セキュリティ、同期、料金、他アプリからの乗り換えについての回答とステップバイステップのガイド。
はい。try.privacynotes.appのデモは、サンプルコンテンツ入りの完全なアプリです。登録もメールアドレスも不要で、入力した内容は何も保存されません。すべてブラウザ内で動作し、当社のサーバーには一切何も送信されません。
タブを閉じるとすべて消去されます。それこそが狙いです。ノートを残したくなったら、use.privacynotes.appで本物のアカウントを作成してください。デモの内容は引き継がれないため、残したいものは先にコピーしておいてください。
いいえ。新しいアカウントの実体は、新しく生成された12単語のリカバリーフレーズだけです。メールアドレスも、ユーザー名も、電話番号も、確認手続きもありません。フレーズでサインインする場合、当社はあなたが誰なのかを知り得ないため、メールを送りたくても送れません。
おなじみの方法がよければ、Google、Apple、GitHubでのサインインも使えます。その場合はプロバイダーアカウントに紐づくメールアドレスが必然的に当社へ伝わりますが、どちらの方法でもノートはエンドツーエンド暗号化されたままで、内部ではやはりフレーズが発行されます。
設定 > 読み込みと書き出しを開き、移行元を選びます。Apple Notes、Obsidian、Standard Notes、Google Keep、Simplenote、Samsung Notes、Bitwarden(ログイン情報、カード、セキュアノートは保管庫に入ります)には専用の読み込み機能があり、さらに.mdファイルのフォルダなら何でも読み込める汎用のMarkdown読み込み機能もあります。
読み込みはすべてデバイス上で実行されます。書き出したファイルの解析、暗号化、保存はローカルで行われ、処理のために何かがアップロードされることはありません。読み込まれた各ノートには移行元のタグが付くので、後からまとめて確認できます。Google Keepのチェックリストはネイティブのタスクリストにまで変換されます。
はい。Markdownを入力するとその場で整形されます。# の見出し、**太字**、リスト、- [ ] のタスクチェックボックス、引用、コールアウトに対応しています。ノートはきれいなMarkdownとして書き出せるので、書いたものはずっと持ち運び可能なままです。
ノート同士をつなぐこともできます。[[ と入力すると、既存のノートが自動補完で提示されます。note-linkはワンクリックでリンク先を開き、アウトラインパネルとノート内検索が長い文書のナビゲーションを支えます。
標準的なMarkdownの書式が、入力するそばから整形されます。見出し、強調、打ち消し線とハイライト、リストとタスクリスト、引用、区切り線、インラインコードとシンタックスハイライト付きのコードブロック、数式(KaTeX)、そして自動補完付きのノート間のnote-linkに対応しています。
表、コールアウト、ハイライト、文字色、画像、ファイル添付は、書式設定ツールバーとその「挿入」メニューから使えます。すべてはMarkdownとして相互変換されます。どのノートの下にもある「Markdownを表示」で生のソースが表示され、書き出されるのはクリーンな.mdファイルなので、書いたものが独自フォーマットに閉じ込められることはありません。
# Planning ## This week ### Monday
Planning
This week
Monday
**bold**, *italic*, ~~done~~, ==marked== and `inline code`
bold, italic, done, marked and inline code
- [x] Derive keys on the device - [ ] Trust a server
> [!info] Zero-knowledge > The server stores only ciphertext. > [!warning] No resets > A lost phrase cannot be recovered.
The server stores only ciphertext.
A lost phrase cannot be recovered.
| App | Can read your notes | | --- | --- | | PrivacyNotes | No | | Typical cloud notes | Yes |
| App | Can read your notes |
|---|---|
| PrivacyNotes | No |
| Typical cloud notes | Yes |
```js // encrypted before it leaves const keys = deriveKeys(phrase); ```
// encrypted before it leaves
const keys = deriveKeys(phrase);$e^{i\pi} + 1 = 0$eiπ + 1 = 0
> Privacy is a feature, not a setting. Ideas live in [[Second brain]]
Privacy is a feature, not a setting.
Ideas live in Second brain
どのノートでも - [ ] と書いた行はタスクになり、サイドバーの「タスク」ビューがそれらを1か所に集めます。そこでタスクにチェックを付けると、そのタスクがある元のノートが更新され、タスクを開くとそのノートに移動します。維持すべき別個のタスクデータベースはありません。タスクはノート内の行にすぎず、他のすべてと同じように暗号化されています。
「タスク」の上部にあるクイック追加ボックスは、Quick Tasksというノート(初回利用時に自動作成されます)に追記していくので、ふと思いついたやることの記録は、どこに入れるか決めることなく1キーで済みます。同じビューには3つのレイアウト(ハイブリッド、集約、リスト)、完了タスクの表示切り替え、タスク検索が備わっており、「すべて」ビューの「新規」ボタンからはタスクノートを直接作り始められます。
