Signal er standardvalget for krypteret kommunikation blandt journalister, aktivister og almindelige brugere i Norden. Men installerer du appen og lader resten stå på standardindstillinger, går du glip af de fleste af de beskyttelseslag, Signal faktisk tilbyder. Registreringslås står slukket. Skærmsikkerhed er ikke aktiveret. Dit telefonnummer ligger frit tilgængeligt for alle, du chatter med. Denne guide går igennem 12 konkrete trin til at hærde din Signal-opsætning, fra PIN-kode og forsvindende beskeder til automatisering med signal-cli og et komplet hærdningsscript, du kan køre på egen maskine.
Guiden henvender sig til udviklere, sikkerhedsansvarlige og privatlivsbevidste brugere, der allerede kender Signal fra hverdagsbrug, men vil have en systematisk gennemgang af hver eneste indstilling, der rent faktisk flytter noget. Du behøver ikke være ekspert i kryptografi for at følge med. Hvert trin er skrevet, så du kan udføre det på under fem minutter, og hele guiden er bygget op, så du kan springe direkte til det trin, der er relevant for dig lige nu, uden at miste sammenhængen.
Hvorfor standardopsætningen af Signal ikke beskytter dig nok
Signal-appen er krypteret fra første installation, men “krypteret” og “hærdet” er to forskellige ting. Selve protokollen beskytter indholdet af dine beskeder. Den beskytter ikke automatisk mod, at nogen låser din telefon op og læser din chathistorik, at et svagt SIM-kort bliver kapret og bruges til at overtage din konto, eller at en kontakt kan se dit private telefonnummer, bare fordi I skriver sammen én gang. De fleste brugere downloader Signal, bekræfter deres nummer og går videre uden at røre ved en eneste sikkerhedsindstilling.
Det er et problem, fordi Signal har bygget en lang række beskyttelseslag ind i appen, som kræver et aktivt valg fra brugeren. Registreringslås, brugernavne i stedet for telefonnumre, skærmsikkerhed og krypterede lokale backups er alle valgfrie. Uden dem sidder du med en app, der er teknisk set krypteret, men praktisk set langt fra hærdet. Denne guide retter op på det, trin for trin, med konkrete indstillinger, kommandoer og et script, du kan gemme og genbruge.
Tænk på det som lag i en løg, ikke som en enkelt kontakt, du skal slå til. Selve krypteringsprotokollen er det inderste lag, og den kan du ikke selv styre, den er indbygget og opdateres af Signal centralt. Det næste lag er kontoen, hvor registreringslås og PIN-kode afgør, om nogen kan overtage dig som person. Derefter kommer enhedslaget, altså hvad der sker, hvis nogen fysisk får fat i din telefon eller computer. Yderst ligger metadata-laget: hvem du chatter med, hvornår, og hvor længe historikken ligger tilgængelig. De 12 trin i denne guide er organiseret, så du arbejder dig gennem alle fire lag i rækkefølge, i stedet for at hoppe tilfældigt rundt mellem menupunkter.
Sådan virker Signals kryptering i 2026: PQXDH, SPQR og Triple Ratchet
Før du begynder at skrue på indstillinger, er det værd at forstå hvad du faktisk beskytter. Signal har siden 2023 arbejdet på at gøre sin protokol modstandsdygtig mod fremtidige kvantecomputere, og det arbejde er nu samlet i det, Signal selv kalder en Triple Ratchet. Det består af tre lag, der arbejder sammen hver gang du sender en besked.
PQXDH: det første håndtryk
PQXDH, kort for Post-Quantum Extended Diffie-Hellman, er den opdaterede version af Signals oprindelige X3DH-håndtryk. Ifølge Signals egen tekniske gennemgang kombinerer PQXDH den klassiske X25519-elliptisk-kurve-udveksling med den kvanteresistente KEM-algoritme CRYSTALS-Kyber. De to hemmeligheder blandes sammen, så en angriber skal bryde begge algoritmer for at aflæse den delte nøgle. Formålet er at lukke det, der kaldes “harvest now, decrypt later”: at en modstander opsnapper krypteret trafik i dag og gemmer den, i håb om at kunne dekryptere den senere med en kvantecomputer.
Der er en vigtig nuance her. Signals egen specifikation slår fast, at PQXDH giver post-kvante forward secrecy for selve indholdet, men at autentificeringen af hvem du taler med stadig hviler på klassisk elliptisk-kurve-kryptografi. Med andre ord: en fremtidig kvantecomputer kan i teorien stadig udfordre identitetsbekræftelsen, selvom selve beskedindholdet er beskyttet. Det er grunden til, at trin 4 i denne guide handler om at verificere sikkerhedsnumre manuelt.
