Privacy

Informativa sulla privacy

Ultima modifica: 24 ottobre 2026.

Cosa viene conservato

La configurazione del server che imposti tramite i comandi del bot: ID di canali e ruoli, soglie, interruttori e il testo che scrivi in un’impostazione — un prefisso dei comandi, un elenco di parole bloccate, il testo di un pannello di verifica, la frase che attiva una pulizia programmata di un canale, gli ID utente che escludi da un filtro. I registri di moderazione: il numero del caso, chi ha agito, contro chi, il motivo che hai scritto e quando. Dove una funzione ne ha bisogno, gli ID dei messaggi o dei canali che ha creato, per poterli gestire in seguito.

Il testo di configurazione viene conservato così come lo hai scritto, di proposito: i tuoi moderatori devono poter rileggere cosa il server è impostato a fare. Non sono parole private di qualcuno su se stesso — sono le regole del tuo server, scritte da chi lo gestisce.

I conteggi dell’attività, dal momento in cui il bot viene aggiunto. Quanti messaggi ha inviato ogni membro, quanti minuti ha passato in vocale, quanto è movimentato ogni canale, un totale orario per il server e un registro di chi è entrato o uscito e di quale invito lo ha portato. Se il relay dei webhook è attivo, quante volte ha ripubblicato i messaggi bloccati di un membro e quando lo ha fatto l’ultima volta. Sono contatori e marcature temporali e nient’altro: da nessuna parte c’è una riga che dica cosa ha detto qualcuno, o in quale canale, o in quale momento. La suddivisione giornaliera da cui si ricavano le classifiche viene eliminata dopo 120 giorni, e la cronologia di ingressi e uscite dopo 400 giorni.

Il conteggio è attivo dal momento in cui il bot arriva, a differenza della maggior parte di ciò che sa fare, perché una cronologia che inizia quando qualcuno si ricorda di cercare un’impostazione è una cronologia di cui nessuno può fidarsi, e un mese non contato non si recupera. Disattivarlo richiede una sola riga — /logs activity con off — il conteggio si ferma subito e /stats continua a mostrare ciò che era stato registrato prima.

Non è l’unica cosa attiva quando il bot entra, e questa pagina diceva che lo fosse. Anche i comandi di testo, il registro di moderazione, la scala delle punizioni, i giveaway, snipe, AFK e l’impostazione della lingua del bot partono attivi; la pagina della guida li elenca accanto a ogni altro modulo e indica quale è quale. Di questi, snipe e AFK conservano qualcosa su un membro: snipe in memoria e non nel database, e AFK solo dopo che è il membro stesso a impostarlo — il paragrafo qui sotto è esatto su cosa e per quanto tempo.

AFK, solo se un membro lo imposta. Che è assente, il motivo che ha scritto, quando se n’è andato, il nickname che il bot ha sostituito per poterlo rimettere, e i link a un massimo di dieci messaggi che lo hanno menzionato mentre era assente — quale messaggio, in quale canale, di chi e quando, mai il testo del messaggio. Tutto questo viene eliminato la volta successiva che parla in un posto che conta (un server può elencare dei canali che non contano), quando lascia il server, o con /afk remove — e dopo trenta giorni in ogni caso. Un server può disattivare la conservazione delle menzioni.

Cosa il bot ha ricavato da un account quando è entrato. Se il controllo dei nuovi membri è attivo: il punteggio che ha assegnato, la fascia, i segnali scattati, tutto ciò che il bot ha fatto da solo e ciò che un moderatore ha deciso dopo. Viene conservato perché a «perché sono stato espulso» ci sia una risposta che non sia una ricostruzione, e perché «questo account è già entrato e uscito qui» è un segnale che richiede l’esistenza di una cronologia. Eliminato dopo 90 giorni — un giudizio su qualcuno non è la stessa cosa dell’azione di moderazione a cui ha portato, e solo la seconda è un registro.

Ciò che le persone inviano a una funzione, e ciò che la funzione ne ha ricavato. I ricorsi contro i ban e il voto dello staff su di essi; le candidature allo staff, le loro risposte e il voto; i ticket, le loro risposte e la valutazione lasciata alla chiusura; le partecipazioni ai giveaway; le iscrizioni agli eventi e la presenza; i gradi di gilda, gli organici, le note dello staff e i motivi dei contributi; le recensioni che qualcuno ha scritto sul tuo server; le candidature di partner e la loro presentazione. I quattro campi di quell’elenco che sono parole scritte in confidenza sono cifrati — la sezione qui sotto li nomina esattamente.

I backup del server, se qualcuno ne fa uno. /backup save conserva un’istantanea strutturale del server in modo che possa essere ricostruito: nomi e permessi dei ruoli, nomi, argomenti e sovrascritture dei canali, categorie, metadati di emoji e sticker, e la lista dei ban con i motivi scritti su di essa. Non contiene messaggi. È la struttura del tuo stesso server, conservata dove hai detto al bot di conservarla, e /backup delete rimuove uno slot del tutto.

I messaggi che il tuo staff costruisce con /message. Una bozza non finita (scartata dopo una settimana senza modifiche), i modelli salvati, i post programmati per più tardi e un registro di ogni post per poterlo modificare — dimenticato dopo 90 giorni senza una modifica. È testo che il tuo staff ha scritto perché il bot lo invii, con chi lo ha scritto; niente di ciò che ha detto un membro.

I messaggi di benvenuto del tuo server. Il messaggio di benvenuto, quello di addio e il DM di benvenuto che il tuo staff ha costruito, il testo sulle schede di benvenuto e di addio e un’immagine di sfondo se ne è stata caricata una per una scheda — conservata come immagine che il bot ha ridisegnato dal caricamento, così del file originale non resta altro che i suoi pixel. Per disegnare una scheda, il bot recupera da Discord, in quel momento, l’immagine del profilo del membro che entra o esce e non ne conserva nulla.

