Privatliv

Privatlivspolitik

Sidst ændret 19. oktober 2026.

Hvad der gemmes

Serverkonfiguration, som du angiver gennem bottens kommandoer: kanal- og rolle-id’er, tærskler, til/fra-indstillinger og den tekst, du skriver ind i en indstilling — et kommandopræfiks, en liste over blokerede ord, teksten på et verificeringspanel, den frase, der udløser en planlagt rydning af en kanal, de bruger-id’er, du undtager fra et filter. Moderationsposter: sagsnummeret, hvem der handlede, hvem det gik ud over, den begrundelse du skrev, og hvornår. Hvor en funktion har brug for det, id’erne på de beskeder eller kanaler, den har oprettet, så den senere kan administrere dem.

Konfigurationstekst gemmes, som du skrev den, og det er med vilje: dine moderatorer skal kunne læse, hvad serveren er indstillet til at gøre. Det er ikke nogens private ord om dem selv — det er din servers regler, skrevet af den, der driver den.

Aktivitetstællere, fra det øjeblik botten tilføjes. Hvor mange beskeder hvert medlem har sendt, hvor mange minutter de har tilbragt i tale, hvor travl hver kanal er, en time-for-time-total for serveren og en registrering af, hvem der kom eller gik, og hvilken invitation der bragte dem. Hvis webhook-relæet er slået til, hvor mange gange det har lagt et medlems blokerede beskeder tilbage, og hvornår det sidst gjorde det. Det er tællere og tidsstempler og intet andet: der findes ingen række nogen steder, som siger, hvad nogen sagde, eller i hvilken kanal, eller på hvilket tidspunkt. Opdelingen pr. dag, som ranglisterne summeres ud fra, slettes efter 120 dage, og historikken over ankomster og afgange efter 400 dage.

Tællingen er slået til fra det øjeblik, botten ankommer, i modsætning til det meste af det, den kan, fordi en historik, der begynder, når nogen husker at finde en indstilling, er en historik, ingen kan stole på, og en måned, der ikke blev talt, kan ikke genskabes. At slå den fra tager én linje — /logs activity med off — tællingen stopper med det samme, og /stats bliver ved med at vise det, der blev registreret, før du gjorde det.

Det er ikke det eneste, der er slået til, når botten kommer ind, og denne side plejede at sige, at det var det. Tekstkommandoer, moderationsloggen, straffestigen, giveaways, snipe, AFK og botens sprogindstilling starter også slået til; dokumentationssiden viser dem ved siden af alle andre moduler og markerer, hvilket der er hvilket. Af dem rummer snipe og AFK noget om et medlem: snipe i hukommelsen frem for i databasen, og AFK først når et medlem selv sætter det — afsnittet nedenfor er præcist om, hvad og hvor længe.

AFK, kun hvis et medlem sætter det. At de er væk, den begrundelse de skrev, hvornår de gik, det kaldenavn botten erstattede, så den kan sætte det tilbage, og links til op til ti beskeder, der nævnte dem, mens de var væk — hvilken besked, i hvilken kanal, af hvem og hvornår, aldrig beskedens tekst. Det hele slettes, næste gang de skriver et sted, der tæller (en server kan angive kanaler, der ikke gør), når de forlader serveren, eller med /afk remove — og uanset hvad efter tredive dage. En server kan slå det fra, at omtalerne gemmes.

Hvad botten gjorde ud af en konto, da den trådte ind. Hvis medlemsscreening er slået til, den score den gav, båndet, de signaler der udløstes, det botten selv foretog sig, og hvad en moderator bestemte bagefter. Det gemmes, så “hvorfor blev jeg smidt ud” har et svar, der ikke er en rekonstruktion, og fordi “har denne konto været tilmeldt og forladt serveren før” er et signal, som kræver, at en historik findes. Slettes efter 90 dage — en vurdering af nogen er ikke det samme som den moderationshandling, den førte til, og kun det sidste er en post.

Hvad folk indsender til en funktion, og hvad funktionen gjorde ud af det. Klager over bandlysninger og personalets afstemning om dem; ansøgninger til personalet, deres svar og afstemningen; tickets, deres svar og den vurdering, der gives, når en lukkes; giveaway-deltagelser; tilmeldinger til begivenheder og fremmøde; gildernes rangordener, lister over medlemmer, personalenoter og begrundelser for bidrag; anmeldelser, nogen har skrevet om din server; partneransøgninger og deres præsentation. De fire felter på den liste, som er ord skrevet i fortrolighed, er krypteret — afsnittet nedenfor nævner dem præcist.

Serverbackups, hvis nogen tager en. /backup save gemmer et strukturelt øjebliksbillede af serveren, så den kan genopbygges: rollenavne og rettigheder, kanalnavne, emner og overskrivninger, kategorier, metadata om emojis og klistermærker og banlisten med de begrundelser, der er skrevet på den. Den indeholder ingen beskeder. Det er din servers egen struktur, opbevaret dér, hvor du bad botten opbevare den, og /backup delete fjerner en plads helt.

Beskeder, dit personale bygger med /message. Et ufærdigt udkast (droppet efter en uge uden berøring), gemte skabeloner, indlæg planlagt til senere og en registrering af hvert indlæg, så det kan redigeres — glemt efter 90 dage uden en redigering. Det er tekst, dit personale har skrevet, for at botten skal sende den, med oplysning om, hvem der skrev den; intet et medlem har sagt.

Din servers hilsner. Velkomstbeskeden, farvelbeskeden og velkomst-DM’en, dit personale byggede, teksten på velkomst- og farvelkortene og et baggrundsbillede, hvis der blev uploadet et til et kort — gemt som et billede, botten har tegnet om ud fra uploaden, så intet af den oprindelige fil bliver bevaret ud over dens pixels. For at tegne et kort henter botten på det tidspunkt profilbilledet af det medlem, der kommer eller går, fra Discord og beholder intet af det.