「ジャーナル」は日付ごとの記録のための専用ビューです。ワンタップで今日の記録が作成され、その隣のカレンダーボタンから、書き逃した最近の日をさかのぼって埋められます。1件の記録は、通常のノートに任意のトラッカーを加えたものです。24種類の感情タグを備えた1から10段階の気分、睡眠、運動、服薬、エネルギー、集中など。どの記録の中でも「トラッカーを設定」から組み込みのトラッカーを切り替えられ、Proではカスタムトラッカーを最大10個(段階、数値、はい/いいえ)追加できます。
「統計」(設定内、またはフッターの統計アイコン)は、記録を「ウェルネス」タブでトレンドに変えます。気分の推移、睡眠と運動のグラフ、服薬の遵守状況。書き出しはデバイス上で生成されます。「JSONをダウンロード」は無料で、Proではさらに、受診時に持参できる「医師向けPDF」、好きなチャットボットにそのまま使えるコピー用AIプロンプト、パターンの洞察、週間レビューが加わります。トラッカーのデータは暗号化された記録の中にあるため、サーバーはそのどれも読めません。
アプリ内のどこでも ? を押すと、組み込みのチートシートが開きます。設定 > 概要とヘルプからも見られます。ショートカットはナビゲーション、ノート操作、書式設定、ビューをカバーしており、WindowsとLinuxでは、すべてのCmdがCtrlとして、OptionがAltとして働きます。
// ナビゲーション
// ノート
// エディタ
// 書式
// 配置
// 表示
WindowsとLinuxでは、⌘はCtrl、⌥はAltです。
テキスト入力中はほとんどのショートカットが無効になるため、JやKなどの通常のキーはそのまま文字として入力されます。
読める形のものは何も見えません。ノート、タイトル、タグ、添付ファイルは、同期される前にあなたのデバイス上で暗号化されます。サーバーが保存するのは復号できない暗号文であり、それを変えられる鍵は当社側に存在しません。
当社に見えるのは、サービスの運営に必要な最小限の情報だけです。暗号化ストレージの使用量、リンク済みデバイスの台数、同期のタイムスタンプ。GoogleやAppleではなくフレーズでサインインしている場合は、メールアドレスすら分かりません。
最初は逆に感じるかもしれませんが、リカバリーフレーズ1つの方が強固な仕組みです。ユーザー名とパスワードの組では、ユーザー名は秘密ではないため(あらゆる漏えいデータのダンプに顔を出します)、安全性はすべてパスワードに懸かっています。そして人間が選ぶパスワードのエントロピーは、平均でせいぜい30から40ビット程度です。あなたの12単語のフレーズは確実に128ビットあり、デバイスが生成したもので、人間が選ぶことも、他のサイトで使い回されることもありません。
さらに、当社側には漏らすものが何もありません。パスワードログインでは、サーバーが少なくともパスワードハッシュを保存することになり、それは漏えい、解読、フィッシングの対象になり得ます。あなたのフレーズはデバイスの外へ出ることがなく、暗号鍵はローカルで導出され、サーバーが目にするのは暗号化済みデータだけです。盗まれるハッシュも、攻撃者に悪用されるパスワードリセットの仕組みも存在しません。
12単語の入力が面倒に感じるなら、ワンタップでフレーズをパスワードマネージャーに保存できます(設定 > セキュリティ > シークレットフレーズ)。そうすればサインインは普通のログインと変わらない感覚です。おなじみの方法がよければ、GoogleやAppleでのサインインも使えます。その場合も内部ではフレーズが発行されます。
はい、それも意図的な設計です。誰もが同じ脅威に備えているわけではないため、アカウントモデルは単一の教義ではなく、段階式のはしごになっています。どの段階でもノートはエンドツーエンド暗号化されたままで、変わるのは鍵を誰が持つか、そして当社があなたについて何を知るかだけです。
便利さ寄りの端:Google、Apple、GitHubでサインインし、尋ねられたら「シンプルに使う」を選びます。当社がリカバリーフレーズを、サーバー上に保存時暗号化した形でお預かりするので、どのデバイスでもプロバイダーアカウントだけでサインインでき、バックアップするものも失うものもありません。正直なトレードオフとして、プロバイダーアカウントのメールアドレスは当社に分かり、サーバーが完全に侵害された場合には理論上、預かっている鍵が露出し得ます。現実的な脅威が標的型の侵害ではなく自分の認証情報の紛失なら、これは理にかなった選択です。
中間:プロバイダーでサインインしつつ「最大限のプライバシー」を選びます。フレーズは当社のサーバーに一切触れず、暗号化は完全にゼロ知識です。新しいデバイスには、フレーズか、サインイン済みデバイスからのQRスキャンが必要になります。プロバイダーのメールアドレスは依然として必然的に当社へ伝わりますが、たとえ強制されても、当社がノートを1件たりとも読むことはできません。
プライバシー寄りの端:プロバイダーを一切使わず、12単語のフレーズだけを使います。メールアドレスも、名前も、身元情報もなし。匿名でのPro購入と組み合わせれば、支払いをしてもどこにも名前が残りません。その代わり、鍵の管理は完全にあなたの責任です。サインイン済みのデバイスが1台も残っていない状態でフレーズを失えば、誰にも助けられません。
選んだ段に縛られることはありません。設定 > セキュリティ > あなたのフレーズでは両方のモードが並んで表示され、それぞれの代償もわかります。いつでもどちらの方向にも切り替えられます。自己管理に切り替えると当社のコピーは削除され、その前に12単語のうち3つを入力し直すよう求められます。ここを押す人ほど、単語を書き留めていないことが多いからです。戻す場合はフレーズを再びアップロードし、明示的な選択が必要です。どちらの方向もあなた自身のアカウント鍵で署名されるため、セッションが盗まれてもモードは変えられません。どの段でもローカルの層を上乗せできます。PINロック、生体認証ロック解除、ノート単位の保護です。
はい、12単語で十分です。12単語のBIP-39フレーズは128ビットのエントロピーを符号化しています。128ビットの総当たりは「もっと大きなコンピュータが要る」という問題ではなく、「人類が生み出すエネルギーを超える」という問題です。128ビットは破れるのに256ビットは破れない、という現実的な攻撃は存在しません。
Bitcoinとの比較は、むしろ24単語が大部分マーケティングである理由を示しています。Bitcoinの鍵はsecp256k1曲線上にあり、この曲線自体が約128ビット分の安全性しか提供しません。24単語のフレーズは、破るのに約128ビット分の作業しか要らない錠前に、256ビットのエントロピーを注ぎ込んでいるのです。主要なウォレットの多くが今でも12単語を既定にしているのは、これが理由です。
