel, en men bereikt u via een uitnodigingslink voor eenmalig gebruik. Niets in te vullen, niets dat kan lekken, niets om te correleren.

Opensource en onafhankelijke audit, twee begrippen die we niet langer moeten verwarren

Dat zijn twee verschillende dingen en we moeten ophouden ze samen te presenteren.

Opensource betekent dat de code leesbaar is. Het is een noodzakelijke voorwaarde voor vertrouwen, geen bewijs van veiligheid. Niemand leest de code, behalve bij toeval. Ernstige lekken hebben jarenlang overleefd in zeer bekeken vrije projecten.

Onafhankelijke audit betekent dat een derde die betaald wordt om lekken te zoeken, gezocht heeft en gepubliceerd heeft wat hij gevonden heeft. Dat is oneindig veel sterker, en oneindig veel zeldzamer, omdat het duur is.

Vervolgens moet men twee soorten audit onderscheiden. Een cryptografische ontwerpbeoordeling onderzoekt of het protocol op papier goed doordacht is. Een implementatieaudit onderzoekt of de code werkelijk doet wat het protocol beweert. Beide zijn nuttig, ze bewijzen niet hetzelfde, en een project kan het eerste hebben zonder het tweede.

Het geval Threema illustreert perfect het nut van die aanpak. In 2022 vonden drie onderzoekers van de ETH Zürich zeven aanvallen tegen haar protocol, over drie verschillende dreigingsmodellen, en meldden die aan de uitgever. Threema antwoordde met een nieuw protocol, Ibex, gepubliceerd eind november 2022. Een gesloten en niet-geauditeerde app zou deze episode nooit hebben gekend, wat niet zou hebben betekend dat ze veiliger was.

De rechtsmacht en de CLOUD Act

De vestigingsplaats van een onderneming bepaalt welke regeringen haar kunnen dwingen. Het is een juridisch criterium, geen technisch, en het is doorslaggevend.

De CLOUD Act, in 2018 aangenomen in de Verenigde Staten, beslecht een vraag die door de zaak Microsoft Ireland werd opgeworpen: mag een Amerikaans bedrijf weigeren e-mails af te geven die op een Ierse server zijn opgeslagen? Het antwoord van de wetgever is nee. De tekst verplicht aanbieders onder Amerikaanse rechtsmacht de gegevens die zij beheren mee te delen, ongeacht de opslagplaats. Een server in Frankfurt die door een Amerikaanse vennootschap wordt geëxploiteerd, blijft bereikbaar voor een Amerikaanse vordering. De aanbieder kan bezwaar maken als het verzoek in strijd is met buitenlands recht, maar het bezwaar is een procedure, geen schild.

Het praktische gevolg is eenvoudig: hosten in Europa volstaat niet als de hoster, de moedermaatschappij of de holding onder Amerikaans recht vallen. De vraag die u moet stellen is niet “waar staan uw servers” maar “wie kan u wettelijk dwingen, en op welke grond”.

Twee nuances moeten worden toegevoegd. Ten eerste dient een beschermende rechtsmacht tot niets als de dienst toch bruikbare gegevens bewaart: de beste verdediging blijft niets te hoeven afgeven te hebben. Ten tweede veroordeelt een vijandige rechtsmacht geen dienst die structureel niets weet. Signal is Amerikaans en heeft nooit iets anders kunnen afgeven dan twee tijdstempels.

De duurzaamheid van het project, het criterium waar niemand naar kijkt

Een zeer goed ontworpen berichtenapp die binnen achttien maanden verdwijnt, laat u achter met een onbruikbaar adresboek en, vaak, een verloren geschiedenis. Dit criterium komt nooit voor in vergelijkingen. Het jaar 2026 heeft het onontkoombaar gemaakt.

In april 2026 maakte de Session Technology Foundation publiekelijk bekend dat ze slechts ongeveer 65.000 dollar aan giften had verzameld, dat ze ongeveer een miljoen dollar per jaar nodig had om te functioneren, en dat haar kas het niet verder dan juli zou uithouden. Alle medewerkers werden ontslagen en de ontwikkeling stopte. Session telt meer dan een miljoen maandelijks actieve gebruikers. In juni kondigde de stichting aan dat het project gered was door giften van duizenden gebruikers, meestal kleine bedragen, en dat het opnieuw vertrok met een team van drie ontwikkelaars onder leiding van softwarearchitect Jason Rhinelander.

Drie weken later, op 9 juli 2026, publiceerde het Briar-project een vergelijkbaar bericht: na stopzetting te hebben overwogen, gaat het over naar onderhoudsmodus, dat wil zeggen enkel beveiligings- en bugcorrecties, zonder ontwikkeling van nieuwe functies, bij gebrek aan duurzame financiering.

Twee toonaangevende projecten, twee verschillende economische modellen, hetzelfde jaar, dezelfde impasse. De vraag die men zich moet stellen voor men een berichtenapp aanneemt, is dus geworden: wie betaalt, hoeveel, en hoe lang? Een stichting die van giften leeft, een bedrijf dat licenties verkoopt, een gesubsidieerd universitair project en vrijwillige gemeenschapssoftware hebben niet dezelfde levensverwachting, en dat heeft niets te maken met de kwaliteit van hun cryptografie.

De praktische kant, een volwaardig veiligheidscriterium

Dit laatste criterium wordt door puristen vaak met minachting behandeld. Dat is een fout.

Een berichtenapp die uw gesprekspartners weigeren te installeren beschermt niemand, want het gesprek zal elders plaatsvinden, onversleuteld. Een app waarvan de meldingen niet aankomen, duwt haar gebruikers terug naar WhatsApp voor dringende uitwisselingen. Een app die vereist dat beide personen op hetzelfde moment verbonden zijn, past niet bij een gewone correspondentie tussen twee tijdzones.

De werkelijke veiligheid van een systeem is die van het werkelijke gebruik ervan, niet die van het technische blad. Een iets minder zuiver model dat uw contacten daadwerkelijk gebruiken, beschermt meer dan een perfect model dat u als enige gebruikt.

De apps voor het grote publiek

WhatsApp is de meest gebruikte berichtenapp ter wereld. Ze is van Meta, ze is gratis, en haar economische model steunt op het reclame-ecosysteem van de groep en op diensten aan bedrijven.

