Como o Capy funciona

Na maioria dos apps, uma mensagem vai de você para o servidor de uma empresa, e o servidor a repassa. O Capy não tem esse servidor. Seu computador se conecta aos computadores das pessoas da sua sala. O app não faz requisições à web, com uma exceção que você controla: o seu próprio aparelho busca uma página para mostrar a prévia de um link que você digita. Um link que você clica numa mensagem abre no seu próprio navegador, como abriria em qualquer outro app; as janelas do Capy não o carregam.

Para se encontrarem, os aparelhos usam uma lista telefônica pública que ninguém controla, chamada tabela hash distribuída (DHT). Cada sala tem um tópico. Os aparelhos que o compartilham o procuram, descobrem o endereço uns dos outros e se conectam. Uma técnica chamada hole punching faz a conexão atravessar roteadores e firewalls domésticos, e tudo no enlace é criptografado de ponta a ponta.

Às vezes não dá para fazer uma conexão direta, por exemplo entre duas redes móveis rígidas. Aí o Capy passa por um relay cego: um computador mantido pela equipe do Capy que repassa os bytes criptografados entre os dois aparelhos. Ele não consegue lê-los, e só é usado quando a conexão direta não é possível. Arquivos grandes e os Arquivos de uma sala nunca passam pelo relay: eles esperam uma conexão direta.

Não há cadastro, e-mail nem senha. Quando você começa, o Capy cria 24 palavras. Elas são a sua identidade. O Capy as guarda no seu aparelho, num arquivo que só a sua conta de usuário consegue ler, e não as envia a lugar nenhum.

A partir das palavras, o Capy deriva uma chave de identidade Keet. A cada vez que o app roda, ele também cria uma chave nova para este aparelho, e a sua identidade a atesta. A chave do aparelho assina tudo o que você escreve: mensagens, seu perfil e confirmações de leitura. O app de todo mundo confere essas assinaturas, então uma mensagem sem a sua assinatura não aparece como sua, e nenhum servidor precisa dizer quem você é.

Digite as mesmas palavras em outro computador e ele encontra seus outros aparelhos sozinho, e suas salas vêm junto. Ao sair da conta, o aparelho esquece as palavras e guarda as suas salas, menos as seguras, para quando você digitá-las de novo. Para apagar a cópia deste computador, Sair e apagar, no fim de Ajustes → Privacidade e segurança, remove tudo o que o Capy guardou da conta aqui, e as suas salas continuam com as outras pessoas delas e nos seus outros aparelhos.

O aparelho de cada membro mantém o seu próprio registro e acrescenta a ele. O Autobase junta todos os registros numa só ordem com a qual todos os aparelhos concordam, e um pequeno banco de dados por cima (HyperDB) a transforma em mensagens, perfis e tarefas. Não existe cópia central: a sala é a soma das cópias dos seus membros.

Você entra com um convite, um código que você cola ou lê como QR code. Seu app envia um pedido, e o app de um membro que esteja online confere o convite e deixa você entrar. A partir daí todo o histórico é replicado para você, porque o aparelho de cada membro guarda uma cópia.

Nenhum aparelho confia num registro só porque ele chegou. Antes de valer, cada aparelho confere o formato, o tamanho, a assinatura e se o autor pode fazer aquilo, como remover alguém ou renomear a sala. Um registro que falha é ignorado do mesmo jeito em todo lugar.

A sala também aguenta um membro que tenta quebrá-la. Cada aparelho limita quanto recebe ao vivo de cada pessoa, na sala e nas chamadas dela, e de quem a sala nunca deixou entrar, então ninguém consegue inundar o app dos outros. Se um membro envia muito mais do que qualquer pessoa envia, ou algo que não dá para ler, o Capy para de receber o que ele envia naquele computador e segue com o de todos os outros; a sala avisa acima do campo de mensagem, e quem criou a sala ou um admin pode removê-lo dali. E ninguém consegue fazer o seu computador perder outra coisa: Apagar para todos limpa só os arquivos daquela mensagem, e Remover de Arquivos tira um arquivo da lista sem tocar na cópia de mais ninguém.

