WhatsApp 安全吗？

根据 WhatsApp 自己的帮助页面和隐私政策：

• 个人聊天、群聊和通话：默认端到端加密。就连 WhatsApp 也无法读取。
• 存放在 iCloud 或 Google Drive 中的聊天备份：只有在你开启相应功能后，才是端到端加密的。
• 与使用 Meta 托管服务的商家之间的聊天：不是端到端加密的，WhatsApp 自己也这么说。
• 你的手机号码：注册时始终需要，别人也是通过它找到你、看到你的。

所以就日常聊天而言，WhatsApp 的加密很可靠。漏洞在边边角角，而且很容易被忽略。

是的。WhatsApp 使用 Signal Protocol，和 Signal 以及 Morse 用的是同一种协议。用 WhatsApp 自己的话说，这一切都是自动进行的，不需要开启任何特殊设置。这涵盖了你的消息、照片、视频、语音消息和通话，无论是一对一聊天还是群组。

在关联设备上也是如此，比如笔记本电脑上的 WhatsApp：每台设备都单独连接，并让聊天保持端到端加密。但端到端加密只覆盖设备之间的传输过程。正如下图所示，你的消息可能最终到达的地方，它并不是每一处都能覆盖。

想知道上锁本身是怎么运作的？这里介绍了端到端加密如何运作。

WhatsApp 的语音和视频通话是端到端加密的，所以在传输途中没有人能窃听，WhatsApp 也包括在内。

但加密只在通话传输时保护它。通话中的任何一方，仍然可以用另一个应用或另一台设备把它录下来，没有任何通讯应用能阻止这一点。你的聊天截图也是一样。加密保护你不受外人侵扰，却防不住和你聊天的人。

这是最大的漏洞。WhatsApp 可以把你的聊天记录备份到 iPhone 上的 iCloud 或 Android 上的 Google Drive。默认情况下，这些备份不受 WhatsApp 端到端加密的保护。它们存放在你的 Apple 或 Google 账户里，靠的是这两家公司各自的安全措施。

所以，一条在发给你的途中经过端到端加密的消息，最终可能会进入一份没有端到端加密的备份。如果有人进入了你的 Apple 或 Google 账户，你的聊天记录就可能被他拿到。解决办法是一项叫作端到端加密备份的设置，大约一分钟就能搞定。

根据 WhatsApp 的帮助页面，方法如下：

1. 1打开 WhatsApp 的设置，点击聊天，然后点击聊天备份。
2. 2点击端到端加密备份。
3. 3选择使用通行密钥，或者点击更多选项，改用密码或 64 位加密密钥。
4. 4点击创建。把这个密码或密钥保存在安全的地方，因为恢复聊天时需要用到它。

从那以后，你的备份就用只有你才有的东西锁住了，就像你的聊天一样。

通常，和商家聊天跟和朋友聊天是一样的。但有些商家使用 Meta 的托管服务来处理它们的 WhatsApp 聊天，而 WhatsApp 表示，它不认为这些聊天是端到端加密的。

你可以认出这类聊天：WhatsApp 会在聊天中显示一条提示，说明这家商家正在使用 Meta 提供的安全服务来管理这个聊天。看到这条提示时，就别把这个聊天当成只有你和商家两方知道的私密对话。

你的普通聊天它读不到。WhatsApp 表示，Meta AI 只能读取你发给它的消息、提到 @MetaAI 的消息，以及你选择分享给它的消息。你的其他个人聊天仍然是端到端加密的。

对于消息摘要这类功能，WhatsApp 表示它使用一个名为 Private Processing 的系统，这个系统的设计让 Meta 无法读取你分享的内容。不过要记住，你直接打给 Meta AI 的任何内容，都是在和 Meta 对话，而不是和朋友之间的端到端加密聊天。