SPQR og den samlede Triple Ratchet
I oktober 2025 offentliggjorde Signal en teknisk gennemgang af SPQR, Sparse Post-Quantum Ratchet, som beskrevet på Signals blog. SPQR kører sideløbende med den eksisterende Double Ratchet og udvider de kvanteresistente egenskaber til hele samtalens levetid, ikke kun det indledende håndtryk. Sammen danner PQXDH, Double Ratchet og SPQR det, Signal kalder en Triple Ratchet: PQXDH etablerer den første nøgle, Double Ratchet giver klassisk forward secrecy og post-kompromis-sikkerhed, og SPQR lægger et kvanteresistent lag oven på begge dele. En vigtig detalje du bør kende: den nye beskyttelse virker kun, hvis begge parter i en samtale kører en opdateret klient. Indtil da falder samtalen tilbage til det ældre X3DH-håndtryk. Det er den praktiske grund til, at trin 1 i denne guide handler om at sikre, at både du og dine kontakter rent faktisk har opdateret.
| Krypteringslag | Hvad det beskytter | Kræver brugerhandling |
|---|---|---|
| PQXDH | Det indledende nøglehåndtryk mod fremtidige kvanteangreb | Nej, aktiveres automatisk ved opdaterede klienter |
| Double Ratchet | Forward secrecy og post-kompromis-sikkerhed for løbende beskeder | Nej, indbygget i protokollen siden lanceringen |
| SPQR | Kvanteresistent forward secrecy gennem hele samtalens levetid | Nej, men kræver opdaterede klienter hos begge parter |
| Sealed sender | Skjuler afsenderens identitet for Signals servere | Nej, altid slået til på opdaterede klienter |
| Registreringslås | Forhindrer kapring af din konto via SIM-swap | Ja, skal aktiveres manuelt (trin 2) |
Sealed sender fortjener en kort forklaring, fordi det ofte overses. Funktionen krypterer selve afsenderoplysningen sammen med beskedens indhold, så Signals server kan levere en besked uden at vide, hvem der sendte den. Det er ikke noget, du slår til, det er indbygget som standard på opdaterede klienter. Din opgave er blot at sikre, at du rent faktisk kører en opdateret version, hvilket bringer os til de konkrete trin.
Forudsætninger: enheder, versioner og værktøjer
Denne guide kræver ikke avanceret teknisk udstyr, men et par ting skal være på plads, før du går i gang. Signal offentliggør ikke faste versionsnumre for hver måned, så tommelfingerreglen er: kør altid den nyeste version fra App Store, Google Play eller Signals officielle hjemmeside, aldrig en tredjeparts-APK af ukendt oprindelse. Trin 1 til 8 kan alle udføres direkte i appen på din telefon uden ekstra software. Trin 9 og 10 kræver en separat computer eller server, hvor du kan installere signal-cli og eventuelt Docker.
| Komponent | Krav | Formål i denne guide |
|---|---|---|
| Smartphone (Android eller iOS) | Seneste Signal-version fra officiel butik | Primær konto, PQXDH/SPQR, skærmsikkerhed |
| Computer (valgfrit) | Signal Desktop, seneste version | Trin 8, sammenkobling af enheder |
| Linux/macOS-maskine med Java 21+ | signal-cli fra AsamK, seneste udgivelse | Trin 9, automatisering og selvhosting |
| Docker og docker compose | Aktuel stabil version | Trin 9, signal-cli-rest-api container |
| Bash eller lignende skal | Standard på Linux/macOS, WSL på Windows | Trin 10, hærdningsscript |
| Sekundært telefonnummer (anbefalet) | Fysisk eller virtuelt SIM-kort | Automatisering uden at eksponere din primære konto |
Sæt af cirka 60 minutter til at gennemføre alle 12 trin, hvis du følger med på både telefon og computer. Har du allerede Signal installeret, kan du springe direkte til trin 2. Du kan læse mere om, hvordan sikkerhedsnumre og nøgleverifikation fungerer i praksis, i vores gennemgang af automatisk nøgleverifikation i Signal.
Trin 9 og 10, som handler om signal-cli og et selvbygget hærdningsscript, er valgfrie for almindelige brugere. Er du primært interesseret i at hærde din personlige konto til daglig brug, kan du nøjes med trin 1 til 8 samt trin 11 og 12, og springe automatiseringsdelen over. Er du udvikler eller driftsansvarlig, som vil bygge notifikationer eller overvågning oven på Signal, er trin 9 og 10 til gengæld kernen i guiden.
Trin 1: Installer og verificer Signal officielt
Hent altid Signal fra App Store, Google Play eller signal.org direkte. Undgå tredjeparts-app-butikker og ældre APK-filer delt via forum eller fildelingstjenester, da de ofte halter bagefter med sikkerhedsopdateringer og i værste fald kan være manipulerede. Efter installation skal du med det samme tjekke, om der findes en opdatering, da PQXDH og SPQR kun aktiveres, når begge parter i en samtale kører en nyere klient.
