Сквозное шифрование WhatsApp Business: E2EE и хранение

Сквозное шифрование WhatsApp Business — есть оно или нет? Ответ зависит от того, кто держит сторону бизнеса в переписке: телефон с приложением WhatsApp Business или Cloud API от Meta и подключённый к нему софт. Этот гид объясняет, чем сквозное шифрование отличается от шифрования при хранении и при передаче, сравнивает WhatsApp, Instagram, Messenger, Telegram и Viber по состоянию на сентябрь 2026 года и показывает, как проверить заявления поставщика о безопасности.

Главное

Сквозное шифрование (E2EE) — это вопрос о том, у кого ключи, а не о том, где лежат данные: расшифровать сообщение могут только конечные точки разговора.
У WhatsApp Business API (Cloud API) нет сквозного шифрования по собственному определению WhatsApp, потому что конечную точку бизнеса держит Meta и расшифровывает входящие сообщения перед передачей.
Instagram прекратил поддержку E2EE в Direct 8 мая 2026 года, а переписка с компаниями в Messenger E2EE не поддерживает.
Чаты в Telegram по умолчанию не защищены сквозным шифрованием; его дают только секретные чаты, которые нужно включить самому. Viber исключает чат-ботов и бизнес-аккаунты из своего E2EE по умолчанию.
Платформа ИИ-автоответов по своей природе обязана читать сообщения, на которые отвечает, поэтому нулевого знания о них у неё быть не может. Оценивайте поставщиков по шифрованию учётных данных, контролю доступа, срокам хранения и удалению.

Сквозное шифрование против шифрования при хранении и при передаче: у кого ключи

Шифрование при передаче защищает данные, которые идут между двумя системами — например, телефоном и сервером, — обычно по TLS. Каждый сервер, который их получает, может их расшифровать.
Шифрование при хранении защищает данные на дисках, в базах данных и в резервных копиях. Ключи, как правило, держит та служба, которая хранит данные, и она может расшифровать их, когда это нужно её софту.
Сквозное шифрование означает, что ключи есть только у конечных точек разговора. Серверы посередине передают шифротекст, который не могут прочитать.

Шифрование при передаче плюс шифрование при хранении — это не то же самое, что E2EE. Такая связка обычно всё равно позволяет провайдеру читать содержимое, потому что в большинстве схем ключи контролирует он. Настоящая проверка на E2EE — может ли кто-то, кроме конечных точек, расшифровать сообщение.

Сквозное шифрование WhatsApp Business: приложение против Cloud API

Приложение WhatsApp Business защищено сквозным шифрованием, когда бизнес запускает его на собственных устройствах без companion-подключения Cloud API и без стороннего поставщика. У WhatsApp Business API (Cloud API) сквозного шифрования нет — по собственному определению WhatsApp.

Технический документ WhatsApp Encryption Overview (обновлён в феврале 2026 года) говорит, что сообщения между пользователями WhatsApp, включая пользователей приложения WhatsApp Business, используют протокол Signal и считаются защищёнными сквозным шифрованием, потому что каждая конечная точка — это устройство, которым управляет её владелец.

Все чаты WhatsApp используют один и тот же протокол Signal. Ярлык E2EE зависит от того, кто управляет конечной точкой бизнеса. Cloud API размещается на стороне Meta с 2021 года, и WhatsApp не считает такие чаты защищёнными сквозным шифрованием, потому что сообщения не доставляются напрямую на конечную точку, которой управляет бизнес.

Документация Meta о приватности данных Cloud API описывает этот поток так:

Приложение клиента и Cloud API, действующий от имени бизнеса, согласовывают ключи Signal.
Cloud API расшифровывает входящие сообщения и передаёт их бизнесу.
Для ответов Cloud API шифрует сообщение по Signal, прежде чем доставить его клиенту.
Meta выступает обработчиком данных для бизнеса, хранит сообщения Cloud API в зашифрованном виде и держит их максимум 30 дней.

Обзорная документация Cloud API сообщает, что вебхуки доставляются по HTTPS с защитой TLS.

