SANKET e Threema: uma alternativa ao Threema para organizações soberanas
Threema e SANKET têm pontos fortes em comum: não exigem número de telefone e permitem a instalação nos servidores da própria organização e em redes fisicamente isoladas. Na versão atual, SANKET acrescenta PQXDH e SPQR pós-quânticos, autenticação através do diretório da própria organização, listas de dispositivos assinadas, autenticação mútua dos dispositivos por TLS e difusão prioritária cifrada, disponibilizados por um fornecedor indiano.
Sobre Threema
Threema GmbH · Suíça
Threema é um serviço suíço de mensagens seguras para particulares (Threema), organizações (Threema Work) e instalações alojadas nos servidores da própria organização (Threema OnPrem). Cifra de ponta a ponta mensagens, conteúdos multimédia e chamadas, bem como nomes de grupos e listas de membros, utiliza o protocolo Ibex e não exige número de telefone para o registo. Em fevereiro de 2026, anunciou trabalhos com a IBM Research sobre criptografia híbrida pós-quântica.
SANKET e Threema: comparação lado a lado
| Critério | SANKET | Threema |
|---|---|---|
| Quem controla a infraestrutura | O cliente. Uma instalação dedicada por organização, em infraestrutura que ela possui ou escolhe, sem nenhum serviço operado pelo fornecedor no caminho das mensagens. | Servidores da Threema em Zurique ou servidores do próprio cliente com Threema OnPrem. |
| Opções de implantação | Instalação dedicada em qualquer nuvem e em qualquer região escolhida pelo cliente (ou alojamento da Tosh Defence), nas instalações do cliente ou totalmente isolada das redes; num único servidor ou em configuração de alta disponibilidade com recuperação numa segunda localização. | Serviço alojado ou Threema OnPrem alojado na própria infraestrutura, incluindo ambientes totalmente isolados de outras redes. |
| Quem detém as chaves e controla a identidade | O cliente e seus usuários. As chaves são geradas em cada dispositivo e protegidas por armazenamento com suporte de hardware; as identidades são Sanket IDs controladas pelo cliente, sem exigência de usar um número de telefone pessoal como identidade. | Um identificador Threema aleatório, sem exigência de número de telefone; vincular um número de telefone ou endereço de correio eletrônico é opcional. |
| Protocolo de encriptação | Signal Protocol através da biblioteca oficial libsignal do Signal, auditada de forma independente. Mensagens com AES-256-CBC e HMAC-SHA256 no âmbito da libsignal; ficheiros e chamadas com AES-256-GCM; TLS apenas com conjuntos criptográficos AES-256-GCM. | Íbice (desde 2023). |
| Proteção pós-quântica | Sim, na versão atual: PQXDH com uma pré-chave Kyber pós-quântica obrigatória e o mecanismo de rotação de chaves SPQR (Triple Ratchet), além de uma troca de chaves híbrida X25519MLKEM768 na extremidade TLS. | ML-KEM híbrido planeado em colaboração com a IBM Research (anunciado em fevereiro de 2026). |
| Grupos e chamadas cifrados de ponta a ponta por predefinição | Sim. As mensagens individuais e de grupo, as reações, as difusões encriptadas e os ficheiros são sempre encriptados de ponta a ponta; as chamadas de voz e vídeo utilizam encriptação de fotogramas AES-256-GCM com cinco novas chaves de fotograma por segundo, dentro de SRTP AES-256-GCM. | Sim: mensagens de texto e de voz, dados multimédia e chamadas encriptados de ponta a ponta, bem como os nomes dos grupos e as listas de membros. |
| Fornecedor de identidade do cliente (SSO / LDAP) | Sim. Autenticação pelo diretório OIDC, SAML 2.0 ou LDAP do próprio cliente, provisionamento SCIM 2.0 e chaves de segurança FIDO2 para administradores. | Not publicly documented |