Uma sala vive nos aparelhos dos seus membros. Se todos estiverem offline, quem volta não tem de quem copiar. Um blind peer cobre essa lacuna. É um computador feito para ficar online que guarda uma cópia criptografada dos dados da sala, arquivos do chat de até 25 MB incluídos, e a entrega aos membros quando eles voltam. Arquivos maiores e os Arquivos de uma sala nunca vão para ele. Ele nunca tem a chave que abre nada disso, por isso é cego.

O Capy já vem com um, mantido pela equipe do Capy, e não há nada a configurar: cada sala é registrada nele ao abrir, exceto as salas seguras, que nunca são. Um blind peer guarda blocos assinados, então pode mantê-los ou descartá-los, mas não consegue alterá-los.

Ele também guarda as cópias seladas das chaves das mensagens, que permitem abrir uma mensagem com quem a escreveu offline (mais em armazenamento).

Fotos, vídeos e arquivos entram numa sala pelo botão de anexar, arrastando para a janela ou colando. As fotos aparecem na conversa e abrem num visualizador que dá zoom com a roda do mouse, com o gesto de pinça ou com os botões dele: diminuir, aumentar, voltar a caber na janela e tamanho real. Vídeos e áudios tocam ali mesmo, e qualquer arquivo pode ser salvo. As miniaturas de fotos e vídeos são feitas no seu computador.

Até 25 MB, um arquivo no chat viaja como as mensagens da sala. Ele é criptografado com a chave da sala e vem de quem o tiver. Quando dois aparelhos não conseguem se conectar direto, ele pode passar pelo relay cego da equipe, que só repassa bytes criptografados, e o blind peer da equipe guarda uma cópia criptografada, para que um membro que estava offline o receba mesmo sem mais ninguém online. Nenhum dos dois consegue abri-lo. Mensagens de vídeo e de voz têm o mesmo limite de 25 MB.

Dois tipos de arquivo não funcionam assim. Um arquivo acima de 25 MB é um arquivo grande, e todo arquivo nos Arquivos de uma sala segue a mesma regra de um arquivo grande: eles só andam por conexões diretas, nunca pelos ajudantes da equipe. Por isso só chegam enquanto você e alguém que tem o arquivo estão os dois online, ao mesmo tempo. A tabela mostra os três lado a lado.

Um arquivo chegando diz como está indo, pelo que o seu computador mede: quanto já veio, a velocidade, quanto falta, mais ou menos, quando a velocidade se firma, e de quantos computadores vem. Quando ainda não dá para vir, ele diz por quê, como “Esperando Ana ficar online” ou “Esperando a chave da mensagem”, e “Não foi possível baixar” vem com Tentar de novo. As fotos, os arquivos e as mensagens de voz e de vídeo de uma mensagem baixam enquanto a mensagem está na sua tela.

Um arquivo no chat pode ter até 10 GB. Acima de 25 MB ele é um arquivo grande, e nunca baixa sozinho: o cartão mostra o nome, o tamanho e Baixar. Antes de um download começar, o Capy confere se cabe no seu disco. Um arquivo grande precisa ser um arquivo do seu computador: um colado da área de transferência pode ter no máximo 25 MB.

Um arquivo grande só anda entre dois aparelhos conectados direto. Ele nunca passa pelo relay cego da equipe, e o blind peer nunca o guarda. Por isso ele só se move enquanto quem o enviou, ou alguém que tem o arquivo inteiro, está online e alcançável direto. Quando ninguém está, o download espera e o cartão diz “Esperando … estar online junto com você”, com o nome de quem enviou.

Um download pode ser pausado e retomado, mantendo o que já veio, ou cancelado, o que limpa o que veio. Enquanto ele anda, e enquanto você envia um, o cartão mostra quanto já passou, a velocidade e, quando a velocidade se firma, quanto falta, mais ou menos. Os Arquivos de uma sala seguem essas mesmas regras para todo arquivo, de qualquer tamanho: um arquivo ali só chega até você enquanto você e um membro que o tem estão os dois online ao mesmo tempo.

Além do que é enviado no chat, uma sala tem uma aba Arquivos: uma árvore de pastas e arquivos que as pessoas da sala mantêm juntas. Qualquer pessoa da sala pode enviar um arquivo ou uma pasta inteira com as subpastas, criar pastas, renomear e mover, e pôr uma versão nova de um arquivo por cima da antiga.