Livelli, se un server li attiva. Con il modulo Livelli attivo, il bot conserva un numero per membro — gli XP guadagnati dai messaggi e dal tempo in vocale — e quando è cambiato l’ultima volta, e nient’altro: nessuna registrazione di ciò che è stato detto, né dove. Da quel numero si ricavano un livello e una posizione. Resta finché il bot è nel server, anche dopo che un membro se ne va, così i suoi ruoli premio possono tornare se rientra; viene eliminato con il resto dei dati del server trenta giorni dopo la rimozione del bot. Se il server lascia attiva la sua classifica pubblica — è attiva per impostazione predefinita, e un interruttore la disattiva — il nome del membro nel server, l’immagine del profilo, il livello e gli XP vengono mostrati su una pagina pubblica di questo sito a chiunque abbia il link. Il nome e l’immagine vengono presi da Discord quando la pagina viene disegnata e non vengono mai scritti nel database; la pagina disegnata viene conservata per meno di un minuto, così una classifica molto visitata non raggiunge il bot a ogni visita.

Riproduzioni dei raid, solo quando l’anti-raid rileva un raid o lo staff segna un intervallo. Quali account sono entrati in quel periodo e quando, quanti anni aveva ogni account, se aveva un avatar, una chiave di sole lettere ricavata dal nome utente per riconoscere un gruppo di nomi simili (mai il nome utente stesso), cosa hanno fatto il bot o un moderatore per ciascuno (kick, ban, timeout), se il server è stato bloccato e quanti messaggi sono stati rimossi. Mai il testo di un messaggio. Conservato per 30 giorni, al massimo 25 raid per server, ed eliminato insieme a tutto il resto quando il bot lascia un server.

Suggerimenti, se un server li attiva. Un suggerimento conserva il testo scritto, chi lo ha inviato, dove è stata pubblicata la sua scheda e — quando lo staff risponde — la risposta, chi l’ha data e perché. Ogni voto è una riga: quale suggerimento, quale membro, in quale senso. Un suggerimento anonimo registra comunque chi lo ha inviato, perché il limite per membro e l’attesa si contano da lì; non viene mostrato da nessuna parte. Tutto questo viene cancellato con il resto dei dati del server trenta giorni dopo la rimozione del bot. Un suggerimento inviato con /suggest bot riguarda il bot e non un server: passa a un canale del server di supporto con il tuo nome, il tuo ID e il server di provenienza, e non viene conservato affatto.

Compleanni, se un membro ne imposta uno. /birthday non conserva nulla su una persona finché non indica una data. Poi conserva il giorno e il mese indicati; l’anno, solo se indicato, cifrato con la stessa chiave del testo riservato qui sotto e riletto solo per dire un’età, e solo in un server che mostra le età; un fuso orario da un elenco fisso; il momento in cui inizia il prossimo compleanno; e con quali server ha scelto di condividerlo, un record ciascuno, creato dalla persona e da nessun altro. Un moderatore può togliere il record di un server e non può mai impostare né leggere una data che non è stata condivisa nel suo server. Nessuno sotto i 13 anni viene conservato: un anno che rende qualcuno più giovane viene rifiutato e non si salva nulla. Il bot non scrive mai alla persona. /birthday remove cancella la data e il record di ogni server in una volta; il record di un server sparisce anche quando il membro lascia quel server o quando i dati del server vengono eliminati; e il breve registro delle celebrazioni già annunciate viene eliminato dopo 400 giorni.

Cancellare un compleanno con /birthday remove elimina subito anche il registro dei festeggiamenti annunciati per quella persona, senza attendere i 400 giorni.

Ruoli temporanei. Quando un moderatore presta un ruolo a qualcuno per un po’, il bot conserva chi lo ha, quale ruolo, quando finisce, chi lo ha prestato e il motivo digitato (al massimo 400 caratteri), finché il ruolo non viene tolto. Un ruolo prestato per un compleanno o per aver rotto un conteggio è conservato allo stesso modo, con il bot come chi lo presta. Il record viene eliminato quando il ruolo è tolto, quando il membro è bannato e — a meno che il server non abbia scelto di tenere il tempo per il suo ritorno — quando se ne va.

Conteggio, se un server imposta un canale. Per ogni canale di conteggio il bot conserva il numero a cui è arrivato, chi ha contato per ultimo, le regole del canale e, per ogni membro che vi ha contato, quanti numeri corretti ha dato e quante volte ha rotto il conteggio — id e numeri, mai ciò che qualcuno ha scritto. I messaggi in un canale di conteggio sono letti appena arrivano per giudicarli e non vengono conservati. Tutto viene eliminato con il canale, quando il conteggio lì viene fermato, o con il resto dei dati del server trenta giorni dopo la rimozione del bot.

Modmail, solo se un server lo attiva. Quando un membro manda un messaggio privato al bot, il bot lo legge e lo passa allo staff del server scelto, in un canale privato scelto da quel server — chiunque veda quel canale può leggerlo, e così chi vede il canale di log del server se lì vengono pubblicate le trascrizioni. Le risposte dello staff arrivano nei messaggi privati del membro; una risposta anonima nasconde il mittente al membro, non al resto dello staff. Il bot non conserva nessun testo di messaggio: salva identificativi, conteggi e orari, quale messaggio privato corrisponde a quale messaggio del canale (eliminato trenta giorni dopo la chiusura del thread), i motivi scritti dallo staff per una chiusura o un blocco e le risposte salvate dallo staff. Il record di un thread chiuso viene eliminato dopo i giorni impostati dal server, novanta di default. La conversazione stessa e ogni file di trascrizione restano nel Discord di quel server, secondo le sue regole. Un membro chiude una conversazione con Close this conversation sotto la prima risposta del bot, impedisce a un server di avviarne una con Stop messages from this server, o semplicemente non scrive al bot. Nessuna terza parte riceve nulla di tutto questo.