Niveauer, hvis en server slår dem til. Med Niveau-modulet slået til gemmer botten ét tal pr. medlem — den XP, de har tjent fra beskeder og tid i tale — og hvornår det sidst ændrede sig, og intet andet: ingen registrering af hvad der blev sagt, eller hvor. Et niveau og en placering udregnes af det tal. Det bliver, så længe botten er på serveren, også efter at et medlem forlader den, så deres belønningsroller kan komme tilbage, hvis de vender tilbage; det slettes sammen med resten af serverens data tredive dage efter, at botten er fjernet. Hvis serveren lader sin offentlige rangliste være slået til — den er slået til som standard, og én kontakt slår den fra — vises medlemmets servernavn, profilbillede, niveau og XP på en offentlig side på dette site for enhver med linket. Navnet og billedet hentes fra Discord, når siden tegnes, og skrives aldrig til databasen; den tegnede side gemmes i under et minut, så en travl rangliste ikke rammer botten ved hver visning.

Raid-optagelser, kun når anti-raid fanger et raid, eller personalet markerer et tidsrum. Hvilke konti der kom ind i det og hvornår, hvor gammel hver konto var, om den havde en avatar, en nøgle af kun bogstaver lavet ud fra brugernavnet for at opdage en gruppe lignende navne (aldrig selve brugernavnet), hvad botten eller en moderator gjorde ved hver enkelt (kick, ban, timeout), om serveren blev låst, og hvor mange beskeder der blev fjernet. Aldrig en beskeds tekst. Gemmes i 30 dage, højst 25 raids pr. server, og slettes sammen med alt andet, når botten forlader en server.

Forslag, hvis en server slår dem til. Et forslag gemmer det, der blev skrevet, hvem der sendte det, hvor kortet blev slået op og — når staben svarer — svaret, hvem der gav det og hvorfor. Hver stemme er én række: hvilket forslag, hvilket medlem, hvilken vej. Et anonymt forslag gemmer stadig, hvem der sendte det, fordi grænsen pr. medlem og ventetiden tælles derfra; det vises ingen steder. Det hele slettes sammen med resten af serverens data tredive dage efter, at botten er fjernet. Et forslag sendt med /suggest bot handler om botten og ikke om en server: det sendes videre til en kanal på supportserveren med dit navn, dit ID og den server, det kom fra, og gemmes slet ikke.

Fødselsdage, hvis et medlem angiver en. /birthday gemmer intet om en person, før vedkommende angiver en dato. Så gemmes dag og måned, som personen angav; året, kun hvis det blev angivet, krypteret med samme nøgle som den fortrolige tekst nedenfor og kun læst tilbage for at oplyse en alder, og kun på en server, der viser aldre; en tidszone fra en fast liste; tidspunktet, hvor næste fødselsdag begynder; og hvilke servere personen valgte at dele den med, én post hver, oprettet af personen og af ingen andre. En moderator kan fjerne en servers post og kan aldrig angive eller læse en dato, der ikke er delt på vedkommendes server. Ingen under 13 gemmes: et år, der gør nogen yngre, afvises, og intet gemmes. Botten skriver aldrig til personen. /birthday remove sletter datoen og alle servernes poster på én gang; en servers post forsvinder også, når medlemmet forlader serveren, eller når serverens data slettes; og den korte post over, hvilke fejringer der allerede er annonceret, slettes efter 400 dage.

Når en fødselsdag slettes med /birthday remove, slettes personens registrering af bekendtgjorte fejringer også med det samme, uden at man venter på de 400 dage.

Midlertidige roller. Når en moderator låner nogen en rolle for en tid, gemmer botten, hvem der har den, hvilken rolle, hvornår den slutter, hvem der lånte den ud, og den årsag, de skrev (højst 400 tegn), indtil rollen tages tilbage. En rolle, der lånes ud for en fødselsdag eller for at have brudt en tælling, gemmes på samme måde, med botten som udlåner. Posten slettes, når rollen tages tilbage, når medlemmet bliver bandlyst, og — medmindre serveren har valgt at beholde tiden til deres tilbagekomst — når de forlader serveren.

Tælling, hvis en server opsætter en kanal. For hver tællekanal gemmer botten, hvilket tal den står på, hvem der tællede sidst, hvilke regler kanalen følger og, for hvert medlem, der har talt der, hvor mange korrekte tal de gav, og hvor mange gange de brød tællingen — id’er og tal, aldrig hvad nogen skrev. Beskeder i en tællekanal læses, efterhånden som de kommer, for at bedømme dem, og gemmes ikke. Det hele slettes sammen med kanalen, når tællingen stoppes der, eller sammen med resten af serverens data tredive dage efter, at botten er fjernet.

Modmail, kun hvis en server slår det til. Når et medlem sender botten en direkte besked, læser botten den og giver den videre til personalet på den valgte server i en privat kanal, serveren har valgt — alle, der kan se kanalen, kan læse den, og det kan dem, der ser serverens logkanal, hvis transskriptioner postes der. Personalets svar sendes til medlemmets DM; et anonymt svar skjuler afsenderen for medlemmet, ikke for det øvrige personale. Botten gemmer ingen beskedtekst: kun id’er, antal og tidspunkter, hvilken DM-besked der svarer til hvilken besked i kanalen (slettes tredive dage efter at tråden lukkes), de begrundelser personalet skrev for en lukning eller blokering og de gemte svar. Posten for en lukket tråd slettes efter det antal dage, serveren har sat, halvfems som standard. Selve samtalen og enhver transskriptionsfil bliver i den servers Discord under dens egne regler. Et medlem afslutter en samtale med Close this conversation under botens første svar, forhindrer en server i at starte en med Stop messages from this server eller skriver blot ikke til botten. Ingen tredjepart modtager noget af det.

