Open WebUI 0.12.3 在私人訊息與私人群組頻道加入暫時性端對端加密聊天。這項更新讓成員能在瀏覽器中建立加密對話，但判斷能不能放敏感內容，仍要先問三件事：哪些訊息受到加密、對話何時消失，以及參與者與部署環境是否可信。端對端加密只說明訊息在端點之間如何保護，不能直接替資料分級、留存制度或整套自架環境背書。
有端對端加密，還要先問哪些問題？
它讓私人訊息或私人群組頻道可進行暫時性加密聊天，但適用範圍有限，仍須確認成員、端點、保存需求與部署設定。
0.12.3 發布說明新增的是「加密聊天」功能：成員從私訊或私人群組頻道的選單啟動，其他成員看到對話正在進行後可加入。單則訊息上限為 16 KiB，瀏覽器使用 MLS（Messaging Layer Security，訊息層安全協定）加密，再經伺服器轉送；發布說明表示，這些訊息不會由伺服器保存。成員可比對驗證碼確認彼此，聊天會在離開或重新載入後清除，頻道成員或存取權變更時也會結束。
這項功能與 Open WebUI 0.12.1 的外部 App 頻道管理更新是兩件事。0.12.1 著重頻道與外部 App 管理，0.12.3 才加入端對端加密聊天。兩者都涉及頻道，不代表早期頻道功能已有同樣的加密特性，也不能把一般頻道訊息當成加密聊天使用。
名稱相同的「私訊」也容易混淆：此功能限定在啟動後的加密聊天狀態，不會自動把既有訊息轉成加密內容。使用者應確認目前畫面確實進入 Encrypted Chat，並且加入者完成驗證。若需求是可搜尋、可交接或可供稽核的正式紀錄，暫時性聊天室的生命週期與目標並不相符。
加密聊天保護哪些資料，哪些內容不會留下？
發布說明指出，加密訊息在瀏覽器端以 MLS 加密，伺服器只負責轉送且不保存訊息；對話離開或重新載入後清除。
「端對端」描述的是訊息內容的保護方式：發送端與收件端在瀏覽器中持有解密所需的群組狀態，中間伺服器負責傳遞 MLS 訊息。RFC 9420 將 MLS 定義為群組金鑰建立協定，目標是讓群組成員取得共享加密狀態，並提供前向保密與事後入侵安全等性質。這解釋協定設計的能力，不等於 Open WebUI 的特定實作已通過獨立安全稽核，也不代表每個部署都具備相同設定與結果。
「訊息在瀏覽器中以 MLS 加密，經伺服器轉送而不保存。」這是 Open WebUI v0.12.3 發布說明對功能資料流的描述，適用於此版本新增的加密聊天，不應延伸解讀為所有聊天、帳號資料或伺服器記錄都採相同處理。
瀏覽器加密仍須透過網路傳遞協定訊息。RFC 9420 提醒，觀察傳輸的人仍可能從未加密的訊息欄位推知群組識別、訊息頻率或成員資訊等中繼資料，也建議 MLS 訊息使用 TLS 等安全傳輸。
Open WebUI 的發布說明另明確要求正式環境使用 HTTPS、維持 WebSocket 連線，並關閉 WebSocket 伺服器記錄。HTTPS 保護瀏覽器到服務的傳輸通道，與 MLS 對訊息內容的保護層次不同，兩者都要納入部署檢查。
這段流程也有時間與裝置邊界。重新載入或離開會清除聊天，因此不要把它當作備份、工作紀錄或日後可還原的對話。正在顯示內容的瀏覽器仍是端點；若裝置遭他人操作、瀏覽器工作階段外洩或使用者自行複製訊息，加密功能無法阻止端點上的人讀取或轉存。分享螢幕、剪貼簿、通知預覽、瀏覽器擴充套件等周邊環節，也應依組織的裝置與資料政策處理。
「不保存訊息」是發布說明對加密聊天訊息的陳述，不能與「不產生任何相關資料」畫上等號。使用者帳號、頻道成員、權限變更、連線狀態和基礎設施操作紀錄，各有不同資料流與保留政策。若要知道特定部署實際留下哪些紀錄，需分別檢視 Open WebUI 設定、反向代理、容器平台、主機及監控系統，而不能只由訊息加密推論。
