Безопасен ли MAX: шифрование, данные и кто может читать переписку

Вместе с «безопасен ли макс» спрашивают «прослушивает ли макс звонки», «какие данные собирает макс» и «где хранится переписка в максе». Отвечаем по документам: соглашение MAX (редакция от 9 сентября 2026 года), политика конфиденциальности (от 18 мая 2026 года), справка help.max.ru и законы. Цитаты дословные, с номером пункта; где ответа нет — так и написано. Оценок «безопаснее» и «опаснее» не будет: это в документе не вычитывается. Всё описано на 13 сентября 2026 года.

Есть ли в MAX сквозное шифрование

Сквозное шифрование (E2EE) — схема, при которой сообщение шифруется на устройстве отправителя, расшифровывается на устройстве получателя, а у сервера ключей нет. Это и отличает его от шифрования канала, когда сообщение защищено по дороге, но на сервере лежит открытым.

Факты. В пользовательском соглашении слово «шифрование» не встречается ни разу, в политике конфиденциальности — ни разу, в справке help.max.ru — один раз и не по теме: в статье «Как расшифровать аудиосообщение и видеосообщение?», то есть про перевод голосового в текст. На страницах max.ru, business.max.ru и dev.max.ru упоминаний шифрования переписки тоже нет. Вместо этого в политике общая формулировка:

Технические меры безопасности… реализованы Компанией с учетом требований применимого законодательства, современного уровня техники, характера обрабатываемой информации и рисков, связанных с ее обработкой. (п. 5.2 политики конфиденциальности)

Какие алгоритмы применяются, шифруется ли содержимое сообщений на серверах, есть ли режим с ключами только на устройствах — не описано.

Требование закона, общее для всей категории сервисов: по части 4.1 статьи 10.1 Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации» при «дополнительном кодировании электронных сообщений» организатор распространения информации обязан представлять в орган в области обеспечения безопасности «информацию, необходимую для декодирования» сообщений.

Итог: ни «E2EE есть», ни «его нет» утверждать нельзя — заявления не опубликовано. Если шифрование для вас критично, исходите из того, что заявления о нём нет.

Какие данные собирает MAX

Это описано подробно — пункт 2.1 политики конфиденциальности.

Содержания переписки в перечне нет вовсе. Про всё, что вы размещаете сверх списка, политика говорит: «Компания не имеет цели обрабатывать такую информацию, а также биометрические и специальные категории персональных данных» (п. 2.3). Обратного утверждения — «содержание сообщений не хранится» — в документах тоже нет.

Адресная книга описана в соглашении: компания может запрашивать доступ к данным устройства, «включая данные из адресной книги», то есть «имена и номера телефонов контактов» (п. 3.8). Доступ к контактам, камере, фото и микрофону выдаётся и отзывается в настройках операционной системы — справка «Как настроить разрешения для MAX?».

Где хранится переписка и сколько

Место названо дважды: данные россиян обрабатываются «с использованием баз данных, находящихся на территории Российской Федерации» (п. 2.2), и «Информация о Пользователе обрабатывается и хранится на территории Российской Федерации… исключительно на электронных носителях» (п. 3.2.1). Отдельной строкой: «Трансграничная передача персональных данных Пользователей не осуществляется». Это требование части 5 статьи 18 Федерального закона № 152-ФЗ «О персональных данных» (редакция от 28 февраля 2025 года), а не добрая воля сервиса.

Срок задан через цель: до достижения целей обработки, а после прекращения соглашения — «в течение срока, необходимого и установленного действующим законодательством» (п. 3.2.1). Конкретных месяцев в документах MAX нет. Числа есть в законе, и они общие для всех сервисов — часть 3 статьи 10.1 закона № 149-ФЗ требует хранить в России:

• три года — сведения о фактах приёма, передачи, доставки и обработки сообщений и информацию о пользователях (срок действует с 1 апреля 2025 года по закону № 41-ФЗ; раньше был год, и в старых статьях до сих пор пишут «год»);
• до шести месяцев — сами сообщения: тексты, голос, изображения, звуки, видео. Порядок задают Правила из постановления Правительства от 26 февраля 2022 года № 256: хранение «в полном объеме в течение 6 месяцев». Прежнее постановление № 728 силу утратило.

Те же два срока установлены операторам связи частью 1 статьи 64 Федерального закона № 126-ФЗ «О связи»: мессенджер работает поверх услуги передачи данных, и обязанности оператора от настроек приложения не зависят.

Удаление со стиранием с серверов путают часто. По справке, удалить своё сообщение можно «у меня» или «у всех» и только «в течение 7 дней после отправки». Для очистки истории в справке две версии статьи под разные платформы: в одной «история переписки удалится только у вас», в другой есть выбор «Стереть только у меня» или «Стереть у всех». Что происходит с копиями на серверах, не описано.