Skabelonbutikken. Hvis du bedømmer en skabelon, gemmer botten dit konto-id, stjernerne og tidspunktet. Hvis du kommenterer, gemmer den dit konto-id, det visningsnavn du havde dengang, teksten og tidspunktet; du kan selv slette din kommentar, og ejeren kan fjerne den. En anmeldelse gemmer dit konto-id og den begrundelse, du skrev. For at kun folk, der har brugt en skabelon, kan bedømme den, gemmer botten, hvilken skabelon du anvendte, på hvilket server-id og hvornår, så længe skabelonen findes. Ejeren læser hver indsendt skabelon, før den bliver vist, og en kommentar, der venter på gennemgang, før den vises; en kommentar, ingen har taget stilling til, slettes efter 30 dage. For at begrænse, hvor ofte én konto eller én adresse kan kommentere, anmelde eller bedømme, gemmer botten en nøglet hash af adressen — aldrig selve adressen — sammen med konto-id og tidspunktet, slettet efter 30 dage. En skabelon, du stadig skriver på, gemmes forseglet (krypteret) i 7 dage. Hvis du vil have alt, butikken har om din konto, fjernet, så spørg i supportserveren, og ejeren udfører fjernelsen. Teksten i en kommentar — og kun teksten, uden konto, navn eller skabelon — sendes til OpenAI’s modereringsendepunkt, før kommentaren bliver slået op, på de vilkår der er beskrevet under OpenAI ovenfor; en kommentar, det markerer, eller som det ikke svarer på i tide, bliver tilbageholdt til ejeren i stedet for at blive slået op. Hvor botten ikke har nogen OpenAI-nøgle, springes det trin over, og de øvrige kontroller står alene.

Hvad der aldrig gemmes

Beskedindhold. Intet i databasen bevarer, hvad folk siger i dine kanaler, og der er ingen undtagelse fra det — ikke en eneste kolonne i databasen rummer en besked, nogen har sendt. Denne side plejede at nævne ticketudskrifter som en undtagelse, og det er de ikke: en udskrift bygges ud fra den historik, Discord selv holder, i det øjeblik en moderator beder om den, og lægges tilbage i din server som en fil. Intet af den gemmes her. Tekst, som nogen bevidst indsender til botten — en klage over en bandlysning, en ansøgning, formularen når en ticket åbnes, kommentaren der følger med en vurdering — gemmes, fordi en anmeldelse, der ikke kan læses, ikke er en anmeldelse; den er krypteret, og afsnittet nedenfor siger præcist, hvilke felter. Det samme gælder den begrundelse, et medlem giver med /afk, indtil de vender tilbage — ikke krypteret, fordi den ikke er skrevet i fortrolighed: den vises for enhver, der nævner dem.

To ting opbevares uden for databasen, og begge er værd at være præcis om. Den første er snipe: /snipe viser den sidste besked, der blev slettet eller redigeret i en kanal, så den skal opbevare én: fem pr. kanal, højst to timer, i hukommelsen. Intet skrives ned, en genstart glemmer det hele, og det forlader aldrig processen. Enhver, der kan læse kanalen, kan bede om den — det er det, kommandoen er til — og botten tjekker den adgang i det øjeblik, den svarer, frem for da beskeden blev fjernet. Den viser ikke en besked, botten selv slettede, eller noget ryddet i bulk, fordi snipe ikke må blive en måde at læse moderation tilbage på. En server, der vil have det snævrere, begrænser det til moderatorer eller udelukker kanaler helt med /logs snipe; en moderator, der lige har fjernet noget, rydder det med det samme med /snipe clear.

Den anden er beskyttelsernes tællere. Anti-nuke, anti-raid, anti-spam og de andre afgør ved at tælle — hvor mange kanaler én moderator slettede det sidste minut, hvor mange konti der kom til inden for de sidste tredive sekunder — og de tal kopieres til en Redis-cache på samme maskine med få sekunders mellemrum, så en genstart af botten ikke giver nogen midt i et angreb en ny kvote. Det, der kopieres, er id’erne — på serveren og på det medlem eller den kanal, det drejer sig om — og tidspunkterne, hvor ting skete, aldrig hvad nogen sagde: anti-spams hukommelse om nylige beskeder bliver i processen, og en genstart glemmer den. Hver kopi udløber af sig selv — inden for en time, de fleste inden for minutter — cachen skriver aldrig til disk, og intet kan nå den andet end botten selv — hverken hjemmesiden eller internettet. Under en opdatering, når en ny kopi af botten overtager fra den gamle, passer id’erne på de beskeder og interaktioner, den gamle kopi besvarede i sine sidste sekunder, gennem den samme cache, i højst tredive sekunder, så intet besvares to gange. Én ting i den cache holder længere end en time: hvilke nye medlemmer der stadig venter ved en port — Discords regelskærm, verificering, en karantæne — på de roller, serveren giver ved tilmelding, gemt som serverens id, medlemmets id og tidspunktet, hvor ventetiden udløber, i højst et døgn, så en opdatering ikke glemmer at give dem.

IP-adresser. Botten ser aldrig nogen — Discord afslører ikke et medlems adresse for en bot, og intet her omgår det. Det eneste sted, en adresse nogensinde læses, er hjemmesidens forbindelsestjek, som beskrives herefter, og den læses én gang og gemmes ikke: ikke lagret, ikke logget, ikke hashet. En stjålet database indeholder ingen adresser og intet afledt af en.

Talebeskeder, hvis nogen beder om at få dem skrevet ud. /transcribe henter talebeskeden og gør den til tekst på botens egen server med en talemodel, der kører dér. Lyden går ikke til noget andet firma eller nogen anden tjeneste; den holdes kun, mens der lyttes til den, og slettes, så snart det er gjort. Ordene postes i den kanal, hvor kommandoen blev brugt, og gemmes ingen andre steder — der føres ingen optegnelse over, hvad der blev sagt. For at ingen kan binde maskinen op, tæller botten i hukommelsen, hvor mange hver person og hver server har bedt om de seneste ti minutter; tallene glemmes bagefter, og en genstart glemmer dem med det samme.

