क्या WhatsApp Business एंड-टू-एंड एन्क्रिप्टेड है? E2EE बनाम एट रेस्ट

क्या WhatsApp Business एंड-टू-एंड एन्क्रिप्टेड है? यह इस पर निर्भर करता है कि चैट का बिजनेस वाला सिरा कौन चला रहा है: WhatsApp Business ऐप वाला कोई फोन, या Meta का Cloud API और उससे जुड़ा सॉफ्टवेयर। यह गाइड WhatsApp Business एंड-टू-एंड एन्क्रिप्शन को एट रेस्ट और इन ट्रांजिट एन्क्रिप्शन से अलग करके समझाती है, सितंबर 2026 की स्थिति में WhatsApp, Instagram, Messenger, Telegram और Viber की तुलना करती है, और बताती है कि किसी वेंडर के सुरक्षा दावों को कैसे परखें।

मुख्य बातें

एंड-टू-एंड एन्क्रिप्शन (E2EE) का सवाल यह है कि keys किसके पास हैं, यह नहीं कि डेटा कहां पड़ा है: मैसेज सिर्फ बातचीत के दोनों सिरे ही decrypt कर सकते हैं।
WhatsApp Business API (Cloud API) खुद WhatsApp की परिभाषा के हिसाब से एंड-टू-एंड एन्क्रिप्टेड नहीं है, क्योंकि बिजनेस वाला endpoint Meta होस्ट करता है और आने वाले मैसेज आगे भेजने से पहले decrypt करता है।
Instagram ने 8 मई 2026 को DM के लिए E2EE बंद कर दिया, और Messenger पर बिजनेस के साथ होने वाली चैट में E2EE सपोर्ट नहीं है।
Telegram की चैट डिफॉल्ट रूप से एंड-टू-एंड एन्क्रिप्टेड नहीं हैं; सिर्फ वे secret chats हैं जिन्हें आप खुद चालू करते हैं। Viber अपने डिफॉल्ट E2EE से chatbots और business accounts को बाहर रखता है।
AI ऑटो-रिप्लाई प्लेटफॉर्म को डिजाइन से ही वे मैसेज पढ़ने पड़ते हैं जिनका वह जवाब देता है, इसलिए वह उनके बारे में zero-knowledge नहीं हो सकता। वेंडर को credential एन्क्रिप्शन, access control, retention और deletion पर परखें।

एंड-टू-एंड, एट रेस्ट और इन ट्रांजिट एन्क्रिप्शन: keys किसके पास हैं

Encryption in transit उस डेटा को बचाता है जो दो सिस्टम के बीच चल रहा है — जैसे फोन और सर्वर के बीच — आमतौर पर TLS के साथ। जो भी सर्वर उसे लेता है, वह उसे decrypt कर सकता है।
Encryption at rest उस डेटा को बचाता है जो डिस्क, डेटाबेस या बैकअप में स्टोर है। उसे स्टोर करने वाली सेवा के पास ही आमतौर पर keys होती हैं, और जब उसके सॉफ्टवेयर को जरूरत हो वह decrypt कर सकती है।
एंड-टू-एंड एन्क्रिप्शन का मतलब है कि keys सिर्फ बातचीत के सिरों के पास हैं। बीच के सर्वर वही ciphertext आगे बढ़ाते हैं जिसे वे पढ़ नहीं सकते।

Encryption in transit और encryption at rest मिलकर भी E2EE नहीं बन जाते। उस जोड़ में भी provider आमतौर पर कंटेंट पढ़ सकता है, क्योंकि ज्यादातर सेटअप में keys provider के ही पास होती हैं। E2EE की असली कसौटी यही है कि क्या दोनों सिरों के अलावा कोई और मैसेज decrypt कर सकता है।