O aparelho de cada membro grava o que ele adiciona num drive só seu para aquela sala, um Hyperdrive. O registro da sala guarda registros assinados que põem cada arquivo na árvore compartilhada: onde ele fica, o tamanho, uma impressão digital do conteúdo, quem o adicionou e quando. Cada aparelho confere esses registros antes de mostrá-los, como faz com as mensagens.

Nada em Arquivos baixa sozinho. Um arquivo ou uma pasta vem quando você aperta Baixar, com pausar, retomar e cancelar, e só por conexões diretas, de qualquer tamanho: o relay da equipe nunca carrega esses arquivos e o blind peer nunca os guarda. Por isso um arquivo só se move enquanto você e alguém que o tem estão os dois online, ao mesmo tempo: se quem o adicionou está offline e mais ninguém o tem, ele espera até vocês dois estarem online. Envios e downloads mostram quanto já foi, a velocidade e, quando ela se firma, quanto falta, mais ou menos.

Quando você digita um link no campo de mensagem, o Capy monta um cartão de prévia: o título da página, uma descrição curta, o nome do site e uma imagem pequena. Para montá-lo, o seu computador busca essa página. O cartão aparece no campo de mensagem com um ×, para você tirá-lo antes de enviar.

A prévia então viaja dentro da sua mensagem assinada. As outras pessoas da sala nunca buscam nada: os aparelhos delas não falam com o site, e todo mundo vê o mesmo cartão, inclusive quem estava offline quando você enviou.

Essa é a única vez em que o Capy busca uma página da web, e isso acontece no processo de fundo do app: as janelas do app continuam sem fazer requisições à web. O Capy só busca endereços http e https, nunca um da sua própria rede ou do seu computador, confere isso de novo a cada redirecionamento (três no máximo) e para depois de 5 segundos, 512 KB de página ou 2 MB de imagem. A imagem vira uma imagem pequena no seu aparelho.

Tudo vive nos aparelhos dos membros, numa pasta que o app mantém (um Corestore). O Capy não tem banco de dados central. Fotos, vídeos e arquivos enviados no chat vão em cores próprios, criptografados com a chave da sala para que um blind peer não consiga lê-los. Os Arquivos de uma sala vão no drive próprio de cada membro, que o blind peer nunca recebe.

Cada mensagem é selada com uma chave só dela. Essa chave nunca está no registro da sala. Ela fica num arquivo separado em cada aparelho e só viaja para os membros, pelas conexões criptografadas da sala.

Para uma mensagem abrir enquanto quem a escreveu está fora, cada aparelho publica uma nova prekey por dia. Quem escreve sela a chave de cada mensagem para as prekeys dos outros aparelhos, e os blind peers guardam essas cópias. Só o aparelho dono de uma prekey consegue abrir a sua cópia.

Uma sala segura é para 2 a 8 pessoas. Tem pasta e armazenamento próprios, que não são compartilhados com nada mais no app, e não guarda nada além do chat: sem arquivos, transcrições, atas, notas ou IA.

A chave é criada no aparelho de quem criou a sala e fica num único arquivo no aparelho que só a sua conta de usuário consegue ler, selado com o chaveiro do sistema onde houver um (as Chaves no Mac, a DPAPI no Windows, o secret service no Linux), então uma cópia do arquivo não serve fora da sua sessão. Ela continua ali ao fechar e reiniciar. A sala é apagada para todo mundo quando a chamada termina, então ninguém começa uma chamada ali sozinho: o botão de chamada e o Iniciar chamada do lobby esperam outro membro estar online, dizendo “Comece a chamada quando outra pessoa estiver aqui”. Entrar numa chamada que já está acontecendo sempre funciona. Se nenhuma chamada a encerrar, ela é apagada um dia depois de criada, um limite de segurança que ninguém configura: criar uma sala segura só pergunta quantas pessoas cabem nela. Quem a criou pode apagá-la a qualquer momento, e sair da conta a apaga naquele aparelho. Apagar limpa cada core do armazenamento e remove a pasta, arquivo da chave incluído.

Uma sala segura não anuncia tópico, então não pode ser encontrada na DHT. Os membros se conectam direto uns aos outros pela chave. Ela nunca entra na lista da sua conta e nunca é entregue a um blind peer. Enquanto uma está aberta, o Capy pede ao macOS e ao Windows que deixem as suas janelas fora de capturas de tela, gravações e compartilhamento de tela, o que algumas ferramentas de captura podem não respeitar. O Linux não consegue isso, e o Capy avisa. No Mac, a pasta dela é marcada para o Time Machine deixá-la fora dos backups.