På Android finder du versionsnummeret under Indstillinger > Hjælp. På iOS under Indstillinger > Om. På Desktop under menuen med de tre prikker > Hjælp > Om Signal Desktop. Skriv datoen for din seneste opdatering ned et sted, du kan finde den igen. Det bliver relevant senere i trin 12, når du sætter en vedligeholdelsesrutine op.
- Bekræft, at appen er hentet fra en officiel kilde (App Store, Google Play eller signal.org)
- Tjek for opdateringer manuelt, selv hvis automatiske opdateringer er slået til
- Noter versionsnummer og dato, så du kan følge op senere
Trin 2: Aktivér registreringslås og en stærk PIN-kode
Registreringslås er den enkeltvigtigste indstilling, du bør slå til først. Uden den kan enhver, der får kontrol over dit telefonnummer, for eksempel via en SIM-swap hos din mobiloperatør, genregistrere din konto på en ny enhed og overtage den. Med registreringslås aktiveret kræver en genregistrering også din PIN-kode, som kun du kender.
Sådan gør du: åbn Signal, gå til Indstillinger > Konto > PIN-kode, og slå “Registreringslås” til. Vælg en PIN på mindst 8 tegn, gerne alfanumerisk frem for kun cifre. Undgå fødselsdatoer eller adresser, du deler andre steder online. Signal beder dig gentage PIN-koden periodisk for at sikre, at du husker den, da der ikke findes nogen “glemt PIN”-funktion, der omgår sikkerheden. Skriv koden ned et sikkert sted offline, for eksempel i en fysisk kodeordsbog eller din password manager, ikke i en note-app uden kryptering.
En praktisk detalje mange overser: brug ikke samme PIN, som du bruger til din telefons låseskærm eller til din netbank. Selvom PIN-koden aldrig forlader Signals krypterede system, mindsker et unikt kodeord risikoen, hvis en anden tjeneste med samme kode skulle blive kompromitteret et helt andet sted.
Trin 3: Konfigurer forsvindende beskeder korrekt
Forsvindende beskeder er en per-samtale-indstilling: en timer, der starter, når en besked er læst, og sletter den automatisk efter det angivne tidsrum. Vigtigt at forstå: timeren gælder kun beskeder sendt efter at funktionen er aktiveret, ikke din eksisterende historik. Gå ind i den enkelte samtale, tryk på kontaktens navn øverst, og vælg “Forsvindende beskeder”. Herfra vælger du en tidsramme.
| Timerindstilling | Passer til |
|---|---|
| 30 sekunder | Ekstremt følsomme engangsbeskeder, koder, adgangsoplysninger |
| 5 minutter | Kortvarige, tidskritiske aftaler |
| 1 time | Daglig følsom korrespondance |
| 1 dag | Almindelig privat chat, hvor lidt historik er ønsket |
| 1 uge | Standardanbefaling til de fleste private samtaler |
| 4 uger | Grupper og samtaler, hvor kontekst skal bevares længere |
Husk, at en forsvindende besked kun forsvinder fra Signals krypterede lager, ikke fra en modtagers hukommelse eller skærmbillede. En kontakt kan stadig tage et screenshot, eller manuelt kopiere teksten, før timeren udløber. Forsvindende beskeder er derfor et værktøj til at reducere din digitale efterladenskab over tid, ikke en garanti mod, at en enkelt besked bliver gemt af modtageren.
I grupper gælder samme princip, men med en ekstra dimension: gruppeadministratoren kan sætte en fælles timer for hele gruppen, men den enkelte deltager kan stadig kopiere eller videresende indhold, før det forsvinder. Er gruppen stor, eller består af medlemmer du ikke kender personligt, bør du behandle timeren som en hygiejnefaktor snarere end en sikkerhedsgaranti, og undlade at dele reelt følsomt materiale i den slags fora uanset timerindstilling.
Trin 4: Verificer sikkerhedsnumre med dine kontakter
Som nævnt tidligere hviler autentificeringen i PQXDH stadig på klassisk kryptografi. Den praktiske konsekvens er, at du bør verificere sikkerhedsnumre (safety numbers) med dine vigtigste kontakter, især dem du kommunikerer følsomt med. Åbn samtalen, tryk på kontaktens navn, vælg “Vis sikkerhedsnummer”, og sammenlign QR-koden eller talrækken ved fysisk møde, videoopkald, eller en anden allerede-verificeret kanal.
