Những ứng dụng nhắn tin bảo mật nhất năm 2026

Hãy quên những từ ngữ quảng cáo đi. Đây là năm điều thật sự quan trọng:

• Mã hóa đầu cuối theo mặc định, cho mọi cuộc trò chuyện, kể cả nhóm. Nếu bạn phải tự bật, phần lớn các cuộc trò chuyện của bạn sẽ không có nó.
• Bảo mật chuyển tiếp: mỗi tin nhắn có chìa khóa riêng, nên một chìa khóa bị đánh cắp hôm nay không thể mở được tin nhắn của hôm qua.
• Bảo vệ trước máy tính lượng tử trong tương lai. Những tin nhắn mã hóa bị ghi lại hôm nay có thể bị bẻ khóa nhiều năm sau, trừ khi ứng dụng dùng mã hóa hậu lượng tử.
• Ứng dụng cần biết bao nhiêu về bạn. Số điện thoại gắn tài khoản của bạn với tên thật của bạn ở nhà mạng, và nằm trong danh bạ của người khác.
• Các chuyên gia có kiểm tra được hay không, thông qua mã nguồn mở hoặc một bản thiết kế bảo mật chi tiết đã được công bố.

Không ứng dụng nào đạt điểm tuyệt đối ở cả năm điều. Dưới đây là kết quả của từng ứng dụng.

Máy tính lượng tử đủ sức phá vỡ mã hóa ngày nay vẫn chưa tồn tại. Vậy sao phải bận tâm từ bây giờ? Vì tin nhắn mã hóa có thể bị ghi lại và cất giữ ngay hôm nay. Nếu ai đó lưu lại lưu lượng mã hóa của bạn bây giờ và có được một máy tính lượng tử đủ mạnh sau mười hay mười lăm năm nữa, những tin nhắn chỉ được bảo vệ bằng mã hóa cổ điển ngày nay có thể bị mở ra.

Trao đổi khóa hậu lượng tử bổ sung thêm một lớp mà máy tính lượng tử được cho là không thể phá vỡ. Signal, SimpleX Chat và Morse đã dùng nó. Sách trắng mà Threema công bố không mô tả điều này, còn Session dự định đưa nó vào giao thức tiếp theo của mình.

Đây là một trong những thứ bạn sẽ không bao giờ nhận ra khi dùng ứng dụng, và đó chính là mục đích.

Số điện thoại không chỉ là một cách để đăng nhập. Nó gắn với tên của bạn ở nhà mạng, nó nằm trong danh bạ của tất cả những ai bạn từng nhắn tin, và nó có thể bị chiếm đoạt qua một vụ hoán đổi SIM. Khi một ứng dụng nhắn tin được xây dựng xoay quanh số điện thoại của bạn, tất cả những điều đó cũng đi theo.

Các ứng dụng không dùng số điện thoại sẽ cho bạn một ID thay thế. Điều đó khiến việc liên kết các cuộc trò chuyện của bạn với danh tính thật khó hơn nhiều, và cũng không có mã gửi qua tin nhắn SMS nào để kẻ xấu lừa bạn chia sẻ.

Signal và WhatsApp hiện có tên người dùng, giúp bạn giữ kín số điện thoại. Nhưng trong ứng dụng thông thường của họ, bản thân tài khoản vẫn bắt đầu từ một số điện thoại.

Signal là ứng dụng mà hầu hết chuyên gia bảo mật đều nhắc đến, và có lý do chính đáng. Mọi cuộc trò chuyện và cuộc gọi đều được mã hóa đầu cuối theo mặc định, ứng dụng chạy trên Signal Protocol (do chính Signal tạo ra, và WhatsApp lẫn Morse cũng đang dùng), và đã bổ sung bảo vệ hậu lượng tử. Signal miễn phí, do một tổ chức phi lợi nhuận vận hành và là mã nguồn mở.

Điểm trừ nằm ở bước đăng ký. Ứng dụng Signal thông thường vẫn cần số điện thoại. Từ năm 2024, bạn có thể đặt tên người dùng để không phải đưa số của mình cho tất cả mọi người, và theo mặc định, số của bạn được ẩn với những người chưa có số đó. Vào tháng 9 năm 2026, Signal bắt đầu thử nghiệm đăng ký không cần số điện thoại trong một bản beta trên Android, với khoản phí một lần khoảng 3 đô la Mỹ, và không có cách nào khôi phục tài khoản nếu bạn mất thông tin đăng nhập. Hiện tại, với gần như tất cả mọi người, Signal vẫn bắt đầu từ một số điện thoại.