De fem tredjeparter, og hvad hver af dem får

I det meste af sin levetid kunne dette site sige, at ingen tredjepart nogensinde så dine medlemmer. Det holdt op med at være sandt, da verificeringsmodulet fik Afvis VPN’er og proxyer, fordi om en adresse tilhører en VPN er en kendsgerning, kun en omdømmetjeneste har. Hver af de fem nedenfor er slået fra, medmindre en server slår den til, og når den er slået til, er det følgende hele det, der sker.

proxycheck.io. Et medlem, som indstillingen gælder for, får et enkeltbrugslink til en side på dette site. Når de trykker på knappen på den, sendes den tilsluttede adresse én gang til proxycheck.io med spørgsmålet “er dette en VPN, proxy eller et hostingområde” og intet andet — intet brugernavn, ingen server, intet konto-id. Svaret læses for det ene bit og droppes. Botten, som ved, hvem medlemmet er, modtager aldrig adressen; hjemmesiden, som så adressen, får aldrig at vide, hvem medlemmet er. Det, der er tilbage bagefter, er et tidsstempel på medlemmets verificeringspost, der siger, at forbindelsen var ren, og en afvisning efterlader slet intet.

Cloudflare Turnstile. Som valg rummer den samme side Cloudflares Turnstile-widget, så et script ikke kan trykke på knappen. Widgettens script er det eneste, dette site nogensinde indlæser fra et andet oprindelsessted, kun på den side, og denne sides Content-Security-Policy forbyder det stadig alle andre steder. Dens svar tjekkes hos Cloudflare uden adressen vedhæftet. Turnstile erstatter ikke CAPTCHA’en inde i Discord, som stadig tegnes i processen.

OpenAI. Det er den største af de tre og den, der får det, folk sender, så det er værd at være præcis. En server kan slå AI-billedscanning til, som lader en model afgøre, om et billede er seksuelt, blodigt, voldeligt eller viser selvskade. Ingen nøgleordsliste kan læse et billede, og der findes ingen version af det, som kører på vores egne maskiner, hvilket er den eneste grund til, at den overhovedet er her.

Når en server har slået den til, sendes hvert billede, der sendes i en scannet kanal, til OpenAI’s moderationsendepunkt som linket til det billede på Discords egne servere og intet andet — ingen tekst nogen skrev, intet brugernavn, intet konto-id, intet servernavn, intet kanalnavn. Det dækker uploads og, hvis serveren lader det stå slået til, det billede, Discord viser under et link. Svaret kommer tilbage som en score pr. kategori, det læses for at afgøre, om billedet bryder den servers regler, og det droppes. Intet fra det skrives ned her, og selve billedet gemmes aldrig i vores database.

Hvad OpenAI gør med det, i deres ord frem for vores. Deres dokumentation oplyser, at data sendt til API’et “is not used to train or improve OpenAI models”, medmindre du udtrykkeligt melder dig til, og det har vi ikke gjort. Den oplyser også, at logfiler til overvågning af misbrug “may contain certain customer content, such as prompts and responses” og som standard “retained for up to 30 days”. Så den ærlige version er ikke, at billedet forsvinder i det øjeblik, det er scannet: vi beholder intet af det, og OpenAI kan holde det i op til tredive dage for at holde opsyn med deres egen tjeneste. En server, der ikke er villig til, at det sker, bør lade dette modul være slået fra, hvilket er, hvordan det leveres.

Det er slået fra, indtil en administrator slår modulet til. En server kan undtage roller, springe hele kanaler over eller kun scanne nogle, kun scanne nyere medlemmer og springe sine egne moderatorer over, og modulets beskrivelse siger klart, at det at slå det til er det, der sender billeder ud af serveren. Slå modulet fra, og der sendes intet mere.

To ærlige begrænsninger. Det er godt til generelle skader, og det ved ikke, hvordan en trussel mod din server ser ud — en raid, der organiseres, en svindel, en reklame — fordi det ikke er kategorier, modellen har, og den læser slet ikke tekst. Og OpenAI’s egen dokumentation siger, at endepunktet ikke er designet til at opdage materiale med seksuelt misbrug af børn og ikke er en erstatning for dedikerede børnebeskyttelsesforanstaltninger; intet her påstår andet, og den indberetningsvej forbliver Discords.

Intet andet indlæses. Ingen analyse, ingen skrifttypetjeneste, intet script eller stilark fra nogens CDN: hver side bortset fra forbindelsestjekket henter intet fra et andet oprindelsessted, og det håndhæves af Content-Security-Policy frem for at være lovet. Cloudflare står foran sitet som dets netværk — det ser de forespørgsler, ethvert netværk foran et site ser, og det er derfor, sitet bliver oppe under en oversvømmelse — men det får intet om dine medlemmer, fordi siderne ikke bærer noget om dine medlemmer.

YouTube og Twitch. En server kan følge en YouTube-kanal eller en Twitch-streamer med /alerts, og botten spørger så tjenesten hvert par minutter, om der er noget nyt. Til YouTube sender den én forespørgsel om kanalens offentlige RSS-feed, som kun nævner kanalens offentlige id. Til Twitch sender den streamerens offentlige loginnavn — sammen med andre, op til hundrede pr. forespørgsel — signeret med denne bots egen Twitch-applikation, aldrig et medlems konto. Intet medlem, intet servernavn og intet kanalnavn sendes til nogen af dem, og ingen af dem får at vide, hvilken server der følger hvem. Svaret læses for den nyeste video eller den aktive streams id, titel og spil og kasseres. Det, der gemmes, er den kanal eller det login, serveren valgte at følge, hvor der skal postes, og id’et på det sidste, der blev annonceret, så intet annonceres to gange. Begge er slået fra, indtil en server tilføjer en følge, og fjernes den, stopper forespørgslerne.