PrivacyNotesは端から端まで同じ128ビットの安全性水準を目標にしています。フレーズは鍵導出関数にかけられ、それが守る暗号化(XChaCha20-Poly1305)も同じ水準に合わせて鍵付けされています。24単語にしても、書き留めて入力する量が倍になるだけで実質的な安全性は増えないため、提供する予定はありません。
あらゆるリカバリーフレーズの本当の弱点は、長さではなく、フィッシングと紙の保管場所です。フレーズそのものを守れば、12単語は私たちの誰よりも長生きします。
端的に言えば、はい。フレーズは鍵そのものなので、それを持っている人は誰でもサインインできます。家の鍵を持っている人が誰でもドアを開けられるのと同じです。これは設計どおりです。フレーズはノートへの唯一のマスターキーであり、その手前により弱い仕組みは置かれていません。つまり本当の問いは、フレーズを持てばアクセスできるか(できます)ではなく、誰かがそれを言い当てられるかどうかです。そしてその答えは「いいえ」です。現存する、あるいは予見できるどんなコンピュータをもってしても不可能です。
規模感はこうです。12単語のフレーズは2^128通りのうちの1つで、これは39桁の数(3.4×10^38)にのぼります。最初の1回であなたのフレーズを当てる確率は3.4×10^38分の1。3億分の1の宝くじの1等に4回連続で当せんするよりも低い確率です。まぐれ当たりではなく総当たりの探索と考えても、状況は変わりません。毎秒10^18回(100京回。国家を含め、現実のどんなハードウェアもはるかに及ばない速度です)試したとしても、すべてを試し終えるにはおよそ10兆年、現在の宇宙の年齢の800倍近くかかります。しかもこれは空想上の数字です。現実の試行は毎回、意図的に遅くした鍵導出ステップを実行しなければならず、オンライン攻撃は当社のサーバーを経由するしかないため、実際の推測はさらに何桁も遅くなります。これは目新しい仕組みでもありません。同じ128ビットの構成が10年以上にわたってBitcoinウォレットを守り続け、言い当てられた例は一度もありません。
フレーズをパスワードのように捉えて、大文字や数字や記号を混ぜれば強くなると考えたくなりますが、リカバリーフレーズはそういう仕組みではありません。手作業で作ったり書き換えたりは絶対にしないでください。デバイスが暗号学的に安全な128ビットの乱数を生成し、それを2048語の固定された公開リストから選ばれた12単語として符号化します。この乱数こそが強度のすべてです。最後の単語には組み込みのチェックサムまで含まれているため、打ち間違えたフレーズや自作のフレーズは即座に弾かれます。単語の順序は重要ですが、大文字小文字は問いません(サインイン時に正規化されます)。記号を足せばフレーズが無効になるだけです。発行されたとおりに単語を入力してください。
見落としではなく、意図的なトレードオフだからです。おなじみの2FA、つまりSMSで届くコードや認証アプリは、人間が選んだ弱いパスワードを補強するために存在し、サーバー上に保持される共有シークレットと復旧経路に依存しています。それこそ、フレーズモデルが取り除いた攻撃対象領域そのものです。あなたのデバイスはチャレンジに署名することで鍵の保有を証明するため、当社のサーバーが受け取るのは公開鍵と署名だけで、フレーズやパスワードハッシュを受け取ることは決してありません。その上にコードを重ねても、この設計が避けるために存在するサーバー側の仕組みを呼び戻すだけで、推測に対する防御は何も増えません。128ビットがその扉をすでに閉じているからです。
本当に価値を足し得る第二要素は、ハードウェアセキュリティキーやパスキーのような、フィッシング耐性のあるものだけです。残っている現実的なリスクは推測ではなく、フィッシング、マルウェア、そしてフレーズの盗難や覗き見だからです。ロックせずに放置されたデバイスに対しては、アプリロック(PIN)と生体認証によるロック解除がローカルの防波堤になります。
それ以上に、フレーズは鍵そのものです。アカウントを作成したその日にバックアップしてください。信頼できるパスワードマネージャーに保存するか、印刷または書き留めて、その控えを安全な場所に保管しましょう。アプリ本体以外の場所には決して貼り付けないでください。
はい、標準のBIP-39英語単語リストです。2048語、Bitcoinウォレットが使うものとまったく同じリストです。フレーズの生成には、監査済みのオープンソースライブラリ@scure/bip39を使用しています。独自の単語リストも自家製の暗号もありません。
このリストは手書きで書き留めることを想定して設計されています。各単語は先頭4文字が一意なので、にじんだり省略したりした単語でも曖昧になりません。見た目が似た単語は意図的に除外されています。
標準リストなので、公開されているどのBIP-39リファレンスとも自分のフレーズを照合できます。また、当社の暗号化レイヤーはオープンコアとして公開されているため、実装をご自身で確認できます。
いいえ。検索は、デバイス上に構築・保存された全文検索インデックスに対して実行されます。クエリがデバイスの外へ出ることはなく、接続がまったくなくても結果は表示され、何を検索したかが送信されることは一切ありません。
これは、こっそり方針転換できるようなポリシー上の選択ではなく、アーキテクチャが強制している性質です。サーバーは暗号文しか保持していないため、当社側にはインデックス化したり検索したりできる読める形のデータが存在しません。ノートを読めないサーバーは、ノートを検索することもできないのです。
いいえ。アプリにAI機能はなく、バックグラウンドで動くAI処理もなく、あなたのコンテンツでモデルを訓練することもありません。ノートはデバイスを離れる前に暗号化されるため、当社のサーバー上には、何かに与えられる読める形のデータがそもそも存在しません。
仮にこの方向の機能を出すことがあるとしても、完全にデバイス上で動作し、厳密にオプトインである必要があります。平文のノートをクラウドのモデルへ送ることはゼロ知識の約束を破ることになるため、選択肢にありません。
burn noteは、PrivacyNotesを使っていない相手とノートを共有するための、自動消滅する仕組みです。アプリがコンテンツを使い捨ての鍵で暗号化し、リンクを発行します。鍵はリンクのフラグメント部分に載って運ばれ、ブラウザはこの部分をサーバーへ決して送信しないため、当社のサーバーには読めない暗号文だけが保存されます。