加密本身非常难以破解。大多数所谓的 WhatsApp “被黑”，都是绕过了加密，而且通常始于一条消息。最常见的伎俩有：

• 一条来自“老朋友”或“WhatsApp 客服”的消息，让你把刚收到的六位数验证码转发给他们。有了这个验证码，别人就能在自己的手机上注册你的号码。
• “妈，我手机丢了，这是我的新号码”，接着就是急着要钱。
• 一个指向虚假登录页面或虚假奖品的链接，被伪装成来自 WhatsApp。
• SIM 卡劫持：有人说服你的手机运营商，把你的号码转到他们的 SIM 卡上。

这些情况下，都没有人破解加密。他们接管的是账户，或者干脆对人下手。这就是下面这些设置如此重要的原因：光是两步验证就能挡住大多数账户劫持，因为偷来的验证码已经不够用了。

这也是 Morse 不需要手机号码的原因之一：没有可以被偷的短信验证码，也不用担心 SIM 卡劫持。

能，只要他们拿到你解锁的手机一分钟。WhatsApp 允许你扫描 QR 码来关联一台电脑，所以拿到你手机的人可以关联他们自己的笔记本电脑，从此一直跟着看你的聊天。

解决办法很简单：时不时打开 WhatsApp 设置里的关联设备，把任何你不认识的设备都退出登录。再加上应用锁，这扇门就关上了。

你的消息在传输途中无法被读取。但 WhatsApp 确实会收集消息周边的信息。它的隐私政策列出了诸如你在应用上的活动信息、你的 IP 地址和设备标识符等内容，并表示它会利用你的 IP 地址和手机号码区号来估算你的大致位置，比如你所在的城市和国家。

WhatsApp 还表示，在正常情况下，它不会把你的消息保存在服务器上：消息存储在你的设备上。所以内容是受保护的，而关于你如何、何时使用这款应用的信息则不在加密的保护范围内。这就是人们所说的元数据。

是的。普通短信（SMS）不是端到端加密的。它们以运营商可以读取的形式经过你的手机运营商，而且从设计上就和你的手机号码绑定在一起。

WhatsApp 消息是端到端加密的，所以只有你和对方能读取。如果你要在短信和 WhatsApp 之间选一个来谈私密的事，WhatsApp 是更好的选择，而一款连手机号码都不需要的应用就更好了。

不能。创建 WhatsApp 账户需要手机号码。WhatsApp 在 2026 年 6 月宣布推出用户名，并正在逐步上线，届时你不用交出号码也能和别人聊天。但账户本身仍然从手机号码开始，而且已经存了你号码的人仍然能看到它。

如果你完全不想让通讯和手机号码绑在一起，可以看看无需手机号码的通讯方式。

如果你要继续用 WhatsApp，下面这些值得花几分钟：

• 开启两步验证，这样偷来的短信验证码就不足以接管你的账户。
• 按照上面的方法，开启端到端加密备份。
• 使用应用锁和聊天锁定，配合手机的指纹或面容解锁，这样手机借给别人时，对方也打不开你的聊天。
• 运行 WhatsApp 的隐私检查，决定谁能看到你的头像、最后上线时间等信息。
• 如果你面临更高的风险，比如你是记者，可以看看 WhatsApp 的严格账户设置。

WhatsApp 的默认设置，和人们常考虑的其他几款应用相比如何：

WhatsApp 有一件大事做对了：默认端到端加密。Morse 也是这样做的，覆盖每一个聊天、群组、照片、语音消息和一对一通话，使用的是同一个 Signal Protocol，并在此之上加入了后量子密钥交换（ML-KEM）。

Morse 的不同之处在于周边的一切。注册时你不需要手机号码或电子邮箱：你会得到一个简短的 Morse ID，由你决定给谁。没有广告，因为 Morse 由使用它的人付费支持。也没有可能被人骗走的短信验证码。

想详细了解两者的区别？这里有 WhatsApp 与 Morse 的对比，逐项并排比较。