Seu microfone é codificado em áudio Opus e sua câmera em vídeo VP8. Os dois são cortados em pacotes pequenos e enviados direto aos outros da chamada, pelas mesmas conexões criptografadas que a sala usa, como mensagens fora de ordem que não esperam umas pelas outras.

Uma chamada recebe até 16 pessoas ao mesmo tempo, e a de uma sala segura as 2 a 8 para as quais ela foi criada; a sala em si pode ter mais membros. Cada aparelho dá os lugares na ordem em que viu as pessoas entrarem na chamada, guarda o lugar até a pessoa sair, e troca o áudio e o vídeo da chamada só com quem tem lugar. Quando a chamada está cheia, Entrar diz “Esta chamada está cheia · 16 de 16”, e quem entrou no mesmo instante que o último lugar vê “A chamada encheu logo antes de você” e pode entrar quando alguém sair.

Uma chamada se adapta à conexão enquanto acontece. O vídeo, da câmera ou de uma tela compartilhada, começa em cerca de metade da taxa e sobe enquanto a conexão segue boa, e recua quando ela piora ou quadros continuam se perdendo. O som espera um pouco mais pelas vozes que chegam atrasadas, e volta ao normal quando elas deixam de atrasar. Enquanto uma chamada sofre, a IA que só acompanha a chamada no seu computador (o resumo ao vivo, as sugestões e a tradução das legendas) espera, para que a chamada tenha o computador primeiro.

Os insights da chamada também não vêm de um servidor. No seu computador, um detector de voz percebe quando você fala. Seu aparelho grava isso, assinado, na sala: em lotes, a cada 5 segundos e quando você sai. Cada aparelho calcula então a divisão de fala e as interrupções a partir dos mesmos registros, e por isso todas as telas mostram os mesmos números, inclusive para quem entrou tarde.

O sinal de conexão, as barras nos blocos e o cartão no lobby e nos Insights da chamada, vem do que o Capy mede de verdade: o tempo de ida e volta, quanto uma mensagem pequena leva para chegar a outro aparelho e voltar, e a perda, quantos pacotes não chegam. Cada pacote de áudio e de vídeo leva um número, e assim o aparelho que os recebe sabe quais chegaram, quais se perderam e quais chegaram atrasados. Um tempo de ida e volta na rede não é o atraso que você ouve numa chamada, então o Capy não o mostra como se fosse: você vê as barras, ou Boa, Média ou Ruim com uma frase simples, como “Por um teste rápido, o vídeo pode travar. As vozes devem ir bem.”

Quando outra pessoa compartilha a tela ou apresenta um PDF, isso ocupa a sua tela, mas ninguém é obrigado a assistir: Minimizar guarda a apresentação num chip no topo da chamada, com a página no caso de um PDF, e Mostrar a traz de volta. Minimize a mesma pessoa uma segunda vez e o que ela compartilhar fica minimizado pelo resto da chamada, o que dá para desfazer. No canvas, Esc primeiro para de seguir quem o conduz e depois o minimiza também. Só a sua tela muda: nada disso é enviado, e quem apresenta não fica sabendo.

Ninguém hospeda uma chamada. Qualquer pessoa nela pode avançar a rodada, marcar uma decisão ou editar as notas. Quem criou a sala, ou um admin, pode silenciar ou remover alguém, e cada app obedece só a eles.

A IA do Capy é o QVAC, a IA local da Tether. Você escolhe e baixa cada modelo uma vez em Ajustes → Notas e IA, e ele chega pela rede peer-to-peer, não por um site. Até você baixar um, esses recursos ficam desligados. Os modelos rodam então num segundo processo no seu computador.

Ninguém transcreve você além de você. Com a transcrição ligada, seu computador transforma a sua própria voz em texto com Whisper ou Parakeet e assina cada frase na sala. O texto é compartilhado com a sala: essa é a transcrição. O áudio não é guardado.