リンクが最初に開かれた時点で、サーバーは暗号文を渡すと同時に削除します。読めるのは一度きりで、その後は消えます。開かれなかったリンクは24時間で自動的に失効します。いずれにせよ、何も残りません。
「読み取り専用」(ノートオプションメニュー内、Pro)は、完成した文書がうっかり壊されないように、ノートを編集から守ります。何かを隠すわけではありません。「保護」(同じメニュー、Pro)は、ノートのタイトルと内容を、PINまたは生体認証によるロック解除の背後に隠します。他人の目に触れることのある画面に表示したくないもののための機能です。
どちらも、追加の暗号化ではなく、デバイス上の利便性のための関門です。これらのフラグはノートの暗号化データの中に収められており、ノートはあえてPINで再暗号化されません。そうすることで、PINを忘れただけでデータが失われることは決してありません。同時にこれは、あなたのリカバリーフレーズを持つ人なら誰でも、新しいデバイスでサインインし、新しいPINを設定して、すべてを読めてしまうことも意味します。本当のセキュリティ境界は依然としてフレーズです。まずフレーズを守り、これらの関門は画面上のプライバシーのために使ってください。
締め出されることは決してありません。ロック画面には常に代替手段があります。「PINでロック解除」、または「リカバリーフレーズでサインイン」です。生体認証は暗号鍵ではなくローカルの関門なので、どちらの方法でもノートはそのまま無傷です。
そのうえで関門を直します。登録はデバイスごとなので、新しいスマートフォン、新しいブラウザプロファイル、再インストールでは登録し直しが必要です。設定 > セキュリティ >「生体認証ロック」で一度無効にし、もう一度「生体認証によるロック解除を有効にする」を実行します。これには「このデバイスを信頼する」(信頼されていないセッションはタブを閉じると消えます)と、プラットフォーム認証器を備えたハードウェア(Touch ID、Face ID、Windows Hello)も必要です。システムのプロンプトの代わりにBitwardenや1Passwordのようなパスワードマネージャーが現れる場合は、それを閉じてやり直すか、そのサイトでのパスキーの取り込みをオフにしてください。アプリは組み込みの認証器を要求していますが、一部のマネージャーはそれでも横取りしてしまいます。
あなたを守る部分は、すでにそうです。暗号化コード、データベーススキーマ、脅威モデルはオープンコアとして公開されており、当社の言葉を信じる代わりに、ノートがどのように守られているかを誰でも監査できます。
次はアプリ本体です。全プラットフォームのネイティブアプリが出そろった時点で、クライアントコード(ウェブ、デスクトップ、モバイル)をオープンソース化します。唯一クローズドのままなのは同期バックエンドで、そこには当社が読めない暗号化データ以外は決して保存されません。バックエンドを非公開にしても、あなたのプライバシーが失うものは何もありません。一方で、サービス全体を複製して当社の成果を自分のものとして売り出す行為は防げます。あなたを守る部分はオープンに、当社を守る部分はクローズドに。
いずれかのデバイスでまだサインインしているなら、はい、ご自身で取り戻せます。今すぐ設定 > セキュリティ > シークレットフレーズを開き、パスワードマネージャーに保存してください。
サインイン済みのデバイスもフレーズもない場合は、いいえ、誰にもできません。フレーズは当社のサーバーに決して届かないため、リセットする対象がなく、サポートに問い合わせても解決できません。これは曲げようのないポリシーではなく、エンドツーエンド暗号化の意味そのものです。すべてを失った後でも暗号化データを復元できるサービスがあるとすれば、それはあなたの鍵を握っているということです。
対策は10秒で済みます。アカウントを作成したその日に、フレーズをパスワードマネージャーへ保存しておくことです。
その場合も内部には12単語のフレーズがあり、フレーズだけでどのデバイスにもサインインできます。GoogleもAppleも必要ありません。設定 > セキュリティ > シークレットフレーズを開き、パスワードマネージャーに保存しておいてください。
一度それを済ませておけば、プロバイダーアカウントを失っても痛手はありません。代わりにフレーズでサインインするだけです。
その保管庫はもう使い捨てだと考えてください。フレーズは変更もローテーションもできません。フレーズこそが、すべてを暗号化している鍵そのものだからです。ですから対処法は、新しい保管庫へ移ることです。まず、古いアカウントですべてを書き出します。設定 > 読み込みと書き出し > 書き出し >「PrivacyNotesバックアップ(.zip)」を選びます。
サインアウトし、新しい保管庫(新しい12単語)を作成して、書き出したものを設定 > 読み込みと書き出し > 復元 >「完全バックアップ(.zip)」から読み戻します。それから、まだサインインしているすべてのデバイスで古いアカウントを削除します。設定 > ID & Sync >「アカウントとデータを削除...」です。これにより同期されたデータが消え、古いフレーズを持つ人を締め出せます。GoogleまたはAppleでサインインしていた場合は、先に古いアカウントを削除し、それからもう一度プロバイダーでサインインして新しい保管庫を始めてください。
正直なコストが2つあります。有効なストレージアドオンは削除の前に解約する必要があり、Proは購入したアカウントに紐づいているため、新しい保管庫へは引き継がれません。標準の30日間の期間を過ぎれば、これは返金の対象になる出来事でもありません。それに比べれば予防は安上がりです。フレーズはパスワードマネージャーに、そしてそこだけに保管してください。
サインインしている任意のデバイスで、設定 > アカウント >「登録済みデバイス」を開き、紛失したデバイスを削除します。そのデバイスは次にオンラインになった時点でサインアウトされ、次に使われてからおよそ1分以内にローカルデータが消去されます。削除したデバイスは72時間「最近削除」に表示され続けるので、確かに消えたことを確認できます。