Lo store dei modelli. Se valuti un modello, il bot conserva l’id del tuo account, le stelle e quando. Se commenti, conserva l’id del tuo account, il nome visualizzato che avevi in quel momento, il testo e quando; puoi eliminare tu stesso il tuo commento e il proprietario può rimuoverlo. Una segnalazione conserva l’id del tuo account e il motivo che hai scritto. Perché solo chi ha usato un modello possa valutarlo, il bot conserva quale modello hai applicato, su quale id di server e quando, finché il modello esiste. Il proprietario legge ogni modello inviato prima che venga elencato, e ogni commento in attesa di revisione prima che compaia; un commento su cui nessuno ha deciso viene eliminato dopo 30 giorni. Per limitare la frequenza con cui un account o un indirizzo può commentare, segnalare o valutare, il bot conserva un hash con chiave dell’indirizzo — mai l’indirizzo stesso — con l’id dell’account e l’ora, eliminato dopo 30 giorni. Un modello che stai ancora scrivendo viene conservato sigillato (cifrato) per 7 giorni. Per far rimuovere tutto ciò che lo store conserva sul tuo account, chiedilo nel server di supporto e il proprietario esegue la rimozione. Il testo di un commento — e solo il testo, senza account, nome o modello associato — viene inviato all’endpoint di moderazione di OpenAI prima della pubblicazione del commento, alle condizioni descritte sopra sotto OpenAI; un commento che segnala, o a cui non risponde in tempo, viene trattenuto per il proprietario anziché pubblicato. Dove il bot non ha una chiave OpenAI, quel passaggio viene saltato e gli altri controlli valgono da soli.

Cosa non viene mai conservato

Il contenuto dei messaggi. Nulla nel database conserva ciò che le persone dicono nei tuoi canali, e non c’è alcuna eccezione — nemmeno una colonna del database contiene un messaggio pubblicato da qualcuno. Questa pagina citava le trascrizioni dei ticket come eccezione, e non lo sono: una trascrizione viene costruita dalla cronologia che Discord stesso conserva, nel momento in cui un moderatore la chiede, e ripubblicata nel tuo server come file. Qui non ne viene conservato nulla. Il testo che qualcuno invia deliberatamente al bot — un ricorso contro un ban, una candidatura, il modulo quando si apre un ticket, il commento lasciato con una valutazione — viene conservato, perché una recensione che non si può leggere non è una recensione; è cifrato, e la sezione qui sotto dice esattamente quali campi. Lo stesso vale per il motivo che un membro indica con /afk, finché non torna — non cifrato, perché non è scritto in confidenza: viene mostrato a chiunque lo menzioni.

Due cose sono tenute fuori dal database, ed è bene essere esatti su entrambe. La prima è snipe: /snipe mostra l’ultimo messaggio eliminato o modificato in un canale, quindi deve conservarne uno: cinque per canale, per due ore al massimo, in memoria. Non viene scritto nulla, un riavvio dimentica tutto e non lascia mai il processo. Chiunque possa leggere il canale può chiederlo — è a questo che serve il comando — e il bot verifica quell’accesso nel momento in cui risponde e non quando il messaggio è stato rimosso. Non mostrerà un messaggio eliminato dal bot stesso, né nulla cancellato in blocco, perché snipe non deve diventare un modo per rileggere la moderazione. Un server che lo vuole più ristretto lo limita ai moderatori, o esclude del tutto dei canali, con /logs snipe; un moderatore che ha appena rimosso qualcosa lo svuota subito con /snipe clear.

La seconda sono i contatori delle protezioni. Anti-nuke, anti-raid, anti-spam e le altre decidono contando — quanti canali ha eliminato un moderatore nell’ultimo minuto, quanti account sono entrati negli ultimi trenta secondi — e quei conteggi vengono copiati ogni pochi secondi in una cache Redis sulla stessa macchina, così che riavviare il bot non regali un nuovo margine a chi è a metà di un attacco. Ciò che viene copiato sono gli ID — del server, e del membro o del canale coinvolto — e gli orari in cui le cose sono accadute, mai ciò che qualcuno ha detto: la memoria dei messaggi recenti dell’anti-spam resta nel processo e un riavvio la dimentica. Ogni copia scade da sola — entro un’ora, la maggior parte entro pochi minuti — la cache non scrive mai su disco e nulla può raggiungerla se non il bot stesso — non il sito web, e non internet. Durante un aggiornamento, quando una nuova copia del bot subentra alla vecchia, gli ID dei messaggi e delle interazioni a cui la vecchia copia ha risposto negli ultimi secondi passano attraverso la stessa cache, per trenta secondi al massimo, così che nulla riceva una risposta due volte. Una cosa in quella cache dura più di un’ora: quali nuovi membri stanno ancora aspettando a un cancello — la schermata delle regole di Discord, la verifica, una quarantena — i ruoli che il server assegna all’ingresso, conservati come l’ID del server, l’ID del membro e il momento in cui l’attesa scade, per un giorno al massimo, così che un aggiornamento non si dimentichi di darglieli.

Gli indirizzi IP. Il bot non ne vede mai uno — Discord non espone a un bot l’indirizzo di un membro, e qui nulla aggira questo limite. L’unico punto in cui un indirizzo viene letto è il controllo della connessione del sito web, descritto subito dopo, e viene letto una volta sola e non conservato: non memorizzato, non registrato nei log, non sottoposto a hash. Un database rubato non contiene indirizzi né nulla che ne derivi.

I messaggi vocali, se qualcuno chiede di trascriverli. /transcribe scarica quel messaggio vocale e lo trasforma in testo sul server del bot stesso, con un modello vocale che gira lì. L’audio non va a nessun’altra azienda o servizio; viene tenuto solo mentre lo si ascolta ed eliminato appena finito. Le parole sono pubblicate nel canale in cui è stato usato il comando e non sono conservate altrove — non resta alcuna traccia di ciò che è stato detto. Perché una persona non monopolizzi la macchina, il bot conta in memoria quante ne hanno chieste ogni persona e ogni server negli ultimi dieci minuti; i conteggi vengono dimenticati dopo, e un riavvio li dimentica subito.