Quando uma chamada termina para você, o seu computador faz o resto sozinho, se tiver um modelo de atas: primeiro a sua própria ata, depois as decisões, tarefas e perguntas sem resposta que encontrou, para você adicionar com um clique, e então os capítulos da transcrição. Ele nunca faz isso enquanto você está em outra chamada, e se o Capy fechou antes, ele faz da próxima vez que abrir, para chamadas dos últimos dois dias. A sua ata fica no seu computador e aparece primeiro nas notas da chamada. Se a sala ainda não tem ata daquela chamada, a sua é compartilhada com ela, então quem não tem modelo, ou está num Capy mais antigo, ainda tem uma ata para ler, e o Capy mostra de quem ela é. A ata e as sugestões têm cada uma o seu botão em Ajustes → Notas e IA.

Não há servidor de atualização. A equipe do Capy publica cada versão na rede Pear, e o app a baixa de outros computadores que já a têm, do mesmo jeito que uma sala é replicada. Seu app confere ao abrir. Quando surge uma versão nova com ele aberto, o Capy a procura depois de uma espera curta e aleatória, de poucos minutos no máximo.

Quando o download termina, um cartão na barra lateral oferece Reiniciar agora. Numa chamada ele espera: o cartão oferece reiniciar quando a chamada acabar, e só reinicia na hora se você escolher Reiniciar agora mesmo assim. Uma versão de produção exige um quórum das chaves de assinatura da equipe, então uma chave sozinha não consegue lançar uma atualização.

No macOS e no Linux, uma atualização para a qual ninguém reinicia se instala sozinha. Depois de ficar pronta por duas horas com o Capy aberto (o tempo em repouso não conta), o Capy espera um momento tranquilo: nenhuma chamada nem uma tocando, nenhuma sala segura na tela, nenhum arquivo sendo enviado ou baixado, nada sendo gravado, e você longe do computador há três minutos ou com a janela fora de vista. Aí o cartão faz uma contagem de um minuto, com Reiniciar agora e Agora não. Agora não adia por pelo menos uma hora, até três vezes, e uma chamada que começa para a contagem. Da próxima vez que o Capy abrir, ele avisa que foi atualizado enquanto você estava fora. No Windows ele nunca reinicia sozinho.

Se uma versão nova falha ao abrir duas vezes seguidas, o Capy recoloca o app anterior e não tenta aquela versão de novo até chegar uma mais nova. Num Mac fora da pasta Aplicativos, o Capy oferece se mover para lá para poder se atualizar depois.

Versões anteriores à 1.0.8 podiam esperar até uma hora por isso. Fechar e abrir o Capy de novo confere na hora.

O Capy roda em duas partes no seu computador: a janela que você vê e uma parte em segundo plano que guarda as suas salas e conversa com os outros aparelhos. Um erro não derruba mais a parte em segundo plano: ele é anotado, e o resto segue. Se ela parar mesmo assim, o Capy a inicia de novo sozinho, depois de 1, 5 e então 30 segundos, e a janela diz “Reconectando…” e depois “O Capy se reconectou”. Depois de três tentativas seguidas, ele para e oferece Reiniciar.

A janela também se cuida. Se ela cair, carrega de novo, até três vezes em dois minutos, e se parar de responder por 10 segundos, o Capy pergunta se você quer esperar ou carregá-la de novo. Uma mensagem que o Capy não consegue mostrar aparece como “Não foi possível mostrar esta mensagem”, enquanto o resto da sala aparece normalmente, e se o seu microfone, câmera, compartilhamento de tela ou som parar numa chamada, o Capy avisa e diz como ligar de novo.

Quando a janela carrega de novo, o que você estava escrevendo numa sala volta, e também uma mensagem que você enviou enquanto a parte em segundo plano estava fora, até a sala mostrá-la. Numa sala segura nada é guardado para isso.

Os erros ficam no seu computador e não vão a lugar nenhum a menos que você envie um relatório em Ajustes → Ajuda e feedback, onde você vê antes exatamente o que vai. Num relatório, cada erro diz em qual versão do Capy aconteceu e o mais recente vem primeiro, e a lista no seu computador começa do zero depois de uma atualização. Para uma chamada que foi mal, um relatório também pode levar um registro, segundo a segundo, de até os últimos 15 minutos dela: se a conexão era direta ou pelo relay, o tempo de ida e volta, a perda, o jitter, a taxa de envio, quão ocupado o app estava e quais tarefas de IA estavam rodando, sem nomes, chaves ou endereços.