Tænk på, hvad der ligger i en af disse konti efter et halvt år: samtaler, der er mere åbenhjertige end noget i din e-mail, genererede billeder, en betalingsmetode og en e-mailadresse, der knytter det hele til resten af dit liv.
Overvej så, at udbyderen som regel er en lille virksomhed med et lille udviklerteam og ingen tilsynsmyndighed i hælene. Det hul - høj værdi, almindelig beskyttelse - er hele problemet.
Hvad disse apps typisk ikke gør
Ikke alle, men så ofte, at du bør gå ud fra det, medmindre du har tjekket:
- Ingen tofaktorgodkendelse. En adgangskode er det eneste, der står mellem kontoen og den, der har din e-mail.
- Ingen liste over sessioner. Du kan ikke se, hvor du er logget ind, og kan ikke afbryde en session, du ikke genkender.
- Ingen login-advarsler. Et login fra en ny enhed passerer i stilhed.
- Tynd kontogendannelse, som virker begge veje: svær for dig, når du er låst ude, og let for en, der udgiver sig for at være dig over for supporten.
- Langvarige sessioner, så en enhed, du er holdt op med at bruge, kan være logget ind i månedsvis.
Tilbyder en app både 2FA og en liste over sessioner, er det værd at lægge mærke til. Det tyder som regel på et team, der har tænkt over resten også.
De fire ting, der tæller
1. En unik adgangskode fra en adgangskodeadministrator
Åbenlyst, og stadig det hele. Den realistiske trussel er ikke, at nogen angriber netop denne app - det er credential stuffing, hvor en adgangskode, der er lækket i et ikke-relateret databrud, bliver prøvet her.
En adgangskodeadministrator gør det gratis at gøre det rigtigt. Alt, der genbruges, er ét uvedkommende databrud fra at tilhøre en anden.
2. En særskilt e-mailadresse
Den gør to ting på én gang. Den gør, at kontoen ikke kan findes ud fra din hovedidentitet, og at et kompromitteret login det ene sted ikke fører til det andet.
Brug en rigtig postkasse, du selv kontrollerer, frem for en engangsadresse - du skal også kunne modtage en nulstilling af adgangskoden om et år. Alias-tjenester eller en ekstra postkasse hos din udbyder virker begge dele.
Samme adresse bør modtage kvitteringerne, jf. betalingsprivatliv.
3. Slå 2FA til, hvor det findes
Tilbyder appen det, så brug det, og vælg en autentificeringsapp frem for sms. Findes det ikke, så beskyt i stedet e-mailkontoen med 2FA - det er gendannelsesvejen, og sikrer du den, dækker du alle apps, der kan sende dig et link til nulstilling.
Det er det mest værdifulde træk, du har, når selve appen ikke tilbyder noget.
4. Log ud af enheder, du er færdig med
Særligt alt, der er delt eller lånt. Har appen ingen liste over sessioner, er det at skifte adgangskode det grove værktøj, som i de fleste implementeringer gør andre sessioner ugyldige.
Truslen, der ikke er teknisk
Den fortjener at blive nævnt direkte, for det er den, der gør reel skade i denne kategori: en person med adgang til din ulåste enhed.
Ingen adgangskodepolitik løser det. Arbejdet ligger på enheden - separate browserprofiler, notifikationsvisning slået fra og downloads uden for synkroniserede mapper - og det er gennemgået i brug af en AI-companion på en delt enhed.
Hvis en app bliver hacket
Det sker, og fremgangsmåden er den samme hver gang:
- Skift adgangskoden med det samme, og alle steder, hvor du har genbrugt den.
- Hold øje med e-mailadressen for nulstillinger, du ikke har bedt om.
- Tjek betalingsmetoden, og overvej at få nyt kortnummer.
- Beslut, om du bliver. Et databrud håndteret med en klar meddelelse og en reel tidsplan er et andet signal end et, som journalister afslører tre måneder senere.
Læs, hvad udbyderen faktisk skriver. Vaghed om omfanget - det vil sige, om samtaler var med - er i sig selv et svar.
Før du tegner abonnement
To minutter i indstillingerne, før du betaler, siger mere om en udbyders teknik end nogen marketingside:
- Findes der 2FA?
- Findes der en liste over sessioner?
- Kan du slette selv, eller er der kun en supportadresse?
Apps bygget til år med ophobet historik - Nomi, Replika - er dem, hvor det gælder mest, simpelthen fordi det er dem, der kommer til at rumme mest om dig. Hvad det materiale består af, står i hvad din app ved om dig, og hvordan du slipper af med det, står i sletning af en konto.
