Soukromí

Zásady ochrany soukromí

Naposledy změněno 19. října 2026.

Co se ukládá

Nastavení serveru, které zadáte příkazy bota: ID kanálů a rolí, prahové hodnoty, přepínače a text, který do nastavení napíšete — prefix příkazů, seznam zakázaných slov, text ověřovacího panelu, fráze, která spustí naplánované vymazání kanálu, ID uživatelů, které vyjmete z filtru. Moderační záznamy: číslo případu, kdo zasáhl, proti komu, důvod, který jste napsali, a kdy. Tam, kde to funkce potřebuje, ID zpráv nebo kanálů, které vytvořila, aby je mohla později spravovat.

Text nastavení se ukládá tak, jak jste ho napsali, a to záměrně: vaši moderátoři musí mít možnost zpětně přečíst, co má server dělat. Nejsou to něčí soukromá slova o sobě samém — jsou to pravidla vašeho serveru, napsaná tím, kdo ho provozuje.

Počty aktivity, od okamžiku přidání bota. Kolik zpráv každý člen poslal, kolik minut strávil v hlasovém kanálu, jak rušný je každý kanál, hodinový součet za server a záznam o tom, kdo se připojil nebo odešel a která pozvánka ho přivedla. Pokud je zapnuté webhookové přeposílání, kolikrát poslalo zpět zablokované zprávy člena a kdy naposledy. Jsou to čítače a časové značky a nic jiného: nikde není řádek, který by říkal, co kdo napsal, v kterém kanálu nebo v jakém okamžiku. Denní rozpis, ze kterého se sčítají žebříčky, se maže po 120 dnech a historie příchodů a odchodů po 400 dnech.

Počítání je zapnuté od okamžiku, kdy bot přijde, na rozdíl od většiny toho, co umí, protože historie, která začíná, kdykoli si někdo vzpomene najít nastavení, je historie, které nikdo nevěří, a nespočítaný měsíc se nedá získat zpět. Vypnutí zabere jeden řádek — /logs activity s off — počítání se okamžitě zastaví a /stats dál ukazuje to, co bylo zaznamenáno předtím.

Není to jediné, co se po připojení bota zapne, a tahle stránka to dříve tvrdila. Textové příkazy, moderační záznam, žebřík trestů, soutěže, snipe, AFK a jazykové nastavení bota se také zapnou od začátku; stránka s návodem je uvádí vedle všech ostatních modulů a značí, který je který. Z nich snipe a AFK uchovávají něco o členovi: snipe v paměti, ne v databázi, a AFK až ve chvíli, kdy si ho člen sám nastaví — odstavec níže přesně říká, co a jak dlouho.

AFK, jen pokud si ho člen nastaví. Že je pryč, důvod, který napsal, kdy odešel, přezdívka, kterou bot nahradil, aby ji mohl vrátit, a odkazy až na deset zpráv, které ho zmínily, když byl pryč — která zpráva, v kterém kanálu, od koho a kdy, nikdy ne text zprávy. To vše se smaže při příštím promluvení někde, kde se to počítá (server může určit kanály, kde ne), když člen server opustí, nebo příkazem /afk remove — a po třiceti dnech v každém případě. Server může vypnout uchovávání zmínek.

Co si bot o účtu myslel, když dorazil. Pokud je zapnuté prověřování členů, skóre, které dal, pásmo, signály, které zabraly, to, co bot udělal sám, a to, jak se moderátor následně rozhodl. Uchovává se proto, aby otázka „proč jsem byl vyhozen“ měla odpověď, která není rekonstrukcí, a protože „připojil a opustil už tento účet někdy tenhle server“ je signál, k jehož existenci je potřeba historie. Smaže se po 90 dnech — posouzení o někom není totéž co moderační zásah, ke kterému vedlo, a záznamem je jen to druhé.

Co lidé funkci odevzdají a co z toho funkce vytvořila. Odvolání proti banu a hlasování týmu o nich; přihlášky do týmu, jejich odpovědi a hlasování; tikety, jejich odpovědi a hodnocení, které se zanechá při zavření; účasti v soutěžích; přihlášky na události a docházka; hodnosti, soupisky, poznámky týmu a důvody příspěvků; recenze, které o vašem serveru někdo napsal; žádosti o partnerství a jejich představení. Čtyři pole z tohoto seznamu, která jsou slovy napsanými v důvěře, jsou šifrovaná — oddíl níže je jmenuje přesně.

Zálohy serveru, pokud nějakou někdo pořídí. /backup save uloží strukturální snímek serveru, aby šel znovu postavit: názvy rolí a oprávnění, názvy kanálů, témata a výjimky v oprávněních, kategorie, metadata emoji a nálepek a seznam banů s napsanými důvody. Neobsahuje žádné zprávy. Je to vlastní struktura vašeho serveru, uložená tam, kam jste botovi řekli, a /backup delete slot úplně odstraní.

Zprávy, které váš tým sestaví příkazem /message. Nedokončený koncept (zahozený po týdnu bez úprav), uložené šablony, příspěvky naplánované na později a záznam o každém příspěvku, aby šel upravit — zapomenutý po 90 dnech bez úpravy. Je to text, který váš tým napsal, aby ho bot poslal, spolu s tím, kdo ho napsal; nic, co by řekl člen.

Uvítání vašeho serveru. Uvítací zpráva, zpráva na rozloučenou a uvítací soukromá zpráva, které váš tým sestavil, text na uvítacích a loučicích kartách a obrázek na pozadí, pokud byl pro kartu nahrán — uložený jako obrázek, který bot z nahrání překreslil, takže z původního souboru se neuchovává nic kromě jeho pixelů. Aby bot kartu nakreslil, v tu chvíli stáhne z Discordu profilový obrázek přicházejícího nebo odcházejícího člena a nic z něj neuchovává.