WhatsApp Business एंड-टू-एंड एन्क्रिप्शन: App बनाम Cloud API

WhatsApp Business ऐप तब एंड-टू-एंड एन्क्रिप्टेड है जब बिजनेस उसे अपने ही डिवाइस पर चलाता है और उससे कोई Cloud API companion या वेंडर जुड़ा न हो। WhatsApp Business API (Cloud API) खुद WhatsApp की परिभाषा के हिसाब से एंड-टू-एंड एन्क्रिप्टेड नहीं है।

WhatsApp के Encryption Overview व्हाइटपेपर (फरवरी 2026 में अपडेटेड) के मुताबिक WhatsApp यूजर्स के बीच के मैसेज — WhatsApp Business ऐप के यूजर्स समेत — Signal Protocol इस्तेमाल करते हैं और एंड-टू-एंड एन्क्रिप्टेड माने जाते हैं, क्योंकि हर सिरा वह डिवाइस है जिसे उसका यूजर खुद नियंत्रित करता है।

हर WhatsApp चैट वही Signal protocol इस्तेमाल करती है। E2EE का लेबल इससे बदलता है कि बिजनेस वाला endpoint कौन चला रहा है। Cloud API 2021 से Meta होस्ट करता आया है, और WhatsApp उन चैट को एंड-टू-एंड एन्क्रिप्टेड नहीं मानता, क्योंकि मैसेज सीधे बिजनेस के नियंत्रण वाले endpoint तक नहीं पहुंचते।

Meta का Cloud API डेटा प्राइवेसी डॉक्यूमेंटेशन इस पूरे रास्ते को यूं बताता है:

ग्राहक का ऐप और बिजनेस की तरफ से काम कर रहा Cloud API आपस में Signal keys तय करते हैं।
Cloud API आने वाले मैसेज decrypt करके बिजनेस तक पहुंचाता है।
जवाब के लिए Cloud API मैसेज को Signal से एन्क्रिप्ट करके ग्राहक तक भेजता है।
Meta बिजनेस के लिए data processor की भूमिका में रहता है, Cloud API के मैसेज एन्क्रिप्टेड रूप में at rest स्टोर करता है और उन्हें ज्यादा से ज्यादा 30 दिन रखता है।

Cloud API के overview डॉक्स कहते हैं कि webhook TLS से सुरक्षित HTTPS पर भेजे जाते हैं।

यानी WhatsApp Cloud API ट्रांजिट में अब भी Signal एन्क्रिप्शन इस्तेमाल करता है और मैसेज at rest एन्क्रिप्ट करता है; बात सिर्फ इतनी है कि यह एंड-टू-एंड नहीं है, क्योंकि plaintext को बिजनेस की तरफ से Meta के सर्वर संभालते हैं। फीचर के अंतर जानने के लिए हमारी WhatsApp Cloud API बनाम Business App तुलना देखें।

वेंडर, कंपेनियन लिंक या AI इनबॉक्स के साथ WhatsApp Business एंड-टू-एंड एन्क्रिप्शन

WhatsApp Business ऐप वाले अकाउंट की चैट भी हमेशा E2EE नहीं होती। व्हाइटपेपर के मुताबिक वह यह दर्जा तब खो देती है जब:

बिजनेस अपने WhatsApp Business ऐप के साथ Cloud API को companion के तौर पर जोड़ लेता है, जो 2024 से मुमकिन है। वे वन-टू-वन चैट प्रोसेसिंग के लिए Meta के साथ साझा होती हैं।
कोई वेंडर बिजनेस का WhatsApp Business API चलाता है। उस वेंडर के पास बिजनेस की private keys तक पहुंच होती है — तब भी जब वह वेंडर खुद Meta हो — इसलिए WhatsApp उन चैट को एंड-टू-एंड एन्क्रिप्टेड नहीं मानता।

स्थिति बदलने पर WhatsApp ग्राहक को चैट में एक सिस्टम मैसेज दिखाता है। On-Premises API, जिसके सेल्फ-होस्टेड endpoints एंड-टू-एंड एन्क्रिप्टेड गिने जाते थे, अब खत्म हो चुका है: उसका आखिरी क्लाइंट v2.63 23 अक्टूबर 2025 को expire हो गया, और Meta अब बिजनेस को Cloud API की तरफ भेजता है।