Wat ze werkelijk beschermt. De inhoud van de berichten, met het Signal-protocol, sinds 2016. Die implementatie is serieus en dat moet duidelijk gezegd worden: de inhoud van uw WhatsApp-gesprekken is niet leesbaar voor Meta. End-to-end versleutelde back-ups bestaan en verdienen het te worden ingeschakeld, want ze staan niet standaard aan. De app is uiterst betrouwbaar, overal beschikbaar, en uw contacten hebben haar al.

Wat ze niet beschermt. Al de rest. Op eenvoudige vordering deelt Meta de abonneegegevens mee: accountnaam, aanmaakdatum, laatste verbinding, IP-adres, e-mailadres. Op huiszoekingsbevel levert het bedrijf het adresboek van de geviseerde persoon, en ook de lijst van andere WhatsApp-gebruikers die die persoon in hun adresboek hebben. Met andere woorden, de sociale grafiek is in beide richtingen leverbaar. De bewaarde metadata omvatten de tijdstempels, de identificatoren van afzender en ontvanger, de afleveringsstatussen, de samenstelling van de groepen en de wijzigingen daarvan. Volgens een openbaar gemaakt FBI-document is WhatsApp in staat bepaalde metadata van een geviseerde gebruiker om de vijftien minuten te produceren in het kader van realtimebewaking. Ten slotte is het telefoonnummer verplicht, en Meta valt onder de CLOUD Act.

Voor wie ze bedoeld is. Voor iedereen, als gewoon communicatiekanaal waarbij men aanvaardt dat de relatiegrafiek bekend is bij Meta en meedeelbaar aan een gerechtelijke autoriteit.

Telegram wordt vaak ingedeeld bij de veilige berichtenapps. Dat is een misverstand dat zonder agressie moet worden weggenomen, want Telegram is uitstekend in wat ze werkelijk doet.

Wat ze werkelijk beschermt. Niets meer dan een klassieke onlinedienst, voor gewoon gebruik. Gewone gesprekken, cloudchats genoemd, zijn versleuteld tussen client en server, en worden vervolgens versleuteld opgeslagen bij Telegram, dat de middelen heeft om ze te lezen. End-to-endversleuteling is alleen beschikbaar in de geheime chats, die niet standaard aan staan, beperkt zijn tot uitwisselingen tussen twee personen, gebonden blijven aan het oorspronkelijke toestel en niet synchroniseren. Wat Telegram daarentegen uitstekend doet, is de massale groep, het uitzendkanaal, het delen van grote bestanden en de aanwezigheid op meerdere toestellen. Het is een formidabel publicatienetwerk, en zo moet het worden beoordeeld.

Wat ze niet beschermt. De inhoud van gewone gesprekken tegenover de uitgever, het telefoonnummer, het IP-adres. Het standpunt van het bedrijf veranderde in september 2024, na de arrestatie van Pavel Doerov in Frankrijk: Telegram deelt voortaan de nummers en IP-adressen van gemelde gebruikers mee, in antwoord op geldige wettelijke verzoeken, terwijl de eerdere toezegging die doorgiften beperkte tot terrorismezaken. De voor 2024 gepubliceerde cijfers vertalen de schaalverandering: ongeveer 900 ingewilligde verzoeken in de Verenigde Staten voor 2.253 gebruikers, 14.641 in India voor 23.535 gebruikers, 142 in het Verenigd Koninkrijk. De groep is bovendien geregistreerd op de Britse Maagdeneilanden en wordt geleid vanuit Dubai, een structuur waarvan de ondoorzichtigheid op zich al een analysegegeven is.

Voor wie ze bedoeld is. Voor publieke verspreiding, brede gemeenschappen, nieuwsmonitoring. Niet voor een gesprek dat vertrouwelijk moet blijven tegenover de uitgever.

De feitelijke standaard

Signal

Signal is de referentie, en dit artikel behandelt haar als zodanig. Ze wordt uitgegeven door de Signal Foundation, een Amerikaanse non-profitorganisatie gefinancierd door giften en door een startkapitaal van Brian Acton.

Wat ze werkelijk beschermt. De inhoud, met het protocol dat ze zelf uitvond en dat de industrie als referentie dient. Maar vooral, en dat is wat haar onderscheidt, de rest: vertrouwelijke contactontdekking, verzegelde afzender, systematische minimalisering van bewaarde gegevens. Het bewijs is niet declaratief, het is gerechtelijk. Signal publiceert haar antwoorden op vorderingen op een aparte pagina, en die antwoorden lijken allemaal op elkaar: de organisatie kan enkel het tijdstempel van accountaanmaak en de datum van laatste verbinding leveren. In een zaak voor de rechtbank van het District of Columbia vroeg justitie de abonneegegevens op voor zevenendertig telefoonnummers. Het antwoord was hetzelfde. Het is de enige publieke geschiedenis van weerstand tegen vorderingen van deze kwaliteit in deze hele vergelijking, en ze is meer waard dan om het even welke marketingbelofte.

Wat ze niet beschermt. Het telefoonnummer blijft in 2026 verplicht bij de registratie. Gebruikersnamen, ingevoerd in 2024, maken het mogelijk uw nummer niet meer aan uw contacten mee te delen, wat een echte vooruitgang is, maar ze schaffen de vereiste bij accountaanmaak niet af. Publieke werkzaamheden wijzen erop dat Signal een registratie zonder nummer bestudeert, mogelijk gekoppeld aan een eenmalige betaling om misbruik te beperken, maar op het moment van schrijven is die niet beschikbaar. Signal valt bovendien onder Amerikaans recht, dus onder de CLOUD Act: de bescherming komt niet van de rechtsmacht, ze komt van het feit dat er niets af te geven valt. Ten slotte is de infrastructuur gecentraliseerd en is het ecosysteem gesloten voor cliënten van derden, een punt waarop we verderop terugkomen.

Voor wie ze bedoeld is. Voor zowat iedereen. Het is de beste verhouding tussen bescherming en werkelijke ingebruikname op de markt, en het is de standaardaanbeveling wanneer het telefoonnummer geen probleem is in uw dreigingsmodel.