Úrovně, pokud je server zapne. Se zapnutým modulem Úrovně bot uchovává jedno číslo na člena — XP získané ze zpráv a času v hovoru — a kdy se naposledy změnilo, a nic víc: žádný záznam toho, co bylo řečeno nebo kde. Z tohoto čísla se odvozuje úroveň a pořadí. Zůstává, dokud je bot na serveru, i poté, co člen odejde, aby se mu odměnové role mohly vrátit, pokud se vrátí; smaže se spolu s ostatními daty serveru třicet dní po odebrání bota. Pokud server nechá svůj veřejný žebříček zapnutý — ve výchozím stavu je zapnutý a jeden přepínač ho vypne — jméno člena na serveru, profilový obrázek, úroveň a XP se zobrazí na veřejné stránce tohoto webu komukoli s odkazem. Jméno a obrázek se načítají z Discordu ve chvíli vykreslení stránky a nikdy se neukládají do databáze; vykreslená stránka se drží méně než minutu, aby se vytížený žebříček nedotazoval bota při každém zobrazení.

Záznamy o raidech, jen když anti-raid raid zachytí nebo je okno označí moderátoři. Které účty se během něj připojily a kdy, jak staré každý účet byl, zda měl avatar, klíč jen z písmen odvozený z uživatelského jména, který slouží k odhalení série podobných jmen (nikdy samotné uživatelské jméno), co bot nebo moderátor s každým udělal (vyhození, ban, timeout), zda byl server zamčen a kolik zpráv bylo odstraněno. Nikdy text zprávy. Uchovává se 30 dní, nejvýše 25 raidů na server, a smaže se spolu se vším ostatním, když bot server opustí.

Návrhy, pokud je server zapne. Návrh uchovává napsaný text, kdo ho poslal, kde byla jeho karta vyvěšena a — jakmile tým odpoví — odpověď, kdo ji dal a proč. Každý hlas je jeden řádek: který návrh, který člen, kterým směrem. Anonymní návrh si přesto pamatuje, kdo ho poslal, protože se z toho počítá limit na člena a čekací doba; nikde se to nezobrazuje. Všechno se smaže spolu se zbytkem dat serveru třicet dní po odebrání bota. Návrh poslaný přes /suggest bot se týká bota, ne serveru: předá se do kanálu na podpůrném serveru s tvým jménem, tvým ID a serverem, odkud přišel, a vůbec se neukládá.

Narozeniny, pokud je člen nastaví. /birthday o člověku neukládá nic, dokud nezadá datum. Pak uchovává zadaný den a měsíc; rok jen pokud ho zadal, šifrovaný stejným klíčem jako důvěrný text níže a čtený zpět jen pro uvedení věku, a to jen na serveru, který věk zobrazuje; časové pásmo z pevného seznamu; okamžik, kdy začnou jeho další narozeniny; a se kterými servery se je rozhodl sdílet, po jednom záznamu na server, který vytvořil sám člověk a nikdo jiný. Moderátor může záznam serveru odebrat, ale nikdy nemůže nastavit ani přečíst datum, které nebylo na jeho serveru sdíleno. Nikdo mladší 13 let se neukládá: rok, kvůli kterému by byl někdo mladší, se odmítne a nic se neuloží. Bot člověku nikdy sám nepíše. /birthday remove smaže datum i záznamy všech serverů najednou; záznam serveru zmizí také, když člen server opustí nebo když se smažou data serveru; a krátký záznam o tom, která oslavná oznámení již proběhla, se smaže po 400 dnech.

Smazání narozenin příkazem /birthday remove okamžitě odstraní také záznam o oznámených oslavách dané osoby, aniž by se čekalo na uplynutí 400 dnů.

Dočasné role. Když moderátor někomu na čas zapůjčí roli, bot uchovává, kdo ji má, jakou roli, kdy končí, kdo ji zapůjčil a důvod, který zadal (nejvýše 400 znaků), dokud se role neodebere. Role zapůjčená k narozeninám nebo za přerušení počítání se uchovává stejně, se botem jako zapůjčitelem. Záznam se smaže, když se role odebere, když je člen zabanován a — pokud server nezvolil uchovat čas na jeho návrat — když odejde.

Počítání, pokud server nastaví kanál. Pro každý kanál počítání bot uchovává číslo, na kterém je, kdo počítal naposledy, pravidla, podle kterých kanál hraje, a pro každého člena, který tam počítal, kolik správných čísel zadal a kolikrát počítání přerušil — ID a čísla, nikdy to, co kdo napsal. Zprávy v kanálu počítání se čtou průběžně, aby se posoudily, a neukládají se. Všechno se smaže spolu s kanálem, při ukončení počítání v něm, nebo spolu se zbytkem dat serveru třicet dní po odstranění bota.

Modmail, jen pokud ho server zapne. Když člen pošle botovi soukromou zprávu, bot ji přečte a předá týmu zvoleného serveru do soukromého kanálu, který si server zvolil — každý, kdo ten kanál vidí, ji může číst, stejně jako ten, kdo vidí logovací kanál serveru, pokud se tam zveřejňují přepisy. Odpovědi týmu jdou do soukromých zpráv člena; anonymní odpověď skryje odesílatele před členem, ne před zbytkem týmu. Bot neukládá žádný text zpráv: ukládá identifikátory, počty a časy, která soukromá zpráva odpovídá které zprávě v kanálu (smazáno třicet dní po uzavření vlákna), důvody, které tým napsal při uzavření nebo zablokování, a uložené odpovědi. Záznam uzavřeného vlákna se maže po počtu dní nastaveném serverem, ve výchozím stavu devadesát. Samotná konverzace a případné soubory s přepisem zůstávají v Discordu toho serveru podle jeho vlastních pravidel. Člen ukončí konverzaci tlačítkem Close this conversation pod první odpovědí bota, zabrání serveru ji zahájit tlačítkem Stop messages from this server, nebo botovi prostě nepíše. Žádná třetí strana z toho nic nedostává.