Hvis sikkerhedsnummeret ændrer sig uventet, uden at kontakten har skiftet telefon eller geninstalleret appen, er det et rødt flag. Det kan betyde, at kontoen er blevet kompromitteret eller genregistreret på en ny enhed uden deres viden. Signal viser en advarsel i chatten, når det sker, men det er let at klikke den væk uden at reagere. Gør det til en vane at tage advarslen alvorligt frem for automatisk at ignorere den.
I praksis behøver du ikke verificere alle dine kontakter med det samme. Prioritér de samtaler, hvor konsekvensen af et kompromis er størst, for eksempel kilder, juridiske rådgivere eller samarbejdspartnere, du deler forretningskritisk information med. For almindelige familie- og venskabssamtaler er risikoen ved at springe verifikation over markant lavere, og du kan med fordel bruge tiden på de kontakter, hvor det rent faktisk gør en forskel.
Trin 5: Skift til brugernavn og skjul dit telefonnummer
Signal har i flere omgange udvidet sin brugernavnsfunktion siden den første betatest, og i 2026 er den fuldt tilgængelig på tværs af Android, iOS og Desktop. Ifølge Wireds dækning af lanceringen giver funktionen dig mulighed for at dele et brugernavn parret med et sæt cifre, eller en QR-kode, i stedet for dit telefonnummer. Det betyder, at du kan chatte med nye kontakter uden nogensinde at afsløre det nummer, der er knyttet til din konto.
Aktivér det under Indstillinger > Konto > Brugernavn. Vælg et navn, der ikke kan spores tilbage til dig via andre platforme, hvor du bruger samme håndtag. Slå samtidig “Hvem kan finde mig via nummer” til “Ingen” under privatlivsindstillingerne, så nye kontakter udelukkende kan finde dig via brugernavn eller QR-kode fremover. Bemærk, at eksisterende samtaler, hvor modparten allerede kender dit nummer, ikke påvirkes retroaktivt.
Der er politisk bevægelse på området. Flere europæiske myndigheder har i 2026 rettet henvendelser til messengertjenester, herunder Signal, om hvordan brugernavnsfunktioner påvirker sporbarhed. Ved seneste kontrol forbliver funktionen aktiv og tilgængelig, men det er værd at følge udviklingen, hvis du er afhængig af den. Diskussionen hænger sammen med den bredere debat om chatkontrol i EU, som vi har dækket separat.
Trin 6: Skærmsikkerhed og inkognito-tastatur
To indstillinger, der ofte overses, fordi de ligger gemt i undermenuer, men som lukker konkrete lækager på selve enheden. Den første er skærmsikkerhed, der på Android bruger systemets sikkerhedsflag til at blokere andre apps fra at tage skærmbilleder af din Signal-skærm, og skjuler indholdet i oversigten over åbne apps. Slå den til under Indstillinger > Privatliv > Skærmsikkerhed.
Den anden er inkognito-tastatur, en Android-specifik indstilling, der beder dit tastatur om at undgå at logge, personalisere eller synkronisere til skyen ud fra det, du skriver i Signal. Find den samme sted, under Indstillinger > Privatliv > Inkognito-tastatur. For maksimal effekt bør du kombinere den med at undgå tredjeparts-tastaturer, der er kendt for at indsamle tastaturdata, og i stedet bruge enhedens indbyggede tastatur eller et privatlivsfokuseret alternativ.
Skærmsikkerhed er især relevant, hvis du bruger Signal i offentlige rum, på kontoret eller i et miljø, hvor andre kan se din skærm over skulderen eller filme den uden dit samvær. Det beskytter ikke mod nogen, der læser med direkte på skærmen i realtid, men det lukker to konkrete lækager: en anden app på telefonen, der forsøger at fange et skærmbillede i baggrunden, og indholdet der ellers ville være synligt i “seneste apps”-oversigten, hver gang du skifter mellem applikationer.
Trin 7: Sæt krypteret backup op korrekt
Signal har et bevidst restriktivt syn på backups. Selskabet gemmer ikke dine beskeder på sine servere og har derfor ikke adgang til dem. På Android laves backup lokalt og krypteres med en nøgle, kun du kender. På iOS bruges platformens egne krypterede backup-mekanismer i samspil med Signals egen lagerdesign. Konsekvensen er enkel: mister du din backup-nøgle eller din enhed uden backup, kan Signal ikke gendanne beskederne for dig. Der findes intet “nulstil adgangskode”-flow for din historik.
På Android finder du opsætningen under Indstillinger > Chats > Chat-backup. Aktivér backup, og Signal genererer en 30-cifret nøgle. Skriv den ned med det samme, fotografer den ikke med telefonen (det efterlader et digitalt spor i dit kamerarulle), og gem den i en password manager eller på papir i et sikkert opbevaringssted. Slå samtidig skybackup fra i dine generelle telefonindstillinger, hvis du vil undgå, at et ukrypteret app-lager havner hos en tredjepartsudbyder. Har du styr på metadata i dine delte billeder generelt, er det værd at læse vores gennemgang af metadatahullet i Signal, som viser, hvordan billeddata kan afsløre mere, end du tror.