正直な限界もあります。二度と再接続しないデバイスは、再接続するまで、すでに保存していたものを保持し続けます。だからこそ、持ち運ぶ機器では、アプリロック(PINまたは生体認証)とOSの画面ロックが重要になります。また、削除は鍵の変更ではありません。実際にあなたの12単語を持っている人は、それでも再びサインインできます。フレーズそのものが漏えいした疑いがある場合は、代わりにフレーズ漏えい時の対処手順に従ってください。
いいえ。PINは自分のデバイス上での覗き見を防ぐための利便性ロックであり、暗号鍵ではありません。ノートはリカバリーフレーズから導出された鍵で暗号化されており、フレーズがあればPINなしでも常にフルアクセスできます。
これは意図的な設計判断です。暗号化を4桁のPINに結び付ければ、PINを忘れただけでデータが失われることになります。ここでは決してそうなりません。
アプリ内で設定 > IDと同期を開き、「アカウントとデータを削除」を選びます。これにより、同期済みのノート、ファイル、デバイス、設定、そしてアカウント自体がサーバーから恒久的に削除されます。保持期間はなく、後から復元できるバックアップも当社にはないため、残したいものは先に書き出しておいてください(設定 > 読み込みと書き出し)。
補足が2点あります。削除の前に、有効なストレージサブスクリプションは解約しておく必要があります(すでに解約が予定されているものは妨げになりません)。また、フレーズアカウントには最初からメールアドレスも名前も含まれていないため、消去すべきプロフィールやマーケティングリストは残りません。1台のデバイスのローカルデータを消去するのは別の操作で、アカウントには影響しません。
期待どおりのものすべてが、同期前にデバイス上で暗号化された上で同期されます。ノート、タスク、ジャーナルの記録、保管庫、そしてその中の暗号化ファイル。設定も一緒に付いてきます。お気に入りのタグ、並べ替えと表示の設定、カラーテーマ、PIN(ソルト付きハッシュとしてで、PINそのものは決して同期されません)、アプリロック、トラッカーと服薬の設定、ゴミ箱の自動削除。一度設定すれば、すべてのデバイスに反映されます。
いくつかのものは意図的にデバイスローカルに留まります。ライトモードとダークモード(各デバイスが自身のシステム設定に従います)、生体認証によるロック解除(各デバイスのハードウェアに紐づきます)、そしてロック解除状態(アプリを閉じれば必ず再ロックされます)。サーバーが保存するのは常に暗号化されたデータの塊だけで、その中身を読むことはできません。
はい。アプリはローカルファーストで、ノートはデバイス上のデータベースに保存されているため、読み書きも検索も接続なしで動作します。オンラインに戻れば、変更は自動的に同期されます。
黙って上書きされることはありません。離れている間に(たとえば一方がオフラインの間に)両方のデバイスが同じノートを変更していた場合、再同期の時点でアプリが衝突を検知し、競合ダイアログを表示します。このデバイスの版を残す、もう一方の版を残す、あるいは両方を別々のノートとして残す、から選べます。
日常の使用でこれを見ることはほとんどありません。オンラインなら編集は数秒以内に同期され、ダイアログが出るのは、同じノートの2つの版が本当に分岐したときだけです。
設定 > アカウントに、登録済みのデバイスがすべて表示されます。引退させるデバイスを削除すると、枠はすぐに空きます(無料プランの2台制限では特に便利です)。削除されたデバイスは、次に同期しようとした時点でサインアウトされます。削除後72時間は「最近削除済み」に表示され続けるので、確かに消えたことを確認できます。
正直な注意点を1つ。リカバリーフレーズを持っている人は誰でも再びサインインできるため、削除それ自体はセキュリティ境界にはなりません。デバイスを紛失したり盗まれたりした場合、守るべきはフレーズです。そして、拾われたデバイスが開けっ放しの扉にならないようにするのが、アプリロック(PINまたは生体認証)です。
無料アカウントは最大2台のデバイスで同期でき、3台目が登録しようとするとこのダイアログが表示されます。使わなくなったデバイスは、ダイアログから直接、または既存のデバイスで設定 > アカウントから削除できます(削除の仕組み)。枠はすぐに空き、削除したデバイスは72時間「最近削除」に表示され続けます。Proはこの上限を完全に取り払います。
知っておくと役立つ癖が1つあります。1台のコンピュータ上の複数のブラウザが複数の枠を消費しないように、デバイスは、コンピュータの大まかなシグナルをプライバシーを保つ形でハッシュ化した値でグループ化されます。このハッシュは、アカウントごとのシークレットを使ってあなたのデバイス上で計算されます。大きなブラウザの更新や、それらのシグナルをランダム化するBraveやTorのような堅牢なブラウザでは、同じコンピュータがしばらくの間、新しい枠に入ることがあります。締め出されることは決してありません。古くなったエントリを削除して、そのまま続けてください。
削除されるものは何もありません。新しい変更が収まらなくなると、同期がそれを知らせます。「ストレージがいっぱいです。一部のノートを同期できませんでした。」既存のデータは同期され続けますが、新しく増えた分は同期されません。上限を超えたままだと、90日のカウントダウンが始まり、琥珀色のバナーで表示されます。読むこと、より小さく編集すること、削除すること、書き出すことは、その間ずっと問題なく使えます。
上限超過が90日を過ぎると、同期は一時停止します。バナーが赤くなります(「同期を一時停止しました。ストレージ上限の超過が90日以上続いています。」)。アプリはすべてのデバイスで完全に動作し続けます。変更は、上限を下回るまでローカルに留まるだけです。復旧はその場で、自分で行えます。空き容量を確保する(ゴミ箱を空にすることも含みます)か、設定 > ストレージからストレージを追加すれば、同期はひとりでに再開します。これは、上限超過のデータを自動削除するサービスとは、あえて正反対の設計です。
まず、あなたのデバイス上です。実際に操作しているのはそのコピーです。同期用のコピーはスイスのチューリッヒにあるサーバーに保存されます。
すべてがデバイスを離れる前に暗号化されるため、サーバーの所在地は約束の土台ではなく、おまけです。同期されたデータは、どこに置かれていようと読めないままです。
いつでもすべてを書き出せます。生成は完全にデバイス上で行われます。添付ファイル込みのzipに入ったMarkdownファイル、完全なJSONバックアップ、または単体で完結するHTML。ノート単位でも、アカウント全体でも可能です。