Obchod se šablonami. Pokud šablonu ohodnotíte, bot uloží ID vašeho účtu, hvězdičky a čas. Pokud okomentujete, uloží ID vašeho účtu, zobrazované jméno, které jste tehdy měli, text a čas; svůj komentář můžete sami smazat a vlastník ho může odstranit. Nahlášení uloží ID vašeho účtu a důvod, který jste napsali. Aby šablonu mohli hodnotit jen lidé, kteří ji použili, bot uchovává, kterou šablonu jste použili, na jakém ID serveru a kdy, po dobu existence šablony. Vlastník si přečte každou odeslanou šablonu, než se zveřejní, a každý komentář čekající na kontrolu, než se zobrazí; komentář, o kterém nikdo nerozhodl, se po 30 dnech smaže. Aby šlo omezit, jak často může jeden účet nebo jedna adresa komentovat, nahlašovat či hodnotit, bot ukládá klíčovaný hash adresy — nikdy ne samotnou adresu — spolu s ID účtu a časem, který se smaže po 30 dnech. Šablona, kterou ještě píšete, je uložena zapečetěná (šifrovaná) po dobu 7 dnů. Chcete-li, aby bylo odstraněno vše, co obchod o vašem účtu uchovává, požádejte na serveru podpory a vlastník odstranění provede. Text komentáře — a jen text, bez účtu, jména a připojené šablony — se před zveřejněním komentáře odešle na moderační endpoint OpenAI za podmínek popsaných výše u OpenAI; komentář, který označí nebo na který včas neodpoví, se místo zveřejnění podrží pro vlastníka. Pokud bot nemá klíč OpenAI, tento krok se přeskočí a ostatní kontroly platí samy.

Co se nikdy neukládá

Obsah zpráv. Nic v databázi neuchovává, co lidé říkají ve vašich kanálech, a neexistuje z toho výjimka — ani jeden sloupec v databázi neobsahuje zprávu, kterou někdo napsal. Tato stránka dříve jmenovala přepisy tiketů jako výjimku a nejsou jí: přepis se sestaví z historie, kterou drží sám Discord, ve chvíli, kdy o něj moderátor požádá, a pošle se zpět na váš server jako soubor. Nic z něj se tu neuchovává. Text, který někdo záměrně odevzdá botovi — odvolání proti banu, přihláška, formulář při otevření tiketu, komentář zanechaný s hodnocením — se uchovává, protože přezkum, který nejde přečíst, není přezkum; je šifrovaný a oddíl níže říká přesně, která pole. Stejně tak důvod, který člen uvede příkazem /afk, až do svého návratu — není šifrovaný, protože není psaný v důvěře: zobrazuje se každému, kdo ho zmíní.

Dvě věci se drží mimo databázi a u obou stojí za to být přesný. První je snipe: /snipe ukáže poslední smazanou nebo upravenou zprávu v kanálu, takže jednu držet musí: pět na kanál, nejvýše dvě hodiny, v paměti. Nic se nezapisuje, restart všechno zapomene a nikdy to neopustí proces. Zeptat se může každý, kdo kanál čte — k tomu příkaz slouží — a bot ten přístup ověřuje ve chvíli, kdy odpovídá, ne když byla zpráva odstraněna. Neukáže zprávu, kterou smazal sám bot, ani nic smazaného hromadně, protože snipe se nesmí stát způsobem, jak zpětně číst moderaci. Server, který to chce užší, ho omezí na moderátory nebo úplně vyloučí kanály příkazem /logs snipe; moderátor, který právě něco odstranil, ho okamžitě vymaže příkazem /snipe clear.

Druhou věcí jsou čítače ochran. Anti-nuke, anti-raid, anti-spam a další rozhodují počítáním — kolik kanálů jeden moderátor smazal za poslední minutu, kolik účtů se připojilo za posledních třicet sekund — a tyto počty se každých pár sekund kopírují do cache Redis na stejném stroji, aby restart bota nedal někomu uprostřed útoku čerstvý limit. Kopíruje se id — serveru a zúčastněného člena nebo kanálu — a časy, kdy se věci staly, nikdy to, co kdo řekl: paměť anti-spamu o nedávných zprávách zůstává v procesu a restart ji zapomene. Každá kopie sama vyprší — do hodiny, většina do několika minut — cache se nikdy nezapisuje na disk a nic se k ní nedostane kromě samotného bota — ani web, ani internet. Během aktualizace, když nová kopie bota přebírá práci po staré, procházejí stejnou cache id zpráv a interakcí, na které stará kopie odpověděla v posledních několika sekundách, nejvýše třicet sekund, aby se na nic neodpovědělo dvakrát. Jedna věc v té cache vydrží déle než hodinu: kteří noví členové ještě čekají u některé brány — obrazovky pravidel Discordu, ověření, karantény — na role, které server dává při připojení, uložené jako id serveru, id člena a okamžik, kdy čekání vyprší, a to nejvýše jeden den, aby na ně aktualizace nezapomněla.

IP adresy. Bot žádnou nikdy nevidí — Discord adresu člena botovi nevydává a nic tady to neobchází. Jediné místo, kde se adresa kdy čte, je kontrola připojení na webu, popsaná dále, a čte se jednou a neuchovává se: neukládá se, nezaznamenává se, nehashuje se. Ukradená databáze neobsahuje žádné adresy ani nic, co by z nějaké vzniklo.

Hlasové zprávy, pokud někdo požádá o jejich přepis. /transcribe stáhne danou hlasovou zprávu a převede ji na text na vlastním serveru bota pomocí řečového modelu, který tam běží. Zvuk se nedostane k žádné jiné firmě ani službě; drží se jen po dobu poslechu a hned poté se smaže. Slova se zveřejní v kanálu, kde byl příkaz použit, a nikde jinde se neuchovávají — o tom, co bylo řečeno, se nevede žádný záznam. Aby jeden člověk nezahltil stroj, bot si v paměti počítá, kolik přepisů za posledních deset minut vyžádal každý člověk a každý server; tyto počty se poté zapomenou a restart je zapomene hned.