То есть WhatsApp Cloud API по-прежнему использует шифрование Signal на канале и шифрует сообщения при хранении; просто это не сквозное шифрование, потому что серверы Meta работают с открытым текстом от имени бизнеса. О различиях в возможностях читайте в нашем сравнении WhatsApp Cloud API и приложения Business.

Сквозное шифрование WhatsApp Business с поставщиком, companion-привязкой или ИИ-инбоксом

Переписка с аккаунтом в приложении WhatsApp Business защищена E2EE не всегда. Согласно техническому документу, этот статус теряется, когда:

Бизнес привязывает Cloud API как companion к своему приложению WhatsApp Business — такая возможность есть с 2024 года. Эти диалоги один на один передаются Meta для обработки.
WhatsApp Business API бизнеса ведёт сторонний поставщик. У него есть доступ к приватным ключам бизнеса — даже если этот поставщик сама Meta, — поэтому WhatsApp не считает такие чаты защищёнными сквозным шифрованием.

Когда статус меняется, WhatsApp показывает клиенту системное сообщение в чате. On-Premises API, чьи самостоятельно размещённые конечные точки считались защищёнными сквозным шифрованием, больше нет: срок жизни его последнего клиента, v2.63, истёк 23 октября 2025 года, и теперь Meta направляет компании на Cloud API.

На практике, если вы отвечаете в WhatsApp на потоке через API, через Business Solution Provider или через ИИ-инбокс для WhatsApp, ваши чаты не относятся к тем, которые WhatsApp считает защищёнными сквозным шифрованием.

Что происходит, когда ИИ-чат-бот или CRM читает ваши сообщения в WhatsApp

Может ли ИИ-чат-бот читать сообщения со сквозным шифрованием? Только если он стоит на конечной точке, которая получает расшифрованный текст. С Cloud API путь выглядит так:

Телефон клиента шифрует сообщение по Signal.
Cloud API от Meta расшифровывает его для бизнеса.
Вебхук доставляет его по TLS на платформу бизнеса: в CRM, хелпдеск или ИИ-инбокс.
Платформа сохраняет диалог и передаёт текст ИИ-модели, чтобы та составила или отправила ответ.

На шаге 4 сообщение читаемо внутри систем поставщика, каким бы шифрованием при хранении он ни пользовался. Верны сразу два утверждения: переписка зашифрована на канале, и ваша CRM может её прочитать.

Instagram Direct после 8 мая 2026 года: сквозного шифрования нет

Зашифрованы ли сообщения в Instagram Direct сквозным шифрованием в 2026 году? Нет. Согласно справочному центру Instagram, Instagram прекратил поддержку сообщений с E2EE 8 мая 2026 года. Эта функция всегда была необязательной, включалась в каждом чате отдельно и никогда не работала по умолчанию. Тем, кому нужно E2EE, Meta предложила WhatsApp.

Если вы используете ИИ-ответы в Instagram, считайте, что эти сообщения сквозным шифрованием не защищены.

Facebook Messenger: личные чаты и переписка с компаниями

Meta начала включать E2EE по умолчанию для личных диалогов один на один и звонков в Messenger 6 декабря 2023 года. Справочный центр Messenger перечисляет продукты, которые сейчас E2EE не поддерживают: среди них переписка с компаниями, аккаунты с инструментами бизнес-сообщений и чаты Marketplace.

То есть сквозное шифрование Messenger не распространяется на переписку клиента со страницей Facebook, где работает инбокс или чат-бот.

Облачные чаты, секретные чаты и боты в Telegram

Есть ли в Telegram сквозное шифрование по умолчанию? Нет. FAQ Telegram описывает два типа чатов:

Облачные чаты, вариант по умолчанию, используют шифрование клиент-сервер и хранятся на серверах Telegram в зашифрованном виде, чтобы синхронизироваться между устройствами.
Секретные чаты Telegram используют сквозное шифрование. Они бывают только один на один, привязаны к конкретным устройствам, не синхронизируются и не включены по умолчанию.