読み込みも同様に使えます。Obsidian、Apple Notes、Google Keep、Standard Notes、Simplenote、Samsung Notesからノートを持ち込めます。ロックインはこのビジネスモデルに含まれていません。
万全の安全網には、設定 > 読み込みと書き出し > 書き出しにある「PrivacyNotesバックアップ(.zip)」を使います。これにはすべてが含まれ、ノート、ジャーナル、保管庫、タスク、画像、音声、ファイルまで入っており、「復元」タブから任意の保管庫へ完全に復元できます。ディスク上では読める形なので、信頼できる場所に保管してください。共有ドライブではなく、暗号化されたディスクがよいでしょう。
「暗号化バックアップ(.pnbackup)」は逆のトレードオフです。フレーズがなければ読めないためどこに置いても安全ですが、対象はテキストとメタデータのみで(画像やファイルは含まれません)、作成したのと同じアカウントにしか復元できません。そのため、いつか新しいフレーズへ移行すると、これは使えなくなります。「テキストバックアップ(.json)」とHTMLアーカイブは、復元用というより持ち運び用のフォーマットで、「保管庫の書き出し(.json)」はパスワードマネージャー向けのBitwarden互換の平文です。
すべてが同期されるのに、なぜローカルのバックアップを持つのでしょうか?それは、同期はバックアップではないからです。同期は削除も忠実に伝播させます。最悪の場合には、侵害されたサーバーがデータを消し、それをあなたのデバイスが写し取ってしまうことも含めてです。自分のディスク上にある定期的な完全バックアップは、どんなサーバー上の出来事にも触れられない唯一のコピーです。大きな読み込みの前、離れる前、そして自分が実際に続けられるペースで、書き出しておきましょう。
同期するものすべてが、暗号化後のサイズで計上されます。ノートの本文、画像、音声録音、ファイル添付です。設定 > ストレージにあるバーが合計を表示し、各ノート自身の占有量は、そのノートオプションに「使用ストレージ」として記載されます。ゴミ箱に入れたノートも、ゴミ箱を空にするまでは計上され続けます。
手早く空き容量を作るには、「ファイル」を開き、「サイズ」で並べ替えて、大きいものから削除します。ほとんどのアカウントで、添付ファイルはテキストを大きく上回ります。次にゴミ箱を空にします。「ゴミ箱」ビューには、「空にする」でどれだけの容量が解放されるかが表示されます。テキストだけで上限が埋まることはまずありません。無料の50 MBでも、プレーンなノートを何万件も収められます。
あらゆるファイル形式に対応します。画像、PDF、音声、アーカイブ、ドロップしたものは何でも。すべてのファイルは、ノート本文とまったく同じように、アップロード前にデバイス上で暗号化されます。ファイルビューには、すべての添付ファイルが1か所に集まります。
1ファイルあたりの上限は、無料プランで5 MB、Proで50 MBです。ファイルは同期ストレージの合計(無料で50 MB、Proで500 MB、ストレージアドオンで最大5.5 GBまで拡張可能)に計上され、設定 > ストレージのストレージバーで現在の使用状況をいつでも確認できます。
2つの上限があり、エラーはどちらに達したかを教えてくれます。1ファイルあたりは、無料で5 MB、Proで50 MB、いずれかのストレージアドオンで100 MBです。合計では、同期するものすべてがアカウントのストレージ(無料で50 MB、Proで500 MB、アドオンでさらに拡張)に収まる必要があるため、上限がいっぱいだと、ファイル自体が小さくてもアップロードは失敗します。ファイル形式はどれでも受け付けられ、フォーマットの制限はありません。
「ファイル」ビューまたは設定 > ストレージのストレージバーを確認し、いちばん手軽な対処を選びます。空き容量を確保する、アップグレードする、あるいはファイルを小さくする(スマートフォンの写真は数MBの元データであることが多く、圧縮したJPEGならそのごく一部のサイズです)。アップロードには接続も必要です。オフラインの間、ファイルはキューに入りません。
ゴミ箱はアーカイブではありません。既定では、中に入っているものは30日後に恒久的に削除されます。そのスイッチは「ゴミ箱」ビュー自体にあり、「30日後に自動削除」というラベルが付いています。ゴミ箱をずっと残したい場合はそこでオフにしてください。この設定はすべてのデバイスに同期されます。クリーンアップはアプリを開いたときにデバイス上で実行されます。サーバーには、どの暗号化されたノートがゴミ箱に入っているかが見えないからです。
恒久的な削除とは、なくなるということです。サーバー上のコピーもなく、復元の手立てもありません。ゴミ箱を「いつかやるかも」の置き場所として使っている場合は、自動削除をオフにするか、30日目より前にノートを復元してください。それまでは、ゴミ箱のノートもストレージに計上されます。同じビューの「空にする」で、その容量はすぐに解放されます。
保管庫は、構造化された機密情報のための専用セクションです。ユーザー名とパスワードを持つログイン情報、クレジットカードとデビットカード、SSHキーを扱います。各エントリには自由記述ではなく専用のフィールドがあり、ログイン情報にはサイトのアイコンが表示され、すべてが他のデータと同じくエンドツーエンド暗号化されます。
放っておくとノートのあちこちに散らばりがちな一握りの認証情報に、整理された保護済みの置き場所を与えます。アプリロックとPIN保護を組み合わせれば、最も機密性の高いエントリに二重の関門を設けられます。Bitwardenからの読み込みは、自動的にここへ入ります。
好きなだけ書いてください。通常のノートでサイズが問題になることはありません。1つのノートが非常に大きくなると、ノートの下に小さなヒントが現れ、3段階で強まっていきます。約50,000語で、ノートが長くなっており遅いデバイスでは動作が重くなる可能性があると知らせます。約75,000語で琥珀色に変わり、編集がもたつき始めるおそれを示します。そして約100,000語で、同期の上限に近づいているためノートの分割を提案します。これらは目安であって強制停止ではなく、書き続けることを妨げるものはありません。
