Co rejestrujemy, a czego nie

Każde pole, które zapisujemy, w całości

To pełna lista. Bez konta, bez e-maila przy darmowym korzystaniu, bez adresu, bez odcisku urządzenia i bez czytelnego linku.

Dlaczego link to hash, a nie tekst

Adres, który wklejasz, to najbardziej wrażliwa rzecz, jaką przekazujesz jakiemukolwiek narzędziu do pobierania. Mówi, co oglądasz, a w dłuższej perspektywie mówi znacznie więcej.

Przepuszczamy go przez SHA-256 i zachowujemy pierwsze szesnaście znaków. To operacja jednokierunkowa: ten sam link zawsze daje ten sam hash, a nikt nie może cofnąć się od hasha do linku. Ani my, ani ktokolwiek, kto zdobędzie plik.

Hash pozostaje przydatny do jedynej rzeczy, którą musi zrobić. Jeśli czterdzieści awarii ma ten sam hash, jedno wideo jest uszkodzone. Jeśli czterdzieści awarii ma czterdzieści różnych hashy, coś jest nie tak w serwisie. To cały cel, i działa bez oryginalnego tekstu.

Przechowywanie linków jawnym tekstem byłoby prostsze i odpowiadałoby na więcej pytań. Stworzyłoby też plik, który od chwili istnienia jest zobowiązaniem — a żadna obietnica ostrożnego obchodzenia się z nim nie jest tak dobra, jak jego brak.

Dlaczego identyfikator odwiedzającego to nie tożsamość

Jakiś identyfikator jest nieunikniony, jeśli darmowy poziom ma dzienny limit. Bez niego limit nie jest limitem.

Nasz to hash adresu sieciowego i ciągu przeglądarki, szesnaście znaków. Surowy adres nigdy nigdzie nie jest zapisywany. Zmień sieć, a stajesz się innym odwiedzającym; zaktualizuj przeglądarkę, a dzieje się to samo. Jest celowo słaby jako identyfikator i wystarczająco silny do dziennego licznika.

Odpowiada na jedno pytanie produktowe, na które nic innego nie odpowie: co stało się przy czyjejś pierwszej próbie. To ma większe znaczenie, niż się wydaje — serwis może wyglądać zdrowo w zestawieniu zbiorczym, a jednocześnie zawodzić większość nowych użytkowników przy pierwszej próbie, i bez sposobu grupowania czyichś prób ten wzorzec pozostaje niewidoczny.

Czego nie może zrobić: śledzić cię między sieciami, łączyć sesji w czasie ani łączyć się z czymkolwiek, co robisz gdzie indziej. Nie ma do tego ciasteczka, ani żadnego zewnętrznego trackera.

Pliki: strumieniowane, nigdy nie przechowywane

Samo wideo to największe pytanie o prywatność i ma najprostszą odpowiedź.

Dla jakości, które składamy, plik istnieje krótko w folderze tymczasowym podczas budowania, jest do ciebie wysyłany i usuwany. Dla wszystkiego innego dane przechodzą w fragmentach po 64 KB i nigdy nie są zapisywane na dysku.

Nic się nie kumuluje. Nie ma biblioteki pobranych wideo, żadnego cache indeksowanego popularnymi linkami, ani żadnej kopii zachowywanej dla wydajności. Gdybyśmy jutro zapytali cię, co pobrałeś dzisiaj, nie moglibyśmy ci powiedzieć, i to jest z założenia, nie z polityki.

Cache'owanie byłoby oczywistą optymalizacją i tego nie robimy. Popularne wideo pobierane sto razy jest pobierane sto razy, co kosztuje nas pasmo za każdym razem. Alternatywą jest magazyn plików indeksowany tym, o co ludzie prosili — czyli biblioteka żądań pod inną nazwą, która pozostawałaby na dysku tak długo, jak byłaby użyteczna.

To samo rozumowanie wyklucza funkcję historii pobrań, o którą ludzie czasem pytają. Pokazanie ci, co zapisałeś w zeszłym tygodniu, wymaga prowadzenia rejestru tego, co zapisałeś w zeszłym tygodniu, powiązanego z czymś, co cię identyfikuje. To naprawdę użyteczna funkcja i jest niezgodna z resztą tej strony, więc nie istnieje.

