Wat we vastleggen, en wat niet

Elk veld dat we schrijven, volledig

Dat is de volledige lijst. Geen account, geen e-mail voor gratis gebruik, geen adres, geen apparaat-vingerafdruk en geen leesbare link.

Waarom de link een hash is en geen tekst

Het adres dat je plakt is het gevoeligste wat je aan welke downloader dan ook geeft. Het vertelt wat je bekijkt, en over tijd vertelt het veel meer dan dat.

We halen het door SHA-256 en bewaren de eerste zestien tekens. Dat is een eenrichtings-bewerking: dezelfde link levert altijd dezelfde hash op, en niemand kan van de hash terugredeneren naar de link. Wij niet, en niemand die het bestand bemachtigt ook niet.

De hash blijft nuttig voor het enige dat hij moet doen. Als veertig mislukkingen een hash delen, is één video kapot. Als veertig mislukkingen veertig verschillende hashes hebben, is er iets mis met de dienst. Dat is het hele doel, en het werkt zonder de originele tekst.

Links in leesbare tekst opslaan zou eenvoudiger zijn en meer vragen beantwoorden. Het zou ook een bestand creëren dat vanaf het moment dat het bestaat een risico is — en geen belofte om er zorgvuldig mee om te gaan is zo goed als het niet hebben ervan.

Waarom de bezoekersidentificatie geen identiteit is

Een of andere identificatie is onvermijdelijk als een gratis niveau een dagelijkse limiet heeft. Zonder een limiet is een limiet geen limiet.

De onze is een hash van het netwerkadres en de browserstring, zestien tekens. Het ruwe adres wordt nergens geschreven. Verander van netwerk en je wordt een andere bezoeker; werk je browser bij en hetzelfde gebeurt. Het is bewust zwak als identificatie en sterk genoeg voor een dagelijkse teller.

Het beantwoordt één productvraag die niets anders kan beantwoorden: wat er gebeurde bij iemands eerste poging. Dat is belangrijker dan het klinkt — een dienst kan er in het aggregaat gezond uitzien terwijl hij faalt bij de meeste nieuwkomers bij hun eerste poging, en zonder een manier om iemands pogingen te groeperen blijft dat patroon onzichtbaar.

Wat het niet kan doen is je volgen tussen netwerken, sessies over tijd verbinden, of verband leggen met iets wat je elders doet. Er is hier geen cookie voor, en geen derdepartij-tracker bij betrokken.

Bestanden: gestreamd, nooit opgeslagen

De video zelf is de grootste privacyvraag en heeft het eenvoudigste antwoord.

Voor kwaliteiten die wij samenstellen, bestaat het bestand kort in een tijdelijke map terwijl het wordt gebouwd, wordt naar je verzonden, en wordt verwijderd. Voor al het andere gaan de gegevens door in blokken van 64 KB en worden nooit op schijf geschreven.

Er hoopt niets op. Er is geen bibliotheek van gedownloade video's, geen cache geïndexeerd op populaire links, en geen kopie bewaard voor prestaties. Als we je morgen zouden vragen wat je vandaag hebt gedownload, zouden we het je niet kunnen vertellen, en dat is opzettelijk zo, niet vanwege beleid.

Caching zou de voor de hand liggende optimalisatie zijn en we doen het niet. Een populaire video die honderd keer wordt opgevraagd, wordt honderd keer opgehaald, wat ons elke keer bandbreedte kost. Het alternatief is een bestandsopslag geïndexeerd op wat mensen vroegen — wat een bibliotheek van verzoeken is onder een andere naam, en zolang nuttig op een schijf zou blijven staan.

Dezelfde redenering sluit een downloadgeschiedenis-functie uit, waar mensen soms om vragen. Je laten zien wat je vorige week hebt opgeslagen vereist een register bij te houden van wat je vorige week hebt opgeslagen, gekoppeld aan iets dat je identificeert. Het is een echt nuttige functie en onverenigbaar met de rest van deze pagina, dus bestaat het niet.

Wat betaalde accounts toevoegen, en alleen betaalde accounts

Betalen vereist meer, en het is de moeite waard de grens precies te benoemen.

• E-mailadres. Om de licentiesleutel en herinneringen over verlopen te sturen. Gratis gebruik vraagt hier nooit om.
• Wachtwoord-hash. Opgeslagen via scrypt — het wachtwoord zelf wordt nooit geschreven.
• Licentiegegevens. Plan, datums, of het actief is.
• Betalingsreferentie. Van de betalingsprovider, zodat een betaling gekoppeld kan worden aan een licentie.

Wat een betaald account nog steeds niet toevoegt, is enige koppeling met wat je hebt gedownload. Het licentiesysteem en het gebeurtenislogboek delen bewust geen identificatie — weten dat een licentie actief is en weten wat iemand heeft opgeslagen zijn twee verschillende vragen, en we kunnen alleen de eerste beantwoorden.

Wat we zouden kunnen verzamelen en ervoor kozen niet te doen

Het interessante deel van elk privacystandpunt is niet wat ontbreekt omdat het nooit nodig was — het is wat beschikbaar en nuttig was, en toch werd achtergelaten.

Verwijzer. Browsers vertellen een site van welke pagina je kwam, en dat is echt waardevol om te begrijpen waar bezoekers vandaan komen. Bij een downloader is dat soms ook de videopagina zelf, wat precies zou teruggeven aan het logboek wat het hashen van de link eruit haalt.

Een blijvende cookie. Een stabiele identificatie zou het gratis quotum moeilijker te resetten maken en zou ons in staat stellen iemand te volgen tussen sessies. Het quotum werkt acceptabel met een hash die verandert met het netwerk, en de kosten van de sterkere versie zijn een echte identiteit waar er geen was.

Analyse door derden. Eén enkele regel script zou veel meer productvragen beantwoorden dan onze eigen logboeken doen. Het zou ook elke paginaweergave overdragen aan een bedrijf met zijn eigen belangen, op een site waar de paginaweergave het gevoelige deel is.

Apparaat-vingerafdrukken. Schermformaat, lettertypen, tijdzone en hardware combineren tot een identificatie die netwerkveranderingen en privévensters overleeft. Het is effectief, onzichtbaar voor de gemeten persoon, en precies de techniek die iemand die een browsertool gebruikt in plaats van een app probeert te vermijden.

Elk van deze zou het runnen van het product gemakkelijker hebben gemaakt. Geen ervan zou één download beter hebben laten werken, wat de test is die we hebben toegepast.

Hoe je privacyclaims van elke downloader beoordeelt

Nuttig ongeacht welke tool je gebruikt, omdat de claim gemakkelijk te maken is en zelden wordt gecontroleerd.

1. Vereist het een account voor basisgebruik? Zo ja, dan is alles wat je doet door de constructie gekoppeld aan een identiteit.
2. Hoeveel trackers laden er op de pagina? Open het netwerkoverzicht van de browser. Analyse door derden en advertentiescripts zien de pagina waarop je bent, wat het eigen beleid van de site ook zegt.
3. Noemt het privacybeleid specifieke velden? ‘Wij respecteren je privacy’ is geen uitspraak over gegevens. Een lijst van wat er wordt opgeslagen is dat wel.
4. Legt het de bewaartermijn uit? ‘Zolang nodig’ betekent voor onbepaalde tijd.
5. Is het een app of een extensie? Beide bezitten rechten die ver buiten de taak reiken — meer over die afweging.

Punt twee vangt meer dan de rest samen. Een pagina met een warm privacybeleid en negen advertentietrackers heeft de vraag beantwoord op een manier die de tekst niet doet.