En sponsoreret linje

De, der driver denne bot, kan angive ét sponsoreret link: en kort linje mærket Sponsoreret, hvis tekst og destination de vælger, og som betales af den, linket peger på. Den vises i sidefoden på dette websted og nu og da under et af bottens svar i en server uden premium: højst én gang hver 45 minutter i den samme server, først efter mindst 6 andre svar der, og aldrig under en moderationshandling, en advarsel, et privat svar eller en besked med knapper. Premium-servere ser den aldrig i Discord. Webstedet kan ikke vide, hvem der læser det, så sidefoden viser den til alle besøgende.

Det er et link og intet andet. Intet hentes fra sponsoren, og intet sendes til den. For at holde reglen ovenfor har botten i hukommelsen — aldrig i databasen — hvornår hver server sidst så linjen, og hvor mange svar der er gået ud dér siden, samt en løbende optælling af hvor ofte den er vist; ingen person registreres, og sponsoren ser intet af det. Botten registrerer ingen klik og laver ingen omdirigering, og linket bærer ingen referrer fra dette websted. Klikker du på det, går du videre til deres websted, hvor deres egne vilkår gælder. Sponsorens tekst vises, som den blev skrevet, og oversættes ikke. Når ingen sponsor er angivet, findes linjen ingen steder.

Intet af det gemmes længe. En servers optegnelse glemmes 24 timer efter dens seneste svar. Der holdes højst 20.000 servere ad gangen; når grænsen nås, droppes den, der har været stille længst. Det hele, også den løbende optælling, forsvinder, hver gang botten genstarter.

Premiumtokens og din konto

Premium pr. konto er én række: dit Discord-id, om det er månedligt eller for livet, hvornår det udløber, hvor det kom fra, og hvor mange ekstra serverskift du har købt. En token gemmes kun som en nøglehash af sig selv, så databasen indeholder intet, der kan blive til en token igen; tokenen findes i svaret til ejeren, når den laves, og ingen steder bagefter.

Hvert forsøg på at indløse en token registreres — dit id, om det kom fra dette websted eller fra Discord, hvordan det gik, og en nøglehash af den adresse, webstedet beviste for anmodningen, aldrig adressen. Den registrering er det, der låser en konto og en adresse efter en håndfuld forkerte tokens, og det, der lader dem, der driver botten, se én adresse bag mange konti. Den slettes efter 90 dage.

Hver server noterer, hvilken konto der tilføjede sick, og det er det, der gør serveren premium, når den konto er det. De servere, du tilføjer sick til, noteres også på din konto — serverens id og tidspunktet — så dine skift kan tælles. Den liste beholdes, og en server bliver på den, efter at sick har forladt den, fordi et brugt skift er brugt.

E-mail på dette domæne

Siden har også en lille mailtjeneste til dem, der driver den: ejerens egen adresse og adresserne til de konti, ejeren har tilladt at bruge den, hver åbnet fra mailsiden efter login her. Post til en af disse adresser kommer ind via Cloudflare Email Routing og en Cloudflare Email Worker, som afleverer den til denne side; når siden ikke kan nås, beholder Workeren beskeden i Cloudflare Workers KV i op til syv dage og prøver igen. Post sendt fra en af disse adresser forlader os via Cloudflare Email Sending. Det er de fire Cloudflare-tjenester, der er involveret, og ingen anden part ser posten.

Post er forseglet i hvile. Når en besked kommer ind, fortolker denne side den og forsegler den til en offentlig nøgle, der tilhører postkassen — AES-256-GCM under en engangsnøgle til netop den besked, som selv er forseglet til postkassens offentlige X25519-nøgle — og først derefter afleverer den den til botten, hvis database gemmer den forseglede besked: dens emne, afsender, modtagere, tekst, HTML, vedhæftninger og deres navne samt de oprindelige bytes, som gemmes i syv dage, så en besked, en fortolker har læst forkert, kan downloades hel. Den private nøgle, der åbner den, er pakket ind under en nøgle lavet af din mailadgangskode (scrypt) og, hvis du laver en, under en engangsgendannelsesnøgle; botten har aldrig den private nøgle og gemmer kun et envejs-hash af din adgangskode. Det er nul adgang i hvile, ikke nul viden: denne side læser din post i hukommelsen, mens den fortolker en indkommende besked, og mens din postkasse er låst op, så enhver, der kan ændre den kode, siden kører, kunne læse den, men ejeren kan ikke læse den i databasen. Din oplåste nøgle findes kun i sidens hukommelse, i højst et døgn, og en genstart låser alle postkasser, indtil du skriver din adgangskode igen. Eksterne billeder i en besked hentes aldrig af siden: de indlæses i din browser kun, når du beder om det, og en billedindlæsning fortæller afsenderen, hvornår du åbnede beskeden, og hvorfra.

Når du logger ind på denne side med Discord, registreres dit Discord-id, brugernavn og avatarhash med tidspunktet, så ejeren kan se, hvem der har logget ind, før en adresse gives ud. Papirkurv og Spam sletter deres indhold tredive dage efter, at en besked kom derind; en tilbagekaldt postkasse slettes fjorten dage efter tilbagekaldelsen. Hvis du beder ejeren om adgang, gemmes anmodningen — samme id, navn og avatar-hash samt tidspunktet — indtil ejeren besvarer den, eller der er gået tredive dage, og ejeren får besked i en direkte besked fra botten på Discord. Intet andet om e-mail deles med Discord.