Phù hợp nhất với: bất kỳ ai muốn kiểu mã hóa đã được kiểm chứng và không ngại đưa số điện thoại cho Signal.

WhatsApp cũng dùng Signal Protocol, nên trò chuyện cá nhân, trò chuyện nhóm và cuộc gọi đều được mã hóa đầu cuối theo mặc định. Với một ứng dụng lớn cỡ này, đó là điều rất đáng kể.

Những lỗ hổng nằm ở phần rìa. Bản sao lưu trò chuyện trên iCloud hoặc Google Drive chỉ được mã hóa đầu cuối nếu bạn bật tính năng đó. Các cuộc trò chuyện với doanh nghiệp dùng dịch vụ lưu trữ của Meta không được mã hóa đầu cuối, như chính WhatsApp cho biết. Và bạn cần số điện thoại để đăng ký: tên người dùng đang được triển khai, nhưng không thay thế được số điện thoại.

Phù hợp nhất với: liên lạc với những người vốn đã dùng nó. Chúng tôi phân tích kỹ hơn trong bài WhatsApp có an toàn không?

Telegram cực kỳ phổ biến, và cuộc gọi của nó được mã hóa đầu cuối. Nhưng trò chuyện thông thường, nhóm và kênh thì không. Chỉ có Trò chuyện bí mật tùy chọn là được mã hóa như vậy, chỉ một-một, và chỉ trên thiết bị mà bạn bắt đầu chúng. Telegram cũng cần số điện thoại.

Phù hợp nhất với: các kênh công khai lớn và cộng đồng, không phải những cuộc trò chuyện riêng tư. Mọi chi tiết đều có trong bài Telegram có mã hóa đầu cuối không?

Threema cho bạn một Threema ID ngẫu nhiên thay vì hỏi số điện thoại hay email. Việc liên kết số điện thoại hoặc email là tùy chọn. Tin nhắn được mã hóa đầu cuối bằng giao thức riêng của Threema, có bảo mật chuyển tiếp, và các ứng dụng là mã nguồn mở. Bạn trả tiền một lần để mua ứng dụng, còn công ty và máy chủ đều ở Thụy Sĩ.

Có hai điều nên biết: Threema không có tin nhắn tự hủy, và sách trắng mật mã mà Threema công bố không mô tả cơ chế trao đổi khóa hậu lượng tử. Mặt khác, Threema có cuộc gọi nhóm và ứng dụng cho máy tính, những thứ mà Morse không có.

Phù hợp nhất với: những người muốn một ứng dụng trả tiền một lần, không cần số điện thoại, có cuộc gọi nhóm và ứng dụng cho máy tính.

Session không hỏi số điện thoại hay email: bạn nhận được một Account ID. Tin nhắn đi qua một mạng phi tập trung với định tuyến củ hành, giúp ẩn địa chỉ IP của bạn với những người bạn nhắn tin. Session miễn phí và là mã nguồn mở, có tin nhắn tự hủy và ứng dụng cho máy tính.

Điểm trừ: Session cho biết giao thức hiện tại của họ không có bảo mật chuyển tiếp hoàn hảo. Bảo mật chuyển tiếp và bảo vệ hậu lượng tử được lên kế hoạch cho Session Protocol V2, hiện vẫn đang được phát triển. Cuộc gọi đang ở bản beta, và chúng chia sẻ địa chỉ IP của bạn với người bạn gọi.

Phù hợp nhất với: những người đặt việc ẩn địa chỉ mạng lên hàng đầu và tạm thời chấp nhận được những đánh đổi đó.

SimpleX Chat đi xa nhất về mặt danh tính: không hề có ID người dùng. Bạn kết nối bằng cách chia sẻ một liên kết mời, một mã QR hoặc một địa chỉ tùy chọn. Tin nhắn cùng cuộc gọi thoại và video đều được mã hóa đầu cuối, các cuộc trò chuyện trực tiếp có mã hóa kháng lượng tử, có tin nhắn tự hủy, và ứng dụng là mã nguồn mở, có bản cho iPhone, Android và máy tính.