Боты работают в облачных чатах. Официальный Bot API перечисляет типы чатов: приватный, группа, супергруппа и канал — типа «секретный чат» среди них нет. С запуска Telegram Business в марте 2024 года компании могут подключать ботов, которые отвечают от их имени, но такие диалоги с ботом — не секретные чаты.

Приватные чаты Viber и бизнес-аккаунты Viber

Политика конфиденциальности Viber говорит, что сквозное шифрование защищает звонки и сообщения один на один, групповые сообщения, приватный обмен медиа и привязанные устройства, и что оно включено по умолчанию. Важное для бизнеса исключение записано в условиях Viber для публичного контента: содержимое в сообществах, каналах, чат-ботах и бизнес-аккаунтах сквозным шифрованием не защищено, и Viber его хранит.

Шифрование по каналам: сравнительная таблица (сентябрь 2026)

Канал	E2EE в личных чатах по умолчанию	E2EE в бизнес- и бот-чатах	Кто может обрабатывать сообщения бизнеса	Источник
Приложение WhatsApp Business (без API и поставщика)	Да (Signal)	Да	Собственные устройства бизнеса	Технический документ WhatsApp
WhatsApp Cloud API или API под управлением поставщика	Да (Signal)	Нет	Meta как обработчик, бизнес, подключённые платформы	Технический документ WhatsApp, документация Meta
Instagram Direct	Нет (опциональное E2EE прекращено 8 мая 2026)	Нет	Meta, бизнес, подключённые инструменты	Справочный центр Instagram
Facebook Messenger	Включается по умолчанию с декабря 2023 (личные чаты один на один)	Нет	Meta, бизнес, подключённые инструменты	Справочный центр Messenger
Telegram	Нет (секретные чаты — по выбору)	Нет (чаты с ботами — облачные)	Серверы Telegram, оператор бота	FAQ Telegram, Bot API
Viber	Да	Нет (чат-боты, бизнес-аккаунты)	Viber, администраторы бизнеса	Политика конфиденциальности и условия Viber

Почему платформы ИИ-автоответов не могут работать с нулевым знанием

Шифрование с нулевым знанием (zero-knowledge) означает, что провайдер хранит ваши данные, но никогда не держит ключей для расшифровки, то есть не может прочитать содержимое.

Продукт с ИИ-автоответами устроен противоположным образом. Чтобы ответить на вопрос «Вы доставляете в Эрбиль завтра?», модель должна прочитать его в открытом виде, свериться с вашей базой знаний и написать ответ. Логика прямая: система, которая читает сообщения, чтобы на них отвечать, всегда может их прочитать.

Поставщик, который рекламирует «ИИ-инбокс с нулевым знанием» или «ИИ-чат-бот со сквозным шифрованием», либо вольно обращается с терминами, либо вообще не пропускает ваши сообщения через ИИ. Полезнее спрашивать, кто и какие системы вообще получают доступ к читаемым данным.

Как проверять заявления поставщиков о шифровании

Тревожные признаки:

«Сквозное шифрование» применительно к ИИ-чат-боту или к инбоксу на WhatsApp Cloud API.
«Все данные зашифрованы» без списка того, что именно зашифровано и у кого ключи.
«Шифрование военного уровня» или «банковского уровня» без алгоритма, охвата и деталей управления ключами.
Значки сертификации без сертификата или отчёта об аудите, который можно запросить.

Вопросы, которые стоит задать:

Какие поля шифруются на уровне приложения и каким алгоритмом?
Шифруются ли токены доступа к каналам и ключи ИИ-провайдеров и где хранится ключ?
Шифруется ли содержимое сообщений на уровне приложения или только учётные данные и выбранные поля?
Кто из сотрудников поставщика может видеть переписку с клиентами и логируется ли такой доступ?
Сколько хранятся сообщения и что на самом деле удаляет удаление аккаунта?
Какие ИИ-провайдеры получают текст сообщений и на каких условиях использования данных?