Trin 8: Kobl enheder sikkert til Signal Desktop
Signal Desktop kører som en koblet enhed til din telefon, og fra 2025 understøtter desktop-klienten de samme PQXDH- og SPQR-lag som mobilappen, forudsat at den er opdateret. Koblingen sker ved at scanne en QR-kode fra Indstillinger > Koblede enheder > Kobl ny enhed i mobilappen. Gennemgå listen over koblede enheder jævnligt, og fjern enheder, du ikke længere bruger, for eksempel en gammel arbejdscomputer eller en tablet, der er blevet solgt videre.
En glemt, koblet enhed er et reelt angrebspunkt. Hvis en tidligere kollega eller en tyv får fysisk adgang til en enhed, du glemte at fjerne, kan de fortsat læse nye beskeder, indtil koblingen bliver fjernet manuelt fra din primære telefon. Sæt dig for at tjekke listen hver gang du sætter en ny enhed op, og igen som fast punkt i vedligeholdelsesrutinen i trin 12.
Et andet praktisk råd: navngiv dine koblede enheder tydeligt, når du opretter dem, for eksempel “Arbejdslaptop, København” eller “Privat iMac”, i stedet for at beholde standardnavnet. Det gør listen langt lettere at gennemskue, når du engang skal rydde op, og du undgår at stå usikker på, om en anonym post i listen er din egen glemte enhed eller noget, du bør reagere på med det samme.
Trin 9: Automatiser med signal-cli, en selvhostet REST API
Til teknisk automatisering, som statusnotifikationer, alarmbots eller integration med hjemmeautomatisering, findes der et velkendt community-værktøj kaldet signal-cli, udviklet af AsamK og tilgængeligt på GitHub. Det er vigtigt at understrege, at signal-cli ikke er lavet af Signal Foundation selv, men et tredjeparts-projekt, der taler med Signals officielle protokol. Brug derfor altid et sekundært telefonnummer til automatisering, aldrig din primære konto, så en fejlkonfigureret bot ikke kompromitterer din personlige kommunikation.
Typiske brugsscenarier for softwareudviklere og driftsteams er overvågningsalarmer fra et byggejob, der fejler, en cronjob, der giver besked når en server er nede, eller en simpel hjemmeautomatisering, der sender en besked, når døren låses op. Fælles for dem alle er, at de kører uden en menneskelig operatør ved tastaturet, hvilket er præcis den situation, hvor et dedikeret automatiserings-nummer giver mening frem for at genbruge dit personlige.
# Installer Java 21+ og hent seneste signal-cli-release
sudo apt update && sudo apt install -y openjdk-21-jre-headless
curl -Lo signal-cli.tar.gz $(curl -s https://api.github.com/repos/AsamK/signal-cli/releases/latest | grep browser_download_url | grep '.tar.gz"' | cut -d '"' -f4)
tar xf signal-cli.tar.gz
sudo mv signal-cli-*/ /opt/signal-cli
sudo ln -sf /opt/signal-cli/bin/signal-cli /usr/local/bin/signal-cli
signal-cli --versionRegistrer dernæst dit sekundære nummer, og bekræft med den SMS- eller stemmekode, du modtager:
signal-cli -a +4512345678 register
signal-cli -a +4512345678 verify 123456
signal-cli -a +4512345678 listDevicesEt typisk output fra listDevices ser sådan ud, og bekræfter, at registreringen er gennemført korrekt:
Device 1 (primary)
Name: signal-cli automation
Created: 2026-02-14T09:12:03Z
Last seen: 2026-02-14T09:12:03ZSkal du bruge en HTTP-grænseflade i stedet for CLI-kommandoer, findes der en velkendt container ved navn signal-cli-rest-api, som wrapper signal-cli i et REST-API. Sådan sætter du den op med docker compose:
version: "3.8"
services:
signal-cli-rest-api:
image: bbernhard/signal-cli-rest-api:latest
environment:
- MODE=native
ports:
- "127.0.0.1:8080:8080"
volumes:
- ./signal-cli-config:/home/.local/share/signal-cli
restart: unless-stoppedBemærk, at porten kun bindes til localhost (127.0.0.1) i eksemplet ovenfor. Eksponerer du API’et på et offentligt netværk, skal du lægge en reverse proxy med autentificering foran, aldrig lade det stå åbent. Ønsker du et dedikeret krypteret VPN-lag mellem din server og resten af din infrastruktur, kan du kombinere denne opsætning med vores guide til at sætte en egen WireGuard-server op.
