निजता

निजता नीति

अंतिम बदलाव: 19 अक्टूबर 2026।

क्या संग्रहित होता है

बॉट के कमांड से आपके द्वारा तय की गई सर्वर की कॉन्फ़िगरेशन: चैनल और भूमिका की ID, सीमाएँ, स्विच, और सेटिंग में आपका टाइप किया हुआ पाठ — कमांड प्रीफ़िक्स, प्रतिबंधित शब्दों की सूची, सत्यापन पैनल का पाठ, निर्धारित चैनल सफ़ाई को चालू करने वाला वाक्यांश, और फ़िल्टर से छूट पाने वाले उपयोगकर्ताओं की ID। मॉडरेशन रिकॉर्ड: केस नंबर, किसने कार्रवाई की, किस पर की, आपका लिखा कारण, और कब। जहाँ किसी फ़ीचर को ज़रूरत हो, वहाँ उसके बनाए संदेशों या चैनलों की ID, ताकि वह बाद में उन्हें सँभाल सके।

कॉन्फ़िगरेशन का पाठ जैसा आपने लिखा वैसा ही संग्रहित होता है, और यह जान-बूझकर है: आपके मॉडरेटरों को पढ़कर देख पाना होता है कि सर्वर को क्या करने के लिए सेट किया गया है। यह किसी के अपने बारे में निजी शब्द नहीं हैं — यह आपके सर्वर के नियम हैं, जिन्हें सर्वर चलाने वाले ने लिखा है।

गतिविधि की गिनती, बॉट जुड़ने के क्षण से। हर सदस्य ने कितने संदेश भेजे, कितने मिनट वॉइस में बिताए, हर चैनल कितना व्यस्त है, सर्वर का घंटावार कुल योग, और कौन शामिल हुआ या गया और किस इनवाइट से आया, इसका रिकॉर्ड। अगर वेबहुक रिले चालू है, तो उसने किसी सदस्य के रोके गए संदेश कितनी बार वापस पोस्ट किए और आख़िरी बार कब। ये गिनतियाँ और समय-चिह्न हैं और कुछ नहीं: कहीं भी ऐसी कोई पंक्ति नहीं है जो बताए कि किसी ने क्या कहा, या किस चैनल में, या किस क्षण पर। दिन-वार ब्योरा, जिससे लीडरबोर्ड जोड़े जाते हैं, 120 दिन बाद मिटा दिया जाता है, और शामिल होने व जाने का इतिहास 400 दिन बाद।

गिनती बॉट के आते ही चालू हो जाती है, बाक़ी ज़्यादातर चीज़ों के विपरीत, क्योंकि जो इतिहास तब शुरू होता है जब किसी को सेटिंग ढूँढने की याद आए, उस पर कोई भरोसा नहीं कर सकता, और जो महीना गिना न गया उसे वापस नहीं पाया जा सकता। इसे बंद करने में एक पंक्ति लगती है — /logs activity के साथ off — गिनती तुरंत रुक जाती है, और /stats वह सब दिखाता रहता है जो आपके बंद करने से पहले दर्ज हुआ था।

बॉट के जुड़ने पर यही अकेली चीज़ चालू नहीं होती, और यह पृष्ठ पहले ऐसा कहता था। टेक्स्ट कमांड, मॉडरेशन लॉग, दंड की सीढ़ी, गिवअवे, snipe, AFK और बॉट की भाषा सेटिंग भी चालू शुरू होते हैं; मार्गदर्शिका पृष्ठ इन्हें बाक़ी हर मॉड्यूल के साथ सूचीबद्ध करता है और बताता है कि कौन सा कौन सा है। इनमें से snipe और AFK किसी सदस्य के बारे में कुछ रखते हैं: snipe डेटाबेस में नहीं बल्कि मेमोरी में, और AFK तभी जब सदस्य स्वयं उसे सेट करे — नीचे का अनुच्छेद ठीक-ठीक बताता है कि क्या और कितनी देर तक।

AFK, केवल तभी जब कोई सदस्य उसे सेट करे। कि वे दूर हैं, उनका लिखा कारण, वे कब गए, वह उपनाम जिसे बॉट ने बदला ताकि उसे वापस रख सके, और उन संदेशों के लिंक जिनमें उनके दूर रहते उनका उल्लेख हुआ, अधिकतम दस तक — कौन सा संदेश, किस चैनल में, किसने, और कब, संदेश का पाठ कभी नहीं। यह सब उनके अगली बार बोलते ही मिटा दिया जाता है, ऐसी जगह जो गिनी जाती है (सर्वर ऐसे चैनलों की सूची बना सकता है जो नहीं गिने जाते), या जब वे सर्वर छोड़ें, या /afk remove से — और जो भी हो, तीस दिन बाद। सर्वर उल्लेखों को रखना बंद कर सकता है।

खाता जब भीतर आया तब बॉट ने उसके बारे में क्या निष्कर्ष निकाला। अगर सदस्य स्क्रीनिंग चालू है, तो उसने जो स्कोर दिया, श्रेणी, जो संकेत सक्रिय हुए, बॉट ने अपने आप जो भी किया, और बाद में किसी मॉडरेटर ने क्या तय किया। इसे इसलिए रखा जाता है कि “मुझे क्यों किक किया गया” का ऐसा उत्तर हो जो पुनर्निर्माण न हो, और क्योंकि “क्या यह खाता पहले यहाँ आ-जा चुका है” एक ऐसा संकेत है जिसके लिए इतिहास का होना ज़रूरी है। 90 दिन बाद मिटा दिया जाता है — किसी के बारे में निर्णय उस मॉडरेशन कार्रवाई जैसा नहीं होता जिसकी ओर वह ले गया, और रिकॉर्ड केवल दूसरी चीज़ है।

लोग किसी फ़ीचर को क्या जमा करते हैं, और फ़ीचर ने उससे क्या बनाया। बैन अपील और उन पर स्टाफ़ का मत; स्टाफ़ आवेदन, उनके उत्तर और उन पर मत; टिकट, उनके उत्तर और बंद होने पर छोड़ी गई रेटिंग; गिवअवे की प्रविष्टियाँ; इवेंट के साइन-अप और उपस्थिति; गिल्ड रैंक, रोस्टर, स्टाफ़ नोट और योगदान के कारण; आपके सर्वर के बारे में किसी की लिखी समीक्षाएँ; साझेदारी आवेदन और उनका प्रस्ताव। उस सूची में जो चार फ़ील्ड विश्वास में लिखे गए शब्द हैं, वे एन्क्रिप्ट किए जाते हैं — नीचे का खंड उनके नाम ठीक-ठीक बताता है।

सर्वर बैकअप, अगर कोई लेता है। /backup save सर्वर का एक संरचनात्मक स्नैपशॉट रखता है ताकि उसे दोबारा बनाया जा सके: भूमिकाओं के नाम और अनुमतियाँ, चैनलों के नाम, विषय और ओवरराइड, श्रेणियाँ, इमोजी और स्टिकर का मेटाडेटा, और बैन सूची उन कारणों के साथ जो उस पर लिखे हैं। इसमें कोई संदेश नहीं होता। यह आपके सर्वर की अपनी संरचना है, वहीं रखी गई जहाँ आपने बॉट को रखने को कहा, और /backup delete किसी स्लॉट को पूरी तरह हटा देता है।

वे संदेश जो आपका स्टाफ़ /message से बनाता है। एक अधूरा ड्राफ़्ट (बिना छुए एक सप्ताह बाद हटा दिया जाता है), सहेजे गए टेम्पलेट, बाद के लिए निर्धारित पोस्ट, और हर पोस्ट का एक रिकॉर्ड ताकि उसे संपादित किया जा सके — बिना संपादन के 90 दिन बाद भुला दिया जाता है। यह वह पाठ है जो आपके स्टाफ़ ने बॉट के भेजने के लिए लिखा, साथ में यह कि किसने लिखा; किसी सदस्य का कहा हुआ कुछ नहीं।

आपके सर्वर के अभिवादन। स्वागत संदेश, विदाई संदेश और स्वागत DM जो आपके स्टाफ़ ने बनाए, स्वागत और विदाई कार्डों का पाठ, और एक बैकग्राउंड तस्वीर अगर किसी कार्ड के लिए अपलोड की गई हो — उस तस्वीर के रूप में संग्रहित जिसे बॉट ने अपलोड से दोबारा बनाया, इसलिए मूल फ़ाइल का पिक्सेल के सिवा कुछ नहीं रखा जाता। कार्ड बनाने के लिए, बॉट उसी क्षण Discord से शामिल होने या जाने वाले सदस्य की प्रोफ़ाइल तस्वीर लेता है और उसका कुछ नहीं रखता।