Что Raabt шифрует и защищает сегодня

Raabt — платформа ИИ-автоответов, поэтому та же логика применима и к нам: наш ИИ читает текст сообщения, чтобы написать ответ. Значит, у Raabt нет сквозного шифрования, и по определению выше его не может быть ни у одного ИИ-инбокса. Вот что есть сегодня:

Шифрование на уровне полей: учётные данные, токены и выбранные контактные данные (телефон, почта, адрес) шифруются алгоритмом AES-256-GCM с ключом, выведенным через HKDF-SHA256. Сюда входят токены доступа к подключённым каналам Facebook, Instagram, WhatsApp и Telegram, а также API-ключи ИИ-провайдеров. Приложение не запускается без ключа длиной не менее 32 символов.
Пароли и коды: пароли хешируются через Argon2id, секреты партнёрских API-ключей хранятся только как хеши SHA-256, а одноразовые коды — только как хеши HMAC-SHA256.
Вход: при входе по почте и паролю до выдачи сессии требуется одноразовый код, отправленный на вашу почту.
Доступ команды: четыре роли (владелец, администратор, оператор, наблюдатель) с разрешениями по разделам, а эндпоинты бизнеса сначала подтверждают, что вызывающий — активный участник этого бизнеса.
Вебхуки и медиа: вебхуки Meta отклоняются, если подпись X-Hub-Signature-256 недействительна, вебхуки Telegram требуют секретный токен, а вложения отдаются только по HMAC-подписанным ссылкам с ограниченным сроком действия.
Удаление: Raabt поддерживает колбэк Meta на удаление данных, ссылка на статус — на странице удаления данных. Для удаления аккаунта нужны пароль и код из письма; аккаунт сразу деактивируется, а его адрес почты обезличивается.

Частые вопросы

Есть ли сквозное шифрование в WhatsApp Business API?

Нет. Технический документ WhatsApp говорит, что чаты с компаниями на Cloud API не считаются защищёнными сквозным шифрованием, потому что конечную точку держит Meta. Сообщения по-прежнему идут к Meta с шифрованием Signal, а затем Meta расшифровывает их и передаёт бизнесу по TLS.

Может ли Meta читать сообщения WhatsApp Business?

На Cloud API — да: серверы Meta расшифровывают сообщения как обработчик данных для бизнеса, хранят их в зашифрованном виде и держат до 30 дней. В приложении WhatsApp Business без привязки Cloud API и без стороннего поставщика — нет: чаты защищены сквозным шифрованием между устройствами.

Может ли ИИ-чат-бот читать сообщения со сквозным шифрованием?

Только когда он получает расшифрованное сообщение на конечной точке. В WhatsApp Cloud API, Instagram, бизнес-чатах Messenger, у ботов Telegram и чат-ботов Viber сторона бизнеса сквозным шифрованием не защищена, поэтому ИИ работает с читаемым текстом.

Чем сквозное шифрование отличается от шифрования при хранении?

Шифрование при хранении защищает сохранённые данные, и ключи обычно держит та служба, которая их хранит. Сквозное шифрование оставляет ключи только на конечных точках разговора, поэтому провайдер, который передаёт сообщение, прочитать его не может.

Шифруются ли обычные чаты в Telegram сквозным шифрованием по умолчанию?

Нет. Облачные чаты по умолчанию используют шифрование клиент-сервер и хранятся на серверах Telegram в зашифрованном виде. Сквозное шифрование есть только в секретных чатах — они один на один и начинать их нужно специально, — а диалоги с ботами секретными чатами не являются.

Зашифрованы ли сообщения в Instagram Direct сквозным шифрованием в 2026 году?

Нет. Instagram прекратил поддержку сообщений со сквозным шифрованием 8 мая 2026 года, и по умолчанию оно никогда не работало, поэтому считайте, что переписка с бизнес-аккаунтами сквозным шифрованием не защищена.

Готовы автоматизировать ответы, когда токены каналов зашифрованы алгоритмом AES-256-GCM? Начать бесплатно.