Trin 10: Byg det komplette projekt, et hærdningsscript i Bash
For at samle hele guiden i noget genbrugeligt, her er et komplet Bash-script, der tjekker de tekniske forudsætninger på din maskine og minder dig om de manuelle trin, du skal udføre i selve appen. Gem det som signal-hardening-check.sh, gør det eksekverbart med chmod +x, og kør det hver gang du opdaterer din opsætning.
#!/usr/bin/env bash
set -euo pipefail
echo "== Signal hærdningstjek =="
echo
# Tjek Java til signal-cli
if command -v java &>/dev/null; then
echo "[OK] Java fundet: $(java -version 2>&1 | head -n1)"
else
echo "[FEJL] Java mangler. signal-cli kan ikke køre."
fi
# Tjek signal-cli
if command -v signal-cli &>/dev/null; then
echo "[OK] signal-cli installeret: $(signal-cli --version)"
else
echo "[INFO] signal-cli er ikke installeret (kun nødvendigt ved automatisering)."
fi
# Tjek Docker til signal-cli-rest-api
if command -v docker &>/dev/null; then
echo "[OK] Docker fundet: $(docker --version)"
else
echo "[INFO] Docker mangler (kun nødvendigt til REST API-opsætning)."
fi
echo
echo "== Manuelle tjek, du skal bekræfte i appen =="
checklist=(
"Registreringslås og PIN-kode aktiveret"
"Forsvindende beskeder sat op i følsomme samtaler"
"Sikkerhedsnumre verificeret med vigtige kontakter"
"Brugernavn oprettet og nummer skjult for nye kontakter"
"Skærmsikkerhed slået til"
"Inkognito-tastatur slået til (Android)"
"Krypteret backup-nøgle noteret og gemt sikkert"
"Koblede enheder gennemgået og oprensede"
)
for item in "${checklist[@]}"; do
echo "[ ] $item"
done
echo
echo "Kør dette script igen efter hver Signal-opdatering."Scriptet gør ikke noget magisk, det er bevidst simpelt. Formålet er at give dig et fast holdepunkt, du kan køre på et par sekunder, i stedet for at skulle huske otte forskellige menupunkter i hovedet hver gang. Vil du gå videre og automatisere selve påmindelsen, kan du lægge scriptet i en cronjob, der logger tjekket hver måned:
# Kør hærdningstjek den 1. i hver måned kl. 09:00
0 9 1 * * /home/dig/signal-hardening-check.sh >> /home/dig/signal-check.log 2>&1Trin 11-12: Verificer og vedligehold din opsætning over tid
Når du har gennemført trin 1 til 10, er det sidste skridt at teste, at alt reelt virker, ikke bare at indstillingerne står markeret som slået til. Bed en betroet kontakt om at bekræfte jeres sikkerhedsnummer sammen med dig via video. Prøv at tage et skærmbillede af en samtale for at bekræfte, at skærmsikkerheden faktisk blokerer det. Sluk internetforbindelsen på en koblet enhed, og se om den forsvinder fra listen over aktive enheder, efter du fjerner den manuelt.
Hærdning er ikke en engangsopgave. Signal ruller løbende nye protokolopdateringer ud, og en glemt, koblet enhed eller en udløbet forsvindende besked-indstilling kan langsomt undergrave din opsætning igen. Sæt en fast kalenderpåmindelse, for eksempel kvartalsvist, til at gennemgå: opdateringsstatus på alle enheder, listen over koblede enheder, om din backup-nøgle stadig er tilgængelig, og om brugernavnsfunktionen stadig opfylder sit formål. Kør samtidig hærdningsscriptet fra trin 10 igen.
Signal til teams og organisationer
Bruger du Signal i en arbejdssammenhæng, for eksempel i et udviklingsteam eller en organisation med følsomme interne samtaler, gælder alt ovenstående stadig, men der kommer et par ekstra hensyn oveni. Det første er offboarding. Når en medarbejder forlader teamet, er det ikke nok at fjerne dem fra en gruppe, du bør også sikre, at eventuelle koblede enheder knyttet til delte konti eller automatiseringsnumre bliver fjernet, og at PIN-koder til fælles konti bliver rullet om.
Det andet er delte enheder. Undgå at lade flere personer dele samme Signal-installation på en fælles laptop, da det gør ansvarsfordeling og logning umuligt at følge bagefter. Har teamet brug for en fælles kanal, er en gruppe med individuelle konti et bedre valg end en delt login. Det tredje er dokumentation: skriv jeres interne hærdningsstandard ned, gerne baseret på checklisten fra trin 10 i denne guide, så nye medarbejdere kan onboardes konsistent, i stedet for at hver person finder sin egen balance mellem bekvemmelighed og sikkerhed.