Afsendelse tælles pr. modtager ud fra de udbakkerækker, der allerede gemmes for at sende mailen, så der indsamles intet nyt til det. En postkasse, hvis mail bliver ved med at komme retur, får sin afsendelse sat på pause, indtil ejeren har set på den. Mail sendt til postmaster@ eller abuse@ på disse domæner når frem til ejeren.

Nogle ting efterlades i klartekst, fordi tjenesten skal kunne læse dem uden din nøgle: hvilken mappe og fane en besked ligger i, dens markeringer (læst, stjernemarkeret, vigtig, udsat), hvornår den kom, dens størrelse, hvilken samtale den hører til, hvor mange vedhæftninger den har, deres filtyper og id’er på indlejrede billeder, hvilken af dine adresser den kom til, et plus-tag, du brugte, resultaterne af afsenderkontrollerne, og nøglede digests af dens identifikatorer (Message-ID, References) og af dens afsender. De regler, du sætter for afsendere — en adresse eller et domæne, du har arkiveret, blokeret eller tilladt billeder for — er også i klartekst. Mens en besked kommer ind, læser botten dens afsender, modtagere, emne, headere og vedhæftningsnavne i hukommelsen for at lægge den i en fane og anvende misbrugsreglerne, og skriver intet af det ned i klartekst. Postkasser, hvis indehaver endnu ikke har logget ind med en adgangskode, siden forseglingen begyndte, beholder deres ældre post, som den var, læsbar for tjenesten; ejeren får vist hvilke, og hver enkelt forsegles, så snart dens indehaver logger ind.

Søgning arbejder på nøglede digests, ikke på dine ord. Når din postkasse er låst op, får hver forseglet besked op til 512 digests (HMAC-SHA256) af de hele ord i den og af dens afsender og modtagere, lavet under en tilfældig søgenøgle, som kun findes indpakket under din adgangskode og din gendannelsesnøgle. Så en søgning kan finde hele ord og præcise adresser — ikke præfikser, ordformer eller vendinger — og en, der har en kopi af databasen, kan ikke afprøve et gættet ord mod dem. To omkostninger: post, der kommer, mens din postkasse er låst, kan ikke søges, før du næste gang låser op; og de nøglede digests af identifikatorer og afsendere, der efterlades i klartekst (ovenfor), laves under en hemmelighed, som siden har, og som databasen ikke har, så en, der har begge dele, kunne teste, om en gættet adresse eller Message-ID forekommer.

En besked, du sender med Fortryd eller på et senere tidspunkt, venter i udbakken i den form, afsenderen har brug for: fordi den skal kunne læses, når den går ud, gemmes den under botens egen servernøgle, indtil den er sendt, annulleret eller afvist for altid, og slettes derefter. Kopien i din mappe Sendt forbliver forseglet til dig. Post, du sender, forlader os over TLS som al anden post, gennem Cloudflare Email Sending, og post til dig kommer ind gennem Cloudflare Email Routing: Cloudflare ser beskeden undervejs, før denne side forsegler den, og når den forlader os.

Beskeder, du sender, bærer intet Discord-id, ingen konto-id og ingen adresse på din browser: et tilfældigt Message-ID på afsenderdomænet, ingen X-Mailer-, User-Agent- eller X-Originating-IP-header og en From-linje, der kun viser den adresse, du valgte, med et visningsnavn kun hvis du har sat et. Et alias er en ekstra adresse, der leverer til din postkasse, og som du kan slå fra, sætte til at udløbe eller lade svare én gang. Det er ikke anonymitet over for dem, der driver tjenesten, over for Cloudflare eller over for den, du skriver til: de ser den adresse, du skrev fra, tidspunktet og hvad beskeden siger.

Hvis du mister både din adgangskode og din gendannelsesnøgle, kan din post ikke åbnes, og ingen kan gendanne den for dig, heller ikke ejeren. Når ejeren nulstiller en indehavers mailadgangskode, slettes den nøgle, den åbnede, også: posten forseglet under den kan aldrig læses igen og slettes tredive dage senere.

Musik og sangtekster

Når en server slår musikafspilleren til, afspiller botten lyd i en stemmekanal via en Lavalink-node, der kører ved siden af den på samme maskine. Noden henter kun lyd fra det websted, et medlem har bedt om, og intet andet: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), et direkte https-link, som et medlem har indsat, og — kun hvis ejeren har slået det til — YouTube (youtube.com, youtu.be, music.youtube.com). Et Spotify-link (open.spotify.com, spotify.link) eller et Apple Music-link (music.apple.com) slås op på det pågældende websted for at finde sangens navn, og det fundne match afspilles fra SoundCloud; der kommer ingen lyd fra nogen af dem. Hvert af disse websteder ser den forespørgsel, noden sender for sangen, som enhver browser ville gøre, når den åbner siden, og intet om serveren eller medlemmet, der bad om den.

Det gemmer botten til afspilleren: stemme- og tekstkanalen, den er i, køen — hver sangs titel, kunstner, længde, kilde og nodens eget håndtag til den samt id på det medlem, der satte den i kø — og de sidste tyve afspillede sange, som forsvinder, når afspilleren stopper, eller botten forlader serveren. En playliste, et medlem gemmer, tilhører medlemmet og opbevares under medlemmets id, indtil det sletter den. Sangtekster kommer fra LRCLIB (lrclib.net), en åben database uden konto: den får kunstneren, titlen og længden på den sang, der spilles, og intet andet, og svaret vises og gemmes ikke.

Din kontos sikkerhed

Din postkasse åbnes med din egen adgangskode, sat i selve mailklienten og holdt adskilt fra Discord. Denne side ser den kun, mens du skriver den, for at pakke din postkasses nøgle ud, og beholder den ikke; botten, som modtager den for at tjekke den, gemmer kun et envejs scrypt-hash af den — en værdi intet kan føre tilbage til adgangskoden, ikke engang os — og tjekker det, du skriver, op imod den. Selve adgangskoden er i ingen log, ingen databasekolonne og ingen cookie.