Le cinque terze parti, e cosa viene dato a ciascuna

Per gran parte della sua vita questo sito ha potuto dire che nessuna terza parte vedeva mai i tuoi membri. Ha smesso di essere vero quando il modulo di verifica ha acquisito Rifiuta VPN e proxy, perché sapere se un indirizzo appartiene a una VPN è un fatto che possiede solo un servizio di reputazione. Ognuna delle cinque qui sotto è disattivata a meno che un server non la attivi, e quando è attiva, ciò che segue è tutto ciò che accade.

proxycheck.io. Un membro a cui l’impostazione si applica riceve un link monouso a una pagina di questo sito. Quando preme il pulsante al suo interno, l’indirizzo di connessione viene inviato una sola volta a proxycheck.io con la domanda «è una VPN, un proxy o un intervallo di hosting» e nient’altro — nessun nome utente, nessun server, nessun ID account. La risposta viene letta per quell’unico bit e scartata. Il bot, che sa chi è il membro, non riceve mai l’indirizzo; il sito web, che ha visto l’indirizzo, non sa mai chi sia il membro. Ciò che resta dopo è una marcatura temporale sul registro di verifica del membro che dice che la connessione era pulita, e un rifiuto non lascia nulla.

Cloudflare Turnstile. Facoltativamente, quella stessa pagina include il widget Turnstile di Cloudflare, in modo che uno script non possa premere il pulsante. Lo script del widget è l’unica cosa che questo sito carica da un altro dominio, solo in quella pagina, e la Content-Security-Policy di questo sito lo vieta comunque ovunque altrove. La sua risposta viene verificata con Cloudflare senza l’indirizzo allegato. Turnstile non sostituisce il CAPTCHA dentro Discord, che continua a essere disegnato nel processo.

OpenAI. È la più grande delle tre e quella a cui viene dato ciò che le persone pubblicano, quindi conviene essere esatti. Un server può attivare la scansione immagini con IA, che fa decidere a un modello se un’immagine è sessuale, cruenta, violenta o mostra autolesionismo. Nessun elenco di parole può leggere un’immagine, e non esiste una versione di questo che giri sulle nostre macchine, ed è l’unico motivo per cui è qui.

Quando un server l’ha attivata, ogni immagine pubblicata in un canale sottoposto a scansione viene inviata all’endpoint di moderazione di OpenAI come il link a quell’immagine sui server di Discord stesso, e nient’altro — nessun testo scritto da qualcuno, nessun nome utente, nessun ID account, nessun nome del server, nessun nome del canale. Ciò comprende i caricamenti e, se il server la lascia attiva, l’immagine che Discord mostra sotto un link. La risposta torna come punteggio per categoria, viene letta per decidere se l’immagine viola le regole di quel server e viene scartata. Nulla di essa viene scritto qui, e l’immagine stessa non viene mai conservata nel nostro database.

Cosa ne fa OpenAI, nelle loro parole e non nelle nostre. La loro documentazione afferma che i dati inviati all’API «non vengono usati per addestrare o migliorare i modelli di OpenAI» a meno che non si scelga esplicitamente di aderire, e noi non l’abbiamo fatto. Afferma anche che i log di monitoraggio degli abusi «possono contenere alcuni contenuti dei clienti, come prompt e risposte» e sono «conservati fino a 30 giorni» per impostazione predefinita. Quindi la versione onesta non è che l’immagine svanisca nel momento in cui viene analizzata: noi non ne conserviamo nulla, e OpenAI può tenerla fino a trenta giorni per controllare il proprio servizio. Un server che non vuole che questo accada dovrebbe lasciare il modulo disattivato, ed è così che viene fornito.

È disattivato finché un amministratore non abilita il modulo. Un server può escludere dei ruoli, saltare interi canali o analizzarne solo alcuni, analizzare solo i membri più recenti e saltare i propri moderatori, e la descrizione del modulo dice chiaramente che attivarlo è ciò che manda le immagini fuori dal server. Disattiva il modulo e non viene più inviato nulla.

Due limiti onesti. È bravo con i danni generici e non sa che aspetto abbia una minaccia per il tuo server — un raid in preparazione, una truffa, una pubblicità — perché non sono categorie che il modello possiede, e non legge affatto il testo. E la documentazione di OpenAI stessa dice che l’endpoint non è progettato per rilevare materiale pedopornografico e non sostituisce misure dedicate alla tutela dei minori; qui nulla afferma il contrario, e quel canale di segnalazione resta quello di Discord.

Nient’altro viene caricato. Nessuna analisi statistica, nessun servizio di font, nessuno script o foglio di stile dalla CDN di qualcuno: ogni pagina diversa dal controllo della connessione non recupera nulla da un altro dominio, e questo è imposto dalla Content-Security-Policy e non semplicemente promesso. Cloudflare sta davanti al sito come sua rete — vede le richieste che vede qualsiasi rete davanti a un sito, ed è il motivo per cui il sito resta in piedi sotto un’ondata di traffico — ma non riceve nulla sui tuoi membri, perché le pagine non contengono nulla sui tuoi membri.

YouTube e Twitch. Un server può seguire un canale YouTube o uno streamer Twitch con /alerts, e il bot chiede poi al servizio ogni pochi minuti se c’è qualcosa di nuovo. A YouTube invia una richiesta per il feed RSS pubblico del canale, che nomina solo l’id pubblico di quel canale. A Twitch invia il nome di accesso pubblico dello streamer — insieme ad altri, fino a cento per richiesta — firmato con l’applicazione Twitch del bot stesso, mai con l’account di un membro. Nessun membro, nome di server o nome di canale viene inviato a nessuno dei due, e nessuno dei due sa quale server segue chi. La risposta viene letta per il video più recente, o per id, titolo e gioco della diretta, e scartata. Ciò che resta è il canale o il nome di accesso che il server ha scelto di seguire, dove pubblicare e l’id dell’ultima cosa annunciata, perché nulla sia annunciato due volte. Entrambi sono disattivati finché un server non aggiunge un seguito, e rimuovere il seguito ferma le richieste.

