纸飞机安全与隐私核查：加密链路、自毁 7 档与会话治理

安全类内容最容易出错的地方是把宣传语当结论，本页先把可写与不可写的边界划出来。

• 本文不引用未经证实的泄露结论。凡涉及某次安全事件是否发生、影响范围多大，均不在本页范围内，因为这类结论需要可复核的取证材料，而公开渠道无法满足（来源：本站编辑口径，2026-10-15 核对）。
• 本文不把机制描述写成结果承诺。秘密聊天在客户端侧以 AES-256-GCM 加密后再上行，属于可核对的实现描述；至于某个具体账号是否被他人成功攻击，取决于设备本身与使用习惯，不能由机制直接推出（来源：官方文档 secret-chats，2026-10-15 核对）。
• 本文涉及的 7 档自毁时长、20 万人成员上限、2 GB 文件上限等数字，全部为官方公开文档中的表述，核对时间统一为 2026-10-15（来源：官方文档，2026-10-15 版本）。
• 本文不复述任何无法证伪的断言。对于绝对化说法，本站的处理方式是删除而不是弱化改写，避免二手传播时被当成核查结论（来源：本站编辑口径，2026-10-15 核对）。

读者可以按本页条目号逐条回到官方文档比对；若官方表述已更新而本页未同步，属于本站的疏漏，可通过页脚邮箱指正。

官方文档按 2 类形态分别描述加密方式，这 2 类不能混为一谈。

• 对称层使用 AES-256-GCM 时，密文与校验标签一并随消息上行，服务端保存的是这段密文而非明文内容（来源：官方文档 secret-chats 章节，2026-10-15 核对）。
• 端到端加密只覆盖 1 个联系人的一对一会话，把内容放进群组之后，加密形态会退回客户端与服务器之间这一类（来源：官方文档，2026-10-15 核对）。

自毁是官方写明的销毁机制，属于可核对的行为描述，不属于承诺性表述。

1. 选择档位：在会话内打开计时器设置，从 7 档中选定 1 档（来源：官方帮助中心，2026-10-15 核对）。
2. 生效范围：计时器一旦开启即作用于当前会话内的全部消息，包括之后新增的消息。
3. 到期行为：计时归零时正文与随附附件一并销毁，接收端不留可读副本（来源：官方帮助中心，2026-10-15 核对）。
4. 撤回无效：到期后发送方没有找回或撤回入口，若需留档请改用云端聊天并自行留存。
5. 修改时长：可在计时器设置中切换档位，切换后新时长立即作用于该会话（来源：官方文档，2026-10-15 核对）。

• 自毁机制只存在于秘密聊天，云端聊天与群组聊天不提供该计时器，这是官方文档写明的形态差异（来源：官方文档，2026-10-15 核对）。
• 销毁行为针对的是消息本身，对方在到期前自行截图或拍照属于接收方操作，发送方计时器对此没有约束力（来源：本站整理，依据官方文档边界，2026-10-15 核对）。
• 把重要文件放进自毁会话前应先确认是否需要留档，因为到期后附件与正文是同步销毁的，不存在只销毁文字而保留文件的情况（来源：官方帮助中心，2026-10-15 核对）。

两步验证与短信验证码是并行的 2 条通道，作用对象是账号本身而不是某一条消息。

1. 设置独立密码：设定 1 个与解锁密码不同的独立密码，避免一处泄露导致两处同时失守（来源：官方文档 两步验证，2026-10-15 核对）。
2. 绑定恢复邮箱：填写 1 个可长期访问的邮箱，作为忘记密码时的恢复通道（来源：官方文档，2026-10-15 核对）。
3. 妥善保存：密码与恢复邮箱任一失效，官方文档未提供人工找回入口（来源：官方文档，2026-10-15 版本）。
4. 换机前先核对：在新设备登录前确认两步验证配置未被改动，避免登录流程卡在验证环节（来源：本站整理，依据官方文档，2026-10-15 核对）。

• 两步验证保护的是账号入口，一旦验证配置被他人掌握，攻击者不需要破解消息加密即可登录账号，因此该配置的重要性高于单条消息的加密形态（来源：本站整理，依据官方文档，2026-10-15 核对）。
• 官方文档中未列出人工找回通道，这意味着恢复邮箱的可访问性属于使用者自身责任，第三方站点无法代为处理（来源：官方文档 两步验证章节，2026-10-15 版本）。

账号出现异常时的处置顺序，比事后追溯更影响损失范围。

• 终止全部会话是第一步。官方客户端提供查看并结束其他设备的会话入口，终止后已授权的设备连接即失效（来源：官方文档，2026-10-15 核对）。
• 随后修改两步验证配置。1 个独立密码与 1 个恢复邮箱中若有任何一项被改动，应立即重设（来源：官方文档 两步验证，2026-10-15 核对）。
• 再核对设备列表与登录记录。当前账号可同时在 6 个平台登录，设备数量本身不代表异常，需要结合使用习惯判断（来源：官方客户端列表，2026-10-15 核对）。
• 最后检查秘密聊天状态。秘密聊天绑定发起时的 1 台设备，若设备被重装系统，该会话记录无法恢复（来源：官方文档，2026-10-15 版本）。
• 涉及资金或证件的会话建议改用云端聊天留档，因为群组聊天不提供端到端加密，而秘密聊天到期后会销毁（来源：官方文档，2026-10-15 核对）。

演示脚本复现自毁会话在界面上的状态变化，不含真实账号与真实联系人。

• 演示中的销毁态气泡对应官方文档描述的自毁行为：计时器到期后消息与附件一并销毁，接收端不留可读副本（来源：官方帮助中心，2026-10-15 核对）。
• 自毁会话内的附件与正文遵循同一条销毁规则，不会出现文字先销毁而文件仍保留的情况（来源：官方帮助中心，2026-10-15 核对）。

以下说法在二手内容中出现频率较高，逐条给出官方文档口径。

• 免费版与订阅版都能使用秘密聊天，两步验证也是 1 个密码加 1 个邮箱的同一套机制，订阅并不改变加密形态（来源：官方客户端说明，2026-10-15 核对）。
• 端到端加密的覆盖范围只有 1 个联系人的一对一会话，群组内的人数多少都不改变这一点（来源：官方文档，2026-10-15 核对）。

本页所有数字与机制的核对时间统一标注，便于后续复核。

本文不引用未经证实的泄露结论，也不把机制描述改写成结果承诺。凡官方文档没有写明的内容，本站一律留空，而不是用推测填补。

• 2026-10-15逐条复核官方文档中的加密形态、7 档自毁时长、两步验证组成与各项上限，本页内容以此为准。
• 2026-10-15核对域名 telegram.org 与 core.telegram.org 的公开表述，确认本文引用位置与原文一致。
• 2026-10-15为全部 8 个页面统一标注核对时间，sitemap 的更新时间与本页可见时间保持同步。
• 待更新官方文档出现数值变更时，本页条目号与内容同步修订，并在时间线上补记修订日期与改动条目。

• 本页 8 个章节共列出 8 组核查条目，每组都对应官方文档中可回溯的位置，复核时按条目号逐条比对即可（来源：官方文档，2026-10-15 核对）。
• 若某条目在官方文档中已不再存在，本站会直接删除该条目并保留其余内容，不会用近似说法顶替（来源：本站编辑口径，2026-10-15 核对）。