Vad vi loggar, och vad vi inte gör

Varje fält vi skriver, i sin helhet

Det är den fullständiga listan. Inget konto, ingen e-post för gratis användning, ingen adress, inget enhetsfingeravtryck och ingen läsbar länk.

Varför länken är en hash och inte text

Adressen du klistrar in är det känsligaste du lämnar till någon nedladdare. Den avslöjar vad du tittar på, och över tid avslöjar den betydligt mer än så.

Vi kör den genom SHA-256 och behåller de första sexton tecknen. Det är en enkelriktad operation: samma länk ger alltid samma hash, och ingen kan gå baklänges från hashen till länken. Varken vi eller någon som får tag i filen.

Hashen är ändå användbar för det enda den behöver göra. Om fyrtio misslyckanden delar en hash är en video trasig. Om fyrtio misslyckanden har fyrtio olika hashar är något fel i tjänsten. Det är hela syftet, och det fungerar utan originaltexten.

Att spara länkar i klartext skulle vara enklare och besvara fler frågor. Det skulle också skapa en fil som är en belastning från det ögonblick den finns — och inget löfte om att hantera den varsamt är lika bra som att inte ha den alls.

Varför besökaridentifieraren inte är en identitet

Någon typ av identifierare är oundviklig om en gratisnivå har en daglig gräns. Utan en sådan är en gräns ingen gräns.

Vår är en hash av nätverksadressen och webbläsarsträngen, sexton tecken. Den råa adressen skrivs aldrig någonstans. Byt nätverk och du blir en annan besökare; uppdatera din webbläsare och samma sak händer. Den är medvetet svag som identifierare och tillräckligt stark för en daglig räknare.

Den besvarar en produktfråga som inget annat kan: vad som hände vid någons första försök. Det spelar större roll än det låter — en tjänst kan se frisk ut i aggregat samtidigt som den misslyckas för de flesta nya användare vid deras första försök, och utan ett sätt att gruppera en persons försök förblir det mönstret osynligt.

Vad den inte kan göra är att följa dig mellan nätverk, koppla samman sessioner över tid, eller ansluta till något du gör någon annanstans. Det finns ingen cookie för det, och ingen tredjepartsspårare inblandad.

Filer: strömmas, sparas aldrig

Själva videon är den största integritetsfrågan och har det enklaste svaret.

För kvaliteter vi bygger ihop finns filen kort i en tillfällig mapp medan den byggs, skickas till dig, och raderas. För allt annat passerar data i 64 KB-bitar och skrivs aldrig till disk alls.

Ingenting ackumuleras. Det finns inget bibliotek av nedladdade videor, ingen cache indexerad efter populära länkar, och ingen kopia som behålls för prestanda. Om vi frågade dig imorgon vad du laddade ner idag skulle vi inte kunna svara, och det är avsiktligt, inte policy.

Cachning skulle vara den självklara optimeringen och vi gör det inte. En populär video som hämtas hundra gånger hämtas hundra gånger, vilket kostar oss bandbredd varje gång. Alternativet är ett fillager indexerat efter vad folk begärde — vilket är ett bibliotek av förfrågningar under ett annat namn, och skulle ligga på en disk så länge det var nyttigt.

Samma resonemang utesluter en nedladdningshistorik-funktion, som folk ibland efterfrågar. Att visa dig vad du sparade förra veckan kräver att hålla ett register över vad du sparade förra veckan, kopplat till något som identifierar dig. Det är en verkligt användbar funktion och den är oförenlig med resten av den här sidan, så den finns inte.

Vad betalkonton lägger till, och bara betalkonton

Att betala kräver mer, och gränsen förtjänar att preciseras.

• E-postadress. För att skicka licensnyckeln och påminnelser om utgång. Gratis användning frågar aldrig efter en.
• Lösenordshash. Sparas via scrypt — själva lösenordet skrivs aldrig.
• Licensregister. Plan, datum, om den är aktiv.
• Betalningsreferens. Från betalningsleverantören, så att en betalning kan matchas mot en licens.

Vad ett betalkonto fortfarande inte lägger till är någon koppling till vad du laddat ner. Licenssystemet och händelseloggen delar avsiktligt ingen identifierare — att veta att en licens är aktiv och att veta vad någon sparat är två olika frågor, och vi kan bara besvara den första.

Vad vi skulle kunna samla in och valde att inte göra

Den intressanta delen av vilken integritetshållning som helst är inte det som saknas eftersom det aldrig behövdes — det är det som var tillgängligt, nyttigt, och lämnades därhän.

Referrer. Webbläsare berättar för en sajt vilken sida du kom ifrån, och det är verkligen värdefullt för att förstå varifrån besökare kommer. På en nedladdare är det ibland också själva videosidan, vilket skulle föra tillbaka till loggen precis det som hashning av länken tar bort.

En varaktig cookie. En stabil identifierare skulle göra den gratis kvoten svårare att återställa och skulle låta oss följa en person mellan sessioner. Kvoten fungerar acceptabelt med en hash som ändras med nätverket, och kostnaden för den starkare versionen är en verklig identitet där ingen fanns.

Tredjepartsanalys. En enda rad skript skulle besvara betydligt fler produktfrågor än våra egna loggar gör. Det skulle också lämna ut varje sidvisning till ett företag med egna intressen, på en sajt där sidvisningen är den känsliga delen.

Enhetsfingeravtryck. Skärmstorlek, typsnitt, tidszon och hårdvara kombineras till en identifierare som överlever nätverksbyten och privata fönster. Det är effektivt, osynligt för den mätta personen, och exakt den teknik som någon som använder ett webbläsarverktyg istället för en app försöker undvika.

Vart och ett av detta skulle ha gjort produkten enklare att driva. Inget av det skulle ha fått en enda nedladdning att fungera bättre, vilket är testet vi tillämpade.

Hur man bedömer vilken nedladdares integritetspåståenden som helst

Användbart oavsett vilket verktyg du använder, eftersom påståendet är lätt att göra och sällan kontrolleras.

1. Kräver den ett konto för grundläggande användning? Om ja är allt du gör kopplat till en identitet av konstruktion.
2. Hur många spårare laddas på sidan? Öppna webbläsarens nätverksvy. Tredjepartsanalys och annonsskript ser sidan du är på, oavsett vad sajtens egen policy säger.
3. Namnger integritetspolicyn specifika fält? ‘Vi respekterar din integritet’ är inget uttalande om data. En lista över vad som sparas är det.
4. Förklarar den lagringstid? ‘Så länge det behövs’ betyder på obestämd tid.
5. Är det en app eller ett tillägg? Båda har behörigheter långt bortom uppgiften — mer om den avvägningen.

Punkt två fångar mer än resten tillsammans. En sida med en varm integritetspolicy och nio annonsspårare har besvarat frågan på ett sätt som texten inte gör.