Una riga sponsorizzata

Chi gestisce questo bot può impostare un solo link sponsorizzato: una riga breve contrassegnata come Sponsorizzato, di cui sceglie testo e destinazione e che è pagata da chi si trova dall’altra parte del link. Compare nel piè di pagina di questo sito e, di tanto in tanto, sotto una delle risposte del bot in un server senza premium: al massimo una volta ogni 45 minuti nello stesso server, solo dopo almeno 6 altre risposte lì, e mai sotto un’azione di moderazione, un avviso, una risposta privata o un messaggio con pulsanti. I server premium non la vedono mai su Discord. Il sito non può sapere chi lo legge, quindi il piè di pagina la mostra a tutti i visitatori.

È un link e nulla più. Nulla viene caricato dallo sponsor e nulla gli viene inviato. Per rispettare la regola sopra, il bot tiene in memoria — mai nel database — quando ogni server ha visto la riga l’ultima volta e quante risposte sono uscite lì da allora, oltre a un conteggio di quante volte è stata mostrata; nessuna persona viene registrata e lo sponsor non ne vede nulla. Il bot non registra clic e non effettua reindirizzamenti, e il link non porta alcun referrer da questo sito. Se lo clicchi, passi al loro sito, dove si applica la loro politica. Il testo dello sponsor è mostrato così come è stato scritto e non viene tradotto. Quando nessuno sponsor è impostato, la riga non esiste da nessuna parte.

Niente di tutto questo viene tenuto a lungo. Il record di un server viene dimenticato 24 ore dopo la sua ultima risposta. Si tengono al massimo 20.000 server alla volta; quando il limite è pieno, esce quello che tace da più tempo. Tutto quanto, conteggio compreso, sparisce a ogni riavvio del bot.

Token premium e il tuo account

Il premium per account è una sola riga: il tuo id Discord, se è mensile o a vita, quando scade, da dove viene e quanti cambi di server extra hai acquistato. Un token è conservato solo come hash con chiave di sé stesso, quindi il database non contiene nulla che possa tornare a essere un token; il token esiste nella risposta al proprietario quando viene emesso e in nessun altro luogo dopo.

Ogni tentativo di riscattare un token viene registrato — il tuo id, se è arrivato da questo sito o da Discord, come è andato e un hash con chiave dell’indirizzo che questo sito ha verificato per la richiesta, mai l’indirizzo. Quel registro è ciò che blocca un account e un indirizzo dopo una manciata di token errati, e ciò che permette a chi gestisce il bot di vedere un indirizzo dietro molti account. Viene cancellato dopo 90 giorni.

Ogni server registra quale account ha aggiunto sick, ed è questo a rendere il server premium quando lo è quell’account. I server a cui aggiungi sick vengono anche annotati sul tuo account — l’id del server e quando — così i tuoi cambi possono essere contati. Quella lista viene conservata, e un server vi resta dopo che sick se ne va, perché un cambio speso è speso.

Pagamenti, tramite PayPal

I pagamenti nello store sono gestiti da PayPal, l’unico servizio di pagamento coinvolto. Quando paghi, il tuo browser comunica con PayPal e solo PayPal vede i dati della tua carta, della banca o del portafoglio. Non raggiungono mai questo sito né il bot e non vengono mai salvati qui. L’informativa sulla privacy di PayPal copre ciò che conserva. La pagina dello store carica gli script di PayPal, e quelli di Apple Pay e Google Pay dove il tuo dispositivo li offre, solo in quella pagina e solo per ricevere un pagamento.

Per ogni pagamento il bot conserva gli id PayPal di ordine, abbonamento e pagamento, importo e valuta, stato, cosa è stato acquistato e il tuo id Discord, così il premium può essere assegnato, rinnovato, rimborsato e revocato, e una contestazione può essere associata al suo pagamento. Ogni notifica che PayPal invia al bot viene registrata con il suo id evento, il tipo e come è stata gestita, così nessuna viene applicata due volte. Il tuo id Discord va anche a PayPal con l’ordine, così un pagamento può essere associato a te. Questi registri sono la documentazione del titolare di cosa è stato venduto e a chi, e vengono conservati.

Per acquistare accedi con Discord come al solito. La pagina dello store conserva poi un cookie di breve durata, trenta minuti, con il tuo id e nome Discord per sapere chi sta pagando. Non contiene altro e nessun token Discord.

Codici promo e inviti. Un codice promo che digiti viene controllato dal bot e conservato nell’ordine di cui definisce il prezzo. Se apri un link d’invito, il suo codice resta nell’archivio del tuo browser per questo sito finché non acquisti o lo cancelli. Se poi paghi, registriamo quale account ti ha invitato e, una sola volta, che il tuo primo pagamento ha fatto guadagnare un premio a chi ti ha invitato. Chi invita viene informato solo che è stato ottenuto un premio, mai chi sei.

Posta su questo dominio

Il sito ospita anche un piccolo servizio di posta per chi lo gestisce: l’indirizzo del proprietario e gli indirizzi degli account che il proprietario ha autorizzato a usarlo, ciascuno aperto dal sito di posta dopo aver effettuato l’accesso qui. La posta inviata a uno di questi indirizzi arriva tramite Cloudflare Email Routing e un Cloudflare Email Worker, che la consegna a questo sito; quando il sito non è raggiungibile, il Worker conserva il messaggio in Cloudflare Workers KV fino a sette giorni e riprova. La posta inviata da uno di questi indirizzi esce tramite Cloudflare Email Sending. Sono i quattro servizi Cloudflare coinvolti, e nessun altro vede la posta.

La posta è sigillata a riposo. Quando arriva un messaggio, questo sito lo analizza e lo sigilla con una chiave pubblica che appartiene alla casella — AES-256-GCM sotto una chiave monouso per quel messaggio, a sua volta sigillata con la chiave pubblica X25519 della casella — e solo allora lo consegna al bot, il cui database conserva il messaggio sigillato: oggetto, mittente, destinatari, testo, HTML, allegati e i loro nomi, e i byte originali, conservati per sette giorni affinché un messaggio che un parser ha letto male possa essere scaricato per intero. La chiave privata che lo apre è avvolta sotto una chiave ricavata dalla tua password di posta (scrypt) e, se ne crei una, sotto una chiave di recupero monouso; il bot non possiede mai la chiave privata e conserva solo un hash a senso unico della tua password. Questo è zero-access a riposo, non zero-knowledge: questo sito legge la tua posta in memoria mentre analizza un messaggio in arrivo e finché la tua casella è sbloccata, quindi chi può modificare il codice che questo sito esegue potrebbe leggerla, ma il proprietario non può leggerla dal database. La tua chiave sbloccata vive solo nella memoria di questo sito, per al massimo un giorno, e un riavvio blocca ogni casella finché non digiti di nuovo la password. Le immagini remote in un messaggio non vengono mai scaricate dal sito: si caricano nel tuo browser solo quando lo chiedi, e il caricamento di un’immagine dice al mittente quando hai aperto il messaggio e da dove.