व्यवहार में, अगर आप WhatsApp पर बड़े पैमाने पर जवाब किसी API, किसी Business Solution Provider या किसी WhatsApp के लिए AI इनबॉक्स से देते हैं, तो आपकी चैट वे नहीं हैं जिन्हें WhatsApp एंड-टू-एंड एन्क्रिप्टेड मानता है।

जब कोई AI चैटबॉट या CRM आपके WhatsApp मैसेज पढ़ता है, तब क्या होता है

क्या AI चैटबॉट एंड-टू-एंड एन्क्रिप्टेड मैसेज पढ़ सकता है? सिर्फ तब, जब वह उस सिरे पर बैठा हो जहां decrypt किया हुआ टेक्स्ट पहुंचता है। Cloud API के साथ रास्ता कुछ ऐसा दिखता है:

ग्राहक का फोन मैसेज को Signal से एन्क्रिप्ट करता है।
Meta का Cloud API उसे बिजनेस के लिए decrypt करता है।
एक webhook उसे TLS पर बिजनेस के प्लेटफॉर्म तक पहुंचाता है: कोई CRM, हेल्पडेस्क या AI इनबॉक्स।
प्लेटफॉर्म बातचीत स्टोर करता है और टेक्स्ट किसी AI मॉडल को देता है ताकि वह जवाब लिखे या भेजे।

चौथे कदम पर मैसेज वेंडर के सिस्टम के भीतर पढ़े जाने लायक होता है, चाहे वह वेंडर at rest कोई भी एन्क्रिप्शन इस्तेमाल करता हो। दोनों बातें एक साथ सच हैं: चैट ट्रांजिट में एन्क्रिप्टेड है, और आपका CRM उसे पढ़ सकता है।

8 मई 2026 के बाद Instagram DM: कोई एंड-टू-एंड एन्क्रिप्शन नहीं

क्या 2026 में Instagram DM एंड-टू-एंड एन्क्रिप्टेड हैं? नहीं। Instagram Help Center के मुताबिक Instagram ने 8 मई 2026 को E2EE मैसेजिंग का सपोर्ट बंद कर दिया। यह फीचर हमेशा वैकल्पिक था, हर चैट के लिए अलग से चालू करना पड़ता था और कभी डिफॉल्ट नहीं रहा। Meta ने E2EE चाहने वाले यूजर्स को WhatsApp की तरफ भेजा।

अगर आप Instagram पर AI रिप्लाई चलाते हैं, तो उन DM को एंड-टू-एंड एन्क्रिप्टेड न मानें।

Facebook Messenger: निजी चैट बनाम बिजनेस के साथ चैट

Meta ने 6 दिसंबर 2023 को Messenger की निजी वन-टू-वन चैट और कॉल के लिए डिफॉल्ट E2EE रोलआउट शुरू किया था। Messenger Help Center उन प्रोडक्ट की सूची देता है जिनमें फिलहाल E2EE सपोर्ट नहीं है — इनमें बिजनेस के साथ चैट, बिजनेस मैसेजिंग टूल इस्तेमाल करने वाले अकाउंट और Marketplace की चैट शामिल हैं।

यानी Messenger का एंड-टू-एंड एन्क्रिप्शन उस चैट को कवर नहीं करता जो ग्राहक किसी ऐसे Facebook Page से करता है जो इनबॉक्स या चैटबॉट इस्तेमाल करता है।

Telegram की cloud chats, secret chats और bots

क्या Telegram डिफॉल्ट रूप से एंड-टू-एंड एन्क्रिप्टेड है? नहीं। Telegram FAQ दो तरह की चैट बताता है:

Cloud chats, यानी डिफॉल्ट चैट, client-server एन्क्रिप्शन इस्तेमाल करती हैं और Telegram के सर्वर पर एन्क्रिप्टेड रूप में स्टोर रहती हैं ताकि वे सभी डिवाइस पर sync हो सकें।
Telegram secret chats एंड-टू-एंड एन्क्रिप्शन इस्तेमाल करती हैं। ये वन-ऑन-वन होती हैं, खास डिवाइस से बंधी होती हैं, sync नहीं होतीं और डिफॉल्ट नहीं हैं।