स्तर, यदि कोई सर्वर इन्हें चालू करता है। स्तर मॉड्यूल चालू होने पर बॉट प्रत्येक सदस्य के लिए एक संख्या रखता है — संदेशों और वॉइस में बिताए समय से कमाई गई XP — और यह कि वह आखिरी बार कब बदली, और कुछ नहीं: क्या कहा गया या कहाँ, इसका कोई रिकॉर्ड नहीं। उसी संख्या से स्तर और रैंक निकाले जाते हैं। यह तब तक रहती है जब तक बॉट सर्वर में है, किसी सदस्य के चले जाने के बाद भी, ताकि वह लौटे तो उसकी इनाम वाली भूमिकाएँ वापस मिल सकें; बॉट हटाए जाने के तीस दिन बाद यह सर्वर के बाकी डेटा के साथ मिटा दी जाती है। यदि सर्वर अपना सार्वजनिक लीडरबोर्ड चालू रहने देता है — यह डिफ़ॉल्ट रूप से चालू है, और एक स्विच इसे बंद कर देता है — तो सदस्य का सर्वर नाम, प्रोफ़ाइल तस्वीर, स्तर और XP इस साइट के एक सार्वजनिक पृष्ठ पर लिंक रखने वाले किसी को भी दिखाए जाते हैं। नाम और तस्वीर पृष्ठ बनाते समय Discord से ली जाती हैं और कभी डेटाबेस में नहीं लिखी जातीं; बना हुआ पृष्ठ एक मिनट से कम समय तक रखा जाता है, ताकि व्यस्त लीडरबोर्ड हर बार देखे जाने पर बॉट तक न पहुँचे।

रेड रीप्ले, केवल तब जब एंटी-रेड किसी रेड को पकड़े या स्टाफ किसी अवधि को चिह्नित करे। उस दौरान कौन-से अकाउंट कब जुड़े, हर अकाउंट कितना पुराना था, उसमें अवतार था या नहीं, यूज़रनेम से बनी सिर्फ़ अक्षरों की एक कुंजी जिससे मिलते-जुलते नामों का समूह पहचाना जाता है (यूज़रनेम खुद कभी नहीं), बॉट या मॉडरेटर ने हर एक के साथ क्या किया (किक, बैन, टाइमआउट), सर्वर लॉक हुआ या नहीं, और कितने संदेश हटाए गए। किसी संदेश का टेक्स्ट कभी नहीं। 30 दिन तक रखा जाता है, प्रति सर्वर अधिकतम 25 रेड, और बॉट के किसी सर्वर से जाने पर बाकी सब के साथ हटा दिया जाता है।

सुझाव, अगर सर्वर उन्हें चालू करे। एक सुझाव लिखा गया पाठ, भेजने वाला, कार्ड कहाँ लगा और — स्टाफ़ के जवाब के बाद — जवाब, किसने दिया और क्यों, यह सब रखता है। हर वोट एक पंक्ति है: कौन-सा सुझाव, कौन-सा सदस्य और किस ओर। गुमनाम सुझाव में भी भेजने वाला दर्ज रहता है, क्योंकि प्रति सदस्य सीमा और प्रतीक्षा उसी से गिनी जाती है; वह कहीं नहीं दिखाया जाता। बॉट हटाए जाने के तीस दिन बाद यह सब सर्वर के बाकी डेटा के साथ मिटा दिया जाता है। /suggest bot से भेजा गया सुझाव किसी सर्वर का नहीं, खुद बॉट का विषय है: वह आपके नाम, आपकी आईडी और भेजने वाले सर्वर के साथ सहायता सर्वर के एक चैनल में भेजा जाता है, और बिलकुल संग्रहीत नहीं होता।

जन्मदिन, अगर कोई सदस्य सेट करे। /birthday किसी व्यक्ति के बारे में तब तक कुछ संग्रहित नहीं करता जब तक वह तारीख न दे। फिर वह दी गई तारीख और महीना रखता है; साल केवल तभी जब दिया गया हो, नीचे वाले गोपनीय पाठ की उसी कुंजी से एन्क्रिप्ट करके, और केवल उम्र बताने के लिए पढ़ा जाता है, वह भी केवल उस सर्वर में जो उम्र दिखाता है; एक तय सूची से चुना गया टाइम ज़ोन; अगला जन्मदिन शुरू होने का क्षण; और उन्होंने किन सर्वरों के साथ इसे साझा करना चुना, हर एक का एक रिकॉर्ड, जो व्यक्ति स्वयं बनाता है, कोई और नहीं। मॉडरेटर किसी सर्वर का रिकॉर्ड हटा सकता है, पर अपने सर्वर में साझा न की गई तारीख कभी सेट या पढ़ नहीं सकता। 13 से कम उम्र के किसी को नहीं रखा जाता: जो साल किसी को इससे छोटा बनाए वह अस्वीकार हो जाता है और कुछ संग्रहित नहीं होता। बॉट व्यक्ति को कभी संदेश नहीं भेजता। /birthday remove तारीख और हर सर्वर का रिकॉर्ड एक साथ मिटा देता है; सदस्य के सर्वर छोड़ने पर या सर्वर का डेटा हटने पर भी उस सर्वर का रिकॉर्ड हट जाता है; और किन समारोहों की घोषणा हो चुकी है उसका छोटा रिकॉर्ड 400 दिन बाद हटा दिया जाता है।

/birthday remove से जन्मदिन हटाने पर उस व्यक्ति के घोषित समारोहों का रिकॉर्ड भी 400 दिनों की प्रतीक्षा किए बिना तुरंत हटा दिया जाता है।

अस्थायी रोल। जब कोई मॉडरेटर किसी को कुछ समय के लिए रोल उधार देता है, तो बॉट रोल वापस लिए जाने तक यह रखता है कि किसके पास है, कौन-सा रोल है, कब ख़त्म होता है, किसने दिया और उन्होंने जो कारण लिखा (अधिकतम 400 अक्षर)। जन्मदिन के लिए या गिनती तोड़ने पर दिया गया रोल भी इसी तरह रखा जाता है, देने वाला बॉट होता है। रिकॉर्ड तब हटता है जब रोल वापस लिया जाए, जब सदस्य बैन हो, और — जब तक सर्वर ने उनकी वापसी के लिए समय रखना न चुना हो — जब वे छोड़ दें।

गिनती, अगर कोई सर्वर चैनल सेट करे। हर गिनती चैनल के लिए बॉट रखता है कि वह किस संख्या पर है, आख़िरी बार किसने गिना, वह चैनल किन नियमों से चलता है, और वहाँ गिनने वाले हर सदस्य ने कितनी सही संख्याएँ दीं और कितनी बार गिनती तोड़ी — आईडी और संख्याएँ, किसी का लिखा कभी नहीं। गिनती चैनल के संदेश आते ही जाँच के लिए पढ़े जाते हैं और संग्रहित नहीं होते। यह सब चैनल के साथ, वहाँ गिनती बंद होने पर, या बॉट हटने के तीस दिन बाद सर्वर के बाकी डेटा के साथ हटा दिया जाता है।

Modmail तभी काम करता है जब कोई सर्वर इसे चालू करे। जब कोई सदस्य बॉट को सीधा संदेश भेजता है, तो बॉट उसे पढ़ता है और चुने गए सर्वर की टीम को उस सर्वर द्वारा चुने गए निजी चैनल में पहुँचा देता है — जो भी उस चैनल को देख सकता है वह इसे पढ़ सकता है, और अगर ट्रांसक्रिप्ट वहाँ पोस्ट किए जाते हैं तो सर्वर का लॉग चैनल देखने वाला भी। टीम के जवाब सदस्य के DM में जाते हैं; गुमनाम जवाब भेजने वाले को सदस्य से छिपाता है, बाकी टीम से नहीं। बॉट संदेश का कोई पाठ नहीं रखता: वह आईडी, गिनतियाँ और समय रखता है, कौन-सा DM चैनल के किस संदेश से मेल खाता है (थ्रेड बंद होने के तीस दिन बाद हटा दिया जाता है), बंद करने या ब्लॉक करने के लिए टीम द्वारा लिखे कारण, और सहेजे हुए जवाब। बंद थ्रेड का रिकॉर्ड सर्वर द्वारा तय दिनों के बाद हटा दिया जाता है, डिफ़ॉल्ट नब्बे। बातचीत और ट्रांसक्रिप्ट फ़ाइलें उसी सर्वर के Discord में, उसके अपने नियमों के तहत रहती हैं। सदस्य बॉट के पहले जवाब के नीचे Close this conversation से बातचीत खत्म करता है, Stop messages from this server से किसी सर्वर को बातचीत शुरू करने से रोकता है, या बस बॉट को लिखता ही नहीं। कोई तीसरा पक्ष इसमें से कुछ नहीं पाता।

