價值觀要靠機制守住。以下是 Cinderous 如何在不信任任何伺服器的前提下，安全地把一則訊息從你送到朋友手上。
你送出的每則訊息，先在你的裝置上以 Gift Wrap 加密；中繼站只轉發密文——看不到內容，也看不到寄件者。即時互動（檔案、在線、輸入中）另走 WebRTC P2P，直接點對點、完全不經中繼。
當網路裡有很多節點，沒有誰是必經之路。你和好友各自連上任一可用中繼——中繼只轉發密文；任何一座離線，訊息自動改走其他座。哪些節點可用，由維護者簽章的節點清單決定（登入自動選座），即時互動則走 WebRTC P2P 直連、完全不經中繼。
以 Nostr NIP-17/44/59（Gift Wrap）加密——中繼站看不到內容，也看不到寄件者。
透過 Nostr 中繼與 WebRTC P2P 通訊；沒有中央伺服器持有你的訊息，中繼只轉發密文。
私鑰與資料留在你的裝置。明文永不上雲，設備全毀即帳號終止——沒有可被傳喚的資料庫。
AGPL-3.0 授權，程式碼公開可稽核。沒有廣告、沒有帳號販售、沒有中心化營利。
為了在「零伺服器狀態」前提下仍能規模化、跨裝置、且通話穩定，Cinderous 近期落地了幾項機制——全部維持中繼只見密文的原則。
單一中繼可依公鑰把收件匣切成多個分片（Durable Object），負載自動分散、規模化不需要中央狀態；在線狀態走獨立的 presence 層，與訊息片分離。分片與否只改路由，中繼看到的仍然只有密文與公鑰，沒有可翻閱的對話（ADR-0241）。
同一身分可在多台裝置登入。聯絡人、群組、設定等可變狀態以 CRDT（OR-Set／LWW／墓碑）合併——兩台裝置同時改動也能無衝突收斂，刪除以墓碑表示、逾期自動回收。跨裝置只透過一份加密狀態快照交換，中繼全程只見密文（ADR-0242／0071）。
語音／視訊與檔案優先走 WebRTC P2P 直連、完全不經中繼。連線協商用 STUN 探測公網位址；遇到對稱 NAT／嚴格防火牆無法直連時，改用短效憑證的 TURN 中繼保底（憑證由 Worker 現發、有到期），把接不通率壓到最低。企業可強制只走 TURN（relay-only）以符合網路政策（ADR-0243／G2）。
沒有金鑰託管＝沒有後門，因此換機提供三條自持路徑：加密備份碼、opt-in 的加密雲端快照（中繼只見密文），以及桌面配對克隆（一次性 P2P 全量搬家、以 SAS 短碼互相確認、內容不經中繼）。建議重要身分登記於兩台裝置作為冗餘。
建構於 Nostr 開放協定：訊息以 NIP-17／44／59（Gift Wrap）加密封裝、NIP-42 驗證中繼連線、NIP-13 工作量證明抑制濫用。即時互動（檔案、在線、輸入中）改走 WebRTC P2P，直接點對點、完全不經中繼。全為開放標準，任何人都能自行實作與稽核。
訊息中的連結會與開源威脅情報清單（URLhaus、StevenBlack）比對——比對完全在你的裝置上進行，網址絕不外送到任何伺服器。命中的連結預設遮罩並標示來源；可自訂封鎖清單、可加嚴（不可展開、阻止送出），也可完全關閉。
發給聯絡人的訊息可加密到一把會過期的加密子鑰；更換並讓舊鑰過期後，就算你的身分私鑰日後被竊，被側錄的舊密文也解不開。**這個功能已實作但尚未經獨立第三方的密碼學審計**——加密的錯誤不會讓程式壞掉，它只是不保護，而且沒有任何症狀。因此它預設關閉，要在應用程式的「設定 → 隱私」裡自行啟用，而我們**不會**在功能對照表上把它與已經多輪審計的產品並列。