唯一の本当の上限が、この同期の上限です。1つのノートには、暗号化後でおよそ1 MBまでのテキストを収められます。ごく大まかに言えば一般的な英語で約120,000語で、ラテン文字以外の文字や凝った書式ではそれより少なくなります。上限を超えたノートも動作し続け、書いたデバイス上では安全なままですが、そのノートだけは他のデバイスへ同期されません(「同期に失敗しました」という通知が表示されます)。他のノートには影響しません。1つの巨大なノートが他の何かを妨げることは決してないのです。
対処は簡単で、非常に長いノートをいくつかの小さなノートに分けるだけです。内容は同じまま、問題なく同期され、エディタも軽快なままです。各ノートの下にリアルタイムの語数カウントがあるので、書きながらサイズを確認できます。それに、どこに壁があるのか限界テストをするつもりだったなら、もうその必要はありません。
先に書き出し、後で削除します。どちらも自分で行えます。設定 > 読み込みと書き出し > 書き出しが、あらゆる出口をカバーします。完全なコピーには「PrivacyNotesバックアップ(.zip)」、次のノートアプリ向けには持ち運び可能なMarkdownとHTML、次のパスワードマネージャー向けにはBitwarden互換フォーマットの「保管庫の書き出し(.json)」です。書き出しはデバイス上で生成されます。
その後、設定 > ID & Sync >「アカウントとデータを削除...」で、DELETEと入力すると、同期されたノート、ファイル、デバイス、設定、そしてアカウント自体が、保持期間なしで恒久的に削除されます(詳細)。有効なストレージアドオンは、先に設定 > ストレージで解約しておく必要があります。フレーズのみのアカウントには、消し去るべきものが何も残りません。そもそもあなたが誰なのかを当社は知らなかったからです。ダークパターンも、引き止めのメールもありません。去る道中も含め、データはあなたのものです。
その多くは、できる限り持たないことによってです。フレーズで登録すれば、請求の対象になる名前も、メールアドレスも、身元情報もありません。あなたのデータは、ランダムな公開鍵の下の暗号文であり、スイスのチューリッヒでホストされています。GoogleまたはAppleでサインインすると、識別子はちょうど1つだけ存在します。プロバイダーが共有するメールアドレスで、その鍵に紐づけられています。Proの請求情報は、販売者(Merchant of Record)であるPaddleにあり、当社にはありません。
どの権利も、申請フォームなしで、自分ですぐに行使できます。アクセスとデータポータビリティは設定 > 読み込みと書き出し(オープンフォーマットでの完全な書き出し)、消去は設定 > ID & Sync >「アカウントとデータを削除...」で保持期間なし、そして訂正はノートを編集することです。正式な文面は、アプリ自体では行えないことについて当社に連絡する方法も含めて、プライバシーポリシーにあります。
何も失われません。アプリはローカルファーストなので、完全なデータ一式はすでにあなたのデバイス上にあり、Markdown、JSON、HTMLへの書き出しは完全にオフラインで動作します。
暗号化レイヤーもオープンコアとして公開されているため、当社のサーバーが一夜にして消え去った世界でも、フォーマットは第三者が独立して読める状態であり続けます。
無料版はお試し版ではなく、完全なプロダクトです。エンドツーエンド暗号化されたノート、タスク、ジャーナル、保管庫、オフライン利用、読み込みと書き出し。これを最大2台のデバイスと50 MBの同期ストレージで使えます。
Proは買い切りで、デバイス数無制限、500 MBの同期ストレージ(拡張可能)、ノートのバージョン履歴、より大きなファイル添付、ノートロックとPIN保護、高度なウェルネストラッキング、Zenモード、すべてのカラーテーマが追加されます。
サービスの運用コストを意図的に低く抑えているからです。アプリはローカルファーストで、ノートは小さな暗号化データなので、サーバーの仕事は、それを保存してデバイス間で中継することがほぼすべてです。分析パイプラインも、計算資源を焼き尽くすAI機能も、サポート部門もありません。
時間とともに増える唯一のコストがストレージで、そこは相応の価格付けになっています。付属の500 MBを超えるストレージは、少額の年額アドオンです。一度きりのコストには一度きりの価格を、繰り返すコストには繰り返す価格を。このモデルは自らを賄えればよく、実際に賄えています。
はい。Proはデバイスやプラットフォームやストアではなく、アカウントに紐づきます。一度購入すれば、同じフレーズ(または同じGoogle、Apple、GitHubのログイン)でどこでサインインしても、そこでProが有効になります。
まだ存在しないプラットフォームも含まれます。新しいアプリが登場したときには、既存のProが追加費用なしでそのまま付いてきます。
1分ほど待ってから、アプリを再読み込みしてください。購入手続きの後、アプリは約20秒間ポーリングして自動的にロックを解除し、再読み込みすると起動時にProの状態を再確認します。支払いは届いたのに有効化が遅れている場合は、「支払いは受領しましたが、Proの有効化に通常より時間がかかっています」というバナーが表示されます。この状態は、ほぼすべての場合、ひとりでに解消します。ストア版では、検証に失敗した購入はアプリを再起動すると再試行され、まったく有効にならなかった購入は、3日以内にストアによって自動的に返金されます。
それでもロックされたままですか?ほとんどの場合、原因はアカウントの取り違えです。Proは購入時にサインインしていたアカウントに紐づくため、別のフレーズ、あるいはフレーズの保管庫ではなくプロバイダーログインだと、それは別のアカウントになります。購入したデバイスで、設定 > ID & SyncにあるアカウントIDを見比べてください。本当に動かなくなっている場合は、報告してください。その際、そのアカウントIDを添えてください。これは購入を特定するもので、あなたのノートについては何も明かしません。
Proには500 MBの暗号化同期ストレージが含まれます。さらに必要な場合は、アドオンパッケージを上乗せできます。年額で1 GBが$4.80、2 GBが$8.40、5 GBが$18、合計で最大5.5 GBまでです。アドオンはこのプロダクトで唯一の継続課金です。ストレージだけが、使い続ける限り毎月当社に費用を発生させるものだからです。
管理はすべて設定 > ストレージで行えます。より大きなパッケージへの切り替え(支払いは日割りの差額のみ)も、いつでもできる解約(支払い済みの期間が終わるまで容量はそのまま使えます)もここからです。どちらにしても、Pro自体はずっとあなたのものです。