| Controles administrativos e governança de dispositivos | Aprovação e revogação de dispositivos, modo de perda e apagamento remoto, listas de dispositivos assinadas, TLS mútuo de dispositivos, políticas de retenção, reencaminhamento e área de transferência, etiquetas de classificação definidas pelo cliente e um registo de auditoria com encadeamento de hashes para o SIEM do cliente. | Portal de administração para instalações em infraestrutura própria, suporte para gestão de dispositivos móveis e nome, ícone e cores da aplicação com a marca do cliente. |
| Soberania dos dados (jurisdição, desenvolvido na Índia) | Desenvolvido na Índia pela Tosh Defence. Os dados permanecem na jurisdição e na infraestrutura escolhidas pelo cliente, sem análise de dados por terceiros e sem dependência de serviços externos estrangeiros para a execução dos produtos. | Threema GmbH, Suíça; servidores em Zurique. |
| Integridade das versões e controle de atualizações | Versões assinadas com Ed25519, verificadas antes da instalação, com bloqueio de versões, proteção contra a instalação de versões anteriores e reposição automática do estado anterior em caso de falha da atualização. O cliente decide quando atualizar, em linha ou através de um pacote autónomo assinado. | Not publicly documented |
| Plataformas | Aplicações nativas para iOS, Android, Windows, macOS e Linux. Sem navegador por conceção: não existe cliente Web que possa ser atacado. | iOS, Android, computadores e acesso pela Internet. |
Quem controla a infraestrutura
SANKET
O cliente. Uma instalação dedicada por organização, em infraestrutura que ela possui ou escolhe, sem nenhum serviço operado pelo fornecedor no caminho das mensagens.
Threema
Servidores da Threema em Zurique ou servidores do próprio cliente com Threema OnPrem.Opções de implantação
SANKET
Instalação dedicada em qualquer nuvem e em qualquer região escolhida pelo cliente (ou alojamento da Tosh Defence), nas instalações do cliente ou totalmente isolada das redes; num único servidor ou em configuração de alta disponibilidade com recuperação numa segunda localização.
Threema
Serviço alojado ou Threema OnPrem alojado na própria infraestrutura, incluindo ambientes totalmente isolados de outras redes.Quem detém as chaves e controla a identidade
SANKET
O cliente e seus usuários. As chaves são geradas em cada dispositivo e protegidas por armazenamento com suporte de hardware; as identidades são Sanket IDs controladas pelo cliente, sem exigência de usar um número de telefone pessoal como identidade.
Threema
Um identificador Threema aleatório, sem exigência de número de telefone; vincular um número de telefone ou endereço de correio eletrônico é opcional.Protocolo de encriptação
SANKET
Signal Protocol através da biblioteca oficial libsignal do Signal, auditada de forma independente. Mensagens com AES-256-CBC e HMAC-SHA256 no âmbito da libsignal; ficheiros e chamadas com AES-256-GCM; TLS apenas com conjuntos criptográficos AES-256-GCM.
Threema
Íbice (desde 2023).Proteção pós-quântica
SANKET
Sim, na versão atual: PQXDH com uma pré-chave Kyber pós-quântica obrigatória e o mecanismo de rotação de chaves SPQR (Triple Ratchet), além de uma troca de chaves híbrida X25519MLKEM768 na extremidade TLS.
Threema
ML-KEM híbrido planeado em colaboração com a IBM Research (anunciado em fevereiro de 2026).Grupos e chamadas cifrados de ponta a ponta por predefinição
SANKET
Sim. As mensagens individuais e de grupo, as reações, as difusões encriptadas e os ficheiros são sempre encriptados de ponta a ponta; as chamadas de voz e vídeo utilizam encriptação de fotogramas AES-256-GCM com cinco novas chaves de fotograma por segundo, dentro de SRTP AES-256-GCM.
Threema
Sim: mensagens de texto e de voz, dados multimédia e chamadas encriptados de ponta a ponta, bem como os nomes dos grupos e as listas de membros.Fornecedor de identidade do cliente (SSO / LDAP)
SANKET
Sim. Autenticação pelo diretório OIDC, SAML 2.0 ou LDAP do próprio cliente, provisionamento SCIM 2.0 e chaves de segurança FIDO2 para administradores.