टेम्पलेट स्टोर। यदि आप किसी टेम्पलेट को रेटिंग देते हैं, तो बॉट आपकी खाता आईडी, सितारे और समय रखता है। यदि आप टिप्पणी करते हैं, तो वह आपकी खाता आईडी, उस समय का आपका डिस्प्ले नाम, टेक्स्ट और समय रखता है; आप अपनी टिप्पणी खुद हटा सकते हैं, और मालिक भी उसे हटा सकता है। रिपोर्ट में आपकी खाता आईडी और आपका लिखा कारण रखा जाता है। ताकि केवल वही लोग किसी टेम्पलेट को रेटिंग दे सकें जिन्होंने उसे उपयोग किया है, बॉट यह रखता है कि आपने कौन-सा टेम्पलेट, किस सर्वर आईडी पर और कब लागू किया, जब तक टेम्पलेट मौजूद है। मालिक हर जमा किए गए टेम्पलेट को सूचीबद्ध होने से पहले पढ़ता है, और समीक्षा की प्रतीक्षा कर रही टिप्पणी को दिखने से पहले; जिस टिप्पणी पर किसी ने निर्णय नहीं लिया, वह 30 दिन बाद हटा दी जाती है। एक खाता या एक पता कितनी बार टिप्पणी, रिपोर्ट या रेटिंग कर सकता है, इस पर सीमा रखने के लिए बॉट पते का कुंजीयुक्त हैश रखता है — कभी पता स्वयं नहीं — खाता आईडी और समय के साथ, जो 30 दिन बाद हटा दिया जाता है। जो टेम्पलेट आप अभी लिख रहे हैं, वह 7 दिन तक सील (एन्क्रिप्टेड) रखा जाता है। स्टोर के पास आपके खाते की जो भी जानकारी है उसे हटवाने के लिए सपोर्ट सर्वर में कहें और मालिक हटाने का काम करता है। टिप्पणी का टेक्स्ट — और केवल टेक्स्ट, बिना खाते, नाम या टेम्पलेट के — टिप्पणी पोस्ट होने से पहले OpenAI के मॉडरेशन एंडपॉइंट को भेजा जाता है, उन शर्तों पर जो ऊपर OpenAI के अंतर्गत बताई गई हैं; जिस टिप्पणी को वह फ़्लैग करता है, या जिसका वह समय पर उत्तर नहीं देता, उसे पोस्ट करने के बजाय मालिक के लिए रोक लिया जाता है। जहाँ बॉट के पास OpenAI कुंजी नहीं है, वहाँ वह चरण छोड़ दिया जाता है और बाकी जाँचें अकेले लागू रहती हैं।

क्या कभी संग्रहित नहीं होता

संदेश की सामग्री। डेटाबेस में कुछ भी वह नहीं रखता जो लोग आपके चैनलों में कहते हैं, और इसका कोई अपवाद नहीं है — डेटाबेस का एक भी कॉलम किसी का पोस्ट किया संदेश नहीं रखता। यह पृष्ठ पहले टिकट प्रतिलेखों को अपवाद बताता था और वे अपवाद नहीं हैं: प्रतिलेख उस इतिहास से बनता है जो Discord स्वयं रखता है, उस क्षण जब कोई मॉडरेटर माँगता है, और फ़ाइल के रूप में आपके सर्वर में वापस पोस्ट कर दिया जाता है। उसका कुछ भी यहाँ नहीं रखा जाता। वह पाठ जो कोई जान-बूझकर बॉट को सौंपता है — बैन अपील, आवेदन, टिकट खुलते समय का फ़ॉर्म, रेटिंग के साथ छोड़ी गई टिप्पणी — रखा जाता है, क्योंकि जिस समीक्षा को पढ़ा न जा सके वह समीक्षा नहीं है; वह एन्क्रिप्ट होता है, और नीचे का खंड ठीक बताता है कि कौन से फ़ील्ड। वही बात उस कारण पर भी लागू है जो सदस्य /afk के साथ देता है, उनके लौटने तक — एन्क्रिप्ट नहीं होता, क्योंकि वह विश्वास में नहीं लिखा गया: वह हर उस व्यक्ति को दिखाया जाता है जो उनका उल्लेख करता है।

दो चीज़ें डेटाबेस के बाहर रखी जाती हैं, और दोनों के बारे में सटीक होना ज़रूरी है। पहला snipe है: /snipe किसी चैनल में हटाया या संपादित किया गया आख़िरी संदेश दिखाता है, इसलिए उसे एक रखना पड़ता है: प्रति चैनल पाँच, अधिकतम दो घंटे के लिए, मेमोरी में। कुछ भी लिखा नहीं जाता, रीस्टार्ट सब कुछ भुला देता है, और यह प्रक्रिया से बाहर कभी नहीं जाता। जो भी चैनल पढ़ सकता है वह इसे माँग सकता है — कमांड इसी के लिए है — और बॉट वह पहुँच उसी क्षण जाँचता है जब वह उत्तर देता है, न कि जब संदेश हटाया गया था। यह वह संदेश नहीं दिखाएगा जिसे बॉट ने स्वयं हटाया, या कुछ भी जो सामूहिक रूप से साफ़ किया गया, क्योंकि snipe मॉडरेशन को वापस पढ़ने का रास्ता नहीं बनना चाहिए। जो सर्वर इसे और सीमित चाहता है वह /logs snipe से इसे मॉडरेटरों तक सीमित करता है, या चैनलों को पूरी तरह बाहर रखता है; जिस मॉडरेटर ने अभी कुछ हटाया है वह /snipe clear से इसे तुरंत साफ़ कर देता है।

दूसरा सुरक्षाओं की गिनतियाँ हैं। एंटी-न्यूक, एंटी-रेड, एंटी-स्पैम और बाक़ी गिनकर निर्णय लेते हैं — पिछले एक मिनट में एक मॉडरेटर ने कितने चैनल हटाए, पिछले तीस सेकंड में कितने खाते शामिल हुए — और इन गिनतियों की प्रतिलिपि हर कुछ सेकंड में उसी मशीन पर एक Redis कैश में बनती है, ताकि बॉट के रीस्टार्ट होने से हमले के बीच में खड़े किसी को नया भत्ता न मिल जाए। जो कॉपी होता है वह है ID — सर्वर की, और शामिल सदस्य या चैनल की — और चीज़ें कब हुईं उनके समय, कभी वह नहीं जो किसी ने कहा: एंटी-स्पैम की हाल के संदेशों की याद प्रक्रिया में ही रहती है और रीस्टार्ट उसे भुला देता है। हर प्रतिलिपि अपने आप समाप्त हो जाती है — एक घंटे के भीतर, ज़्यादातर कुछ मिनटों में — कैश कभी डिस्क पर नहीं लिखता, और बॉट के सिवा कोई उस तक नहीं पहुँच सकता — न वेबसाइट, न इंटरनेट। अपडेट के दौरान, जब बॉट की नई प्रति पुरानी से कार्यभार सँभालती है, तो पुरानी प्रति ने अपने आख़िरी कुछ सेकंड में जिन संदेशों और इंटरैक्शनों का उत्तर दिया उनकी ID इसी कैश से होकर गुज़रती हैं, अधिकतम तीस सेकंड के लिए, ताकि किसी का उत्तर दो बार न दिया जाए। उस कैश में एक चीज़ एक घंटे से ज़्यादा रहती है: कौन-से नए सदस्य अभी किसी द्वार पर रुके हैं — Discord की नियम-स्क्रीन, सत्यापन, क्वारंटीन — उन भूमिकाओं के इंतज़ार में जो सर्वर जुड़ने पर देता है; यह सर्वर की ID, सदस्य की ID और इंतज़ार ख़त्म होने के समय के रूप में रखा जाता है, ज़्यादा से ज़्यादा एक दिन तक, ताकि कोई अपडेट उन्हें देना न भूले।

IP पते। बॉट कभी कोई नहीं देखता — Discord किसी सदस्य का पता बॉट को नहीं देता, और यहाँ कुछ भी उसके आसपास से रास्ता नहीं निकालता। एकमात्र जगह जहाँ पता कभी पढ़ा जाता है वह वेबसाइट की कनेक्शन जाँच है, जिसका वर्णन आगे है, और वह एक बार पढ़ा जाता है और रखा नहीं जाता: न संग्रहित, न लॉग, न हैश। चुराए गए डेटाबेस में कोई पता नहीं होता और ऐसा कुछ नहीं जो किसी पते से निकला हो।

वॉइस संदेश, यदि कोई उन्हें लिखित रूप में चाहता है। /transcribe उस वॉइस संदेश को लेकर बॉट के अपने सर्वर पर, वहीं चलने वाले स्पीच मॉडल से उसे टेक्स्ट में बदलता है। ऑडियो किसी दूसरी कंपनी या सेवा को नहीं जाता; वह केवल सुने जाने तक रखा जाता है और काम पूरा होते ही मिटा दिया जाता है। शब्द उसी चैनल में पोस्ट होते हैं जहाँ कमांड चलाई गई थी और कहीं और नहीं रखे जाते — जो कहा गया उसका कोई रिकॉर्ड नहीं रखा जाता। किसी एक व्यक्ति को मशीन रोकने से बचाने के लिए बॉट मेमोरी में गिनता है कि पिछले दस मिनट में हर व्यक्ति और हर सर्वर ने कितने माँगे; ये गिनतियाँ बाद में भुला दी जाती हैं, और रीस्टार्ट उन्हें तुरंत भुला देता है।