Molly

Molly is een geharde fork van Signal voor Android. Hij verandert noch het protocol, noch het netwerk, noch het identificatormodel: hij hardt de cliënt.

Wat hij werkelijk beschermt. Wat Signal aan de toestelkant niet beschermt. Molly versleutelt de lokale database achter een wachtwoordzin, wat de hele app vergrendelt, en wist het werkgeheugen met willekeurige gegevens bij vergrendeling, om weerstand te bieden aan forensisch onderzoek na inbeslagname. Hij laat ook toe het verkeer via een SOCKS-proxy of Tor te routeren. Een variant Molly-FOSS verwijdert de propriëtaire componenten van Google. Allemaal dingen die de officiële cliënt niet doet.

Wat hij niet beschermt. Alles wat de server aangaat. Molly gebruikt de servers van Signal, vereist dus een telefoonnummer en erft precies hetzelfde metadataprofiel en dezelfde rechtsmacht. Hij bestaat alleen op Android. En hij draait op het netwerk van Signal met de tolerantie van de stichting, niet met haar formele toestemming, wat al jaren zonder incidenten verloopt.

Voor wie hij bedoeld is. Voor een Signal-gebruiker op Android wiens dreigingsmodel de fysieke inbeslagname van de telefoon omvat: journalist op verplaatsing, activist, advocaat die een grens oversteekt.

De apps zonder telefoonnummer

Session

Session heeft een radicale gok gewaagd: het nummer en het e-mailadres afschaffen. Bij registratie genereert de app een willekeurige accountidentificator, en verder wordt niets gevraagd. Het project wordt gedragen door de Session Technology Foundation, een stichting naar Zwitsers recht.

Wat ze werkelijk beschermt. De identiteit bij registratie, en het IP-adres. De berichten lopen via een gedecentraliseerd netwerk van knooppunten met uienroutering, zodat geen enkele server tegelijk de oorsprong en de bestemming kent. De code van de Android-, iOS- en desktopcliënten was het voorwerp van een audit gepubliceerd door het Franse bedrijf Quarkslab, dat zeven problemen op Android, zeven op iOS en twee in de desktopcliënt vaststelde, grotendeels sindsdien verholpen. De app is beschikbaar op alle platforms en lijkt op een gewone berichtenapp, wat in deze categorie niet niks is.

Wat ze niet beschermt. Session verwijderde forward secrecy in 2021, met een beroep op stabiliteitsproblemen met haar gedecentraliseerde architectuur. Concreet stelt het compromitteren van een langdurige sleutel eerdere berichten bloot. De stichting kondigde in december 2025 een protocol V2 aan dat forward secrecy opnieuw invoert en een postkwantumsleuteluitwisseling op basis van ML-KEM toevoegt, maar dat protocol was op het moment van schrijven niet afgerond. En vooral weegt het duurzaamheidscriterium hier zwaar: het project stond in 2026 enkele weken van stopzetting af en werkt nu met drie ontwikkelaars voor meer dan een miljoen gebruikers.

Voor wie ze bedoeld is. Voor wie het zonder telefoonnummer wil stellen zonder zijn gebruiksgewoonten te veranderen, en de huidige afwezigheid van forward secrecy aanvaardt.

Threema

Threema is een Zwitsers bedrijf dat zijn app verkoopt. Het is de enige betalende speler in deze vergelijking, en dat is precies wat haar model leesbaar maakt.

Wat ze werkelijk beschermt. De identiteit en de rechtsmacht. Bij installatie genereert de app een willekeurige Threema ID. Het telefoonnummer en het e-mailadres zijn facultatief en dienen enkel om door uw contacten teruggevonden te worden, wat niets verplicht in te schakelen. De servers zijn eigendom van het bedrijf en staan in een ISO 27001-gecertificeerd datacenter in Zürich, onder Zwitsers recht, buiten de CLOUD Act. De broncode is gepubliceerd en reproduceerbare builds zijn beschikbaar op Android, waardoor men kan controleren of de verspreide app overeenstemt met de code. Threema liet haar mobiele apps auditeren door Cure53 in oktober 2020, en vervolgens haar desktopapp in januari 2024. Het Ibex-protocol, eind 2022 aangenomen, was het voorwerp van een formeel veiligheidsbewijs gepubliceerd door Duitse onderzoekers in 2023.

Wat ze niet beschermt. De prijs, ongeveer zes euro bij eenmalige aankoop, is een reële hindernis voor de ingebruikname door uw naasten, en het is de belangrijkste praktische rem. De episode ETH Zürich van 2022 herinnert er bovendien aan dat zelfs een serieuze speler jarenlang een kwetsbaar protocol kan hebben: zeven aanvallen gevonden, een volledig herbouwd protocol. Ten slotte blijft de Threema-identificator een duurzame identificator aan de serverkant, wat niet het model zonder enige identificator is.

Voor wie ze bedoeld is. Voor een Europees bedrijf, een advocatenkantoor, een overheidsdienst, of een particulier die liever voor een product betaalt dan van giften af te hangen, en die een duidelijke Zwitserse rechtsmacht wil.

Wire

Wire is sterk van aard veranderd. Geboren als berichtenapp voor het grote publiek, heeft ze zich herpositioneerd op organisaties, bedrijven en de publieke sector.

Wat ze werkelijk beschermt. De inhoud, met het Proteus-protocol en vervolgens met MLS, de groepsberichtenstandaard van de IETF waarvan Wire een van de eerste serieuze implementeerders was. De registratie gebeurt per e-mail, wat het telefoonnummer vermijdt. De audits zijn publiek: Kudelski Security en X41 D-Sec publiceerden een beoordeling van de protocolimplementatie in 2017, en vervolgens applicatie-audits van de iOS-, Android- en webcliënten in 2018.

Wat ze niet beschermt. De metadata, die Wire onversleuteld aan de serverkant bewaart, een punt dat de uitgever nooit heeft verborgen en dat regelmatig is bekritiseerd. De juridische structuur is eveneens complex: de activiteiten vallen onder Wire Swiss GmbH in Zwitserland, de holding van de groep is in Berlijn gevestigd en de uitgever stelt dat meer dan 90 % van het kapitaal in handen is van Europese institutionele investeerders, maar in 2019 werd een Amerikaanse entiteit opgericht in Delaware. Die complexiteit verdient te worden begrepen voor men Wire kiest voor gevoelig gebruik.

