Cosa registriamo, e cosa no

Ogni campo che scriviamo, per intero

Questo è l'elenco completo. Nessun account, nessuna email per l'uso gratuito, nessun indirizzo, nessuna impronta del dispositivo e nessun link leggibile.

Perché il link è un hash e non testo

L'indirizzo che incolli è la cosa più sensibile che dai a qualsiasi downloader. Dice cosa guardi, e nel tempo dice molto di più.

Lo passiamo attraverso SHA-256 e conserviamo i primi sedici caratteri. È un'operazione a senso unico: lo stesso link produce sempre lo stesso hash, e nessuno può risalire dall'hash al link. Né noi, né chiunque ottenga il file.

L'hash resta comunque utile per l'unica cosa che deve fare. Se quaranta fallimenti condividono un hash, un video è rotto. Se quaranta fallimenti hanno quaranta hash diversi, qualcosa nel servizio non va. Questo è tutto il suo scopo, e funziona senza il testo originale.

Salvare i link in chiaro sarebbe più semplice e risponderebbe a più domande. Creerebbe anche un file che è una responsabilità dal momento stesso in cui esiste — e nessuna promessa di gestirlo con cura vale quanto non averlo.

Perché l'identificativo del visitatore non è un'identità

Un identificativo qualsiasi è inevitabile se un livello gratuito ha un limite giornaliero. Senza uno, un limite non è un limite.

Il nostro è un hash dell'indirizzo di rete e della stringa del browser, sedici caratteri. L'indirizzo grezzo non viene mai scritto da nessuna parte. Cambia rete e diventi un visitatore diverso; aggiorna il browser e succede lo stesso. È deliberatamente debole come identificativo e abbastanza forte per un contatore giornaliero.

Risponde a una domanda di prodotto a cui nient'altro può rispondere: cosa è successo al primo tentativo di qualcuno. Conta più di quanto sembri — un servizio può apparire sano nell'aggregato mentre fallisce con la maggior parte dei nuovi arrivati al primo tentativo, e senza un modo per raggruppare i tentativi di una persona quel pattern è invisibile.

Ciò che non può fare è seguirti tra le reti, collegare le sessioni nel tempo, o connettersi a qualsiasi cosa tu faccia altrove. Non c'è cookie per questo, e nessun tracker di terze parti coinvolto.

File: trasmessi in streaming, mai archiviati

Il video stesso è la più grande questione di privacy e ha la risposta più semplice.

Per le qualità che assembliamo, il file esiste brevemente in una cartella temporanea mentre viene costruito, ti viene inviato ed eliminato. Per tutto il resto i dati passano in blocchi da 64 KB e non vengono mai scritti su disco.

Nulla si accumula. Non c'è una libreria di video scaricati, nessuna cache indicizzata per link popolari, e nessuna copia conservata per le prestazioni. Se domani ti chiedessimo cosa hai scaricato oggi, non potremmo dirtelo, ed è per progettazione, non per policy.

La cache sarebbe l'ottimizzazione ovvia e non la facciamo. Un video popolare recuperato cento volte viene recuperato cento volte, il che ci costa banda ogni singola volta. L'alternativa è un archivio di file indicizzato per ciò che le persone hanno chiesto — che è una libreria di richieste con un altro nome, e resterebbe su disco finché fosse utile.

Lo stesso ragionamento esclude una funzione di cronologia download, che le persone chiedono occasionalmente. Mostrarti cosa hai salvato la settimana scorsa richiede di tenere un registro di cosa hai salvato la settimana scorsa, legato a qualcosa che ti identifichi. È una funzione genuinamente utile ed è incompatibile con il resto di questa pagina, quindi non esiste.

Cosa aggiungono gli account a pagamento, e solo quelli

Pagare richiede di più, e vale la pena precisare il confine.

• Indirizzo email. Per inviare la chiave di licenza e i promemoria di scadenza. L'uso gratuito non lo chiede mai.
• Hash della password. Archiviato via scrypt — la password stessa non viene mai scritta.
• Registro di licenza. Piano, date, se è attiva.
• Riferimento di pagamento. Dal fornitore di pagamento, così un pagamento può essere associato a una licenza.

Ciò che un account a pagamento non aggiunge ancora è qualsiasi collegamento a ciò che hai scaricato. Il sistema di licenze e il registro eventi non condividono alcun identificativo, deliberatamente — sapere che una licenza è attiva e sapere cosa qualcuno ha salvato sono due domande diverse, e possiamo rispondere solo alla prima.

Cosa potremmo raccogliere e abbiamo scelto di non fare

La parte interessante di qualsiasi posizione sulla privacy non è ciò che manca perché non era mai necessario — è ciò che era disponibile, utile, e lasciato da parte.

Referrer. I browser dicono a un sito da quale pagina sei arrivato, ed è genuinamente prezioso per capire da dove vengono i visitatori. Su un downloader è a volte anche la pagina del video stessa, il che rimetterebbe nel registro esattamente ciò che hashare il link rimuove.

Un cookie duraturo. Un identificativo stabile renderebbe la quota gratuita più difficile da resettare e ci permetterebbe di seguire una persona tra le sessioni. La quota funziona in modo accettabile con un hash che cambia con la rete, e il costo della versione più forte è un'identità reale dove non ne esisteva nessuna.

Analisi di terze parti. Una singola riga di script risponderebbe a molte più domande di prodotto di quanto facciano i nostri registri. Consegnerebbe anche ogni visualizzazione di pagina a un'azienda con i propri interessi, su un sito dove la visualizzazione di pagina è la parte sensibile.

Fingerprinting del dispositivo. Dimensione dello schermo, font, fuso orario e hardware si combinano in un identificativo che sopravvive a cambi di rete e finestre private. È efficace, invisibile per la persona misurata, ed è esattamente la tecnica che chi usa uno strumento del browser invece di un'app sta cercando di evitare.

Ognuna di queste cose avrebbe reso più facile gestire il prodotto. Nessuna avrebbe fatto funzionare meglio un singolo download, che è il test che abbiamo applicato.

Come giudicare le dichiarazioni sulla privacy di qualsiasi downloader

Utile indipendentemente dallo strumento che usi, perché l'affermazione è facile da fare e raramente verificata.

1. Richiede un account per l'uso base? Se sì, tutto ciò che fai è legato a un'identità per costruzione.
2. Quanti tracker si caricano sulla pagina? Apri la vista rete del browser. Analisi di terze parti e script pubblicitari vedono la pagina in cui sei, indipendentemente da cosa dica la policy del sito stesso.
3. La informativa sulla privacy nomina campi specifici? ‘Rispettiamo la tua privacy’ non è una dichiarazione sui dati. Un elenco di cosa viene archiviato lo è.
4. Spiega la conservazione? ‘Finché necessario’ significa a tempo indeterminato.
5. È un'app o un'estensione? Entrambe detengono permessi ben oltre il compito — maggiori dettagli su questo compromesso.

Il punto due cattura più del resto messo insieme. Una pagina con un'informativa sulla privacy accogliente e nove tracker pubblicitari ha risposto alla domanda in un modo che il testo non fa.