Pět třetích stran a co každá dostane

Po většinu své existence mohl tento web říkat, že vaše členy nevidí žádná třetí strana. Přestalo to platit, když ověřovací modul získal Refuse VPNs and proxies, protože zda adresa patří VPN, je fakt, který drží jen reputační služba. Každá z pěti níže je vypnutá, dokud ji server nezapne, a když je zapnutá, následující je vše, co se děje.

proxycheck.io. Člen, na kterého se nastavení vztahuje, dostane jednorázový odkaz na stránku tohoto webu. Když na ní stiskne tlačítko, připojovací adresa se jednou odešle na proxycheck.io s otázkou „je to VPN, proxy nebo hostingový rozsah“ a ničím jiným — žádné uživatelské jméno, žádný server, žádné id účtu. Odpověď se přečte kvůli tomuto jedinému bitu a zahodí se. Bot, který ví, kdo člen je, adresu nikdy nedostane; web, který adresu viděl, se nikdy nedozví, kdo člen je. Potom zůstane jen časová značka u ověřovacího záznamu člena, která říká, že připojení bylo čisté, a odmítnutí nezanechá vůbec nic.

Cloudflare Turnstile. Volitelně tatáž stránka nese widget Cloudflare Turnstile, aby tlačítko nemohl stisknout skript. Skript widgetu je jediná věc, kterou tento web kdy načítá z jiného původu, jen na této stránce, a Content-Security-Policy tohoto webu ji všude jinde dál zakazuje. Jeho odpověď se u Cloudflare ověřuje bez připojené adresy. Turnstile nenahrazuje CAPTCHA uvnitř Discordu, která se stále kreslí v procesu.

OpenAI. Je to největší ze tří a ta, která dostane to, co lidé zveřejňují, takže stojí za to být přesný. Server může zapnout AI image scan, při kterém model rozhoduje, zda je obrázek sexuální, krvavý, násilný nebo zobrazuje sebepoškozování. Žádný seznam klíčových slov obrázek nepřečte a neexistuje verze, která by běžela na našich vlastních strojích, což je jediný důvod, proč to tu vůbec je.

Když to server zapne, každý obrázek zveřejněný ve skenovaném kanálu se odešle na moderační endpoint OpenAI jako odkaz na ten obrázek na vlastních serverech Discordu a nic jiného — žádný text, který kdo napsal, žádné uživatelské jméno, žádné id účtu, žádný název serveru, žádný název kanálu. Týká se to nahraných souborů a, pokud to server nechá zapnuté, obrázku, který Discord ukazuje pod odkazem. Odpověď přijde jako skóre za kategorii, přečte se, aby se rozhodlo, zda obrázek porušuje pravidla daného serveru, a zahodí se. Nic z ní se tady nezapisuje a samotný obrázek se nikdy neukládá v naší databázi.

Co s tím OpenAI dělá, jejich slovy, ne našimi. Jejich dokumentace uvádí, že data poslaná do API „se nepoužívají k trénování ani zlepšování modelů OpenAI“, pokud se výslovně nepřihlásíte, a my jsme se nepřihlásili. Uvádí také, že logy monitorování zneužití „mohou obsahovat určitý zákaznický obsah, například prompty a odpovědi“ a ve výchozím stavu se „uchovávají až 30 dnů“. Poctivá verze tedy není, že obrázek zmizí ve chvíli, kdy je oskenován: my z něj neuchováváme nic a OpenAI ho může držet až třicet dní, aby hlídalo vlastní službu. Server, který s tím nesouhlasí, by měl tento modul nechat vypnutý, což je jeho výchozí stav.

Je vypnutý, dokud správce modul nezapne. Server může vyjmout role, přeskočit celé kanály nebo skenovat jen některé, skenovat jen novější členy a přeskočit vlastní moderátory a popis modulu jasně říká, že jeho zapnutí je to, co posílá obrázky ze serveru ven. Modul vypněte a nic se už neodešle.

Dvě poctivá omezení. Je dobrý na obecné škody a neví, jak vypadá hrozba pro váš server — organizovaný nájezd, podvod, reklama — protože to nejsou kategorie, které model má, a text vůbec nečte. A dokumentace OpenAI sama říká, že endpoint není určen k odhalování materiálů zobrazujících sexuální zneužívání dětí a nenahrazuje specializovaná opatření na ochranu dětí; nic tady netvrdí opak a tato cesta hlášení zůstává u Discordu.

Nic dalšího se nenačítá. Žádná analytika, žádná služba písem, žádný skript ani styl z ničího CDN: každá stránka kromě kontroly připojení nic nenačítá z jiného původu a vynucuje to Content-Security-Policy, ne slib. Cloudflare před webem jako jeho síť stojí — vidí požadavky, které vidí každá síť před webem, a díky ní web vydrží záplavu — ale nedostane nic o vašich členech, protože stránky o vašich členech nic nenesou.

YouTube a Twitch. Server může pomocí /alerts sledovat kanál na YouTube nebo streamera na Twitchi a bot se pak každých pár minut službě ptá, zda není něco nového. YouTube dostane jeden požadavek na veřejný RSS kanál, který uvádí jen veřejné id daného kanálu. Twitch dostane veřejné přihlašovací jméno streamera — spolu s dalšími, nejvýše sto v jednom požadavku — podepsané vlastní aplikací tohoto bota na Twitchi, nikdy účtem člena. Žádnému z nich se neposílá žádný člen, název serveru ani název kanálu a ani jeden se nedozví, který server koho sleduje. Odpověď se přečte kvůli nejnovějšímu videu, případně id, názvu a hře živého vysílání, a zahodí se. Uchovává se kanál nebo přihlašovací jméno, které server zvolil ke sledování, kam příspěvek poslat, a id poslední oznámené věci, aby se nic neoznámilo dvakrát. Obojí je vypnuté, dokud server nepřidá sledování, a odebráním sledování požadavky přestanou.

Sponzorovaný řádek

Lidé, kteří tohoto bota provozují, mohou nastavit jeden sponzorovaný odkaz: krátký řádek označený Sponzorováno, jehož text a cíl volí oni a platí jej ten, na koho odkaz vede. Objevuje se v zápatí tohoto webu a tu a tam pod některou odpovědí bota na serveru bez prémia: nejvýše jednou za 45 minut na jednom serveru, až po nejméně 6 dalších odpovědích tam a nikdy pod moderační akcí, varováním, soukromou odpovědí ani zprávou s tlačítky. Prémiové servery jej na Discordu nikdy nevidí. Web nepozná, kdo ho čte, a proto ho zápatí ukazuje každému návštěvníkovi.