Voor wie ze bedoeld is. Voor een organisatie die conforme versleutelde samenwerking nodig heeft, met commerciële ondersteuning en gecentraliseerd beheer, meer dan voor een individu dat anonimiteit zoekt.

Element en het Matrix-protocol

Element is de belangrijkste cliënt van Matrix, een open en gefedereerd protocol. Het model verschilt van alle andere in deze vergelijking: iedereen kan zijn eigen server hosten, en de servers communiceren onderling zoals e-mailservers dat doen.

Wat het werkelijk beschermt. De autonomie. Een organisatie kan haar server hosten, haar infrastructuur beheren, van geen enkele uitgever afhangen en bereikbaar blijven vanuit de rest van het netwerk. Het is het enige model in deze vergelijking dat die combinatie biedt, en het is de reden waarom meerdere Europese overheden ervoor kozen. De end-to-endversleuteling van de berichten is aanwezig.

Wat het niet beschermt. De metadata, en dat is structureel. De beheerder van uw server ziet wie met wie praat, wanneer, en in welke kamers. De kamermetadata, naam, onderwerp en andere toestandsgebeurtenissen, worden onversleuteld op de server opgeslagen. Element werkt aan de versleuteling van die toestandsgebeurtenissen, maar de functie was in september 2025 nog experimenteel en voorbehouden aan de laboratoriumopties. De federatie verergert het probleem: de geschiedenis van een kamer wordt gerepliceerd bij de deelnemende servers, die haar bewaren. De uitgever verkoopt overigens een gateway bedoeld om de federatie te filteren teneinde die lekken te beperken, wat een nuttige bekentenis is.

Voor wie het bedoeld is. Voor een organisatie die soevereiniteit over haar infrastructuur wil en wier tegenstander niet haar eigen systeembeheerder is. Niet voor een individu dat zijn relaties wil verbergen.

De apps zonder enige identificator

Dit is de meest recente categorie. Het principe is niet een identificator te verbergen maar er geen aan te maken.

SimpleX Chat

SimpleX Chat is het eerste berichtennetwerk zonder gebruikersidentificator, ook geen willekeurige. Dat is een reële conceptuele vooruitgang en zo moet ze worden gepresenteerd.

Wat het werkelijk beschermt. De sociale grafiek, door constructie. Er is geen account, geen adreslijst, geen permanent adres. Elk gesprek berust op eenrichtingswachtrijen die op verschillende relais worden gehost: wat u verstuurt gaat via een wachtrij op een relais, de antwoorden komen terug via een andere wachtrij op een ander relais, zodat geen enkel relais beide uiteinden ziet. De relais zijn blind, ze kennen noch de afzender noch de ontvanger. Het project publiceerde twee onafhankelijke audits uitgevoerd door Trail of Bits: een veiligheidsbeoordeling van de implementatie in november 2022, en vervolgens een beoordeling van het cryptografische ontwerp van de protocollen in oktober 2024, met een formele verificatie van het onderhandelingsprotocol van de wachtrijen en met als conclusie drie problemen van gemiddelde ernst en één van lage ernst, alle moeilijk uitbuitbaar. Het protocol voegt een postkwantumlaag toe aan de dubbele ratel. De relais zijn zelf te hosten, er zijn cliënten op Android, iOS en desktop, en de uitgever, SimpleX Chat Ltd, is een Britse vennootschap ingeschreven sinds oktober 2021.

Wat het niet beschermt. Twee dingen verdienen te worden gezegd. Ten eerste de standaardhosting: de door het project beheerde relais draaien bij één enkele aanbieder, Linode, dochter van het Amerikaanse Akamai, in zijn Europese datacenters in Londen, Frankfurt en Stockholm. Een gebruiker die Tor niet inschakelt en niet van relais verandert, hangt dus af van een infrastructuur die door een Amerikaanse vennootschap wordt geëxploiteerd, wat de CLOUD Act weer in beeld brengt. Het onderwerp is publiek gedocumenteerd in de repository van het project. Vervolgens blijft de gebruikservaring veeleisend: een verbinding tot stand brengen vraagt een uitwisseling van link of QR-code, de betrouwbaarheid van de meldingen op iOS was lang een zwak punt en het opschalen van grote groepen is nog een werf. De financiering ten slotte berust voortaan op een crowdfunding in kapitaal gelanceerd in augustus 2026.

Voor wie het bedoeld is. Voor wie het model zonder identificator wil met het beste niveau van externe verificatie dat vandaag beschikbaar is, en een technischer gebruik aanvaardt.

Arpokrat Messenger

Arpokrat Messenger is ons product, en deze fiche volgt hetzelfde raster als de andere. We moeten beginnen met het onomwonden te zeggen: Arpokrat Messenger is een fork van SimpleX. De hierboven beschreven architectuur, afwezigheid van identificatoren, eenrichtingswachtrijen, blinde relais, is niet de onze, het is die van SimpleX. We beweren niet ze cryptografisch te hebben verbeterd, we schrijven ze toe, precies zoals onze protocolpagina dat uitdrukkelijk doet. Het is hetzelfde standpunt dat we innemen voor ArpokratOS ten aanzien van GrapheneOS.

