Ce que nous enregistrons, et ce que nous n'enregistrons pas

Chaque champ que nous écrivons, en intégralité

C'est la liste complète. Pas de compte, pas d'e-mail pour l'usage gratuit, pas d'adresse, pas d'empreinte d'appareil, et pas de lien lisible.

Pourquoi le lien est un hachage et non du texte

L'adresse que vous collez est la chose la plus sensible que vous confiez à n'importe quel téléchargeur. Elle indique ce que vous regardez, et sur la durée elle en dit bien plus.

Nous la faisons passer par SHA-256 et conservons les seize premiers caractères. C'est une opération à sens unique : le même lien produit toujours le même hachage, et personne ne peut remonter du hachage au lien. Ni nous, ni quiconque obtient le fichier.

Le hachage reste utile pour la seule chose qu'il doit faire. Si quarante échecs partagent un hachage, une vidéo est cassée. Si quarante échecs ont quarante hachages différents, quelque chose ne va pas dans le service. C'est tout son but, et cela fonctionne sans le texte original.

Stocker les liens en clair serait plus simple et répondrait à plus de questions. Cela créerait aussi un fichier qui devient un risque dès l'instant où il existe — et aucune promesse de le manier avec soin ne vaut autant que de ne pas l'avoir.

Pourquoi l'identifiant de visiteur n'est pas une identité

Un identifiant quelconque est inévitable si un niveau gratuit a une limite quotidienne. Sans lui, une limite n'en est pas une.

Le nôtre est un hachage de l'adresse réseau et de la chaîne du navigateur, sur seize caractères. L'adresse brute n'est jamais écrite nulle part. Changez de réseau et vous devenez un visiteur différent ; mettez à jour votre navigateur et il en va de même. C'est délibérément faible comme identifiant, et suffisamment fort pour un compteur quotidien.

Il répond à une question produit que rien d'autre ne peut résoudre : ce qui s'est passé lors de la première tentative de quelqu'un. Cela compte plus qu'il n'y paraît — un service peut sembler sain en agrégat tout en échouant pour la plupart des nouveaux venus dès leur premier essai, et sans moyen de regrouper les tentatives d'une personne, ce schéma reste invisible.

Ce qu'il ne peut pas faire : vous suivre entre les réseaux, relier des sessions dans le temps, ou se connecter à quoi que ce soit d'autre que vous faites ailleurs. Il n'y a pas de cookie pour cela, et aucun traceur tiers impliqué.

Fichiers : diffusés en flux, jamais stockés

La vidéo elle-même est la plus grande question de confidentialité et a la réponse la plus simple.

Pour les qualités que nous assemblons, le fichier existe brièvement dans un dossier temporaire pendant qu'il est construit, vous est envoyé, puis supprimé. Pour tout le reste, les données transitent par blocs de 64 Ko et ne sont jamais écrites sur le disque.

Rien ne s'accumule. Il n'y a pas de bibliothèque de vidéos téléchargées, pas de cache indexé par liens populaires, et pas de copie conservée pour la performance. Si nous vous demandions demain ce que vous avez téléchargé aujourd'hui, nous ne pourrions pas vous le dire, et c'est voulu, pas une question de politique.

La mise en cache serait l'optimisation évidente et nous ne la faisons pas. Une vidéo populaire récupérée cent fois est récupérée cent fois, ce qui nous coûte de la bande passante à chaque fois. L'alternative est un stock de fichiers indexé par ce que les gens ont demandé — ce qui est une bibliothèque de requêtes sous un autre nom, et resterait sur un disque tant qu'elle serait utile.

Le même raisonnement exclut une fonction d'historique de téléchargements, que les gens demandent parfois. Vous montrer ce que vous avez enregistré la semaine dernière nécessite de conserver un registre de ce que vous avez enregistré la semaine dernière, lié à quelque chose qui vous identifie. C'est une fonctionnalité vraiment utile, et elle est incompatible avec le reste de cette page, donc elle n'existe pas.

Ce que les comptes payants ajoutent, et eux seuls

Payer exige davantage, et la frontière mérite d'être précisée.

• Adresse e-mail. Pour envoyer la clé de licence et les rappels d'expiration. L'usage gratuit ne la demande jamais.
• Hachage du mot de passe. Stocké via scrypt — le mot de passe lui-même n'est jamais écrit.
• Enregistrement de licence. Formule, dates, si elle est active.
• Référence de paiement. Du prestataire de paiement, pour pouvoir associer un paiement à une licence.

Ce qu'un compte payant n'ajoute toujours pas, c'est tout lien avec ce que vous avez téléchargé. Le système de licences et le journal d'événements ne partagent aucun identifiant, délibérément — savoir qu'une licence est active et savoir ce que quelqu'un a enregistré sont deux questions différentes, et nous ne pouvons répondre qu'à la première.

Ce que nous pourrions collecter et avons choisi de ne pas faire

La partie intéressante de toute position sur la confidentialité n'est pas ce qui est absent parce que ce n'était jamais nécessaire — c'est ce qui était disponible, utile, et laissé de côté.

Référent. Les navigateurs indiquent à un site de quelle page vous venez, et c'est réellement précieux pour comprendre d'où viennent les visiteurs. Sur un téléchargeur, c'est parfois aussi la page de la vidéo elle-même, ce qui remettrait dans le journal exactement ce que le hachage du lien en retire.

Un cookie durable. Un identifiant stable rendrait le quota gratuit plus difficile à réinitialiser et nous permettrait de suivre une personne d'une session à l'autre. Le quota fonctionne suffisamment bien avec un hachage qui change avec le réseau, et le coût de la version plus forte serait une véritable identité là où il n'en existait aucune.

Analyse tierce. Une seule ligne de script répondrait à bien plus de questions produit que nos propres journaux. Elle livrerait aussi chaque vue de page à une entreprise ayant ses propres intérêts, sur un site où la vue de page est la partie sensible.

Empreinte d'appareil. Taille d'écran, polices, fuseau horaire et matériel se combinent en un identifiant qui survit aux changements de réseau et aux fenêtres privées. C'est efficace, invisible pour la personne mesurée, et c'est précisément la technique que quelqu'un utilisant un outil de navigateur plutôt qu'une application cherche à éviter.

Chacune de ces options aurait facilité la gestion du produit. Aucune n'aurait fait mieux fonctionner un seul téléchargement, ce qui est le critère que nous avons appliqué.

Comment juger les déclarations de confidentialité de n'importe quel téléchargeur

Utile quel que soit l'outil que vous utilisez, car l'affirmation est facile à faire et rarement vérifiée.

1. Nécessite-t-il un compte pour un usage basique ? Si oui, tout ce que vous faites est lié à une identité par construction.
2. Combien de traceurs se chargent sur la page ? Ouvrez l'onglet réseau du navigateur. L'analyse tierce et les scripts publicitaires voient la page sur laquelle vous êtes, quoi que dise la politique propre du site.
3. La politique de confidentialité nomme-t-elle des champs précis ? ‘Nous respectons votre vie privée’ n'est pas une déclaration sur les données. Une liste de ce qui est stocké l'est.
4. Explique-t-elle la conservation ? ‘Aussi longtemps que nécessaire’ signifie indéfiniment.
5. Est-ce une application ou une extension ? Les deux détiennent des permissions bien au-delà de la tâche — plus sur ce compromis.

Le point deux capte plus que le reste combiné. Une page avec une politique de confidentialité chaleureuse et neuf traceurs publicitaires a répondu à la question d'une manière que le texte ne fait pas.