Je to odkaz a nic víc. Od sponzora se nic nenačítá a nic se mu neposílá. Aby dodržel výše uvedené pravidlo, bot si drží v paměti — nikdy v databázi — kdy každý server řádek naposledy viděl a kolik odpovědí tam od té doby odešlo, a také průběžný počet zobrazení; žádná osoba se nezaznamenává a sponzor z toho nic nevidí. Bot nezaznamenává kliknutí a nepřesměrovává, a odkaz nenese z tohoto webu žádný referrer. Když na něj kliknete, odejdete na jejich web, kde platí jejich vlastní zásady. Text sponzora se zobrazuje tak, jak byl napsán, a nepřekládá se. Když žádný sponzor není nastaven, řádek nikde neexistuje.

Nic z toho se nedrží dlouho. Záznam serveru se zapomene 24 hodin po jeho poslední odpovědi. Najednou se drží nejvýše 20 000 serverů; když se to naplní, vypadne ten, o kterém bylo nejdéle ticho. Všechno, včetně průběžného počtu, zmizí při každém restartu bota.

Premium tokeny a váš účet

Premium podle účtu je jeden řádek: vaše Discord id, zda je měsíční či celoživotní, kdy končí, odkud přišlo a kolik dalších přepnutí serveru jste si koupili. Token se ukládá jen jako klíčovaný otisk sebe sama, takže databáze neobsahuje nic, co by šlo proměnit zpět v token; token existuje v odpovědi majiteli při vytvoření a poté nikde.

Každý pokus o uplatnění tokenu se zaznamená — vaše id, zda přišel z tohoto webu nebo z Discordu, jak dopadl a klíčovaný otisk adresy, kterou tento web pro požadavek ověřil, nikdy adresa sama. Tento záznam je to, co po několika špatných tokenech zamkne účet i adresu, a co lidem provozujícím bota umožní vidět jednu adresu za mnoha účty. Maže se po 90 dnech.

Každý server zaznamenává, který účet sicka přidal, a právě to dělá server prémiovým, když prémium má onen účet. Servery, na které sicka přidáte, se také zapisují k vašemu účtu — id serveru a čas — aby se daly počítat vaše přesuny. Tento seznam se uchovává a server v něm zůstává i po odchodu sicka, protože využitý přesun je využitý.

Pošta na této doméně

Web také provozuje malou e-mailovou službu pro lidi, kteří ho provozují: vlastní adresu majitele a adresy účtů, kterým majitel její použití povolil, každou otevřenou z e-mailového webu po přihlášení zde. Pošta na jednu z těchto adres přichází přes Cloudflare Email Routing a Cloudflare Email Worker, který ji předá tomuto webu; když web není dosažitelný, Worker zprávu uchová v Cloudflare Workers KV až sedm dní a zkusí to znovu. Pošta odesílaná z jedné z těchto adres odchází přes Cloudflare Email Sending. To jsou čtyři zapojené služby Cloudflare a žádná jiná strana poštu nevidí.

Pošta je v klidu zapečetěná. Když zpráva dorazí, tento web ji zpracuje a zapečetí veřejným klíčem, který patří schránce — AES-256-GCM pod jednorázovým klíčem pro tu zprávu, který je sám zapečetěn veřejným klíčem X25519 schránky — a teprve potom ji předá botovi, jehož databáze uchovává zapečetěnou zprávu: její předmět, odesílatele, příjemce, text, HTML, přílohy a jejich názvy a původní bajty, které se uchovávají sedm dní, aby zprávu, kterou parser špatně přečetl, bylo možné stáhnout celou. Soukromý klíč, který ji otevírá, je zabalen pod klíčem vytvořeným z vašeho e-mailového hesla (scrypt) a, pokud si ho vytvoříte, pod jednorázovým klíčem pro obnovení; bot soukromý klíč nikdy nedrží a ukládá jen jednosměrný otisk vašeho hesla. Jde o nulový přístup v klidu, ne o nulovou znalost: tento web čte vaši poštu v paměti, když zpracovává přicházející zprávu a dokud je vaše schránka odemčená, takže ji mohl číst každý, kdo může změnit kód, který tento web provozuje, ale majitel ji z databáze přečíst nemůže. Váš odemčený klíč žije jen v paměti tohoto webu, nejvýše jeden den, a restart zamkne každou schránku, dokud znovu nezadáte heslo. Vzdálené obrázky ve zprávě web nikdy nestahuje: načtou se ve vašem prohlížeči, jen když o to požádáte, a načtení obrázku sdělí odesílateli, kdy jste zprávu otevřeli a odkud.

Když se na tento web přihlásíte přes Discord, zaznamená se vaše Discord id, uživatelské jméno a hash avataru spolu s časem, aby majitel viděl, kdo se přihlásil, než přidělí adresu. Koš a Spam mažou svůj obsah třicet dní po tom, co do nich zpráva přišla; odvolaná schránka se maže čtrnáct dní po odvolání. Pokud o přístup požádáte majitele, žádost — stejné id, jméno a hash avataru a čas — se uchovává, dokud majitel neodpoví nebo neuplyne třicet dní, a majitele o ní informuje přímá zpráva od bota na Discordu. Nic jiného o poště se s Discordem nesdílí.

Odesílání se počítá podle příjemců z řádků odchozí fronty, které se pro odeslání pošty stejně uchovávají, takže se kvůli tomu neshromažďuje nic nového. Schránce, jejíž pošta se stále vrací, se odesílání pozastaví, dokud se na ni majitel nepodívá. Pošta odeslaná na postmaster@ nebo abuse@ na těchto doménách se dostane k majiteli.