Wat hij werkelijk beschermt. Wat SimpleX beschermt, plus een reeks exploitatie- en productkeuzes. De relais die wij beheren zijn verspreid over vijf rechtsgebieden gekozen om hun recht, Zwitserland, IJsland, Panama, Maleisië en Mauritius, geen enkel Amerikaans, en de infrastructuur steunt op geen enkele Amerikaanse hyperscaler, noch Amazon Web Services, noch Google Cloud, noch Microsoft Azure, noch Cloudflare. Wachtende berichten leven enkel in het werkgeheugen, swap is uitgeschakeld, een stroomonderbreking wist alles, en de publicatiemanifesten worden ondertekend op een van het netwerk geïsoleerde Qubes OS-machine. Tor gaat aan met één knop, zonder app van derden, en blijft standaard uitgeschakeld. De incognitomodus kent per contact een ander profiel toe, weergavenaam en relais inbegrepen, wat verhindert een beroepsleven en een privéleven te verbinden. De relais kunnen door iedereen zelf worden gehost, aangezien de software open is. De cliënten worden gepubliceerd onder AGPLv3-licentie. De niet-custodiale portefeuille beheert Bitcoin, Ethereum, Monero, Polygon, Solana en Tron, waarbij de sleutels het toestel nooit verlaten, en de ondersteuning van Zcash is aangekondigd zonder tot op heden beschikbaar te zijn. De ingebouwde Swap is een aggregator die de aanbiedingen van onafhankelijke aanbieders vergelijkt en elk daarvan een score van A tot D geeft naargelang het vereiste niveau van identiteitscontrole, van A voor geen KYC tot D voor verplichte KYC, waarbij de middelen rechtstreeks tussen de gebruiker en de gekozen aanbieder passeren. Voor zover wij weten biedt geen enkele andere berichtenapp deze scoring. De uitgever is ten slotte een identificeerbare commerciële entiteit, Arpokrat GmbH, gevestigd in Zug in Zwitserland, met een openbaar postadres, een in PGP ondertekende warrant canary, hernieuwd volgens een geldigheidsvenster van zestig dagen, en een toezegging tot antwoord van de ondersteuning binnen 24 uur. De app is gratis, zonder reclame.

Wat hij niet beschermt. En hier moeten we precies zijn, want het is de enige manier om geloofwaardig te zijn over de rest.

Arpokrat Messenger beschikt tot op heden over geen enkele onafhankelijke cryptografische audit gepubliceerd op zijn naam. SimpleX heeft er twee. Het onderliggende protocol is dus geauditeerd, onze implementatie en onze exploitatie zijn dat niet, en dat is niet hetzelfde, zoals hierboven in dit artikel uitgelegd.

Arpokrat heeft geen enkele publieke geschiedenis van weerstand tegen gerechtelijke vorderingen. Signal heeft er een, verifieerbaar, over jaren gespreid. Een warrant canary is een serieuze toezegging, het is geen gerechtelijk precedent.

De app bestaat vandaag enkel op Android. De versies voor iOS, Linux, macOS en Windows zijn aangekondigd, niet beschikbaar. Voor wie berichten uitwisselt met iPhone-gebruikers is dat een onmiddellijke hindernis en er is geen omweg.

Het netwerk is ten slotte jong en klein. Het aantal gebruikers maakt de veiligheid niet, maar het maakt wel de beschikbaarheid van uw correspondenten, en dat is een legitiem criterium dat we hierboven zelf hebben verdedigd.

Voor wie hij bedoeld is. Voor wie een architectuur zonder identificator wil zonder het gewone gebruik op te geven, en een identificeerbare commerciële entiteit verkiest boven een gemeenschapsproject waarvan de financiering kan stilvallen. De positionering die wij verdedigen is niet “de meest private”, ze is enger en eerlijker: de meest bruikbare onder de architecturen zonder identificator, met een asynchroon model dat peer-to-peerarchitecturen niet bieden, een ecosysteem en commerciële ondersteuning.

Briar

Briar is waarschijnlijk het meest onverzettelijke project van deze lijst. Er is helemaal geen server: de berichten gaan rechtstreeks van het ene toestel naar het andere via Tor, en bij gebrek aan verbinding via wifi of Bluetooth tussen nabije toestellen.

Wat het werkelijk beschermt. Alles wat van een infrastructuur afhangt, aangezien die er niet is. Niets in beslag te nemen, niets te vorderen, geen operator te dwingen. De offline meshmodus werkt werkelijk bij een internetonderbreking, wat van Briar het referentie-instrument maakt voor blackouts en betogingen. De code werd geauditeerd door Cure53 in maart 2017, met twaalf vastgestelde en verholpen problemen. Het project is vrij en zijn ontwerp is gezaghebbend. Briar Mailbox, een aparte app te installeren op een reserve-Android-toestel dat aan blijft staan, maakt het mogelijk berichten te ontvangen terwijl de hoofdtelefoon offline is, wat gedeeltelijk tegemoetkomt aan de belangrijkste beperking van het peer-to-peermodel.

Wat het niet beschermt. Het gebruiksgemak, en voortaan het traject van het project. Het batterijverbruik is hoog, de achtergrondwerking op Android is onregelmatig, accountback-up en bijlagen ontbreken, en een contact toevoegen is omslachtig. Er bestaat geen iOS-versie. De desktopversie blijft in bèta, de laatste zijnde 0.6.5-beta gepubliceerd op 20 februari 2026. En vooral plaatst de aankondiging van 9 juli 2026 het project in onderhoudsmodus: beveiligings- en bugcorrecties, zonder functieontwikkeling. Het project preciseert dat de geruchten over volledige stopzetting achterhaald zijn, maar de ambitie is duidelijk opgeschort.

Voor wie het bedoeld is. Voor een zone met internetonderbreking, een betoging, een censuurcontext, of een kleine groep die de beperking aanvaardt in ruil voor de totale afwezigheid van infrastructuur.

Cwtch

Cwtch wordt ontwikkeld door de Open Privacy Research Society, een Canadese non-profitvereniging gevestigd in Vancouver. Het project mikt uitdrukkelijk op metadatabestendige groepsberichten.

Wat het werkelijk beschermt. De metadata, ook in groep, wat het moeilijke probleem is. De verbindingen lopen via Tor v3-onion-diensten, en de servers die groepsgesprekken doorgeven zijn ontworpen om principieel onbetrouwbaar te zijn: ze mogen niets leren. Versie 1.13, gepubliceerd in september 2023, markeerde het einde van de lange alfa- en bètafase, en het project is doorgegaan tot 1.15.

Wat het niet beschermt. De duurzaamheid, opnieuw. De organisatie leeft in wezen van individuele giften en heeft dat publiekelijk meermaals herhaald. Er bestaat geen iOS-versie. Het ontwikkelingstempo is dat van een klein team, en het gebruikersecosysteem is zeer beperkt. We hebben geen gepubliceerde externe audit gevonden die gelijkwaardig is aan die van SimpleX of Briar.

Voor wie het bedoeld is. Voor een activisten- of onderzoeksgroep die metadatabestendige collectieve gesprekken nodig heeft en wier leden technisch onderlegd zijn.