Quando accedi a questo sito con Discord, vengono registrati il tuo id Discord, il nome utente e l’hash dell’avatar con l’ora, così il proprietario può vedere chi ha effettuato l’accesso prima di assegnare un indirizzo. Cestino e Spam cancellano il loro contenuto trenta giorni dopo l’arrivo di un messaggio; una casella revocata viene cancellata quattordici giorni dopo la revoca. Se chiedi l’accesso al proprietario, la richiesta — lo stesso id, nome e hash dell’avatar, e l’ora — viene conservata finché il proprietario non risponde o non passano trenta giorni, e il proprietario viene avvisato con un messaggio diretto del bot su Discord. Nient’altro della posta è condiviso con Discord.

L’invio viene conteggiato per destinatario, dalle righe della posta in uscita che vengono già conservate per inviare il messaggio, quindi per questo non si raccoglie nulla di nuovo. Una casella la cui posta continua a rimbalzare ha l’invio sospeso finché il proprietario non la controlla. La posta inviata a postmaster@ o abuse@ su questi domini arriva al proprietario.

Alcune cose restano in chiaro, perché il servizio deve leggerle senza la tua chiave: in quale cartella e scheda si trova un messaggio, i suoi contrassegni (letto, con stella, importante, posticipato), quando è arrivato, la dimensione, a quale conversazione appartiene, quanti allegati ha, i loro tipi di file e gli id delle immagini inline, a quale dei tuoi indirizzi è arrivato, un tag con plus che hai usato, i risultati dei controlli sul mittente e digest con chiave dei suoi identificatori (Message-ID, References) e del mittente. Anche le regole che imposti per i mittenti — un indirizzo o un dominio che hai archiviato, bloccato o autorizzato per le immagini — sono in chiaro. Mentre un messaggio arriva, il bot legge in memoria mittente, destinatari, oggetto, intestazioni e nomi degli allegati per smistarlo in una scheda e applicare le regole antiabuso, e non ne scrive nulla in chiaro. Le caselle il cui titolare non ha ancora effettuato l’accesso con una password da quando è iniziata la sigillatura conservano la posta più vecchia così com’era, leggibile dal servizio; al proprietario viene mostrato quali sono, e ciascuna viene sigillata non appena il suo titolare accede.

La ricerca funziona su digest con chiave, non sulle tue parole. Quando la tua casella è sbloccata, ogni messaggio sigillato riceve fino a 512 digest (HMAC-SHA256) delle parole intere che contiene e del suo mittente e dei destinatari, creati sotto una chiave di ricerca casuale che esiste solo avvolta sotto la tua password e la tua chiave di recupero. Così una ricerca può trovare parole intere e indirizzi esatti — non prefissi, forme di parola o frasi — e chi possiede una copia del database non può testare contro di essi una parola che indovina. Due costi: la posta che arriva mentre la tua casella è bloccata non può essere cercata finché non la sblocchi di nuovo; e i digest con chiave di identificatori e mittenti lasciati in chiaro (sopra) sono creati sotto un segreto che il sito possiede e il database no, quindi chi possedesse entrambi potrebbe verificare se un indirizzo o un Message-ID che indovina compare.

Un messaggio che invii con Annulla o a un’ora successiva attende nella posta in uscita nella forma di cui ha bisogno l’invio: poiché deve essere leggibile quando parte, viene conservato sotto la chiave di server del bot stesso finché non è inviato, annullato o rifiutato definitivamente, e poi cancellato. La copia nella tua cartella Inviati resta sigillata per te. La posta che invii parte tramite TLS come ogni altra posta, attraverso Cloudflare Email Sending, e la posta per te arriva tramite Cloudflare Email Routing: Cloudflare vede il messaggio in transito, prima che questo sito lo sigilli e quando esce.

I messaggi che invii non portano alcun id Discord, id dell’account o indirizzo del tuo browser: un Message-ID casuale sul dominio di invio, nessuna intestazione X-Mailer, User-Agent o X-Originating-IP, e una riga From che mostra solo l’indirizzo che hai scelto, con un nome visualizzato solo se ne imposti uno. Un alias è un ulteriore indirizzo che consegna alla tua casella e che puoi disattivare, impostare perché scada o lasciare rispondere una volta sola. Questo non è anonimato rispetto a chi gestisce il servizio, a Cloudflare o alla persona a cui scrivi: vedono l’indirizzo da cui hai scritto, l’ora e ciò che dice il messaggio.

Se perdi sia la password sia la chiave di recupero, la tua posta non può essere aperta e nessuno può recuperarla per te, proprietario compreso. Quando il proprietario reimposta la password di posta di un titolare, viene cancellata anche la chiave che essa apriva: la posta sigillata sotto di essa non potrà più essere letta e viene cancellata trenta giorni dopo.

Musica e testi

Quando un server attiva il lettore musicale, il bot riproduce audio in un canale vocale tramite un nodo Lavalink che gira accanto a lui sulla stessa macchina. Il nodo recupera l’audio solo dal sito richiesto da un membro e da nient’altro: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), un link https diretto incollato da un membro e — solo se il proprietario l’ha attivato — YouTube (youtube.com, youtu.be, music.youtube.com). Un link Spotify (open.spotify.com, spotify.link) o Apple Music (music.apple.com) viene cercato su quel sito per ottenere il nome del brano e la corrispondenza trovata viene riprodotta da SoundCloud; da nessuno dei due arriva audio. Ognuno di questi siti vede la richiesta che il nodo fa per il brano, come la vedrebbe qualsiasi browser che apre la pagina, e nulla sul server o sul membro che l’ha chiesto.