पाँच तीसरे पक्ष, और हर एक को क्या दिया जाता है

अपने अधिकांश जीवन में यह साइट कह सकती थी कि कोई तीसरा पक्ष आपके सदस्यों को कभी नहीं देखता। यह तब सच नहीं रहा जब सत्यापन मॉड्यूल में VPN और प्रॉक्सी को अस्वीकार करें जुड़ा, क्योंकि कोई पता VPN का है या नहीं, यह ऐसा तथ्य है जो केवल एक प्रतिष्ठा सेवा के पास होता है। नीचे के पाँचों में से हर एक बंद है जब तक कोई सर्वर उसे चालू न करे, और जब वह चालू हो, तो आगे जो लिखा है वही पूरा-का-पूरा होता है।

proxycheck.io। जिस सदस्य पर सेटिंग लागू होती है उसे इस साइट के एक पृष्ठ का एकल-उपयोग लिंक दिया जाता है। जब वे उस पर बटन दबाते हैं, तो जुड़ने वाला पता एक बार proxycheck.io को भेजा जाता है, इस प्रश्न के साथ “क्या यह VPN, प्रॉक्सी या होस्टिंग रेंज है” और कुछ नहीं — न उपयोगकर्ता नाम, न सर्वर, न खाता ID। उत्तर को उसी एक बिट के लिए पढ़ा जाता है और छोड़ दिया जाता है। बॉट, जो जानता है कि सदस्य कौन है, पता कभी प्राप्त नहीं करता; वेबसाइट, जिसने पता देखा, कभी नहीं जान पाती कि सदस्य कौन है। उसके बाद जो बचता है वह सदस्य के सत्यापन रिकॉर्ड पर एक समय-चिह्न है जो कहता है कि कनेक्शन साफ़ था, और अस्वीकार होने पर कुछ भी नहीं बचता।

Cloudflare Turnstile। वैकल्पिक रूप से, वही पृष्ठ Cloudflare का Turnstile विजेट रखता है ताकि कोई स्क्रिप्ट बटन न दबा सके। विजेट की स्क्रिप्ट ही वह एकमात्र चीज़ है जो यह साइट कभी किसी और ऑरिजिन से लोड करती है, केवल उसी पृष्ठ पर, और इस पृष्ठ की Content-Security-Policy उसे बाक़ी हर जगह अब भी मना करती है। उसका उत्तर Cloudflare से पते को जोड़े बिना जाँचा जाता है। Turnstile Discord के भीतर के CAPTCHA की जगह नहीं लेता, जो अब भी प्रक्रिया के भीतर बनाया जाता है।

OpenAI। यह तीनों में सबसे बड़ा है और वही है जिसे लोगों की पोस्ट की हुई चीज़ें दी जाती हैं, इसलिए सटीक होना ज़रूरी है। सर्वर AI छवि स्कैन चालू कर सकता है, जिसमें एक मॉडल तय करता है कि कोई तस्वीर यौन, ख़ूनी, हिंसक है या आत्म-क्षति दिखाती है। कोई कीवर्ड सूची तस्वीर नहीं पढ़ सकती, और इसका ऐसा कोई रूप नहीं जो हमारी अपनी मशीनों पर चले, और यही अकेला कारण है कि यह यहाँ है।

जब किसी सर्वर ने इसे चालू किया हो, तो स्कैन किए जाने वाले चैनल में पोस्ट की गई हर तस्वीर OpenAI के मॉडरेशन एंडपॉइंट को Discord के अपने सर्वरों पर उस तस्वीर के लिंक के रूप में, और कुछ नहीं भेजी जाती है — किसी का टाइप किया पाठ नहीं, उपयोगकर्ता नाम नहीं, खाता ID नहीं, सर्वर का नाम नहीं, चैनल का नाम नहीं। इसमें अपलोड शामिल हैं और, अगर सर्वर इसे चालू रखे, तो लिंक के नीचे Discord जो तस्वीर दिखाता है वह भी। उत्तर हर श्रेणी के स्कोर के रूप में लौटता है, उसे यह तय करने के लिए पढ़ा जाता है कि तस्वीर उस सर्वर के नियम तोड़ती है या नहीं, और फिर छोड़ दिया जाता है। उसमें से कुछ भी यहाँ लिखा नहीं जाता, और तस्वीर स्वयं हमारे डेटाबेस में कभी संग्रहित नहीं होती।

OpenAI इसके साथ क्या करता है, उनके शब्दों में, हमारे नहीं। उनके दस्तावेज़ कहते हैं कि API को भेजा गया डेटा “OpenAI मॉडलों को प्रशिक्षित या बेहतर बनाने के लिए उपयोग नहीं किया जाता” जब तक आप स्पष्ट रूप से सहमत न हों, और हमने सहमति नहीं दी है। वे यह भी कहते हैं कि दुरुपयोग निगरानी लॉग में “कुछ ग्राहक सामग्री हो सकती है, जैसे प्रॉम्प्ट और उत्तर” और वे डिफ़ॉल्ट रूप से “30 दिन तक रखे जाते हैं”। तो ईमानदार रूप यह नहीं है कि स्कैन होते ही तस्वीर ग़ायब हो जाती है: हम उसका कुछ नहीं रखते, और OpenAI अपनी सेवा की निगरानी के लिए उसे तीस दिन तक रख सकता है। जो सर्वर इसके लिए तैयार नहीं है उसे यह मॉड्यूल बंद रखना चाहिए, और यह इसी तरह भेजा जाता है।

यह बंद है जब तक कोई व्यवस्थापक मॉड्यूल चालू न करे। सर्वर भूमिकाओं को छूट दे सकता है, पूरे चैनल छोड़ सकता है या केवल कुछ को स्कैन कर सकता है, केवल नए सदस्यों को स्कैन कर सकता है, और अपने मॉडरेटरों को छोड़ सकता है, और मॉड्यूल का विवरण साफ़ कहता है कि इसे चालू करने से तस्वीरें सर्वर से बाहर जाती हैं। मॉड्यूल बंद कीजिए और फिर कुछ नहीं भेजा जाता।

दो ईमानदार सीमाएँ। यह सामान्य नुक़सानों में अच्छा है और यह नहीं जानता कि आपके सर्वर के लिए ख़तरा कैसा दिखता है — संगठित की जा रही रेड, कोई घोटाला, कोई विज्ञापन — क्योंकि ये वे श्रेणियाँ नहीं हैं जो मॉडल के पास हैं, और यह पाठ बिल्कुल नहीं पढ़ता। और OpenAI के अपने दस्तावेज़ कहते हैं कि एंडपॉइंट बाल यौन शोषण सामग्री पहचानने के लिए नहीं बना है और समर्पित बाल-सुरक्षा उपायों का विकल्प नहीं है; यहाँ कुछ और दावा नहीं किया जाता, और वह रिपोर्टिंग का रास्ता Discord का ही रहता है।

और कुछ लोड नहीं होता। कोई एनालिटिक्स नहीं, कोई फ़ॉन्ट सेवा नहीं, किसी के CDN से कोई स्क्रिप्ट या स्टाइलशीट नहीं: कनेक्शन जाँच के सिवा हर पृष्ठ किसी और ऑरिजिन से कुछ नहीं लाता, और यह वादा नहीं बल्कि Content-Security-Policy से लागू किया गया है। Cloudflare साइट के नेटवर्क के रूप में उसके सामने ज़रूर बैठता है — वह वे अनुरोध देखता है जो साइट के सामने का कोई भी नेटवर्क देखता है, और इसीलिए साइट बाढ़ के नीचे भी चालू रहती है — लेकिन उसे आपके सदस्यों के बारे में कुछ नहीं दिया जाता, क्योंकि पृष्ठों में आपके सदस्यों के बारे में कुछ होता ही नहीं।

YouTube और Twitch। कोई सर्वर /alerts से किसी YouTube चैनल या Twitch स्ट्रीमर को फ़ॉलो कर सकता है, और बॉट फिर हर कुछ मिनट में सेवा से पूछता है कि कुछ नया है या नहीं। YouTube को वह चैनल के सार्वजनिक RSS फ़ीड के लिए एक अनुरोध भेजता है, जिसमें केवल उस चैनल की सार्वजनिक आईडी होती है। Twitch को वह स्ट्रीमर का सार्वजनिक लॉगिन नाम भेजता है — दूसरों के साथ, एक अनुरोध में सौ तक — जिस पर इस बॉट के अपने Twitch एप्लिकेशन के हस्ताक्षर होते हैं, किसी सदस्य के खाते के कभी नहीं। न कोई सदस्य, न सर्वर का नाम, न चैनल का नाम इनमें से किसी को भेजा जाता है, और किसी को पता नहीं चलता कि कौन-सा सर्वर किसे फ़ॉलो करता है। उत्तर को सबसे नए वीडियो, या लाइव स्ट्रीम की आईडी, शीर्षक और गेम के लिए पढ़ा जाता है और फिर छोड़ दिया जाता है। जो रखा जाता है वह है सर्वर द्वारा फ़ॉलो करने के लिए चुना गया चैनल या लॉगिन, कहाँ पोस्ट करना है, और अंतिम घोषित चीज़ की आईडी, ताकि कुछ भी दो बार घोषित न हो। दोनों तब तक बंद हैं जब तक कोई सर्वर फ़ॉलो नहीं जोड़ता, और फ़ॉलो हटाने से अनुरोध रुक जाते हैं।