Кому MAX передаёт данные

Общее правило пункта 3.2.2 политики: «Информация Пользователя не передаются каким-либо третьим лицам, за исключением случаев, прямо предусмотренных настоящей Политикой». Перечень этих случаев — в таблице.

У последнего пункта есть продолжение: требование проходит «обязательную правовую оценку на предмет законности, обоснованности и соответствия запрашиваемого объема данных поставленным целям», и передаётся «только тот минимальный объем данных, который прямо предусмотрен применимым законодательством». Как это работает на практике, по документу не узнать: отчётности о числе запросов от госорганов документы MAX не предусматривают, и опубликованной мы не нашли.

Кто может прочитать переписку и прослушать звонки

Сотрудники сервиса

Сотрудники Компании не осуществляют мониторинг сообщений Пользователей, но Компания может использовать определенные автоматические компьютерные системы и фильтры для сканирования таких сообщений с целью ограничения рассылки спама или иного нежелательного или незаконного Контента в Сервисе. (п. 5.5 пользовательского соглашения)

Читать надо целиком: люди переписку не просматривают, автоматические фильтры по ней проходят. Рядом пункт 5.6: в системе «отсутствуют технические решения, осуществляющие контроль действий Пользователей», кроме решений против нарушений прав на результаты интеллектуальной деятельности и нарушений законодательства. Политика добавляет: «Информация обрабатывается автоматически без доступа к ней сотрудников и/или подрядчиков Компании» (п. 5.2). Расшифровка голосовых идёт по запросу пользователя и «исключительно в автоматическом режиме» (п. 6.5).

Государственные органы

Базовое правило — часть 2 статьи 23 Конституции: ограничение права на тайну переписки «допускается только на основании судебного решения». Механика — статья 8 Федерального закона № 144-ФЗ «Об оперативно-розыскной деятельности»: мероприятия, ограничивающие тайну переписки, включая получение компьютерной информации, проводятся по судебному решению при наличии сведений о противоправном деянии, по которому обязательно предварительное следствие, или об угрозе безопасности страны. В случаях, не терпящих отлагательства, мероприятие начинают по постановлению руководителя органа, но суд уведомляют в течение 24 часов, а решение получают в течение 48 часов, иначе мероприятие прекращается. Обязанности сервиса — в частях 3.1 и 4 статьи 10.1 закона № 149-ФЗ: предоставлять хранимую информацию уполномоченным органам «в случаях, установленных федеральными законами» и обеспечивать работу оборудования для таких мероприятий.

Собеседники, боты и публичные каналы

Самый частый реальный источник утечки — не сервер, а люди и приложения рядом:

• собеседник видит всё отправленное; удаление «у меня» у него ничего не убирает, а «у всех» работает 7 дней;
• любой участник звонка может включить запись — видеофайл «со всеми действиями участников», и «в момент начала записи на экране появится уведомление для всех собеседников»; администратор звонка может остановить запись и удалить файл;
• боты и мини-приложения получают данные из пункта 3.2.2 (b), а дальше ими распоряжается разработчик: «Пользователи обязаны самостоятельно знакомиться с документами Разработчика». Что умеют боты — в разборе «Боты в MAX»;
• в публичном канале приватности нет по определению: посты видны всем и попадают во внешние базы, включая наш Tapbox Стат, по которому мы считаем срезы рынка;
• коды подтверждения: в справке сказано «Коды подтверждения видны только вам», доступ к чату с ботом «есть только у владельца профиля MAX», код привязан к основному устройству. Код без вашего входа — это про чужую попытку входа, а не про чтение переписки.

Прослушивает ли MAX разговоры и зачем приложению микрофон

В документах MAX нет ни одного утверждения о прослушивании звонков или записи окружающего звука; пункты 5.5 и 5.6 соглашения говорят об обратном. Микрофон нужен для аудиосообщений и звонков, разрешение выдаётся и отзывается в настройках операционной системы. Официального подтверждения громких утверждений о «прослушке» нет ни в документах сервиса, ни в нормативных актах, поэтому пересказывать публикации СМИ и телеграм-каналов мы не станем: это не первоисточник. Штатная запись разговора одна — функция записи звонка, о начале которой уведомляют всех.

Что такое реестр организаторов распространения информации

Организатор распространения информации (ОРИ) — по части 1 статьи 10.1 закона № 149-ФЗ лицо, обеспечивающее работу систем или программ, «предназначенных и (или) используемых для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети „Интернет“». Любой мессенджер подпадает под определение по смыслу деятельности, а уведомить Роскомнадзор о её начале компания обязана сама (ч. 2). Обязанности: хранить данные (ч. 3), предоставлять их органам, ведущим оперативно-разыскную деятельность или обеспечивающим безопасность (ч. 3.1), обеспечивать работу оборудования для таких мероприятий (ч. 4), передавать сведения для декодирования (ч. 4.1).