Et andet trin er valgfrit og dit at tilføje. En godkendelsesapps hemmelighed og adressen en kode sendes til gemmes krypteret med AES-256-GCM, med samme bot-kun-nøgle som den fortrolige tekst ovenfor; en adgangsnøgle gemmes alene som sin offentlige nøgle, der kan bekræfte et login men aldrig skabe et; gendannelseskoder gemmes kun som nøglede hash, som premium-tokens. En sendt kode går ud gennem Cloudflare Email Sending fra en adresse på et af vores domæner. Ingen metode til andet trin deles med nogen.

At stole på en browser i tredive dage gemmer et tilfældigt token i en cookie og på bottens side kun et nøglet hash af det token — aldrig selve tokenet — så listen over dine betroede browsere indeholder intet der identificerer browseren over for andre. Ved siden af panelets tre login-cookies sætter postkassen nogle få af sine egne mens den er åben: den der holder den oplåst en dag, den der holder et login eller en adgangskode mens dens andet trin besvares, den der lever ti minutter og markerer den browser der startede et mail-login, så det ikke kan afsluttes fra en anden, og tokenet for den betroede browser. En mailsession slutter seks timer efter den er åbnet, eller før hvis du logger ud af sitet på en delt vært. Hver forkert adgangskode eller kode tælles mod din konto og mod den adresse sitet beviste — dit id og et nøglet hash af den adresse, aldrig adressen selv — hvilket låser kontoen efter en håndfuld forsøg inden for et kvarter; de registreringer slettes inden for et døgn.

Lytning — kun hvis du forbinder noget

Hvad der gemmes. /fm gemmer intet om en person, før vedkommende forbinder en kilde. Hvis du forbinder Last.fm eller ListenBrainz, gemmer vi dit brugernavn dér. Hvis du også slår scrobbling ud til, gemmer vi nøglen, der lader botten sende afspilninger for dig, krypteret, kun mens det er slået til — slår du det fra eller fjerner forbindelsen, slettes den. Hvis du bruger Discords Spotify-status, læser botten Spotify-sangen i din status, på servere den deler med dig, kun efter du har sagt ja, og registrerer en afspilning, når du har hørt omkring halvdelen af den. Intet andet i din tilstedeværelse læses.

Hvad der opbevares, og hvem der ser det. De afspilninger, botten selv hørte — fra din Spotify-status eller dens egen musikafspiller — opbevares i et år. Dine mest hørte kunstnere, albums, numre og genrer, op til tusind af hver, kopieres fra din tjeneste hver få timer, så en server kan vise, hvem der lytter til hvad. Venner, nogle få visningsindstillinger og de servere, du valgte at skjule dig på, gemmes også. Afspilninger og lister vises kun for folk på servere, du selv er på; dit Last.fm- eller ListenBrainz-brugernavn vises i en global who-knows kun hvis du slog det til, og det er slået fra, indtil du gør det. /fm account viser alt det og sletter alt på én gang, og det gør fjernelse af din sidste kilde også.

Last.fm og ListenBrainz. Når nogen bruger /fm, spørger botten Last.fm (ws.audioscrobbler.com) eller ListenBrainz (api.listenbrainz.org) om den forbundne persons offentlige lyttedata, med brugernavnet og intet andet om vedkommende. Kun hvis scrobbling ud er slået til, sender botten også de afspilninger, den hørte for den person, til tjenesten, signeret med personens nøgle. Albumcovers hentes fra Last.fms billedservere af botten, aldrig af din enhed. Hver tjeneste har sin egen privatlivspolitik, og det, den har om din lytning, var allerede dit hos den.

Tilknytning af Last.fm sker på Last.fms egen side: botten beder Last.fm om et engangstoken og giver dig adressen, hvor du godkender det, og finder derefter ud af, at du har gjort det, ved at spørge Last.fm. Tokenet findes kun i botens hukommelse, indtil det bruges, eller der er gået en time, og det gemmes eller logges aldrig. Skriver du blot dit Last.fm-brugernavn, tilknyttes uden nogen godkendelse, og Last.fm får det navn og intet andet. Tilknytning af Discords Spotify-status kræver botens Presence intent; indtil den er slået til, tilbydes kun de to andre.

Import af historik. Hvis du giver /fm import en fil fra Spotify eller Apple Music, læser botten den én gang og gemmer kun tidspunkt, kunstner, nummer og album for hver afspilning. Selve filen ligger i en midlertidig fil, mens importen kører i nogle minutter, og slettes lige efter; intet sendes til nogen. Importerede afspilninger gemmes, indtil du fjerner dem (/fm account har en knap) eller sletter alt, og vises som alle andre afspilninger: kun for folk på servere, du selv er på.

Kronehistorik. Når en servers kroner eller en hvem-kender-liste læses, noterer botten, hvem der har hver kunstners krone, og når den skifter hænder, hvem der tog den fra hvem og hvornår — i op til et år. Sletter du dine lyttedata, fjernes de kroner, du havde, og det glemmes, hvem du tog en fra.

Kryptering

Fri tekst, som folk skriver i fortrolighed, krypteres med AES-256-GCM, før den gemmes, og dekrypteres kun, idet den vises for det personale, den blev skrevet til. Det er fem ting: klager over bandlysninger, svar på personaleansøgninger, de svar, der gives, når en ticket åbnes, den kommentar, der følger med en ticketvurdering, og det år, nogen angiver sammen med deres fødselsdag. Nøglen udledes af en hemmelighed, som kun findes i bottens eget miljø — hjemmesiden kører som en separat tjeneste, der ikke har den og ikke kunne bruge den — så en kopi af databasen alene giver kun chiffertekst.