एक प्रायोजित पंक्ति

इस बॉट को चलाने वाले लोग एक प्रायोजित लिंक सेट कर सकते हैं: प्रायोजित चिह्नित एक छोटी पंक्ति, जिसका पाठ और गंतव्य वे चुनते हैं और जिसका भुगतान वह करता है जिसकी ओर यह इशारा करती है। यह इस साइट के फ़ुटर में और कभी-कभार बिना प्रीमियम वाले सर्वर में बॉट के किसी जवाब के नीचे दिखती है: एक ही सर्वर में हर 45 मिनट में अधिकतम एक बार, वहाँ कम से कम 6 अन्य जवाबों के बाद ही, और कभी भी किसी मॉडरेशन कार्रवाई, चेतावनी, निजी जवाब या बटन वाले संदेश के नीचे नहीं। प्रीमियम सर्वर इसे Discord में कभी नहीं देखते। साइट नहीं जान सकती कि इसे कौन पढ़ रहा है, इसलिए फ़ुटर इसे हर आगंतुक को दिखाता है।

यह एक लिंक है और इससे ज़्यादा कुछ नहीं। प्रायोजक से कुछ भी लोड नहीं होता और उसे कुछ भी नहीं भेजा जाता। ऊपर दिए नियम का पालन करने के लिए बॉट केवल मेमोरी में — कभी डेटाबेस में नहीं — रखता है कि हर सर्वर ने यह पंक्ति आख़िरी बार कब देखी और तब से वहाँ कितने जवाब गए हैं, साथ ही यह कुल कितनी बार दिखाई गई; किसी व्यक्ति को दर्ज नहीं किया जाता और प्रायोजक को इनमें से कुछ भी नहीं दिखता। बॉट क्लिक दर्ज नहीं करता और कोई रीडायरेक्ट नहीं करता, और लिंक इस साइट से कोई रेफ़रर नहीं ले जाता। अगर आप उस पर क्लिक करते हैं, तो आप उनकी साइट पर चले जाते हैं, जहाँ उनकी अपनी नीति लागू होती है। प्रायोजक का पाठ वैसा ही दिखाया जाता है जैसा उन्होंने लिखा और उसका अनुवाद नहीं किया जाता। जब कोई प्रायोजक सेट नहीं होता, तो यह पंक्ति कहीं भी मौजूद नहीं होती।

इसमें से कुछ भी लंबे समय तक नहीं रखा जाता। किसी सर्वर का रिकॉर्ड उसके आख़िरी जवाब के 24 घंटे बाद भुला दिया जाता है। एक साथ अधिकतम 20,000 सर्वर रखे जाते हैं; जब यह भर जाता है, तो सबसे लंबे समय से चुप सर्वर हटा दिया जाता है। यह सब, चलती गिनती समेत, हर बार बॉट के दोबारा शुरू होने पर मिट जाता है।

प्रीमियम टोकन और आपका खाता

खाते के हिसाब से प्रीमियम एक पंक्ति है: आपकी Discord id, यह मासिक है या जीवन भर का, कब समाप्त होता है, कहाँ से आया और आपने कितने अतिरिक्त सर्वर स्विच खरीदे। टोकन केवल अपने कुंजी-युक्त हैश के रूप में रखा जाता है, इसलिए डेटाबेस में ऐसा कुछ नहीं है जिसे वापस टोकन में बदला जा सके; टोकन बनाते समय मालिक को दिए गए जवाब में मौजूद रहता है और उसके बाद कहीं नहीं।

टोकन रिडीम करने की हर कोशिश दर्ज होती है — आपकी id, यह इस साइट से आई या Discord से, क्या नतीजा रहा, और उस पते का कुंजी-युक्त हैश जिसे इस साइट ने अनुरोध के लिए सत्यापित किया, कभी भी पता खुद नहीं। यही रिकॉर्ड कुछ गलत टोकन के बाद खाते और पते को लॉक करता है, और बॉट चलाने वालों को कई खातों के पीछे एक पता देखने देता है। यह 90 दिनों के बाद हटा दिया जाता है।

हर सर्वर दर्ज करता है कि किस खाते ने sick जोड़ा, और यही उस सर्वर को प्रीमियम बनाता है जब वह खाता प्रीमियम हो। जिन सर्वरों में आप sick जोड़ते हैं, वे आपके खाते में भी दर्ज होते हैं — सर्वर की आईडी और समय — ताकि आपके स्विच गिने जा सकें। वह सूची रखी जाती है, और sick के जाने के बाद भी सर्वर उसमें रहता है, क्योंकि खर्च हुआ स्विच खर्च ही रहता है।

इस डोमेन पर मेल

साइट में इसे चलाने वाले लोगों के लिए एक छोटी मेल सेवा भी है: मालिक का अपना पता और उन खातों के पते जिन्हें मालिक ने इसे इस्तेमाल करने की अनुमति दी है, हर एक यहाँ साइन इन करने के बाद मेल साइट से खुलता है। इन पतों में से किसी पर भेजा गया मेल Cloudflare Email Routing और एक Cloudflare Email Worker के ज़रिए आता है, जो उसे इस साइट को सौंपता है; जब साइट तक पहुँचा नहीं जा सकता, तो Worker संदेश को Cloudflare Workers KV में सात दिन तक रखता है और फिर कोशिश करता है। इन पतों में से किसी से भेजा गया मेल Cloudflare Email Sending से होकर जाता है। ये चारों Cloudflare सेवाएँ शामिल हैं, और कोई अन्य पक्ष मेल नहीं देखता।

मेल विश्राम अवस्था में सील रहता है। जब कोई संदेश आता है, तो यह साइट उसे पार्स करती है और मेलबॉक्स की एक सार्वजनिक कुंजी से उसे सील कर देती है — उस संदेश की एक बार की कुंजी के अंतर्गत AES-256-GCM, जो स्वयं मेलबॉक्स की X25519 सार्वजनिक कुंजी से सील होती है — और उसके बाद ही उसे बॉट को सौंपती है, जिसका डेटाबेस सील किया हुआ संदेश रखता है: उसका विषय, प्रेषक, प्राप्तकर्ता, टेक्स्ट, HTML, अनुलग्नक और उनके नाम, और मूल बाइट्स, जो सात दिन तक रखे जाते हैं ताकि पार्सर द्वारा गलत पढ़ा गया संदेश पूरा डाउनलोड किया जा सके। इसे खोलने वाली निजी कुंजी आपके मेल पासवर्ड से बनी कुंजी (scrypt) के अंतर्गत और, यदि आप बनाते हैं, तो एक बार की रिकवरी कुंजी के अंतर्गत लपेटी जाती है; बॉट के पास निजी कुंजी कभी नहीं होती, और वह आपके पासवर्ड का केवल एकतरफा हैश रखता है। यह विश्राम अवस्था में शून्य-पहुँच है, शून्य-ज्ञान नहीं: यह साइट आपका मेल मेमोरी में तब पढ़ती है जब वह आने वाले संदेश को पार्स करती है और जब आपका मेलबॉक्स अनलॉक होता है, इसलिए जो भी इस साइट के चलने वाले कोड को बदल सकता है वह उसे पढ़ सकता है, लेकिन मालिक उसे डेटाबेस से नहीं पढ़ सकता। आपकी अनलॉक की हुई कुंजी केवल इस साइट की मेमोरी में रहती है, अधिकतम एक दिन के लिए, और पुनः आरंभ होने पर हर मेलबॉक्स तब तक लॉक हो जाता है जब तक आप फिर से अपना पासवर्ड टाइप नहीं करते। संदेश की दूरस्थ छवियाँ साइट कभी नहीं लाती: वे केवल तब आपके ब्राउज़र में लोड होती हैं जब आप कहते हैं, और छवि का लोड होना प्रेषक को बताता है कि आपने संदेश कब खोला और कहाँ से।

जब आप Discord से इस साइट में साइन इन करते हैं, आपकी Discord id, उपयोगकर्ता नाम और अवतार हैश समय के साथ दर्ज किए जाते हैं, ताकि मालिक पता देने से पहले देख सके कि किसने साइन इन किया है। ट्रैश और स्पैम अपनी सामग्री संदेश के उनमें आने के तीस दिन बाद हटा देते हैं; निरस्त किया गया मेलबॉक्स निरस्तीकरण के चौदह दिन बाद हटाया जाता है। यदि आप मालिक से पहुँच माँगते हैं, तो अनुरोध — वही id, नाम और अवतार हैश, और समय — तब तक रखा जाता है जब तक मालिक उसका उत्तर न दे दे या तीस दिन न बीत जाएँ, और मालिक को Discord पर बॉट के सीधे संदेश से सूचित किया जाता है। मेल के बारे में और कुछ भी Discord के साथ साझा नहीं किया जाता।

भेजने की गिनती प्राप्तकर्ता के हिसाब से होती है, उन आउटबॉक्स पंक्तियों से जो मेल भेजने के लिए पहले से रखी जाती हैं, इसलिए इसके लिए कुछ नया एकत्र नहीं किया जाता। जिस मेलबॉक्स का मेल बार-बार लौट आता है, उसका भेजना तब तक रोक दिया जाता है जब तक मालिक उसे देख न ले। इन डोमेन पर postmaster@ या abuse@ को भेजा गया मेल मालिक तक पहुँचता है।