Bots cloud chats में काम करते हैं। आधिकारिक Bot API चैट के प्रकार private, group, supergroup और channel गिनाता है — secret-chat नाम का कोई प्रकार नहीं है। मार्च 2024 में Telegram Business शुरू होने के बाद बिजनेस ऐसे bot जोड़ सकते हैं जो उनकी तरफ से मैसेज का जवाब दें, लेकिन वे bot वाली बातचीत secret chats नहीं होतीं।

Viber की निजी चैट बनाम Viber के business accounts

Viber की प्राइवेसी पॉलिसी कहती है कि एंड-टू-एंड एन्क्रिप्शन वन-ऑन-वन कॉल और मैसेज, ग्रुप मैसेज, निजी मीडिया शेयरिंग और linked devices को सुरक्षित रखता है, और Viber के मुताबिक यह डिफॉल्ट रूप से चालू रहता है। बिजनेस के लिहाज से जो अपवाद मायने रखता है वह Viber की public content terms में है: Communities, Channels, Chatbots और Business Accounts का कंटेंट एंड-टू-एंड एन्क्रिप्टेड नहीं है, और Viber उसे स्टोर करता है।

चैनल के हिसाब से एन्क्रिप्शन: तुलना तालिका (सितंबर 2026)

चैनल	निजी चैट डिफॉल्ट E2EE	बिजनेस या bot चैट E2EE	बिजनेस के मैसेज कौन प्रोसेस कर सकता है	स्रोत
WhatsApp Business ऐप (बिना API, बिना वेंडर)	हां (Signal)	हां	बिजनेस के अपने डिवाइस	WhatsApp व्हाइटपेपर
WhatsApp Cloud API या वेंडर-संचालित API	हां (Signal)	नहीं	processor के तौर पर Meta, बिजनेस, जुड़े हुए प्लेटफॉर्म	WhatsApp व्हाइटपेपर, Meta डॉक्स
Instagram DM	नहीं (opt-in E2EE 8 मई 2026 को खत्म)	नहीं	Meta, बिजनेस, जुड़े हुए टूल	Instagram Help Center
Facebook Messenger	दिसंबर 2023 से डिफॉल्ट रूप से रोलआउट जारी (निजी वन-टू-वन)	नहीं	Meta, बिजनेस, जुड़े हुए टूल	Messenger Help Center
Telegram	नहीं (secret chats opt-in हैं)	नहीं (bot चैट cloud chats हैं)	Telegram सर्वर, bot चलाने वाला	Telegram FAQ, Bot API
Viber	हां	नहीं (chatbots, business accounts)	Viber, बिजनेस के एडमिन	Viber प्राइवेसी पॉलिसी और terms

AI ऑटो-रिप्लाई प्लेटफॉर्म zero-knowledge क्यों नहीं हो सकते

Zero-knowledge एन्क्रिप्शन का मतलब है कि provider आपका डेटा स्टोर तो करता है पर उसे decrypt करने की keys उसके पास कभी होती ही नहीं, इसलिए वह कंटेंट पढ़ नहीं सकता।

AI ऑटो-रिप्लाई प्रोडक्ट डिजाइन से ही इसका उल्टा काम करता है। "क्या आप कल Erbil में डिलीवरी करते हैं?" का जवाब देने के लिए मॉडल को सवाल plaintext में पढ़ना पड़ता है, आपका नॉलेज बेस देखना पड़ता है और जवाब लिखना पड़ता है। तर्क सीधा है: जो सिस्टम जवाब देने के लिए मैसेज पढ़ता है, वह उन्हें हमेशा पढ़ सकता है।