De convergentie van 2026, de berichtenapp wordt een portefeuille

Hier is de interessantste vaststelling van dit jaar, en voor zover wij weten heeft nog niemand ze zo geformuleerd.

In 2026 kregen drie forks van drie verschillende protocollen, ontwikkeld door drie teams zonder onderling verband, dezelfde ingeving op hetzelfde moment: een niet-custodiale portefeuille integreren in een versleutelde berichtenapp. Radar is een fork van Signal met Bitcoin op Lightning. Zerion is een afgeleide van Briar met Bitcoin en Monero. Arpokrat Messenger is een fork van SimpleX met een multichainportefeuille en een swapaggregator.

Drie tegengestelde technische bases, dezelfde conclusie. Dat is geen toeval, het is het teken dat twee behoeften die apart werden behandeld naar elkaar toe groeien. Geld versturen en een bericht versturen stellen hetzelfde probleem: een tussenpersoon die beide uiteinden kent. Het antwoord dat voor berichten werd gebouwd, versleuteling van de inhoud en minimalisering van de metadata, is precies wat gebruikers van cryptomunten zoeken. En de berichtenapp is de enige plek waar men zijn ontvanger al kent.

De drie benaderingen zijn nochtans zeer verschillend, en de vergelijking is leerrijk.

Radar

Radar werd op 7 juli 2026 gelanceerd door het team van Cake Wallet, onder een afzonderlijke entiteit, Radar Chat, Inc., geleid door haar oprichter Vikrant Sharma. Het is een fork van Signal, gratis, opensource, beschikbaar op iOS en Android. De portefeuille is niet-custodiaal, met een herstelzin van twaalf woorden en versleutelde back-ups. De betalingslaag verdient een precisering, want de bronnen zeggen niet hetzelfde. De site van Radar beschrijft een Bitcoin-portefeuille geleund op het Lightning-netwerk, kent aan elk account een Lightning-adres toe, en vermeldt niets anders. Verschillende artikels verschenen in juli 2026 geven daarentegen aan dat het onderliggende mechanisme berust op Spark, een Bitcoin-netwerk van laag 2 geïntegreerd via de Breez-SDK, waarbij een overdracht tussen twee Radar-gebruikers dan van Spark naar Spark wordt afgewikkeld in minder dan een seconde. De twee versies sluiten elkaar niet uit, aangezien de documentatie van Breez een SDK beschrijft die Spark en Lightning samen ondersteunt, Lightning-adressen en bolt11-facturen inbegrepen. Bij gebrek aan publieke bevestiging door de uitgever zelf houden wij ons aan wat verifieerbaar is op zijn eigen site: niet-custodiale Bitcoin-betalingen bereikbaar via het Lightning-netwerk.

De opvallendste keuze ligt elders. Radar is geen apart netwerk: men verbindt zich met zijn bestaande Signal-account, en contacten, gesprekken, groepen en gebruikersnaam volgen. Dat is het concurrentievoordeel van Radar, en het is ook zijn belangrijkste open vraag.

Die interoperabiliteit impliceert immers dat Radar het model van Signal integraal erft: het telefoonnummer blijft de identificator, de Signal-pincode bestuurt het accountherstel en dus, standaard, de toegang tot de portefeuillesleutels die Radar in het Signal-account versleutelt, en de aangesproken infrastructuur is die van de Signal Foundation, onder Amerikaanse rechtsmacht.

Vervolgens moet de vraag naar de duurzaamheid van die constructie worden gesteld, zonder ze als feit te poneren. Signal heeft historisch geweigerd dat cliënten van derden haar servers gebruiken: in 2016 werd het project LibreSignal opgegeven nadat Moxie Marlinspike had laten weten dat hij noch de naam noch de servers van Signal door een fork gebruikt wilde zien, en hij sloot bovendien elke toekomstige federatie uit. De stichting behoudt de technische mogelijkheid om een cliënt van derden via zijn handtekening te blokkeren. Tot op heden heeft ze dat niet gedaan, en Molly gebruikt het netwerk al jaren zonder incident, een precedent waarop het Radar-team zich uitdrukkelijk beroept. Radar stort overigens een maandelijkse bijdrage aan de Signal Foundation en is van plan die met zijn groei te verhogen. Niets wijst er dus op dat Radar geblokkeerd zal worden. Maar een product waarvan de netwerktoegang afhangt van de aanhoudende tolerantie van een derde draagt een structureel risico dat noch SimpleX noch Briar draagt, en de gebruiker verdient het dat te weten voor hij er geld in plaatst.

Zerion

Zerion is een afgeleide van Briar, gebouwd op het transportprotocol Bramble, gepubliceerd onder GPL v3, en het project geeft duidelijk aan noch verbonden noch goedgekeurd te zijn door het Briar-project. Het bestaat alleen op Android.

We moeten het recht doen, want het doet meerdere dingen opmerkelijk goed. Al het verkeer loopt via Tor, zonder uitzondering: uw toestel bouwt een circuit met drie sprongen, dat van uw correspondent bouwt er een ander, en de twee ontmoeten elkaar bij een rendez-vousrelais, dus zes sprongen in totaal en geen enkele blootstelling van een IP-adres. Elk bericht is beschermd door een postkwantumsleuteluitwisseling op basis van ML-KEM-768. Versie 3.0 voegde een offline mesh via Bluetooth toe die individuele en groepsberichten doorgeeft via nabije telefoons, waarbij elk relais enkel versleuteld materiaal vervoert, evenals een optioneel I2P-transport. Een geharde modus weigert te starten op een gecompromitteerd toestel, onder een debugger of met hookingframeworks. Sinds versie 3.0.4 kan een versleutelde kluis niet-custodiale Bitcoin- en Monero-portefeuilles bevatten, waarvan de sleutels op het toestel worden gegenereerd, beschermd door een eigen wachtwoord, met reproduceerbare builds vanaf bevroren bronnen en gepubliceerde vingerafdrukken.