Některé věci zůstávají v čitelné podobě, protože je služba musí číst bez vašeho klíče: ve které složce a na které kartě zpráva je, její příznaky (přečtená, s hvězdičkou, důležitá, odložená), kdy dorazila, její velikost, ke které konverzaci patří, kolik má příloh, jejich typy souborů a id vložených obrázků, na kterou z vašich adres přišla, plus-značka, kterou jste použili, výsledky kontrol odesílatele a klíčované otisky jejích identifikátorů (Message-ID, References) a jejího odesílatele. Pravidla, která jste nastavili pro odesílatele — adresa nebo doména, kterou jste zařadili, zablokovali nebo pro niž jste povolili obrázky — jsou rovněž čitelná. Když zpráva přichází, bot v paměti čte jejího odesílatele, příjemce, předmět, hlavičky a názvy příloh, aby ji zařadil na kartu a použil pravidla proti zneužití, a nic z toho nezapisuje v čitelné podobě. Schránky, jejichž držitel se od začátku pečetění ještě nepřihlásil heslem, si ponechávají starší poštu tak, jak byla, čitelnou pro službu; majiteli se zobrazí, které to jsou, a každá se zapečetí, jakmile se její držitel přihlásí.

Hledání pracuje s klíčovanými otisky, ne s vašimi slovy. Když je vaše schránka odemčená, každá zapečetěná zpráva dostane až 512 otisků (HMAC-SHA256) celých slov v ní a jejího odesílatele a příjemců, vytvořených pod náhodným vyhledávacím klíčem, který existuje jen zabalený pod vaším heslem a vaším klíčem pro obnovu. Hledání tak najde celá slova a přesné adresy — ne předpony, tvary slov ani fráze — a kdo drží kopii databáze, nemůže proti nim zkoušet slovo, které tipuje. Dvě ceny: pošta, která přijde, když je vaše schránka zamčená, nejde prohledávat, dokud ji příště neodemknete; a klíčované otisky identifikátorů a odesílatelů, které zůstávají v čitelné podobě (výše), vznikají pod tajemstvím, které drží web a databáze ne, takže kdo drží obojí, mohl by vyzkoušet, zda se tipovaná adresa nebo Message-ID vyskytuje.

Zpráva, kterou odešlete s Vrátit zpět nebo na pozdější dobu, čeká v odchozí poště ve tvaru, který odesílatel potřebuje: protože musí být čitelná, když odchází, uchovává se pod vlastním serverovým klíčem bota, dokud není odeslána, zrušena nebo definitivně odmítnuta, a pak se smaže. Kopie ve složce Odeslané zůstává zapečetěná pro vás. Pošta, kterou odesíláte, odchází přes TLS jako každá jiná pošta, přes Cloudflare Email Sending, a pošta k vám přichází přes Cloudflare Email Routing: Cloudflare vidí zprávu při přenosu, předtím než ji tento web zapečetí a když odchází.

Zprávy, které odesíláte, nenesou žádné Discord id, id účtu ani adresu vašeho prohlížeče: náhodné Message-ID v odesílací doméně, žádnou hlavičku X-Mailer, User-Agent ani X-Originating-IP a řádek From, který ukazuje jen adresu, kterou jste zvolili, se zobrazovaným jménem jen tehdy, pokud jste ho nastavili. Alias je další adresa, která doručuje do vaší schránky a kterou můžete vypnout, nastavit jí vypršení nebo ji nechat odpovědět jednou. Není to anonymita před těmi, kdo službu provozují, před Cloudflare ani před člověkem, kterému píšete: vidí adresu, ze které jste psali, čas a co zpráva říká.

Pokud ztratíte heslo i klíč pro obnovení, vaši poštu nelze otevřít a nikdo ji za vás neobnoví, ani majitel. Když majitel resetuje držiteli e-mailové heslo, smaže se i klíč, který otevíralo: pošta zapečetěná pod ním už nikdy nepůjde přečíst a o třicet dní později se smaže.

Hudba a texty písní

Když server zapne hudební přehrávač, bot přehrává zvuk v hlasovém kanálu přes uzel Lavalink, který běží vedle něj na stejném počítači. Uzel stahuje zvuk jen z webu, o který člen požádal, a z ničeho jiného: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), přímý odkaz https, který člen vložil, a — jen pokud ho majitel zapnul — YouTube (youtube.com, youtu.be, music.youtube.com). Odkaz na Spotify (open.spotify.com, spotify.link) nebo Apple Music (music.apple.com) se na tomto webu vyhledá kvůli názvu skladby a nalezená shoda se přehraje ze SoundCloudu; z žádného z nich nepřichází zvuk. Každý z těchto webů vidí požadavek, který uzel na skladbu pošle, stejně jako by ho viděl jakýkoli prohlížeč otevírající stránku, a nic o serveru ani o členovi, který o ni požádal.

Co bot pro přehrávač ukládá: hlasový a textový kanál, ve kterém je, frontu — u každé skladby název, interpreta, délku, zdroj a vlastní označení uzlu a id člena, který ji zařadil — a posledních dvacet přehraných skladeb, které zmizí, když se přehrávač zastaví nebo bot server opustí. Playlist, který člen uloží, patří jemu a je uložen pod jeho id, dokud ho nesmaže. Texty písní pocházejí z LRCLIB (lrclib.net), otevřené databáze bez účtu: dostane interpreta, název a délku hrané skladby a nic dalšího a odpověď se zobrazí a neukládá se.

Zabezpečení vašeho účtu

Vaše schránka se otevírá vaším vlastním heslem, nastaveným v samotném poštovním klientovi a odděleným od Discordu. Web ho vidí jen, když ho píšete, aby odemkl klíč vaší schránky, a neuchovává ho; bot, který ho přijímá, aby ho ověřil, z něj uchovává jen jednosměrný otisk scrypt — hodnotu, kterou nic nedokáže převést zpět na heslo, ani my — a proti ní ověřuje, co napíšete. Samotné heslo není v žádném logu, žádném sloupci databáze ani žádné cookie.

Druhý krok je volitelný a je na vás. Tajemství ověřovací aplikace a adresa, na kterou se posílá kód, se ukládají šifrovaně pomocí AES-256-GCM, stejným klíčem jen pro bota jako důvěrný text výše; passkey se ukládá jen jako veřejný klíč, který přihlášení ověří, ale nikdy nevytvoří; záložní kódy se uchovávají jen jako klíčované otisky, jako prémiové tokeny. Odeslaný kód jde přes Cloudflare Email Sending z adresy na naší doméně. Žádná metoda druhého faktoru se s nikým nesdílí.