जो वेंडर "zero-knowledge AI इनबॉक्स" या "एंड-टू-एंड एन्क्रिप्टेड AI चैटबॉट" का विज्ञापन करता है, वह या तो इन शब्दों का गलत इस्तेमाल कर रहा है या आपके मैसेज पर AI चला ही नहीं रहा। काम के सवाल यह हैं कि पढ़े जा सकने वाले डेटा तक कौन और क्या पहुंच सकता है, और उसे कैसे सीमित किया गया है।

वेंडर के एन्क्रिप्शन दावों को कैसे परखें

खतरे की घंटियां:

किसी AI चैटबॉट या WhatsApp Cloud API इनबॉक्स के लिए "एंड-टू-एंड एन्क्रिप्टेड" कहना।
"सारा डेटा एन्क्रिप्टेड" — पर यह सूची नहीं कि क्या एन्क्रिप्टेड है और keys किसके पास हैं।
"मिलिट्री-ग्रेड" या "बैंक-ग्रेड" — पर algorithm, दायरे या key management का कोई ब्योरा नहीं।
सर्टिफिकेशन के बैज, पर न सर्टिफिकेट, न कोई ऑडिट रिपोर्ट जो आप मांग सकें।

पूछने लायक सवाल:

ऐप्लिकेशन स्तर पर कौन-सी fields एन्क्रिप्टेड हैं, और किस algorithm से?
क्या चैनल access token और AI provider की keys एन्क्रिप्टेड हैं, और key कहां रखी जाती है?
क्या मैसेज का कंटेंट ऐप्लिकेशन स्तर पर एन्क्रिप्टेड है, या सिर्फ credentials और चुनी हुई fields?
वेंडर का कौन-सा स्टाफ ग्राहकों की बातचीत देख सकता है, और क्या उस एक्सेस का लॉग बनता है?
मैसेज कितने समय तक रखे जाते हैं, और अकाउंट डिलीट करने पर असल में क्या-क्या हटता है?
कौन-से AI providers को मैसेज का टेक्स्ट मिलता है, और किन data-use शर्तों के तहत?

Raabt आज क्या एन्क्रिप्ट और सुरक्षित करता है

Raabt एक AI ऑटो-रिप्लाई प्लेटफॉर्म है, इसलिए यही तर्क हम पर भी लागू होता है: जवाब लिखने के लिए हमारा AI मैसेज का टेक्स्ट पढ़ता है। इसका मतलब है कि Raabt एंड-टू-एंड एन्क्रिप्टेड नहीं है, और ऊपर दी गई परिभाषा के हिसाब से कोई भी AI इनबॉक्स हो भी नहीं सकता। आज जो कुछ लागू है, वह यह है:

Field-level एन्क्रिप्शन: credentials, token और चुनी हुई संपर्क जानकारी (फोन, ईमेल, पता) AES-256-GCM से एन्क्रिप्ट होती है, और key HKDF-SHA256 से निकाली जाती है। इसमें Facebook, Instagram, WhatsApp और Telegram के जुड़े हुए चैनल access token के साथ-साथ AI provider की API keys भी शामिल हैं। कम से कम 32 अक्षर की key के बिना ऐप चालू ही नहीं होता।
पासवर्ड और कोड: पासवर्ड Argon2id से hash होते हैं, पार्टनर API key के secrets सिर्फ SHA-256 hash के रूप में रखे जाते हैं, और one-time code सिर्फ HMAC-SHA256 hash के रूप में।
Sign-in: ईमेल और पासवर्ड से लॉगिन पर session बनने से पहले आपके ईमेल पर भेजा गया one-time code जरूरी है।
टीम एक्सेस: चार roles (owner, admin, agent, viewer) और हर सेक्शन के लिए अलग permissions, और बिजनेस endpoints पहले यह पक्का करते हैं कि request भेजने वाला उस बिजनेस का सक्रिय सदस्य है।
Webhook और मीडिया: Meta के webhook तब तक खारिज होते हैं जब तक उनका X-Hub-Signature-256 signature वैध न हो, Telegram के webhook के लिए secret token जरूरी है, और अटैचमेंट सिर्फ expiring HMAC-signed URL से ही दिए जाते हैं।
Deletion: Raabt Meta के data deletion callback को सपोर्ट करता है, और स्टेटस लिंक डेटा डिलीशन पेज पर है। अकाउंट डिलीट करने के लिए आपका पासवर्ड और ईमेल पर भेजा गया कोड दोनों चाहिए, और अकाउंट तुरंत निष्क्रिय कर दिया जाता है और उसका ईमेल anonymize कर दिया जाता है।