कुछ चीज़ें खुले रूप में छोड़ी जाती हैं, क्योंकि सेवा को उन्हें आपकी कुंजी के बिना पढ़ना पड़ता है: संदेश किस फ़ोल्डर और टैब में है, उसके फ़्लैग (पढ़ा हुआ, तारांकित, महत्वपूर्ण, स्नूज़ किया हुआ), वह कब आया, उसका आकार, वह किस बातचीत का हिस्सा है, उसमें कितने अनुलग्नक हैं, उनके फ़ाइल प्रकार और इनलाइन-छवि id, वह आपके किस पते पर आया, आपने कौन सा प्लस-टैग इस्तेमाल किया, उसके प्रेषक की जाँचों के परिणाम, और उसके पहचानकर्ताओं (Message-ID, References) और उसके प्रेषक के कुंजीबद्ध डाइजेस्ट। प्रेषकों के लिए आपके तय किए नियम — वह पता या डोमेन जिसे आपने फ़ाइल किया, ब्लॉक किया या जिसकी छवियों को अनुमति दी — भी खुले रूप में हैं। जब कोई संदेश आता है, तो बॉट उसके प्रेषक, प्राप्तकर्ता, विषय, हेडर और अनुलग्नक नाम मेमोरी में पढ़ता है ताकि उसे किसी टैब में रख सके और दुरुपयोग के नियम लागू कर सके, और इनमें से कुछ भी खुले रूप में नहीं लिखता। जिन मेलबॉक्स के धारक ने सीलिंग शुरू होने के बाद अभी तक पासवर्ड से साइन इन नहीं किया है, वे अपना पुराना मेल जैसा था वैसा ही रखते हैं, जिसे सेवा पढ़ सकती है; मालिक को दिखाया जाता है कि कौन से, और हर एक धारक के साइन इन करते ही सील कर दिया जाता है।

खोज कुंजीबद्ध डाइजेस्ट पर चलती है, आपके शब्दों पर नहीं। जब आपका मेलबॉक्स अनलॉक होता है, तब हर सील किए संदेश को उसके पूरे शब्दों और उसके प्रेषक व प्राप्तकर्ताओं के अधिकतम 512 डाइजेस्ट (HMAC-SHA256) मिलते हैं, जो एक यादृच्छिक खोज-कुंजी के अंतर्गत बनते हैं; यह कुंजी केवल आपके पासवर्ड और आपकी रिकवरी कुंजी के नीचे लपेटी हुई मौजूद रहती है। इसलिए खोज पूरे शब्द और सटीक पते ढूँढ सकती है — उपसर्ग, शब्द-रूप या वाक्यांश नहीं — और डेटाबेस की प्रति रखने वाला कोई व्यक्ति अनुमानित शब्द को उनके विरुद्ध परख नहीं सकता। दो कीमतें हैं: जब आपका मेलबॉक्स लॉक हो, उस दौरान आने वाली मेल अगली बार अनलॉक करने तक खोजी नहीं जा सकती; और खुले में छोड़े गए पहचानकर्ताओं और प्रेषकों (ऊपर) के कुंजीबद्ध डाइजेस्ट ऐसे रहस्य के अंतर्गत बनते हैं जो साइट के पास है और डेटाबेस के पास नहीं, इसलिए दोनों रखने वाला कोई व्यक्ति परख सकता है कि अनुमानित पता या Message-ID मौजूद है या नहीं।

पूर्ववत करें या बाद के समय के साथ भेजा गया संदेश आउटबॉक्स में उस रूप में इंतज़ार करता है जो भेजने वाले को चाहिए: क्योंकि भेजे जाते समय उसका पढ़ने योग्य होना ज़रूरी है, वह भेजे जाने, रद्द किए जाने या हमेशा के लिए अस्वीकार किए जाने तक बॉट की अपनी सर्वर कुंजी के अंतर्गत रखा जाता है, और फिर हटा दिया जाता है। आपके भेजे गए फ़ोल्डर की प्रति आपके लिए सील रहती है। आपका भेजा मेल किसी भी अन्य मेल की तरह TLS पर, Cloudflare Email Sending के ज़रिए जाता है, और आपको आने वाला मेल Cloudflare Email Routing के ज़रिए आता है: Cloudflare संदेश को पारगमन में देखता है, इससे पहले कि यह साइट उसे सील करे और जब वह बाहर जाता है।

आपके भेजे संदेशों में कोई Discord id, खाता id या आपके ब्राउज़र का पता नहीं होता: भेजने वाले डोमेन पर एक यादृच्छिक Message-ID, कोई X-Mailer, User-Agent या X-Originating-IP हेडर नहीं, और एक From पंक्ति जो केवल आपका चुना हुआ पता दिखाती है, प्रदर्शन नाम केवल तभी जब आपने कोई सेट किया हो। उपनाम एक और पता है जो आपके मेलबॉक्स में पहुँचाता है और जिसे आप बंद कर सकते हैं, समाप्त होने के लिए सेट कर सकते हैं, या एक बार उत्तर देने दे सकते हैं। यह सेवा चलाने वालों से, Cloudflare से, या आप जिसे लिखते हैं उससे गुमनामी नहीं है: वे वह पता देखते हैं जिससे आपने लिखा, समय, और संदेश में क्या लिखा है।

यदि आप अपना पासवर्ड और रिकवरी कुंजी दोनों खो देते हैं, तो आपका मेल खोला नहीं जा सकता, और कोई उसे आपके लिए वापस नहीं ला सकता, मालिक भी नहीं। जब मालिक किसी धारक का मेल पासवर्ड रीसेट करता है, तो जिस कुंजी को वह खोलता था वह भी हटा दी जाती है: उसके अंतर्गत सील किया गया मेल फिर कभी नहीं पढ़ा जा सकता, और तीस दिन बाद हटा दिया जाता है।

संगीत और गीत के बोल

जब कोई सर्वर म्यूज़िक प्लेयर चालू करता है, तो बॉट एक Lavalink नोड के ज़रिए वॉइस चैनल में ऑडियो चलाता है, जो उसी मशीन पर उसके बगल में चलता है। नोड ऑडियो केवल उसी साइट से लाता है जो किसी सदस्य ने माँगी हो, और कहीं से नहीं: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), किसी सदस्य का चिपकाया हुआ सीधा https लिंक, और — केवल तभी जब मालिक ने इसे चालू किया हो — YouTube (youtube.com, youtu.be, music.youtube.com)। Spotify लिंक (open.spotify.com, spotify.link) या Apple Music लिंक (music.apple.com) को उसी साइट पर ट्रैक का नाम जानने के लिए खोजा जाता है और मिला हुआ मेल SoundCloud से चलाया जाता है; इन दोनों में से किसी से ऑडियो नहीं आता। इनमें से हर साइट को वह अनुरोध दिखता है जो नोड ट्रैक के लिए करता है, ठीक वैसे ही जैसे पेज खोलने वाले किसी भी ब्राउज़र को दिखता, और सर्वर या माँगने वाले सदस्य के बारे में कुछ नहीं दिखता।

बॉट प्लेयर के लिए यह सहेजता है: वह जिस वॉइस और टेक्स्ट चैनल में है, कतार — हर ट्रैक का शीर्षक, कलाकार, अवधि, स्रोत और उसके लिए नोड का अपना हैंडल, और कतार में डालने वाले सदस्य की id — और चलाए गए आखिरी बीस ट्रैक, जो प्लेयर रुकने या बॉट के सर्वर छोड़ने पर हट जाते हैं। कोई सदस्य जो प्लेलिस्ट सहेजता है वह उसी की होती है और उसकी id के साथ तब तक रखी जाती है जब तक वह उसे हटा न दे। गीत के बोल LRCLIB (lrclib.net) से आते हैं, जो बिना खाते वाला एक खुला डेटाबेस है: उसे चल रहे ट्रैक का कलाकार, शीर्षक और अवधि भेजी जाती है और कुछ नहीं, और जवाब दिखाया जाता है, सहेजा नहीं जाता।

आपके खाते की सुरक्षा

आपका मेलबॉक्स आपके अपने पासवर्ड से खुलता है, जो मेल क्लाइंट में ही सेट होता है और Discord से अलग रखा जाता है। यह साइट इसे केवल तब देखती है जब आप इसे टाइप करते हैं, आपके मेलबॉक्स की कुंजी खोलने के लिए, और इसे रखती नहीं; बॉट, जो इसे जाँचने के लिए पाता है, इसका केवल एकतरफा scrypt हैश रखता है — एक ऐसा मान जिसे कुछ भी वापस पासवर्ड में नहीं बदल सकता, हम भी नहीं — और आपके टाइप किए को उसके विरुद्ध जाँचता है। पासवर्ड स्वयं किसी लॉग, किसी डेटाबेस कॉलम और किसी कुकी में नहीं है।

