WhatsApp o Signal: backup e crittografia a confronto

WhatsApp e Signal proteggono il contenuto delle chat con cifratura end-to-end. Se la scelta riguarda anche la possibilità di ritrovare le conversazioni dopo la perdita del telefono, la differenza decisiva è il backup: conta quali dati contiene, dove viene conservato e che cosa serve per aprirlo.

Signal offre un archivio cifrato facoltativo con limiti precisi per i media e una chiave di recupero che il servizio non può sostituire. WhatsApp permette di cifrare il backup conservato nel cloud e offre più metodi per proteggerne l’accesso. Chi vuole ridurre i contenuti archiviati può preferire il primo modello; chi vuole conservare la cronologia nel proprio account cloud deve valutare con attenzione la configurazione del secondo.

Stesso protocollo di base, applicazioni diverse

La parentela crittografica delle chat è reale. Uno studio sulle implementazioni di Signal Desktop e WhatsApp Web, pubblicato nel 2026, descrive l’uso del protocollo Signal in entrambe le applicazioni. I ricercatori hanno verificato proprietà di autenticazione e segretezza dei componenti centrali nei loro modelli e hanno osservato differenze non documentate tra libsignal e il fork usato da WhatsApp.

Il perimetro del risultato è importante: il monitoraggio riguarda quelle applicazioni, le esecuzioni osservate e le astrazioni impiegate nello studio. Non assegna un voto complessivo alla sicurezza di ogni versione mobile. Per il lettore, distingue il protocollo teorico dal comportamento del software e, soprattutto, dalla sorte del messaggio dopo la consegna. Una chat protetta durante il trasferimento può essere copiata in un archivio con proprie chiavi e regole di recupero.

Signal: quali conversazioni tornano con Secure Backups

Secondo la guida ai Signal Secure Backups, la funzione è facoltativa e usa una chiave di recupero di 64 caratteri: l’archivio gratuito include tutti i messaggi di testo previsti dalla funzione, ma soltanto i media degli ultimi 45 giorni. Un piano a pagamento consente di conservare più media. I messaggi visualizzabili una sola volta e quelli destinati a scomparire entro le successive 24 ore sono esclusi dall’archivio.

Questo limite può produrre un ripristino diverso da quello che suggerisce la vecchia chat sul telefono: il testo può riapparire mentre una foto o un allegato più datato manca. È un criterio concreto per chi usa le conversazioni anche come deposito di immagini e documenti. Il piano a pagamento modifica la quantità di media conservabili, non la necessità di custodire la chiave.

Se Secure Backups non era stato attivato, non esiste un archivio di questa funzione da ripristinare. Se invece la chiave viene persa, Signal dichiara di non poter leggere né recuperare il backup. Le procedure di ripristino sono previste su Android e iOS durante la configurazione: riavere il numero di telefono permette di registrare l’account, ma non sostituisce la chiave necessaria per decifrare l’archivio.

WhatsApp: il cloud e la custodia della chiave

WhatsApp separa a sua volta la cifratura delle chat da quella del backup. La descrizione tecnica di Meta attribuisce al Backup Key Vault basato su moduli HSM la custodia del codice di recupero dei backup cifrati end-to-end e lo dichiara inaccessibile a Meta e ai fornitori cloud. È un’infrastruttura gestita dal servizio: il suo ruolo è diverso dalla chiave di Signal, che l’utente deve conservare direttamente.

La guida WhatsApp ai backup cifrati indica che messaggi e media vengono salvati nell’account Google o in iCloud e che l’archivio può essere protetto con password, passkey o chiave di cifratura di 64 cifre. La stessa guida avverte che, senza la credenziale scelta, il backup cifrato non è accessibile. Le 64 cifre di WhatsApp e i 64 caratteri della chiave Signal appartengono a sistemi diversi: la somiglianza del numero non li rende intercambiabili.

Per valutare il recupero conta la configurazione effettiva, non la sola disponibilità della funzione. Occorrono un backup esistente, l’accesso all’account cloud che lo conserva e il metodo previsto per aprirlo. La custodia tramite HSM descritta da Meta riguarda il sistema di recupero dei backup protetti con password; non è una garanzia che ogni backup WhatsApp sia stato cifrato end-to-end o che ogni metodo di accesso segua lo stesso percorso.

Metadati e dispositivi: due limiti della cifratura

Il contenuto delle chat non coincide con tutte le informazioni trattate da un servizio di messaggistica. La privacy policy di Signal indica che per registrarsi serve un numero di telefono, che i messaggi cifrati destinati a dispositivi offline possono essere accodati temporaneamente sui server e che vengono conservati dati tecnici necessari a chiamate e consegna. Queste categorie vanno considerate separatamente dal testo leggibile di una conversazione.

Il confronto dei metadati richiede quindi domande più precise di «le chat sono cifrate?»: quali dati identificano l’account, quali servono per recapitare i messaggi e quali restano sui dispositivi. La comune base crittografica delle chat non implica pratiche identiche per queste informazioni. Allo stesso modo, un telefono già sbloccato può mostrare a chi lo usa i messaggi presenti nell’app: la protezione del trasferimento non controlla l’accesso fisico al dispositivo del destinatario.

Anche la piattaforma incide sul recupero. Signal documenta il ripristino dei Secure Backups nelle procedure per Android e iOS; WhatsApp colloca il backup cloud nell’account Google o in iCloud. Avere una copia nel cloud e poterla aprire sul nuovo telefono sono passaggi distinti. Prima di considerare una cronologia al sicuro, bisogna sapere quale archivio è stato creato e quali credenziali saranno disponibili dopo il cambio di dispositivo.

La matrice che decide la scelta

Chat: entrambe usano una base crittografica affine; le implementazioni osservate non sono identiche.
Metadati: numero di registrazione e dati tecnici di consegna sono questioni separate dal contenuto cifrato.
Backup: Signal richiede l’attivazione dei Secure Backups; su WhatsApp va controllata l’impostazione della cifratura del backup cloud.
Media: il piano gratuito di Signal ha un limite temporale per gli allegati; per WhatsApp conta ciò che è presente nella copia creata nell’account cloud.
Recupero e piattaforme: Signal richiede la propria chiave su Android e iOS; WhatsApp richiede l’account cloud e la credenziale associata al backup cifrato.
Messaggi effimeri: nei Secure Backups di Signal alcuni contenuti prossimi alla scadenza sono esclusi; la durata di un messaggio va comunque distinta dall’accesso a una copia già visibile su un dispositivo.

Se perdere una vecchia foto è accettabile, ma perdere la chiave di recupero non lo è, Signal rende particolarmente chiaro il prezzo di quella scelta. Se la priorità è mantenere una cronologia di messaggi e media nel proprio account cloud, WhatsApp offre quel percorso con più opzioni di accesso. In entrambi i casi, la possibilità di recuperare le conversazioni dipende dal backup realmente creato e dalle credenziali ancora disponibili quando il telefono non c’è più.