Der stod tre indtil 19. september 2026, og den fjerde var grunden: kommentaren, der følger med en ticketvurdering — “moderatoren, der lukkede denne, var kort for hovedet over for mig” er den slags, der skrives i den — blev gemt som almindelig tekst fra den dag, funktionen blev leveret. Den lå to erklæringer under de ticketsvar, der var krypteret, i den samme fil, og intet holdt de to op mod hinanden. Den er krypteret nu, alt, der allerede var gemt, blev konverteret, og et tjek i byggeprocessen afviser ethvert nyt felt af den form, indtil nogen har skrevet ned, hvilken af de to det er.

Halvfærdige ansøgninger. En lang ansøgningsformular stilles side for side. Svarene på de sider, der allerede er sendt, gemmes krypteret på samme måde, indtil den sidste side sendes — så bliver de til ansøgningen — eller i en time, alt efter hvad der sker først, og ansøgeren kan kassere dem når som helst. Intet gemmes for en, der aldrig begynder.

Hvad der ikke er krypteret, sagt klart: det spørgsmål, et personalemedlem skrev ved siden af hvert svar, begrundelser skrevet af moderatorer på en moderationspost, den begrundelse et medlem giver for at være AFK — som botten viser for enhver, der nævner dem — og din servers indstillinger. Intet af det er nogens private ord om dem selv, og at kryptere det ville koste dine moderatorer muligheden for at søge i deres egne poster.

Sletning

Fjern botten fra din server, og alt, der opbevares for den server, slettes tredive dage senere, automatisk, uden at nogen anmodning er nødvendig.

Forsinkelsen er pointen, ikke fidusen. Langt den almindeligste grund til, at en server fjerner botten, er at tilføje den lige igen med andre rettigheder, og en sletning, der udløstes i samme øjeblik, den forlod serveren, ville tage hver indstilling, hver advarsel og hver moderationspost med sig. Inviter den igen inden for vinduet, og din server er præcis, som du forlod den; lad vinduet gå, og der er intet at vende tilbage til. Intet nyt registreres, mens botten er væk — den kan ikke se serveren — og uret starter forfra fra den seneste afgang, så at forlade den to gange forkorter det ikke.

Hvis tredive dage er for længe, kan en serverejer eller administrator få det gjort med det samme: spørg i supportserveren. Det sker efter anmodning frem for efter en tidsplan.

Login til panelet

Dette site er sykbot.com, og dokumentationen findes på sickenn.info. Login sker på sicken.me og ingen andre steder, og cookies nedenfor hører kun til den adresse — en browser sender dem aldrig til nogen anden adresse. En side andre steder, der beder dig logge ind med Discord til sick, er ikke dette site. Mail læses og skrives på mail.sicken.me. Den har intet eget login: den sender dig til sicken.me for at logge ind og fører dig tilbage, og dens cookies hører kun til den.

Hjemmesiden har ingen database, så et login opbevares i én cookie i din browser. Login beder Discord om to scopes, identify og guilds — dit navn og listen over servere, du er på, intet andet — og cookien rummer det, der kommer tilbage: dit Discord-id, brugernavn og id’et på dit profilbillede samt adgangs- og opdateringstokens til de to scopes. Den er krypteret og autentificeret med AES-256-GCM under en nøgle, kun hjemmesiden har, så den ikke kan læses eller ændres i din browser, og intet om den er skrevet ned på serveren. Den husker også op til fire servere, du har åbnet for nylig, så de kommer først på listen.

Dit profilbillede og dine serveres ikoner hentes af dette site fra Discord og gives videre til din browser, så din browser aldrig kontakter Discords billedservere, og de aldrig ser din adresse. Dette site beholder ingen af dem: hvert hentes, når en side beder om det, og din browser og netværket foran dette site kan holde en kopi i op til en uge, under en adresse, der ændres, hver gang billedet gør.

Mens en funktions indstillingsside er åben og på skærmen, spørger den dette site — aldrig nogen anden — efter din servers kanal- og rolleliste igen en gang i minuttet, så en kanal, der blev lavet for et øjeblik siden, er der at vælge uden at genindlæse. Den forespørgsel bærer den samme cookie og besvares kun over for en, der kunne åbne siden; det er det ene, nogen side her henter, efter den er indlæst, og Content-Security-Policy tillader det kun på de sider.

Det varer tredive dage fra det tidspunkt, du logger ind, hvilket er det, der lader nogen komme tilbage uden at forbinde Discord igen; derefter sendes browseren gennem Discord uden samtykkeskærmen, for en app, du allerede har godkendt. En måned er kun sikker, fordi Discord forbliver ansvarlig for den: med få minutters mellemrum spørger sitet Discord, om loginnet stadig gælder, udlogning tilbagekalder tokens hos Discord — så en kopi af cookien holder også op med at virke — og at fjerne sick under Autoriserede apps i Discords egne indstillinger afslutter det fra din side, på alle enheder på én gang.

En anden cookie rummer kun cifferet 1 og findes kun, efter du logger ud. Den registrerer, at du gjorde det, så næste login viser Discords samtykkeskærm — med Discords egen “Ikke dig?” på, hvilket er, hvordan man skifter konto — i stedet for at springe den over. At logge ind igen fjerner den. En tredje lever i ti minutter, mens et login er undervejs, og rummer en tilfældig værdi, der beviser, at svaret, som kommer tilbage fra Discord, hører til det login, denne browser startede. Disse tre er de eneste cookies, dette site sætter. Cloudflare, som står foran det, kan sætte sin egen kortlivede __cf_bm-cookie for at skelne browsere fra bots; den er Cloudflares, og intet her læser den.

Hvem der kan se hvad

Konfigurationen er synlig for folk, der kan ændre den — som standard betyder det Administrer server og mere for de få funktioner, der kræver Administrator. Moderationsposter er synlige for dine moderatorer. Ingen, der driver botten, læser din servers data som en selvfølge, og der findes ingen grænseflade, som ville gøre det bekvemt.