Для сервисов обмена мгновенными сообщениями часть 4.2 добавляет отдельный набор требований:

• идентифицировать пользователей по номеру телефона — порядок в Правилах из постановления Правительства от 20 октября 2021 года № 1801 (прежнее постановление № 1279 утратило силу); российское юрлицо вправе определять номер само (ч. 4.3), а сведения об идентификации хранить только в России (ч. 4.4);
• предоставлять сведения о пользователях по требованию уполномоченного органа и в течение суток ограничивать отправку запрещённой информации;
• «обеспечивать конфиденциальность передаваемых электронных сообщений», давать возможность отказаться от сообщений других пользователей и обеспечивать передачу сообщений по инициативе государственных органов.

И факт, который обычно не проверяют: в открытой выгрузке реестра ОРИ Роскомнадзора на 12 сентября 2026 года 477 записей, и ни ООО «МАХ», ни домена max.ru среди них нет. Для сравнения: ООО «В Контакте» — запись от 4 сентября 2014 года, Telegram — от 28 июня 2017 года, WhatsApp — от 19 декабря 2024 года. Почему записи нет, ни в реестре, ни в документах сервиса не объяснено, а обязанности статьи 10.1 закон связывает с самой деятельностью, а не с фактом попадания в список.

У MAX есть и свой статус: Федеральный закон от 24 июня 2025 года № 156-ФЗ создал «многофункциональный сервис обмена информацией», а распоряжением Правительства от 12 июля 2025 года № 1880-р организацией, обеспечивающей его работу, определено ООО «Коммуникационная платформа» с исключительным правом на программу «Цифровая платформа МАХ». На оба акта ссылается пункт 6.2.1 соглашения, описывая госсервисы внутри мессенджера: Цифровой ID, передачу сведений организациям, подписание документов. Сами документы сервиса публикует ООО «МАХ» (ИНН 9714058267).

Чем MAX отличается от других мессенджеров по их же документам

Корректное сравнение тут одно: что компания написала про себя в своём документе. У Telegram на те же вопросы отвечает официальный FAQ.

Вывод «тот безопаснее, а этот нет» из таблицы не следует: она только про заявления. Официальные страницы WhatsApp из России 13 сентября 2026 года не открывались, поэтому его формулировки мы не цитируем. Сравнение MAX и Telegram глазами автора канала — в разборе «MAX или Telegram».

Что в вашей власти

Из документов видно, где риск зависит не от сервиса, а от вас. Всё перечисленное лежит в «Настройки → Безопасность».

1. Включите пароль для входа: по справке это второй фактор к коду из СМС. Укажите почту — без неё профиль не восстановить; в веб-версии пароль не включается.
2. Закройте номер: «Видеть мой номер» и «Поиск по номеру телефона» переведите в «Контакты».
3. Скройте статус «в сети», если не хотите показывать время заходов.
4. Откройте «Настройки → Устройства» и завершите лишние сессии: это единственный способ увидеть, где ещё открыт профиль.
5. Пересмотрите разрешения в настройках телефона: контакты, микрофон, камера, фото. Лишнее отключается без потери переписки.
6. Коды из чат-бота «Коды подтверждения» не передавайте никому, а если пишут незнакомцы — включите Безопасный режим: он скрывает профиль из поиска и ограничивает звонки и приглашения.

Доступ уже потеряли — порядок в «Взломали аккаунт MAX». Решили уйти — «Как удалить аккаунт в MAX навсегда»: по пункту 3.2.1 политики часть данных компания хранит и после удаления. За что ограничивают доступ — в «Что запрещено в MAX».

Частые ошибки

• Путать «заявления нет» с «шифрования нет». Отсутствие заявления — это отсутствие заявления; обратное утверждение так же недоказуемо.
• Считать, что удаление у себя удаляет у собеседника. «Удалить у меня» убирает сообщение только из вашего чата, «Удалить у всех» работает 7 дней.
• Ссылаться на устаревшие документы. Соглашение — от 9 сентября 2026 года, политика — от 18 мая 2026 года; срок хранения сведений о сообщениях стал три года только с 1 апреля 2025 года, а правила хранения сейчас — постановление № 256, а не № 728.
• Принимать публикации СМИ и телеграм-каналов за источник. Аргумент — текст документа или норма закона с номером пункта.

Чек-лист

• Прочитать пункт 2.1 политики конфиденциальности — там полный список собираемых данных.
• Включить пароль для входа и привязать почту для восстановления.
• Поставить «Видеть мой номер» и «Поиск по номеру телефона» в значение «Контакты».
• Проверить список устройств и завершить незнакомые сессии.
• Отозвать разрешения, которые приложению не нужны.
• Утверждения о безопасности проверять по legal.max.ru и help.max.ru, а не по пересказам.