Co dodają płatne konta, i tylko płatne konta

Płacenie wymaga więcej i warto precyzyjnie określić tę granicę.

• Adres e-mail. Do wysłania klucza licencji i przypomnień o wygaśnięciu. Darmowe korzystanie nigdy o niego nie prosi.
• Hash hasła. Przechowywany przez scrypt — samo hasło nigdy nie jest zapisywane.
• Rekord licencji. Plan, daty, czy jest aktywna.
• Referencja płatności. Od dostawcy płatności, aby płatność mogła zostać dopasowana do licencji.

Czego płatne konto nadal nie dodaje, to jakiegokolwiek powiązania z tym, co pobrałeś. System licencji i rejestr zdarzeń celowo nie mają wspólnego identyfikatora — wiedza, że licencja jest aktywna, i wiedza, co ktoś zapisał, to dwa różne pytania, a my możemy odpowiedzieć tylko na pierwsze.

Co moglibyśmy zbierać i czego nie zbieramy z wyboru

Ciekawą częścią każdej postawy dotyczącej prywatności nie jest to, czego brakuje, bo nigdy nie było potrzebne — to, co było dostępne, użyteczne, i zostało zostawione.

Referrer. Przeglądarki mówią stronie, z jakiej strony przyszedłeś, i jest to naprawdę cenne dla zrozumienia, skąd przychodzą odwiedzający. W narzędziu do pobierania jest to czasem także sama strona wideo, co wróciłoby do rejestru dokładnie to, co haszowanie linku usuwa.

Trwałe ciasteczko. Stabilny identyfikator utrudniłby resetowanie darmowego limitu i pozwoliłby nam śledzić osobę między sesjami. Limit działa akceptowalnie z hashem, który zmienia się wraz z siecią, a koszt silniejszej wersji to prawdziwa tożsamość tam, gdzie żadna nie istniała.

Analityka zewnętrzna. Jedna linijka skryptu odpowiedziałaby na znacznie więcej pytań produktowych niż nasze własne rejestry. Przekazałaby też każde wyświetlenie strony firmie z własnymi interesami, na stronie, gdzie wyświetlenie strony jest wrażliwą częścią.

Fingerprinting urządzenia. Rozmiar ekranu, czcionki, strefa czasowa i sprzęt łączą się w identyfikator, który przetrwa zmiany sieci i tryby prywatne. Jest skuteczny, niewidoczny dla mierzonej osoby, i jest dokładnie techniką, której ktoś używający narzędzia przeglądarkowego zamiast aplikacji stara się unikać.

Każda z tych rzeczy ułatwiłaby prowadzenie produktu. Żadna nie sprawiłaby, że pojedyncze pobranie działałoby lepiej, a to jest test, który zastosowaliśmy.

Jak oceniać deklaracje prywatności dowolnego narzędzia do pobierania

Przydatne niezależnie od używanego narzędzia, bo takie twierdzenie łatwo złożyć, a rzadko się je sprawdza.

1. Czy wymaga konta do podstawowego użytku? Jeśli tak, wszystko, co robisz, jest z założenia powiązane z tożsamością.
2. Ile trackerów ładuje się na stronie? Otwórz widok sieci w przeglądarce. Analityka zewnętrzna i skrypty reklamowe widzą stronę, na której jesteś, niezależnie od tego, co mówi własna polityka strony.
3. Czy polityka prywatności wymienia konkretne pola? ‘Szanujemy twoją prywatność’ to nie jest deklaracja o danych. Lista tego, co jest przechowywane, jest.
4. Czy wyjaśnia okres przechowywania? ‘Tak długo, jak to konieczne’ oznacza bezterminowo.
5. Czy to aplikacja, czy rozszerzenie? Oba mają uprawnienia znacznie wykraczające poza zadanie — więcej o tym kompromisie.

Punkt drugi wychwytuje więcej niż reszta razem wzięta. Strona z ciepłą polityką prywatności i dziewięcioma trackerami reklamowymi odpowiedziała na pytanie w sposób, w jaki nie robi tego tekst.