Cosa conserva il bot per il lettore: il canale vocale e quello testuale in cui si trova, la coda — titolo, artista, durata e fonte di ogni brano, l’identificativo del nodo per quel brano e l’id del membro che l’ha messo in coda — e gli ultimi venti brani riprodotti, che spariscono quando il lettore si ferma o il bot lascia il server. Una playlist salvata da un membro è sua e resta associata al suo id finché non la elimina. I testi arrivano da LRCLIB (lrclib.net), un database aperto senza account: riceve l’artista, il titolo e la durata del brano in riproduzione e nient’altro, e la risposta viene mostrata e non conservata.

La sicurezza del tuo account

La tua casella si apre con una password tua, impostata nel client di posta stesso e tenuta separata da Discord. Il sito la vede solo mentre la digiti, per sbloccare la chiave della tua casella, e non la conserva; il bot, che la riceve per verificarla, ne conserva solo un hash scrypt a senso unico — un valore che nulla può riconvertire nella password, nemmeno noi — e verifica ciò che digiti rispetto a esso. La password in sé non è in alcun log, in alcuna colonna del database e in alcun cookie.

Un secondo passaggio è facoltativo e sta a te aggiungerlo. Il segreto di un’app di autenticazione e l’indirizzo a cui viene inviato un codice sono conservati cifrati con AES-256-GCM, con la stessa chiave riservata al bot del testo riservato qui sopra; una passkey è conservata solo come la sua chiave pubblica, che può verificare un accesso ma non crearlo; i codici di recupero sono tenuti solo come hash con chiave, come i token premium. Un codice inviato esce tramite Cloudflare Email Sending da un indirizzo su un nostro dominio. Nessun metodo di secondo fattore è condiviso con nessuno.

Fidarsi di un browser per trenta giorni memorizza un token casuale in un cookie e, lato bot, solo un hash con chiave di quel token — mai il token stesso — così l’elenco dei tuoi browser fidati non contiene nulla che identifichi il browser a chiunque altro. Accanto ai tre cookie di accesso della dashboard, la casella ne imposta alcuni propri mentre è aperta: quello che la tiene sbloccata per un giorno, quello che trattiene un accesso o una password mentre si risponde al suo secondo passaggio, quello che dura dieci minuti e contrassegna il browser che ha avviato un accesso alla posta, così che non possa essere completato da un altro, e il token del browser fidato. Una sessione di posta termina sei ore dopo l’apertura, o prima se esci dal sito su un host condiviso. Ogni password o codice errato è contato rispetto al tuo account e all’indirizzo che questo sito ha dimostrato — il tuo id e un hash con chiave di quell’indirizzo, mai l’indirizzo stesso — il che blocca l’account dopo alcuni tentativi in un quarto d’ora; quei registri vengono eliminati entro un giorno.

Ascolto — solo se colleghi qualcosa

Cosa viene conservato. /fm non conserva nulla su una persona finché non collega una fonte. Se colleghi Last.fm o ListenBrainz, conserviamo il tuo nome utente lì. Se attivi anche lo scrobbling in uscita, conserviamo la chiave che permette al bot di inviare gli ascolti al posto tuo, cifrata, solo finché è attivo — disattivarlo, o scollegare, la elimina. Se usi lo stato Spotify di Discord, il bot legge il brano Spotify nel tuo stato, nei server che condivide con te, solo dopo il tuo consenso, e registra un ascolto quando ne hai sentito circa la metà. Nient’altro della tua presenza viene letto.

Cosa viene tenuto e chi lo vede. Gli ascolti che il bot ha sentito direttamente — dal tuo stato Spotify o dal suo lettore musicale — sono tenuti per un anno. I tuoi artisti, album, brani e generi più ascoltati, fino a mille per ciascuno, vengono copiati dal tuo servizio ogni poche ore così che un server possa mostrare chi ascolta cosa. Sono conservati anche gli amici, alcune impostazioni di visualizzazione e i server in cui hai scelto di nasconderti. Ascolti ed elenchi sono mostrati solo alle persone nei server in cui ti trovi; il tuo nome utente Last.fm o ListenBrainz compare in un who-knows globale solo se lo hai attivato, ed è disattivato finché non lo fai. /fm account mostra tutto e lo elimina tutto in una volta, e scollegare la tua ultima fonte fa lo stesso.

Last.fm e ListenBrainz. Quando qualcuno usa /fm, il bot chiede a Last.fm (ws.audioscrobbler.com) o a ListenBrainz (api.listenbrainz.org) i dati di ascolto pubblici della persona collegata, usando il suo nome utente e nient’altro su di lei. Solo se lo scrobbling in uscita è attivo, il bot invia inoltre al servizio gli ascolti che ha sentito per quella persona, firmati con la sua chiave. Le copertine degli album sono scaricate dal bot dai server di immagini di Last.fm, mai dal tuo dispositivo. Ogni servizio ha la propria informativa sulla privacy, e ciò che conserva sui tuoi ascolti era già tuo lì.

Il collegamento di Last.fm avviene sulla pagina di Last.fm stessa: il bot chiede a Last.fm un token monouso e ti dà l’indirizzo dove approvarlo, poi scopre che l’hai fatto chiedendolo a Last.fm. Il token vive solo nella memoria del bot finché non viene usato o non passa un’ora, e non viene mai conservato né registrato nei log. Scrivere solo il tuo nome utente Last.fm collega senza approvare nulla e invia a Last.fm quel nome e nient’altro. Collegare lo stato Spotify di Discord richiede il Presence intent del bot; finché non è attivo, vengono proposti solo gli altri due.

Importazione della cronologia. Se dai a /fm import un file di Spotify o Apple Music, il bot lo legge una volta e conserva solo ora, artista, brano e album di ogni ascolto. Il file stesso resta in un file temporaneo per i minuti in cui l’importazione è in corso e viene eliminato subito dopo; nulla viene inviato a nessuno. Gli ascolti importati sono conservati finché non li rimuovi (/fm account ha un pulsante) o non elimini tutto, e sono mostrati come tutti gli altri ascolti: solo alle persone nei server in cui ti trovi anche tu.