दूसरा चरण वैकल्पिक है और जोड़ना आप पर है। एक प्रमाणक ऐप का रहस्य और वह पता जिस पर कोड भेजा जाता है ऊपर के गोपनीय पाठ जैसी ही केवल-बॉट कुंजी से AES-256-GCM के साथ एन्क्रिप्ट करके रखे जाते हैं; एक पासकी केवल अपनी सार्वजनिक कुंजी के रूप में रखी जाती है, जो किसी साइन-इन को सत्यापित कर सकती है पर कभी बना नहीं सकती; रिकवरी कोड प्रीमियम टोकन की तरह केवल कुंजीबद्ध हैश के रूप में रखे जाते हैं। भेजा गया कोड हमारे किसी डोमेन के पते से Cloudflare Email Sending के माध्यम से बाहर जाता है। कोई भी दूसरा-कारक तरीका किसी के साथ साझा नहीं किया जाता।

किसी ब्राउज़र पर तीस दिन के लिए भरोसा करना एक कुकी में एक यादृच्छिक टोकन रखता है और बॉट की ओर उस टोकन का केवल एक कुंजीबद्ध हैश — कभी स्वयं टोकन नहीं — ताकि आपके भरोसेमंद ब्राउज़रों की सूची में कुछ भी ऐसा न हो जो ब्राउज़र को किसी और के सामने पहचाने। डैशबोर्ड की तीन साइन-इन कुकीज़ के अलावा, मेलबॉक्स खुले रहने तक अपनी कुछ और रखता है: वह जो इसे एक दिन अनलॉक रखती है, वह जो दूसरे चरण का उत्तर दिए जाने तक एक लॉगिन या पासवर्ड रखती है, वह जो दस मिनट जीती है और उस ब्राउज़र को चिह्नित करती है जिसने मेल साइन-इन शुरू किया, ताकि उसे किसी दूसरे से पूरा न किया जा सके, और भरोसेमंद ब्राउज़र का टोकन। मेल सत्र खुलने के छह घंटे बाद समाप्त हो जाता है, या साझा होस्ट पर साइट से साइन आउट करने पर उससे पहले। हर गलत पासवर्ड या कोड आपके खाते के विरुद्ध और उस पते के विरुद्ध गिना जाता है जिसे इस साइट ने सिद्ध किया — आपकी id और उस पते का एक कुंजीबद्ध हैश, कभी स्वयं पता नहीं — जो एक चौथाई घंटे में कुछ प्रयासों के बाद खाते को लॉक कर देता है; वे रिकॉर्ड एक दिन के भीतर हटा दिए जाते हैं।

सुनना — केवल तभी जब आप कुछ लिंक करें

क्या सहेजा जाता है। /fm किसी व्यक्ति के बारे में तब तक कुछ भी सहेजता नहीं जब तक वह कोई स्रोत लिंक न करे। यदि आप Last.fm या ListenBrainz लिंक करते हैं, तो हम वहाँ आपका उपयोगकर्ता नाम सहेजते हैं। यदि आप स्क्रॉबलिंग आउट भी चालू करते हैं, तो हम वह कुंजी सहेजते हैं जिससे बॉट आपकी ओर से प्ले भेज सकता है, एन्क्रिप्ट करके, केवल तब तक जब तक वह चालू है — उसे बंद करने या अनलिंक करने पर वह हट जाती है। यदि आप Discord का Spotify स्टेटस इस्तेमाल करते हैं, तो बॉट आपके स्टेटस में Spotify का गाना उन सर्वरों में पढ़ता है जो वह आपके साथ साझा करता है, केवल आपकी सहमति के बाद, और जब आप उसका लगभग आधा सुन लेते हैं तब एक प्ले दर्ज करता है। आपकी उपस्थिति में से और कुछ नहीं पढ़ा जाता।

क्या रखा जाता है, और इसे कौन देखता है। जो प्ले बॉट ने खुद सुने — आपके Spotify स्टेटस से या उसके अपने म्यूज़िक प्लेयर से — वे एक साल तक रखे जाते हैं। आपके शीर्ष कलाकार, एल्बम, ट्रैक और शैलियाँ, हर एक के हज़ार तक, हर कुछ घंटों में आपकी सेवा से कॉपी किए जाते हैं ताकि कोई सर्वर दिखा सके कि कौन क्या सुनता है। मित्र, कुछ डिस्प्ले सेटिंग और वे सर्वर जिनमें आपने खुद को छिपाना चुना, वे भी सहेजे जाते हैं। प्ले और सूचियाँ केवल उन्हीं लोगों को दिखाई जाती हैं जो आपके साथ उन सर्वरों में हैं; आपका Last.fm या ListenBrainz उपयोगकर्ता नाम ग्लोबल who-knows में केवल तभी दिखता है जब आपने उसे चालू किया हो, और जब तक आप नहीं करते वह बंद रहता है। /fm account यह सब दिखाता है और सब कुछ एक साथ हटा देता है, और आपका आखिरी स्रोत अनलिंक करने पर भी यही होता है।

Last.fm और ListenBrainz। जब कोई /fm इस्तेमाल करता है, तो बॉट Last.fm (ws.audioscrobbler.com) या ListenBrainz (api.listenbrainz.org) से लिंक किए गए व्यक्ति का सार्वजनिक सुनने का डेटा माँगता है, उनके उपयोगकर्ता नाम के साथ और उनके बारे में और कुछ नहीं। केवल यदि स्क्रॉबलिंग आउट चालू है, तो बॉट उस व्यक्ति के लिए सुने गए प्ले भी सेवा को भेजता है, उनकी कुंजी से हस्ताक्षरित। एल्बम कवर बॉट Last.fm के इमेज सर्वरों से लाता है, आपका डिवाइस कभी नहीं। हर सेवा की अपनी गोपनीयता नीति है, और आपके सुनने के बारे में जो उसके पास है, वह वहाँ पहले से आपका ही था।

Last.fm को लिंक करना Last.fm के अपने पेज पर होता है: बॉट Last.fm से एक बार का टोकन माँगता है और आपको वह पता देता है जहाँ आप उसे मंज़ूर करते हैं, फिर Last.fm से पूछकर जान लेता है कि आपने ऐसा किया। टोकन केवल बॉट की मेमोरी में रहता है, जब तक वह इस्तेमाल न हो या एक घंटा न बीत जाए, और उसे कभी संग्रहीत या लॉग नहीं किया जाता। केवल अपना Last.fm उपयोगकर्ता नाम लिखने पर बिना कुछ मंज़ूर किए लिंक हो जाता है और Last.fm को केवल वही नाम भेजा जाता है। Discord के Spotify स्टेटस को लिंक करने के लिए बॉट का Presence intent चाहिए; जब तक वह चालू नहीं है, केवल बाकी दो विकल्प मिलते हैं।

इतिहास आयात करना। यदि आप /fm import को Spotify या Apple Music की फ़ाइल देते हैं, तो बॉट उसे एक बार पढ़ता है और हर प्ले का केवल समय, कलाकार, गाना और एल्बम रखता है। फ़ाइल खुद आयात चलने के कुछ मिनट एक अस्थायी फ़ाइल में रहती है और उसके तुरंत बाद हटा दी जाती है; किसी को कुछ नहीं भेजा जाता। आयात किए गए प्ले तब तक रखे जाते हैं जब तक आप उन्हें हटा न दें (/fm account में एक बटन है) या सब कुछ मिटा न दें, और बाकी प्ले की तरह दिखाए जाते हैं: केवल उन लोगों को जो उन सर्वरों में हैं जिनमें आप हैं।

ताज का इतिहास। जब किसी सर्वर के ताज या “कौन जानता है” सूची पढ़ी जाती है, तो बॉट दर्ज करता है कि वहाँ हर कलाकार का ताज किसके पास है और जब वह हाथ बदलता है तो किसने किससे और कब लिया — अधिकतम एक वर्ष तक। तुम्हारा सुनने का डेटा हटाने पर वे ताज हट जाते हैं जो तुम्हारे पास थे और यह भी भुला दिया जाता है कि तुमने किससे कोई ताज लिया था।

एन्क्रिप्शन

विश्वास में लिखा गया मुक्त पाठ संग्रहित होने से पहले AES-256-GCM से एन्क्रिप्ट होता है, और केवल तब डिक्रिप्ट होता है जब उसे उस स्टाफ़ को दिखाया जाए जिसके लिए वह लिखा गया था। ये पाँच चीज़ें हैं: बैन अपील, स्टाफ़ आवेदन के उत्तर, टिकट खोलते समय दिए गए उत्तर, टिकट रेटिंग के साथ छोड़ी गई टिप्पणी, और जन्मदिन के साथ किसी का बताया गया साल। कुंजी एक ऐसे रहस्य से बनती है जो केवल बॉट के अपने परिवेश में है — वेबसाइट एक अलग सेवा के रूप में चलती है जिसके पास वह नहीं है और जो उसका उपयोग नहीं कर सकती — इसलिए डेटाबेस की अकेली प्रति केवल सायफ़रटेक्स्ट देती है।