Threema
Not publicly documentedControles administrativos e governança de dispositivos
SANKET
Aprovação e revogação de dispositivos, modo de perda e apagamento remoto, listas de dispositivos assinadas, TLS mútuo de dispositivos, políticas de retenção, reencaminhamento e área de transferência, etiquetas de classificação definidas pelo cliente e um registo de auditoria com encadeamento de hashes para o SIEM do cliente.
Threema
Portal de administração para instalações em infraestrutura própria, suporte para gestão de dispositivos móveis e nome, ícone e cores da aplicação com a marca do cliente.Soberania dos dados (jurisdição, desenvolvido na Índia)
SANKET
Desenvolvido na Índia pela Tosh Defence. Os dados permanecem na jurisdição e na infraestrutura escolhidas pelo cliente, sem análise de dados por terceiros e sem dependência de serviços externos estrangeiros para a execução dos produtos.
Threema
Threema GmbH, Suíça; servidores em Zurique.Integridade das versões e controle de atualizações
SANKET
Versões assinadas com Ed25519, verificadas antes da instalação, com bloqueio de versões, proteção contra a instalação de versões anteriores e reposição automática do estado anterior em caso de falha da atualização. O cliente decide quando atualizar, em linha ou através de um pacote autónomo assinado.
Threema
Not publicly documentedPlataformas
SANKET
Aplicações nativas para iOS, Android, Windows, macOS e Linux. Sem navegador por conceção: não existe cliente Web que possa ser atacado.
Threema
iOS, Android, computadores e acesso pela Internet.Onde o Sanket se destaca
- Mensagens pós-quânticas na versão atual: PQXDH com uma pré-chave Kyber obrigatória e o mecanismo de atualização de chaves SPQR.
- Integração com o sistema de identidade do cliente: SCIM, OIDC, SAML, LDAP e chaves de segurança FIDO2 para administradores.
- Listas de dispositivos assinadas e TLS mútuo entre dispositivos para todos os dispositivos aprovados.
- Difusão prioritária cifrada com confirmação de receção e etiquetas de classificação definidas pelo cliente dentro da cifragem.
- Um fornecedor indiano e uma opção sob jurisdição indiana para órgãos governamentais e compradores do setor de defesa da Índia.
Perguntas frequentes
Qual é uma boa alternativa ao Threema para organizações?
SANKET (Sanket.Chat), da Tosh Defence. Tal como o Threema, dispensa um número de telefone e pode ser instalado nos servidores da organização ou numa rede isolada. Acrescenta PQXDH e SPQR pós-quânticos, um fornecedor de identidade próprio da organização e listas de dispositivos assinadas.
O SANKET exige um número de telefone?
Não é necessária uma identidade baseada num número de telefone pessoal. Os utilizadores são identificados pelo Sanket ID, e uma instalação sem fornecedor de serviços de mensagens de texto não recolhe números de telefone.
As mensagens da aplicação SANKET são, atualmente, seguras contra ataques pós-quânticos?
Sim. Cada sessão utiliza PQXDH com uma pré-chave Kyber pós-quântica obrigatória e o mecanismo de atualização de chaves SPQR em conjunto com o Double Ratchet, através da biblioteca oficial libsignal do Signal.
Fontes
- Livro branco sobre a segurança técnica e a arquitetura do SANKET, edição pública 2.0 (7 de outubro de 2026)
- Threema: Segurança
- Threema OnPrem
- Publicação no blogue da Threema: um futuro seguro face à computação quântica (24 de fevereiro de 2026)
- Threema Private
- Publicação no blogue da Threema: anonimato
Sources checked on 7 October 2026. Os dados sobre os concorrentes provêm apenas das fontes indicadas. Quando não foi encontrada uma fonte pública, a célula apresenta «Não documentado publicamente». Os nomes dos produtos e das empresas são marcas comerciais dos respetivos titulares.
Mantenha suas comunicações sob seu próprio controle
Fale com a equipe da Tosh Defence sobre a sua implantação, desde uma instalação em nuvem dedicada até um ambiente totalmente isolado das redes, ou leia primeiro a arquitetura de segurança completa.