Endelig, hvis I bruger signal-cli-rest-api til automatiserede varsler i produktionsmiljøer, bør API-nøglen eller adgangen til containeren behandles som enhver anden produktionshemmelighed: roteres jævnligt, aldrig committes til et Git-repository, og logges når den bruges. Kombinér gerne med adgangsstyring på netværksniveau, så kun jeres CI/CD-pipeline eller overvågningssystem kan nå endpointet.
Almindelige faldgruber, du skal undgå
De fleste svagheder i en ellers hærdet Signal-opsætning opstår ikke i selve protokollen, men i små, menneskelige genveje undervejs. Her er de faldgruber, vi oftest ser, når vi gennemgår andres opsætning.
- At tro forsvindende beskeder er retroaktive. Timeren gælder kun nye beskeder sendt efter aktivering, ikke din eksisterende chathistorik.
- At gemme PIN-koden i en almindelig note-app. Brug en password manager eller fysisk, offline opbevaring i stedet.
- At fotografere backup-nøglen med telefonen. Det lægger nøglen direkte ind i dit ukrypterede kamerarulle, hvilket underminerer hele pointen.
- At bruge din primære konto til signal-cli-automatisering. Det udsætter din personlige kommunikation for enhver fejl i botten eller serveren.
- At ignorere advarsler om ændrede sikkerhedsnumre. En hurtig klik-væk kan skjule et reelt kompromis af kontoen.
- At eksponere signal-cli-rest-api uden autentificering. Et åbent API på et offentligt netværk kan misbruges til at sende beskeder i dit navn.
Fejlfinding: typiske problemer og løsninger
Selv med en korrekt gennemført hærdning støder de fleste brugere på et par praktiske forhindringer undervejs, særligt omkring signal-cli og backup-nøgler. Tabellen herunder samler de problemer, vi oftest hører om, sammen med den konkrete løsning.
| Problem | Løsning |
|---|---|
| Signal beder om PIN, jeg ikke kan huske | Der findes ingen nulstilling uden om PIN-koden. Vent den obligatoriske karensperiode, appen guider dig gennem den, og skriv den nye kode ned med det samme. |
| signal-cli fejler med “Failed to register” | Kontrollér, at nummeret ikke allerede er registreret et andet sted, og at du ikke har ramt Signals rate-limit for gentagne registreringsforsøg. |
| Skærmsikkerhed forhindrer mig i at tage lovlige skærmbilleder | Slå funktionen midlertidigt fra under Indstillinger > Privatliv, tag billedet, og husk at slå den til igen bagefter. |
| Sikkerhedsnummer ændrer sig hele tiden uden grund | Tjek om kontakten har geninstalleret appen eller skiftet enhed for nylig. Sker det uden forklaring, betragt det som mistænkeligt. |
| Docker-containeren til signal-cli-rest-api starter ikke | Tjek loggen med docker compose logs, og bekræft at volumen-stien til konfigurationsmappen har korrekte rettigheder. |
| Koblet enhed forsvinder ikke fra listen efter fjernelse | Genstart Signal-appen på din primære enhed, listen opdateres ikke altid øjeblikkeligt i UI’et. |
| Backup-gendannelse fejler med forkert nøgle | Kontrollér, at du har indtastet alle 30 cifre korrekt uden mellemrum. Selv ét forkert ciffer stopper gendannelsen. |
| Brugernavn kan ikke oprettes, “allerede taget” | Brugernavne er unikke på tværs af hele Signal. Prøv en variation med tal eller understregning. |
| Inkognito-tastatur virker ikke som forventet | Indstillingen afhænger af, at dit valgte tastatur selv respekterer flaget. Skift til systemets standardtastatur for at teste. |
Avancerede tips og dansk/nordisk kontekst i 2026
Vil du gå et skridt videre end de 12 trin ovenfor, er der flere avancerede muligheder. Overvej at bruge grupper med begrænset medlemssynlighed til følsomme sammenhænge, hvor ikke alle medlemmer skal kunne se hinandens telefonnumre. Kombiner Signal med en hærdet browser og et separat, anonymt netværk, hvis din trusselsmodel kræver det, for eksempel via en opsætning som den, vi beskriver i vores Tor Browser-guide. Overvej desuden at flytte helt væk fra telefonnummerbaseret registrering, hvor det er praktisk muligt, ved udelukkende at dele dit brugernavn offentligt.