De beperking is structureel en het project verbergt ze niet: zijn documentatie stelt zwart op wit dat een bericht pas wordt afgeleverd wanneer beide toestellen online en met Tor verbonden zijn, en dat geen enkele server het intussen bewaart voor lange offlineperiodes. Met andere woorden, er bestaat geen equivalent van Briar Mailbox. Dat is het beslissende technische punt, en het is wat een peer-to-peermodel scheidt van een store and forward-model waarin een blind relais het versleutelde bericht bewaart tot de ontvanger het komt ophalen. Voor een gewone correspondentie tussen twee mensen die niet tegelijk verbonden zijn, is het verschil niet theoretisch, het bepaalt het gebruik.

Een tweede vraag blijft open, en we formuleren ze als vraag aangezien we geen enkele publieke meting hebben gevonden: wat is de werkelijke kwaliteit van peer-to-peer audio- en videogesprekken op een architectuur met zes Tor-sprongen? De aangekondigde technische keuzes zijn serieus, Opus, H.264, AES-256-GCM-versleuteling en opgevulde frames, en gesprekken staan standaard uit. Maar Tor is niet ontworpen voor lage latentie, en bij gebrek aan gepubliceerde metingen kunnen noch de uitgever noch wij beweren dat de ervaring vergelijkbaar is met een klassiek gesprek.

Ten slotte hebben we geen gepubliceerde onafhankelijke audit voor Zerion gevonden.

Vergeleken tekenen de drie benaderingen drie scherpe afwegingen. Radar kiest de onmiddellijke ingebruikname tegen de prijs van een afhankelijkheid van een derde en van het behoud van het telefoonnummer. Zerion kiest het maximum aan netwerkweerstand tegen de prijs van de afleverbaarheid en de beschikbaarheid op iPhone. Arpokrat kiest het asynchrone model en de jurisdictionele spreiding tegen de prijs van een geschiedenis en een audit die nog niet bestaan. Geen van deze drie afwegingen is absurd, en geen is gratis.

Overzichtstabel

App	Vereiste identificator	Rechtsmacht en hosting	Metadata aan serverkant	Gepubliceerde externe audit	Offline aflevering	Code
WhatsApp	Telefoonnummer	Verenigde Staten (Meta), CLOUD Act	Uitgebreid, contactgrafiek leverbaar op bevel	Nee voor de dienst	Ja	Gesloten cliënt
Telegram	Telefoonnummer	Britse Maagdeneilanden, leiding in Dubai	Uitgebreid, cloudchats leesbaar door de uitgever	Nee	Ja	Open cliënt, gesloten server
Signal	Telefoonnummer	Verenigde Staten, CLOUD Act	Twee tijdstempels, publieke gerechtelijke geschiedenis	Protocol formeel geanalyseerd	Ja	Open
Molly	Nummer (Signal-account)	Signal-servers, Verenigde Staten	Identiek aan Signal	Geërfd van Signal	Ja	Open
Session	Geen, willekeurige identificator	Zwitserland, gedecentraliseerd knooppuntennetwerk	Minimaal, tot op heden geen forward secrecy	Ja, Quarkslab	Ja	Open
Threema	Geen, Threema ID	Zwitserland, servers in Zürich	Minimaal	Ja, Cure53 en ETH Zürich	Ja	Open, betalend
Wire	E-mail of nummer	Zwitserland en Duitsland, Amerikaanse entiteit in Delaware	Onversleuteld bewaard	Ja, Kudelski en X41	Ja	Open
Element / Matrix	Afhankelijk van de server, vaak e-mail	Die van uw hoster	Zichtbaar voor de server, kamertoestand onversleuteld	Audits gepubliceerd over het protocol	Ja	Open
SimpleX Chat	Geen, geen identificator	Verenigd Koninkrijk, standaardrelais bij Linode en Akamai	Geen correlatie mogelijk door één enkel relais	Ja, twee Trail of Bits-audits	Ja	Open
Arpokrat Messenger	Geen, geen identificator	Zwitserland (Zug), relais in vijf niet-Amerikaanse rechtsgebieden	Blinde relais, enkel werkgeheugen	Nee tot op heden	Ja	Open, AGPLv3
Briar	Geen, geen identificator	Geen, geen server	Geen, niets in beslag te nemen	Ja, Cure53 in 2017	Via Briar Mailbox	Open
Cwtch	Geen, geen identificator	Canada voor de vereniging, servers onbetrouwbaar door ontwerp	Weerstand tegen groepsmetadata	Niet vastgesteld	Gedeeltelijk	Open
Radar	Nummer (Signal-account)	Signal-servers, Verenigde Staten	Identiek aan Signal	Niet vastgesteld	Ja	Open
Zerion	Geen, geen identificator	Geen, geen server	Geen, alles loopt via Tor	Niet vastgesteld	Nee, beide toestellen moeten online zijn	Open, GPL v3

Welke app voor welk profiel

Er is geen winnaar, er zijn situaties.

Voor familie en naasten. Signal, zonder aarzeling. Het is de enige keuze die serieuze bescherming combineert met een reële kans dat uw gesprekspartners haar installeren. Als het telefoonnummer u stoort, schakel dan een gebruikersnaam in om het niet te hoeven meedelen. Als uw naasten absoluut weigeren te veranderen, schakel dan op zijn minst de end-to-end versleutelde back-ups op WhatsApp in: het is niet dezelfde bescherming, maar het is een reële en gratis vooruitgang.

Voor een journalist met bronnen. Het probleem is niet de inhoud, het is de band. Een architectuur zonder identificator is hier het enige coherente antwoord: SimpleX Chat of Arpokrat Messenger, met Tor ingeschakeld en een ander profiel per bron. Als uw bron al Signal gebruikt en weigert iets anders te installeren, gebruik dan Signal in plaats van niets, met een apart nummer dat u niet identificeert, en Molly op Android om het toestel zelf te beschermen bij inbeslagname.

Voor een bestuurder of een juridisch adviseur. Het doorslaggevende criterium is de rechtsmacht, niet de anonimiteit. Threema voor een kantoor of een kleine structuur, met duidelijke facturatie en Zwitserse servers. Zelfgehost Element voor een organisatie die een technisch team heeft en soevereiniteit over haar infrastructuur wil, met in het achterhoofd dat de serverbeheerder de metadata ziet. Wire voor een organisatie die een commercieel samenwerkingsproduct wil, na onderzoek van haar aandeelhoudersstructuur.