Důvěra prohlížeči na třicet dní uloží náhodný token do cookie a na straně bota jen klíčovaný otisk toho tokenu — nikdy samotný token — takže seznam vašich důvěryhodných prohlížečů neobsahuje nic, co by prohlížeč identifikovalo komukoli jinému. Vedle tří přihlašovacích cookie panelu nastaví schránka několik vlastních, dokud je otevřená: tu, která ji den drží odemčenou, tu, která drží přihlášení nebo heslo, než se odpoví na druhý krok, tu, která žije deset minut a označuje prohlížeč, který zahájil přihlášení k poště, aby je nešlo dokončit z jiného, a token důvěryhodného prohlížeče. Poštovní relace končí šest hodin po otevření, nebo dříve, pokud se na sdíleném hostiteli odhlásíte z webu. Každé špatné heslo nebo kód se počítá vůči vašemu účtu a vůči adrese, kterou web prokázal — vaše id a klíčovaný otisk té adresy, nikdy samotná adresa — což účet po několika pokusech během čtvrthodiny uzamkne; tyto záznamy se mažou do jednoho dne.

Poslech — jen pokud něco propojíte

Co se ukládá. /fm o člověku neukládá nic, dokud nepropojí zdroj. Pokud propojíte Last.fm nebo ListenBrainz, uložíme tam vaše uživatelské jméno. Pokud zapnete i scrobblování ven, uložíme klíč, který botovi umožňuje odesílat přehrání za vás, šifrovaně, jen dokud je to zapnuté — vypnutí nebo odpojení ho smaže. Pokud používáte stav Spotify v Discordu, bot čte skladbu ze Spotify ve vašem stavu, na serverech, které s vámi sdílí, až poté, co souhlasíte, a zaznamená přehrání, když jste slyšeli zhruba polovinu. Nic jiného z vaší přítomnosti se nečte.

Co se uchovává a kdo to vidí. Přehrání, která bot slyšel sám — z vašeho stavu Spotify nebo z vlastního hudebního přehrávače — se uchovávají rok. Vaši nejposlouchanější interpreti, alba, skladby a žánry, až tisíc od každého, se z vaší služby kopírují každých pár hodin, aby server mohl ukázat, kdo co poslouchá. Ukládají se také přátelé, několik nastavení zobrazení a servery, na kterých jste se rozhodli skrýt. Přehrání a seznamy se ukazují jen lidem na serverech, na nichž jste i vy; vaše uživatelské jméno na Last.fm nebo ListenBrainz se objeví v globálním who-knows jen tehdy, když jste to zapnuli, a dokud to neuděláte, je to vypnuté. /fm account to všechno ukáže a všechno naráz smaže, a stejně se chová odpojení posledního zdroje.

Last.fm a ListenBrainz. Když někdo použije /fm, bot se zeptá Last.fm (ws.audioscrobbler.com) nebo ListenBrainz (api.listenbrainz.org) na veřejná data o poslechu propojené osoby, přičemž použije její uživatelské jméno a nic jiného o ní. Jen pokud je scrobblování ven zapnuté, bot službě také odešle přehrání, která pro tuto osobu slyšel, podepsaná jejím klíčem. Obaly alb stahuje z obrazových serverů Last.fm bot, nikdy ne vaše zařízení. Každá služba má vlastní zásady ochrany osobních údajů a to, co o vašem poslechu drží, bylo u ní už dřív vaše.

Propojení Last.fm probíhá na vlastní stránce Last.fm: bot si od Last.fm vyžádá jednorázový token a předá ti adresu, kde ho schválíš, a pak se dotazem na Last.fm dozví, že jsi to udělal. Token žije jen v paměti bota, dokud se nepoužije nebo neuplyne hodina, a nikdy se neukládá ani nezapisuje do logu. Když zadáš jen své uživatelské jméno na Last.fm, propojí se to bez jakéhokoli schvalování a Last.fm se odešle toto jméno a nic jiného. Propojení stavu Spotify na Discordu vyžaduje Presence intent bota; dokud není zapnutý, nabízejí se jen ostatní dvě možnosti.

Import historie. Pokud dáš příkazu /fm import soubor ze Spotify nebo Apple Music, bot ho jednou přečte a uchová jen čas, interpreta, skladbu a album každého přehrání. Samotný soubor je po dobu několika minut, co import běží, v dočasném souboru a hned poté se smaže; nic se nikomu neposílá. Importovaná přehrání se uchovávají, dokud je neodstraníš (/fm account má tlačítko) nebo nesmažeš všechno, a zobrazují se jako všechna ostatní přehrání: jen lidem na serverech, kde jsi i ty.

Historie korun. Když se čtou koruny serveru nebo žebříček „kdo zná“, bot si zapíše, kdo drží korunu každého interpreta, a když koruna změní majitele, kdo ji komu a kdy vzal — až na rok. Smazání tvých dat o poslechu odstraní koruny, které jsi držel, a zapomene, komu jsi nějakou vzal.

Šifrování

Volný text, který lidé píší v důvěře, se před uložením šifruje pomocí AES-256-GCM a dešifruje se jen tak, jak se zobrazuje týmu, kterému byl určen. Je to pět věcí: odvolání proti banu, odpovědi na přihlášky do týmu, odpovědi zadané při otevření tiketu, komentář zanechaný s hodnocením tiketu a rok, který někdo uvede se svými narozeninami. Klíč se odvozuje z tajemství, které existuje jen v prostředí samotného bota — web běží jako samostatná služba, která ho nemá a nemohla by ho použít — takže kopie databáze sama o sobě poskytne jen šifrový text.

Do 19. září 2026 se říkalo tři a čtvrté bylo důvodem: komentář zanechaný s hodnocením tiketu — „moderátor, který to zavřel, na mě byl příkrý“ je typ věci, která se do něj píše — se ukládal jako prostý text od dne, kdy funkce vyšla. Ležel dvě deklarace pod odpověďmi tiketu, které šifrované byly, ve stejném souboru, a nic ty dvě proti sobě nesrovnávalo. Teď je šifrovaný, vše už uložené bylo převedeno a kontrola v sestavení odmítne jakékoli nové pole takového tvaru, dokud někdo nezapíše, které ze dvou to je.