RFC 9420 說明，MLS 的目標包括群組訊息的前向保密與事後入侵安全；協定文件同時指出，傳輸可見欄位仍可能揭露群組狀態。這是協定層的設計說明，不能單獨證明個別產品或部署的整體安全性。
私訊適合放什麼資料？先按敏感度和保存需求分類
短期、低敏感且不需正式留存的協作資訊較適合評估；憑證、高度敏感個資和有稽核或保存義務的資料，應先遵照組織規範選擇核准管道。
判斷的起點不是「訊息有沒有加密」，而是資料被誰看到、要用多久、是否必須留下可追溯紀錄。像是短期會議協調、低敏感度的工作分工、非機密問題描述，若參與者身份與裝置都在可接受的信任範圍，且不需要日後查回，可評估用於暫時性加密聊天。這只是依功能特性提出的使用情境，實際能否使用仍由單位資料分級、契約與內部政策決定。
帳號密碼、私鑰、API 金鑰、一次性驗證碼等憑證，不宜因為有加密就任意貼在聊天中。憑證應放在核准的密碼管理或金鑰管理系統，按角色授權，並具備輪替與撤銷流程。若有人已將金鑰貼進聊天，刪除畫面或離開聊天室不能視為憑證已撤銷；應按事件處理程序評估失效、換發與存取紀錄。
姓名、聯絡方式、客戶資料、員工資訊、健康資訊或其他可識別個人的內容，需先確認使用目的、資料最小化原則、可存取對象和適用的保存期限。端對端加密不會替團隊決定是否有權處理這些資料，也不會取代契約要求、個資管理程序或法定紀錄。若某項工作要求保存決策脈絡、提供客服交接或接受稽核，應選擇具備核准留存與存取控管的系統，或把必要摘要記錄在正式系統，不要依賴會清除的聊天。
| 資料類型 | 使用前的判斷 | 較合適的處理方式 |
|---|---|---|
| 短期、低敏感度協作內容 | 是否只需短暫交換，參與者及端點是否可信 | 可依組織規範評估暫時性加密聊天 |
| 密碼、私鑰、API 金鑰、驗證碼 | 是否為可直接使用或可重設帳號權限的憑證 | 使用核准的密碼庫或金鑰管理工具，避免貼入聊天 |
| 客戶、員工或健康資料 | 是否有目的、權限、告知或合約依據，是否需限制欄位 | 使用經核准且可控管、可稽核的資料系統 |
| 必須保存或可追溯的決策 | 是否涉及交接、稽核、法遵、事故處理 | 記錄至正式知識庫、工單或紀錄系統 |
這份分類表是協助提問的起點，不是通用核准清單。同一段訊息可能包含多種資料，應按其中最高敏感度及最長保存要求處理。例如，一則一般工作安排若附上含客戶姓名的截圖，就不能只按「工作協作」分類。先刪除不必要的識別資料，再決定是否使用加密聊天，通常比事後補救更能降低暴露面。
還要把「內容敏感」與「記錄必要」分開判斷。有些資料本身不敏感，卻因責任歸屬或工作交接必須保留；另一些資料即使只需短暫討論，也可能因身份可識別而提高處理門檻。前者需要正式紀錄，後者需要控制輸入內容與參與者，不能只靠一項加密功能同時處理兩種需求。
自架部署上線前，管理員要檢查哪些設定？
管理員需確認功能開關與使用者權限、正式環境 HTTPS、WebSocket 可連線，以及 WebSocket 伺服器記錄關閉；之後再用測試帳號驗證成員、離開、重載與記錄行為。
0.12.3 發布說明指出，此功能預設關閉，管理員須在 Admin Settings 的 General 區啟用 Encrypted channels，或使用 ENABLE_ENCRYPTED_CHANNELS 設定；還需授予使用者 Encrypted Channels 權限。