設定 > ストレージが管理画面です。より大きなパッケージへのアップグレードは即座に適用され、確定する前に、本日請求される日割りの正確な金額が確認画面に表示されます。更新日は変わりません。「ストレージを解約」を選んでも、すでに支払い済みの期間が終わるまでは追加の容量をそのまま使えます。ダウングレードはまだ利用できません。当面の方法は、いったん解約し、期間が終わってから小さいパッケージを購入することです。
期限切れの後も、残った上限にデータがまだ収まるなら、それで終わりです。収まらない場合でも、何も削除されず、90日間の上限超過のライフサイクルが始まります。更新に失敗すると、Paddleで支払いを修正するための「カードを更新」リンク付きのバナーが表示されます。ストア版で契約した場合は、請求はそのストアが行うため、解約は代わりにそのストア自身のサブスクリプション設定で行います。
はい。Proとストレージは、プラットフォームやストアではなく、あなたのアカウントに紐づきます。ウェブで購入すれば、サインインするすべてのアプリが、ストア版も含めてProになります。ストア版の中で購入すれば、ウェブアプリもデスクトップアプリも同じように解除されます。「購入を復元」ボタンがないのは、サインインすることがそのまま復元だからです。権利はアカウントに付いて回ります。
唯一の違いは、誰が請求するかです。ウェブでの購入はPaddleを通じて行われ、アプリ内の設定 > ストレージで管理します。ストア版の中で行った購入(Google Play、またはiOSアプリの提供開始後はApp Store)は、そのストアが請求します。継続課金のストレージはそのストアのサブスクリプション設定で解約し、返金はそのストアの手続きに従います。どちらにしても、どこでも同じアカウントで同じProです。まだ存在しないプラットフォームも含めてです。
30日間、理由は問いません。Proが合わなければ、購入から30日以内に申請すれば、全額が元の支払い方法へ返金されます。EUのお客様は、これに加えて法定の14日間の撤回権も保持します。
決済は、当社の販売者(Merchant of Record)であるPaddleが処理しているため、返金もPaddleが直接対応します。購入時の領収書メールに返信するか、paddle.netにアクセスしてください。ポリシーの全文は利用規約にあります。
想像より少ないはずです。購入手続きは、販売者(Merchant of Record)であるPaddleを通じて行われます。氏名、カード番号、請求先住所は決済と税務のためにPaddleへ渡り、当社のサーバーには一切触れません。
当社に届くのは、あなたのアカウントの公開鍵がProになったという確認と、注文金額だけです。購入手続きで入力する領収書メールアドレスを含め、請求上の関係はPaddleに留まります。したがって、フレーズのみのアカウントは有料顧客になった後も当社にとって仮名のままです。支払いがあったことは分かりますが、あなたが誰なのかは分かりません。
はい、定番のツールを2つ使えば可能です。領収書にはメールエイリアスを。Appleの「メールを非公開」、DuckDuckGo Email Protection、SimpleLogin、Firefox Relay、addy.ioはいずれも、実際の受信箱を明かさずにメールを転送してくれます。支払いにはマスクカードを。米国ではprivacy.comが、入力した任意の名前で使えるバーチャルカードを発行します。それ以外の地域でも、多くの銀行やサービス(たとえばRevolut)が、同じ役割を果たす使い捨てのバーチャルカードを提供しています。
購入手続きでPaddleが求めるのは、メールアドレス、支払い方法、そして税計算のための国(一部の地域では郵便番号も)です。エイリアスが領収書を受け取り、マスクカードにはあなたが付けた名前が載り、税務上の所在地から分かるのは地域まで。それ以上は何もありません。ただし、エイリアスは維持しておいてください。領収書メールは購入の証明であり、返金を受けるための窓口です。
フレーズアカウントと組み合わせれば、全体像を握る当事者はどこにもいなくなります。銀行に見えるのはカードへのチャージ、Paddleに見えるのはエイリアスとマスクカード、当社に見えるのは、ある公開鍵がProになったことだけです。
現在はウェブ、macOS、Windows、Linux、Androidで、iOS版も近日提供予定です。すべてのアプリが同じコアから作られ、同じエンドツーエンド暗号化を備え、同じアカウントを通じて同期します。最新のビルドは常にダウンロードセクションにあります。
ウェブアプリは代替手段ではなく、第一級の存在です。データの完全なローカルコピーを保持し、オフラインでも動作するため、モダンブラウザさえあればいつでもアクセスできます。
Google Playストアから入手した場合は、はい、他のアプリと同じように自動で更新されます。当社のウェブサイトから直接ダウンロードした場合、スマートフォンが自動で更新することはありません。Playストア以外から入れたアプリに対するAndroidの仕様です。
その代わり、アプリ自身が新しいバージョンを確認し、準備ができると「新しいバージョンが利用可能です」というメッセージを表示します。タップすると、古いバージョンの上にそのまま更新がインストールされ、ノートも設定もすべて残ります。この確認は新しいバージョンの有無を調べるだけで、ノートに触れることは決してなく、ノートはその間ずっと暗号化されたままです。
はい。ただし、一方をもう一方の上から重ねてインストールする形ではできません。2つのビルドは異なる鍵で署名されており(Playは独自の署名を管理し、直接ダウンロードのAPKの鍵は当社だけが持っています)、Androidは署名が変わったアプリの更新を拒否するため、インストールは「アプリがインストールされていません」といったエラーで失敗します。切り替えの手順はこうです。アプリが「同期済み」と表示されていることを確認し、今のビルドをアンインストールし、もう一方をインストールして、サインインし直します。
アンインストールするとアプリのローカルデータは消えます。だからこそ、先に同期を確認するのです。サインインすれば、すべてが同期から戻ってきます。12単語、または別のデバイスからのサインイン用QRは、アンインストールした後ではなく前に用意しておいてください。それ以外の点でビルドは同一で、違うのは更新のされ方と、Proの請求方法だけです。