I en nordisk kontekst er det værd at kende alternativerne. Vi har tidligere sammenlignet Signal med det decentrale Matrix-protokol-økosystem i vores Signal vs Matrix-gennemgang, hvor især organisationer med krav om selvhosting kan finde Matrix relevant som supplement. Politisk fylder debatten om krypteret kommunikation stadig meget i EU, hvor forslag om at scanne krypteret indhold jævnligt dukker op igen under navnet chatkontrol. Signal har konsekvent meldt ud, at selskabet ikke vil svække sin ende-til-ende-kryptering eller indbygge scanningsmekanismer, uanset lovkrav, hvilket er værd at have med i sin vurdering af tjenesten som langsigtet valg.
Hold øje med protokoludviklingen. Signals overgang til en fuld Triple Ratchet er et flerårigt projekt, og der kommer løbende opdateringer, efterhånden som flere klienter understøtter de nye lag. En god vane er at læse Signals officielle protokoldokumentation et par gange om året, eller følge uafhængig teknisk dækning af udviklingen, hvis du vil forstå ændringerne uden selv at skulle læse de kryptografiske specifikationer.
Den sidste anbefaling er måske den vigtigste: opsætning er ikke det samme som vane. Selv den bedst hærdede konto er kun så sikker som de daglige beslutninger, du tager i den, hvem du bekræfter sikkerhedsnumre med, hvornår du sætter forsvindende beskeder til, og om du husker at fjerne en gammel koblet enhed. De 12 trin ovenfor giver dig rammen. Resten afhænger af, at du rent faktisk bruger den.
Ofte stillede spørgsmål
Er Signal helt sikkert mod aflytning, når jeg har fulgt alle 12 trin?
Ingen løsning er hundrede procent uigennemtrængelig. Signals protokol er blandt de bedst dokumenterede og mest analyserede i verden, og med hærdningen i denne guide lukker du de mest almindelige svagheder, der ligger uden for selve protokollen, som svage PIN-koder og eksponerede telefonnumre.
Skal jeg bruge forsvindende beskeder i alle mine samtaler?
Nej. Brug det selektivt til følsomme samtaler. For almindelig, ikke-følsom hverdagskommunikation kan det være mere praktisk at beholde historikken.
Kan jeg bruge Signal helt uden telefonnummer?
Nej, telefonnummeret kræves stadig ved den indledende registrering. Men med brugernavnsfunktionen aktiveret behøver du aldrig dele det nummer med nye kontakter fremover.
Er signal-cli lavet af Signal selv?
Nej, det er et community-drevet open source-projekt af AsamK, der kommunikerer med Signals officielle protokol. Brug det med et sekundært nummer, ikke din hovedkonto.
Hvad sker der, hvis jeg mister min backup-nøgle?
Signal kan ikke gendanne den for dig, da selskabet ikke opbevarer en kopi. Mister du nøglen og din enhed samtidig, er chathistorikken tabt permanent.
Beskytter PQXDH og SPQR mig allerede i dag mod kvantecomputere?
De beskytter mod fremtidige kvanteangreb på selve krypteringen af indholdet, forudsat at begge parter kører opdaterede klienter. Autentificeringen af identitet er dog stadig baseret på klassisk kryptografi, hvilket er grunden til, at manuel verifikation af sikkerhedsnumre fortsat anbefales.
Er Signal Desktop lige så sikkert som mobilappen?
Ja, forudsat at du kører en opdateret version. Desktop-klienten understøtter de samme krypteringslag, men er samtidig et ekstra angrebspunkt, hvis computeren i forvejen er kompromitteret af malware, så hold styr på listen over koblede enheder.
Kan jeg stole på, at Signal ikke bøjer sig for krav om bagdøre i EU?
Signal har historisk fastholdt, at selskabet vil lukke tjenesten i et marked, frem for at bygge en bagdør ind i krypteringen. Det er en politisk holdning, ikke en teknisk garanti, så følg selv med i lovgivningen, hvis det er afgørende for din trusselsmodel.
Skal jeg bruge samme hærdningsniveau i alle mine samtaler?
Nej. Tilpas det til situationen. En gruppechat med kollegaer om frokostplaner kræver ikke 30-sekunders forsvindende beskeder, mens en samtale med en kilde eller en juridisk rådgiver bør have det højeste niveau fra start.
Hvor ofte bør jeg gennemgå min Signal-hærdning?
Kvartalsvist er et fornuftigt udgangspunkt for de fleste privatpersoner. Arbejder du med følsomt materiale professionelt, er en månedlig gennemgang med hærdningsscriptet fra trin 10 mere passende.
Kan jeg køre signal-cli og signal-cli-rest-api på samme maskine som min almindelige udvikling?
Ja, teknisk set kan du. Men af sikkerhedshensyn anbefales det at isolere automatiseringskontoen i sin egen container eller virtuelle maskine, adskilt fra din daglige arbejdsflade, så en kompromitteret udviklingsopsætning ikke automatisk giver adgang til din Signal-automatisering.