अक्सर पूछे जाने वाले सवाल

क्या WhatsApp Business API एंड-टू-एंड एन्क्रिप्टेड है?

नहीं। WhatsApp के व्हाइटपेपर के मुताबिक Cloud API इस्तेमाल करने वाले बिजनेस के साथ हुई चैट एंड-टू-एंड एन्क्रिप्टेड नहीं मानी जातीं, क्योंकि endpoint Meta होस्ट करता है। मैसेज Meta तक Signal एन्क्रिप्शन के साथ ही पहुंचते हैं, और Meta उन्हें decrypt करके TLS पर बिजनेस तक भेजता है।

क्या Meta मेरे WhatsApp Business मैसेज पढ़ सकता है?

Cloud API पर, हां: Meta के सर्वर बिजनेस के data processor के तौर पर मैसेज decrypt करते हैं, उन्हें at rest एन्क्रिप्टेड स्टोर करते हैं और ज्यादा से ज्यादा 30 दिन रखते हैं। बिना Cloud API लिंक और बिना वेंडर वाले WhatsApp Business ऐप पर, नहीं: वे चैट डिवाइस के बीच एंड-टू-एंड एन्क्रिप्टेड रहती हैं।

क्या AI चैटबॉट एंड-टू-एंड एन्क्रिप्टेड मैसेज पढ़ सकता है?

सिर्फ तब, जब उसे किसी endpoint पर decrypt किया हुआ मैसेज मिले। WhatsApp Cloud API, Instagram, Messenger की बिजनेस चैट, Telegram bots और Viber chatbots पर बिजनेस वाला सिरा एंड-टू-एंड एन्क्रिप्टेड नहीं है, इसलिए AI पढ़े जा सकने वाले टेक्स्ट के साथ काम करता है।

एंड-टू-एंड एन्क्रिप्शन और encryption at rest में क्या अंतर है?

Encryption at rest स्टोर किए गए डेटा को बचाता है, और उसे स्टोर करने वाली सेवा के पास ही आमतौर पर keys होती हैं। एंड-टू-एंड एन्क्रिप्शन keys सिर्फ बातचीत के सिरों पर रखता है, इसलिए मैसेज आगे बढ़ाने वाला provider उसे पढ़ नहीं सकता।

क्या Telegram डिफॉल्ट रूप से एंड-टू-एंड एन्क्रिप्टेड है?

नहीं। डिफॉल्ट cloud chats client-server एन्क्रिप्शन इस्तेमाल करती हैं और Telegram के सर्वर पर एन्क्रिप्टेड स्टोर होती हैं। सिर्फ secret chats एंड-टू-एंड एन्क्रिप्टेड हैं, जो वन-ऑन-वन होती हैं और जिन्हें जानबूझकर शुरू करना पड़ता है, और bot वाली बातचीत secret chats नहीं होती।

क्या 2026 में Instagram DM अब भी एंड-टू-एंड एन्क्रिप्टेड हैं?

नहीं। Instagram ने 8 मई 2026 को एंड-टू-एंड एन्क्रिप्टेड मैसेजिंग का सपोर्ट बंद कर दिया, और यह कभी डिफॉल्ट भी नहीं था, इसलिए बिजनेस अकाउंट के साथ हुए DM को एंड-टू-एंड एन्क्रिप्टेड न मानें।

AES-256-GCM से एन्क्रिप्ट किए गए चैनल token के साथ जवाब ऑटोमेट करने के लिए तैयार हैं? मुफ्त शुरू करें।