Voor een zone met internetonderbreking of censuur. Briar, omdat de meshmodus via Bluetooth en wifi werkt zonder enige infrastructuur, en Zerion om dezelfde redenen met een recentere offline mesh. Dat zijn de enige twee echte antwoorden wanneer het netwerk zelf de tegenstander is. Voorzie Briar Mailbox als uw correspondentie langdurige offlineperiodes moet overleven.

Voor wie dagelijks met crypto omgaat. Dit is het enige profiel waar de convergentie van 2026 iets verandert. Radar als uw gebruik Bitcoin is en uw netwerk al op Signal zit, met aanvaarding van de afhankelijkheid van de Signal-infrastructuur en het telefoonnummer. Zerion als u Bitcoin en Monero wilt met een maximum aan netwerkweerstand, en uw correspondenten op Android zitten en vaak online zijn. Arpokrat Messenger als u meerdere ketens wilt, asynchrone beschikbaarheid en de mogelijkheid swapaanbieders te vergelijken naargelang hun KYC-vereiste.

Voor wie het maximum wil zonder gebruikscompromis. Deze categorie bestaat niet, en dat is de eerlijke conclusie van deze vergelijking. Het theoretische maximum is Briar of Zerion, en het wordt betaald in afleverbaarheid, in batterij en in afwezigheid van iPhone. Het gunstigste compromis vandaag, als uw correspondenten op Android zitten, is een architectuur zonder identificator in store-and-forwardmodus, SimpleX Chat of Arpokrat Messenger, met Tor ingeschakeld. Als u iPhone-gebruikers moet includeren, is SimpleX Chat vandaag de enige van deze familie die beide platforms dekt. Arpokrat Messenger, beschikbaar op Android, is in ontwikkeling voor iOS en voor de desktopplatforms, zonder aangekondigde beschikbaarheidsdatum.

Wat wij bij Arpokrat gekozen hebben en waarom

Deze sectie is geen verkooppraatje, het is een uitleg van afwegingen, ook die welke we niet gemaakt hebben.

We zijn van SimpleX vertrokken in plaats van een protocol te schrijven. De reden is eenvoudig: een protocol voor veilige berichten heeft pas waarde wanneer het geïnspecteerd is, en een nieuw protocol heeft per definitie geen enkele inspectie achter zich. SimpleX heeft een publieke specificatie, publieke code en twee audits van Trail of Bits. Onze eigen cryptografie uitvinden zou ons een betere marketingpagina en een slechtere berichtenapp hebben opgeleverd.

We kozen het store-and-forwardmodel in plaats van peer-to-peer. Dat is een uitdrukkelijke afweging tegen het theoretische maximum. Een blind relais dat een versleuteld bericht bewaart tot het wordt opgehaald, is een stuk infrastructuur meer, dus een oppervlak meer. In ruil vertrekt een bericht wanneer u het schrijft en komt het aan wanneer uw correspondent verbinding maakt, wat de voorwaarde is voor een normale correspondentie. Het criterium van de praktische kant, verdedigd aan het begin van dit artikel, is geen stijlfiguur: we hebben het op onszelf toegepast.

We hebben de relais verspreid over vijf rechtsgebieden buiten de Verenigde Staten en de Amerikaanse hyperscalers uitgesloten, niet uit houding maar omdat de CLOUD Act werkt door een Amerikaanse aanbieder te dwingen voor de gegevens die hij beheert. Een blind relais dat niets op schijf bewaart, heeft weinig af te geven; een blind relais dat geen enkel Amerikaans bevel kan bereiken, heeft nog minder. De twee maatregelen tellen op, geen enkele vervangt de andere.

We hebben een portefeuille en een swapaggregator geïntegreerd omdat dezelfde persoon die weigert dat een tussenpersoon zijn gesprekspartners kent, doorgaans weigert dat een tussenpersoon zijn transacties kent. De score van A tot D van de swapaanbieders naargelang hun eis van identiteitscontrole komt uit dezelfde logica: wij beslissen niet in de plaats van de gebruiker welk niveau van vertrouwelijkheid hij wil betalen, wij geven hem de informatie om af te wegen.

Wat we nog niet gedaan hebben, verdient ten slotte in dezelfde sectie te worden gezegd. We hebben geen onafhankelijke audit gepubliceerd op onze naam. We hebben geen geschiedenis van gepubliceerde gerechtelijke vorderingen, enkel een warrant canary. We zijn nog niet op iOS. Die drie leemten zijn reëel, ze zijn gedocumenteerd in onze fiche hierboven, en geen enkele wordt gevuld met een persbericht.

Conclusie

De goede vraag is niet “wat is de beste berichtenapp”. Ze heeft geen antwoord, omdat ze verkeerd gesteld is. De goede vraag is: tegen wie beschermt u zich?

Tegen een adverteerder die uw interesses wil profileren, voldoen zowat alle apps van deze vergelijking. Tegen een gewelddadige partner die toegang heeft tot uw telefoon is de vraag de lokale vergrendeling en het wissen van het geheugen, en Molly antwoordt beter dan Threema. Tegen een gerechtelijke vordering in uw land is de vraag de rechtsmacht en wat de dienst bewaart. Tegen een tegenstander die wil vaststellen dat u met iemand gesproken hebt, is het enige antwoord een architectuur die die informatie niet aanmaakt. En tegen een tegenstander die het netwerk kan afsnijden, is het enige antwoord er niet van af te hangen.

Geen enkele app beantwoordt al die dreigingen tegelijk, en die welke het beweren verdienen als eerste uw wantrouwen. Wat 2026 heeft aangetoond, is dat versleuteling het gemakkelijke deel is geworden. Wat moeilijk blijft, zijn de metadata, de rechtsmacht, en het vermogen van een project om over twee jaar nog te bestaan. Session stond enkele weken van verdwijnen af, Briar heeft zijn ambities teruggeschroefd, en die twee gebeurtenissen zeggen meer over de werkelijke staat van de sector dan om het even welke vergelijking van cryptografische primitieven.

Kies dus op basis van uw tegenstander, niet op basis van een rangschikking. En houd in gedachten dat het beste instrument ter wereld niets waard is als het gesprek elders eindigt omdat uw gesprekspartner het niet heeft willen installeren.