Cái giá phải trả là sự tiện lợi. Không có ID nào, bạn luôn phải kết nối qua một liên kết hoặc một mã, tốn công hơn một chút so với việc nói cho ai đó một cái tên ngắn.

Phù hợp nhất với: những người đam mê quyền riêng tư, không muốn có bất kỳ mã định danh nào.

Morse dùng Signal Protocol, với bảo mật chuyển tiếp và trao đổi khóa hậu lượng tử (ML-KEM). Mọi cuộc trò chuyện, nhóm, ảnh, tin nhắn thoại và cuộc gọi một-một đều được mã hóa đầu cuối theo mặc định. Không có gì phải bật cả.

Bạn không cần số điện thoại hay email để đăng ký. Bạn nhận được một Morse ID ngắn mà bạn có thể đọc to lên hoặc gõ ra, và bạn quyết định ai được biết nó. Không có quảng cáo: Morse được chi trả bởi chính những người dùng nó.

Những gì chúng tôi (chưa) có: Morse không phải mã nguồn mở, nhưng chúng tôi công bố một sách trắng bảo mật chi tiết (bằng tiếng Anh) để các chuyên gia có thể kiểm tra cách nó hoạt động. Cuộc gọi chỉ là một-một, và không có ứng dụng cho máy tính.

Phù hợp nhất với: bất kỳ ai muốn mã hóa đầu cuối theo mặc định mà không phải đưa ra số điện thoại, trong một ứng dụng dễ chia sẻ.

Đây là bản tóm tắt. Dấu tích nghĩa là ứng dụng làm được điều đó, theo mặc định.

Chúng tôi chỉ dùng những gì mỗi ứng dụng tự nói về mình: các trang trợ giúp, tài liệu bảo mật và thông báo của họ, được kiểm tra vào tháng 11 năm 2026. Điều gì chúng tôi không xác minh được, chúng tôi bỏ ra ngoài thay vì đoán.

Ứng dụng luôn thay đổi, và chúng tôi sẽ cập nhật bài viết này khi điều đó xảy ra. Chẳng hạn, giao thức tiếp theo của Session sẽ làm thay đổi hàng của nó. Và ở những chỗ Morse thiếu thứ mà ứng dụng khác có, như mã nguồn mở hay cuộc gọi nhóm, chúng tôi đều nói rõ.

Điều đó tùy vào thứ bạn cần nhất:

• Bảo mật đã được kiểm chứng, và bạn không ngại chia sẻ số điện thoại: Signal.
• Mọi người bạn quen đều đã dùng nó: WhatsApp, với sao lưu được mã hóa đầu cuối đã bật.
• Mã hóa đầu cuối theo mặc định mà không cần số điện thoại, trong một ứng dụng dễ chia sẻ: Morse.
• Một ứng dụng trả tiền một lần từ Thụy Sĩ, có cuộc gọi nhóm và ứng dụng cho máy tính: Threema.
• Hoàn toàn không có mã định danh, và bạn không ngại kết nối qua liên kết: SimpleX Chat.
• Cộng đồng công khai lớn thay vì trò chuyện riêng tư: Telegram.

Ngay cả ứng dụng bảo mật nhất cũng không bảo vệ được bạn nếu ai đó tìm được cách đi vòng qua nó. Vài thói quen cũng quan trọng không kém:

• Khóa điện thoại của bạn, và dùng tính năng khóa riêng của ứng dụng nếu có.
• Đừng bao giờ chia sẻ mã đăng nhập hay mã xác minh, dù ai hỏi đi nữa.
• Kiểm tra xem bản sao lưu của bạn được lưu ở đâu, và chúng có được mã hóa đầu cuối không.
• Luôn cập nhật ứng dụng và điện thoại của bạn.
• Cảnh giác với các liên kết và tệp đính kèm từ người bạn không quen.

Và hãy nhớ rằng mã hóa bảo vệ những gì bạn nói, chứ không phải lúc nào cũng che được việc bạn nói chuyện với ai. Điều đó gọi là siêu dữ liệu, và rất đáng để đọc.