Rozepsané přihlášky. Dlouhý přihlašovací formulář se vyplňuje po stránkách. Odpovědi z už odeslaných stránek se uchovávají, šifrované stejným způsobem, dokud není odeslána poslední stránka — pak se stanou přihláškou — nebo hodinu, podle toho, co nastane dřív, a žadatel je může kdykoli zahodit. Pro toho, kdo nikdy nezačne, se neuchovává nic.

Co není šifrované, řečeno rovně: otázka, kterou člen týmu napsal vedle každé odpovědi, důvody napsané moderátorem v moderačním záznamu, důvod, který člen uvede pro AFK — který bot ukazuje každému, kdo ho zmíní — a nastavení vašeho serveru. Nic z toho nejsou něčí soukromá slova o sobě samém a jejich šifrování by vaše moderátory připravilo o možnost prohledávat vlastní záznamy.

Smazání

Odeberte bota ze svého serveru a vše, co se pro ten server drží, se o třicet dní později automaticky smaže, bez nutnosti žádosti.

Prodleva je funkce, ne háček. Zdaleka nejběžnějším důvodem, proč server bota odebere, je přidat ho hned zpátky s jinými oprávněními, a smazání, které by proběhlo ve chvíli odchodu, by s sebou vzalo každé nastavení, každé varování a každý moderační záznam. Pozvěte ho znovu v rámci lhůty a váš server je přesně takový, jak jste ho nechali; lhůtu překročte a není k čemu se vracet. Nic nového se nezaznamenává, dokud bot chybí — server nevidí — a hodiny se spouštějí znovu od posledního odchodu, takže dvojí odchod lhůtu nezkracuje.

Pokud je třicet dní příliš dlouho, majitel nebo správce serveru může požádat o okamžité smazání: zeptejte se na serveru podpory. To se děje na žádost, ne podle plánu.

Přihlášení do panelu

Tento web je sykbot.com a dokumentace je na sickenn.info. Přihlášení probíhá na sicken.me a nikde jinde a cookie níže patří jen této adrese — prohlížeč je nikdy neposílá na žádnou jinou adresu. Stránka kdekoli jinde, která vás žádá o přihlášení přes Discord pro sick, není tento web. Pošta se čte a píše na mail.sicken.me. Nemá vlastní přihlášení: pošle tě na sicken.me, kde se přihlásíš, a přivede tě zpět; její cookie patří jen jí.

Web nemá databázi, takže se přihlášení drží v jedné cookie ve vašem prohlížeči. Přihlášení se Discordu ptá na dva rozsahy, identify a guilds — vaše jméno a seznam serverů, na kterých jste, nic jiného — a cookie obsahuje to, co přijde zpět: vaše Discord id, uživatelské jméno a id vašeho profilového obrázku a přístupový a obnovovací token pro ty dva rozsahy. Je šifrovaná a ověřená pomocí AES-256-GCM pod klíčem, který má jen web, takže ji nelze v prohlížeči přečíst ani změnit, a nic o ní se na serveru nezapisuje. Pamatuje si také až čtyři servery, které jste nedávno otevřeli, aby byly v seznamu první.

Váš profilový obrázek a ikony vašich serverů stahuje tento web z Discordu a předává je vašemu prohlížeči, takže váš prohlížeč nikdy nekontaktuje obrazové servery Discordu a ty nikdy neuvidí vaši adresu. Tento web si žádný z nich neponechává: každý se stáhne, když o něj stránka požádá, a váš prohlížeč a síť před tímto webem mohou držet kopii až týden, pod adresou, která se změní vždy, když se změní obrázek.

Dokud je stránka nastavení funkce otevřená a na obrazovce, jednou za minutu se tohoto webu — nikoho jiného — znovu ptá na seznamy kanálů a rolí vašeho serveru, aby byl právě vytvořený kanál k výběru bez znovunačtení. Tento požadavek nese stejnou cookie a odpovídá se jen tomu, kdo by tu stránku mohl otevřít; je to jediná věc, kterou jakákoli stránka tady načítá po svém načtení, a Content-Security-Policy ji povoluje jen na těchto stránkách.

Platí třicet dní od přihlášení, což umožňuje návrat bez opětovného připojování Discordu; potom je prohlížeč poslán přes Discord bez obrazovky se souhlasem, pro aplikaci, kterou jste už schválili. Měsíc je bezpečný jen proto, že nad tím Discord zůstává pánem: každých pár minut se web Discordu ptá, zda přihlášení stále platí, odhlášení zruší tokeny u Discordu — takže i kopie cookie přestane fungovat — a odebrání sick v části Autorizované aplikace ve vlastním nastavení Discordu ho ukončí z vaší strany, na všech zařízeních najednou.

Druhá cookie obsahuje jen číslici 1 a existuje jen po odhlášení. Zaznamenává, že jste se odhlásili, takže další přihlášení ukáže obrazovku se souhlasem Discordu — s vlastním „Nejste to vy?“ od Discordu, kterým se přepíná účet — místo jejího přeskočení. Opětovné přihlášení ji odstraní. Třetí žije deset minut, zatímco probíhá přihlášení, a obsahuje náhodnou hodnotu, která dokazuje, že odpověď přicházející od Discordu patří přihlášení, které tento prohlížeč zahájil. Tyto tři jsou jediné cookies, které tento web nastavuje. Cloudflare, který před ním stojí, může nastavit vlastní krátkodobou cookie __cf_bm, aby odlišil prohlížeče od botů; ta patří Cloudflaru a nic tady ji nečte.

Kdo co vidí

Konfiguraci vidí lidé, kteří ji mohou měnit — ve výchozím stavu to znamená Spravovat server a u několika funkcí, které si říkají o Správce, víc. Moderační záznamy vidí vaši moderátoři. Nikdo, kdo bota provozuje, nečte data vašeho serveru jako samozřejmost a neexistuje rozhraní, které by to činilo pohodlným.