實際部署可由管理介面或 USER_PERMISSIONS_FEATURES_ENCRYPTED_CHANNELS 設定使用者功能權限。上線前要核對設定實際套用在哪些群組，避免全員開放或只有部分成員誤以為功能可用。
接著確認正式環境使用 HTTPS，代理或負載平衡器允許 WebSocket 升級及連線。Open WebUI 的 HTTPS 文件指出，反向代理需傳遞 Upgrade 與 Connection 標頭才能支援即時功能。若代理只轉發一般 HTTP 請求，使用者可能無法正常開始或維持加密聊天。
發布說明要求關閉 WebSocket 伺服器記錄。若為連線問題暫時啟用記錄，管理者應將除錯視為短期操作，確認記錄範圍、存放位置、權限與清除時間，再於正式使用前關閉。周邊反向代理或平台日誌也要另外盤點，單一應用程式的設定不會自動控制整條基礎設施鏈。
部署者也要界定「成員驗證」的責任。發布說明提供成員比對代碼的方式，讓使用者確認對話對象；這不是身分系統自動保證。管理員仍需維護帳號生命週期、群組成員清單、管理員權限及離職者撤權流程。成員或存取權改變會終止聊天，這能限制變更後沿用同一對話狀態，卻不能讓已經看過或另行保存舊訊息的人忘記內容。
如果是新加入的外部協作者，應先用既有可信管道核對其身份，再比對聊天室提供的代碼。單看邀請連結或帳號顯示名稱，不能代替參與者驗證；不同組織也要事先約定由誰邀請、誰確認成員名單。
備份規劃應與功能的暫時性一致。官方描述的加密聊天會在離開或重載後清除，不能期待一般聊天資料庫備份或還原程序找回這些內容。若業務需要長期留存，就要在發送前確認經核准的紀錄管道，而非依賴備份復原。相反地，應避免為了「可能有用」而廣泛保留應用程式除錯日誌；日誌範圍、管理權限和保留時間都要有明確責任人。
上線前可用兩個測試帳號依序檢查：管理員能否只對指定群組啟用功能；成員能否比對代碼；移除成員或變更存取權後聊天室是否結束；離開及重新載入後內容是否清除；WebSocket 是否正常連線；伺服器與代理記錄是否符合設定；備份還原是否不會被誤認為聊天紀錄還原。
把結果、版本與部署環境記入變更紀錄，再決定哪些資料等級可以使用。官方發布說明提供的是功能和部署條件，沒有包含對所有端點、記錄路徑與特定部署的完整安全稽核，組織仍需依自身威脅模型與管理要求驗證。
- 0.12.3 的功能是私訊與私人群組頻道中的暫時性加密聊天，發布說明稱訊息由瀏覽器以 MLS 加密、經伺服器轉送且不保存。
- 離開、重新載入、成員或存取權變更會結束聊天，不能視為備份或正式留存機制。
- 資料是否可用要同時看敏感度、參與者與端點、保存需求、組織規範及部署記錄設定。
常見問題：加密聊天會留下什麼？
0.12.3 的端對端加密是需要管理員啟用、由成員明確加入的暫時性聊天；一般私訊或頻道不會因此自動變成加密聊天。
常見問題
Q1：伺服器是否會保存加密聊天訊息？
Open WebUI v0.12.3 發布說明稱，訊息在瀏覽器端使用 MLS 加密並經伺服器轉送，不會保存。此敘述針對加密聊天訊息，不應延伸為帳號、成員、連線資訊及各項基礎設施紀錄都不保存。
Q2：重新整理或離開後，能否找回訊息？
官方說明指出，離開或重新載入會清除聊天。此功能不適合承擔備份、交接或正式保存任務；有留存需求時，應使用組織核准的紀錄系統。
Q3：0.12.1 的外部 App 管理更新是否等於端對端加密？
不是。0.12.1 更新處理頻道外部 App 管理，0.12.3 才新增私人訊息與私人群組頻道的加密聊天。應依實際版本及聊天介面狀態確認功能，不要從頻道支援外部 App 推論訊息已加密。