यह 19 सितंबर 2026 तक तीन कहता था, और चौथा उसका कारण था: टिकट रेटिंग के साथ छोड़ी गई टिप्पणी — “जिस मॉडरेटर ने इसे बंद किया उसने मुझसे रूखेपन से बात की” उसमें लिखी जाने वाली चीज़ों में से है — फ़ीचर के आने के दिन से सादे पाठ के रूप में संग्रहित थी। वह एक ही फ़ाइल में एन्क्रिप्ट किए जा रहे टिकट उत्तरों से दो घोषणाएँ नीचे पड़ी थी, और कुछ दोनों को एक-दूसरे के सामने नहीं रखता था। अब वह एन्क्रिप्ट है, जो पहले से संग्रहित था सब बदल दिया गया, और बिल्ड में एक जाँच इस आकार के किसी भी नए फ़ील्ड को तब तक रोकती है जब तक कोई लिख न दे कि वह दोनों में से कौन सा है।

अधूरे आवेदन। लंबा आवेदन फ़ॉर्म पन्नों में पूछा जाता है। जो पन्ने भेजे जा चुके हैं उनके उत्तर उसी तरह एन्क्रिप्ट करके तब तक रखे जाते हैं जब तक आख़िरी पन्ना न भेज दिया जाए — तब वे आवेदन बन जाते हैं — या एक घंटे तक, जो भी पहले हो, और आवेदक उन्हें कभी भी हटा सकता है। जो कभी शुरू ही नहीं करता, उसके लिए कुछ नहीं रखा जाता।

जो एन्क्रिप्ट नहीं होता, साफ़-साफ़ कहें तो: हर उत्तर के बग़ल में स्टाफ़ सदस्य का लिखा सवाल, मॉडरेशन रिकॉर्ड पर मॉडरेटर के टाइप किए कारण, वह कारण जो सदस्य AFK होने के लिए देता है — जिसे बॉट हर उस व्यक्ति को दिखाता है जो उनका उल्लेख करता है — और आपके सर्वर की सेटिंग। इनमें से कोई किसी के अपने बारे में निजी शब्द नहीं हैं, और इन्हें एन्क्रिप्ट करने से आपके मॉडरेटर अपने ही रिकॉर्ड खोज पाने की क्षमता खो देते।

हटाना

बॉट को अपने सर्वर से हटाइए और उस सर्वर के लिए रखा गया सब कुछ तीस दिन बाद अपने आप मिटा दिया जाता है, किसी अनुरोध की ज़रूरत नहीं।

देरी ही ख़ूबी है, कमी नहीं। किसी सर्वर के बॉट को हटाने का अब तक का सबसे आम कारण उसे अलग अनुमतियों के साथ तुरंत वापस जोड़ना होता है, और जो हटाना उसके जाते ही चल पड़ता, वह हर सेटिंग, हर चेतावनी और हर मॉडरेशन रिकॉर्ड को साथ ले जाता। इस अवधि के भीतर दोबारा आमंत्रित कीजिए और आपका सर्वर ठीक वैसा ही मिलेगा जैसा आपने छोड़ा था; अवधि निकल जाए तो लौटने के लिए कुछ नहीं बचता। बॉट के जाने के बाद कुछ नया दर्ज नहीं होता — वह सर्वर देख नहीं सकता — और घड़ी आख़िरी प्रस्थान से दोबारा शुरू होती है, इसलिए दो बार जाने से अवधि छोटी नहीं होती।

अगर तीस दिन बहुत लंबे हैं, तो सर्वर का मालिक या व्यवस्थापक इसे तुरंत करवा सकता है: सहायता सर्वर में कहिए। यह अनुरोध पर होता है, किसी समय-सारणी पर नहीं।

पैनल में साइन इन करना

यह साइट sykbot.com है, और दस्तावेज़ sickenn.info पर हैं। साइन इन केवल sicken.me पर होता है, कहीं और नहीं, और नीचे बताई गई कुकी केवल उसी पते की हैं — ब्राउज़र उन्हें कभी किसी दूसरे पते पर नहीं भेजता। कहीं और का कोई भी पेज जो आपसे sick के लिए Discord से साइन इन करने को कहे, वह यह साइट नहीं है। मेल mail.sicken.me पर पढ़ी और लिखी जाती है। इसका अपना साइन इन नहीं है: यह आपको साइन इन के लिए sicken.me पर भेजता है और वापस ले आता है, और इसकी कुकीज़ केवल इसी की हैं।

वेबसाइट के पास कोई डेटाबेस नहीं है, इसलिए लॉगिन आपके ब्राउज़र की एक कुकी में रखा जाता है। साइन इन करते समय Discord से दो स्कोप माँगे जाते हैं, identify और guilds — आपका नाम और उन सर्वरों की सूची जिनमें आप हैं, और कुछ नहीं — और कुकी वह रखती है जो लौटकर आता है: आपकी Discord ID, उपयोगकर्ता नाम और आपकी प्रोफ़ाइल तस्वीर की ID, और उन दो स्कोप के एक्सेस और रिफ़्रेश टोकन। यह AES-256-GCM से एन्क्रिप्ट और प्रमाणित है, उस कुंजी के अंतर्गत जो केवल वेबसाइट के पास है, इसलिए इसे आपके ब्राउज़र में न पढ़ा जा सकता है न बदला जा सकता है, और इसका कुछ भी सर्वर पर लिखा नहीं जाता। यह हाल में खोले गए अधिकतम चार सर्वर भी याद रखती है, ताकि वे सूची में पहले आएँ।

आपकी प्रोफ़ाइल तस्वीर और आपके सर्वरों के आइकन इस साइट द्वारा Discord से लाकर आपके ब्राउज़र को दिए जाते हैं, इसलिए आपका ब्राउज़र Discord के इमेज सर्वरों से कभी संपर्क नहीं करता और वे आपका पता कभी नहीं देखते। यह साइट इनमें से कुछ नहीं रखती: हर एक तब लाया जाता है जब कोई पृष्ठ उसे माँगे, और आपका ब्राउज़र और इस साइट के सामने का नेटवर्क एक सप्ताह तक उसकी प्रति रख सकते हैं, एक ऐसे पते के अंतर्गत जो तस्वीर बदलते ही बदल जाता है।

जब तक किसी फ़ीचर का सेटिंग पृष्ठ खुला है और स्क्रीन पर है, वह इस साइट से — किसी और से कभी नहीं — आपके सर्वर के चैनल और भूमिका की सूचियाँ हर मिनट दोबारा माँगता है, ताकि अभी बनाया गया चैनल बिना रीलोड किए चुनने को मिले। वह अनुरोध वही कुकी ले जाता है और केवल उसी को उत्तर दिया जाता है जो पृष्ठ खोल सकता था; यह वह इकलौती चीज़ है जो यहाँ का कोई भी पृष्ठ लोड होने के बाद लाता है, और Content-Security-Policy उसे केवल उन्हीं पृष्ठों पर अनुमति देती है।

यह आपके साइन इन करने से तीस दिन चलती है, जिससे कोई Discord को दोबारा जोड़े बिना लौट सकता है; उसके बाद ब्राउज़र को सहमति स्क्रीन के बिना Discord से होकर भेजा जाता है, उस ऐप के लिए जिसे आप पहले ही स्वीकृत कर चुके हैं। एक महीना केवल इसलिए सुरक्षित है कि Discord उस पर नियंत्रण रखता है: हर कुछ मिनट में साइट Discord से पूछती है कि क्या लॉगिन अब भी मान्य है, लॉग आउट करने से Discord पर टोकन रद्द हो जाते हैं — इसलिए कुकी की प्रति भी काम करना बंद कर देती है — और Discord की अपनी सेटिंग में अधिकृत ऐप्स के अंतर्गत sick को हटाना इसे आपकी ओर से हर डिवाइस पर एक साथ समाप्त कर देता है।

दूसरी कुकी में केवल अंक 1 होता है, और वह लॉग आउट करने के बाद ही बनती है। वह दर्ज करती है कि आपने ऐसा किया, ताकि अगला लॉगिन Discord की सहमति स्क्रीन दिखाए — Discord के अपने “आप नहीं हैं?” के साथ, जिससे आप खाता बदलते हैं — उसे छोड़ने के बजाय। दोबारा साइन इन करने से वह हट जाती है। तीसरी दस मिनट तक रहती है जब लॉगिन चल रहा हो और एक यादृच्छिक मान रखती है जो साबित करता है कि Discord से लौटता उत्तर उस लॉगिन का है जो इस ब्राउज़र ने शुरू किया। यही तीन कुकी हैं जो यह साइट सेट करती है। Cloudflare, जो इसके सामने बैठता है, अपनी अल्पकालिक __cf_bm कुकी सेट कर सकता है जिससे ब्राउज़र और बॉट में फ़र्क़ किया जाए; वह Cloudflare की है, और यहाँ कुछ उसे नहीं पढ़ता।

कौन क्या देख सकता है

कॉन्फ़िगरेशन उन्हें दिखती है जो उसे बदल सकते हैं — डिफ़ॉल्ट रूप से इसका मतलब सर्वर प्रबंधित करें है, और उन कुछ फ़ीचर के लिए और भी ज़्यादा जो व्यवस्थापक माँगते हैं। मॉडरेशन रिकॉर्ड आपके मॉडरेटरों को दिखते हैं। बॉट चलाने वाला कोई भी आपके सर्वर का डेटा सामान्य रूप से नहीं पढ़ता, और ऐसा कोई इंटरफ़ेस नहीं है जो इसे सुविधाजनक बनाए।