Storico delle corone. Quando si leggono le corone di un server o una classifica «chi conosce», il bot annota chi detiene la corona di ogni artista e, quando passa di mano, chi l’ha presa a chi e quando — fino a un anno. Eliminare i tuoi dati di ascolto rimuove le corone che detenevi e dimentica a chi ne hai presa una.

Cifratura

Il testo libero che le persone scrivono in confidenza è cifrato con AES-256-GCM prima di essere conservato, e decifrato solo nel momento in cui viene mostrato allo staff a cui era destinato. Sono cinque cose: i ricorsi contro i ban, le risposte alle candidature allo staff, le risposte date all’apertura di un ticket, il commento lasciato con la valutazione di un ticket e l’anno che qualcuno indica con il suo compleanno. La chiave deriva da un segreto che esiste solo nell’ambiente del bot stesso — il sito web gira come servizio separato che non lo possiede e non potrebbe usarlo — quindi una copia del solo database restituisce testo cifrato.

Fino al 19 settembre 2026 ne diceva tre, e la quarta era il motivo: il commento lasciato con la valutazione di un ticket — «il moderatore che ha chiuso questo è stato brusco con me» è il genere di cosa che vi si scrive — era conservato in chiaro dal giorno in cui la funzione è stata rilasciata. Stava due dichiarazioni sotto le risposte dei ticket che erano cifrate, nello stesso file, e nulla metteva a confronto le due. Ora è cifrato, tutto ciò che era già conservato è stato convertito, e un controllo nella build rifiuta qualsiasi nuovo campo di quella forma finché qualcuno non ha scritto quale dei due sia.

Candidature a metà. Un modulo di candidatura lungo viene proposto a pagine. Le risposte delle pagine già inviate sono conservate, cifrate allo stesso modo, finché non viene inviata l’ultima pagina — e diventano la candidatura — oppure per un’ora, a seconda di cosa accade prima, e chi si candida può scartarle in qualsiasi momento. Per chi non inizia mai non si conserva nulla.

Ciò che non è cifrato, detto chiaramente: la domanda che un membro dello staff ha scritto accanto a ogni risposta, i motivi digitati dai moderatori in un registro di moderazione, il motivo che un membro indica per essere AFK — che il bot mostra a chiunque lo menzioni — e le impostazioni del tuo server. Nessuna di queste sono parole private di qualcuno su se stesso, e cifrarle costerebbe ai tuoi moderatori la possibilità di cercare nei propri registri.

Eliminazione

Rimuovi il bot dal tuo server e tutto ciò che è conservato per quel server viene eliminato trenta giorni dopo, automaticamente, senza bisogno di alcuna richiesta.

Il ritardo è la funzione, non la trappola. Di gran lunga il motivo più comune per cui un server rimuove il bot è aggiungerlo subito di nuovo con permessi diversi, e un’eliminazione scattata nell’istante in cui se n’è andato porterebbe con sé ogni impostazione, ogni avvertimento e ogni registro di moderazione. Reinvita il bot entro la finestra e il tuo server è esattamente come lo hai lasciato; superata la finestra non c’è più nulla a cui tornare. Nulla di nuovo viene registrato mentre il bot è assente — non può vedere il server — e il conto alla rovescia riparte dall’ultima uscita, quindi andarsene due volte non lo accorcia.

Se trenta giorni sono troppi, il proprietario o un amministratore del server può farlo eseguire subito: chiedilo nel server di supporto. Accade su richiesta e non secondo un calendario.

Accedere al pannello

Questo sito è sykbot.com, e la documentazione è su sickenn.info. L’accesso avviene su sicken.me e da nessun’altra parte, e i cookie qui sotto appartengono solo a quell’indirizzo: un browser non li invia mai a nessun altro indirizzo. Una pagina in qualsiasi altro posto che ti chiede di accedere con Discord per sick non è questo sito. La posta si legge e si scrive su mail.sicken.me. Non ha un accesso proprio: ti manda su sicken.me per accedere e ti riporta indietro, e i suoi cookie appartengono solo a lui.

Il sito web non ha un database, quindi un accesso è conservato in un cookie nel tuo browser. Accedere chiede a Discord due ambiti, identify e guilds — il tuo nome e l’elenco dei server in cui sei, nient’altro — e il cookie contiene ciò che torna indietro: il tuo ID Discord, il nome utente e l’ID della tua immagine del profilo, e i token di accesso e di aggiornamento per quei due ambiti. È cifrato e autenticato con AES-256-GCM con una chiave che possiede solo il sito web, quindi non può essere letto né alterato nel tuo browser, e nulla di esso è scritto sul server. Ricorda anche fino a quattro server che hai aperto di recente, così compaiono per primi nell’elenco.

La tua immagine del profilo e le icone dei tuoi server vengono recuperate da Discord da questo sito e consegnate al tuo browser, quindi il tuo browser non contatta mai i server delle immagini di Discord e questi non vedono mai il tuo indirizzo. Questo sito non ne conserva nessuna: ciascuna viene recuperata quando una pagina la chiede, e il tuo browser e la rete davanti a questo sito possono tenerne una copia fino a una settimana, sotto un indirizzo che cambia ogni volta che cambia l’immagine.

Mentre la pagina delle impostazioni di una funzione è aperta e in vista, chiede a questo sito — mai a nessun altro — gli elenchi dei canali e dei ruoli del tuo server una volta al minuto, così un canale creato un attimo fa è disponibile da scegliere senza ricaricare. Quella richiesta porta lo stesso cookie e riceve risposta solo da chi potrebbe aprire la pagina; è l’unica cosa che una qualsiasi pagina di qui recupera dopo essere stata caricata, e la Content-Security-Policy la consente solo su quelle pagine.

Dura trenta giorni da quando accedi, ed è ciò che permette a qualcuno di tornare senza collegare di nuovo Discord; dopo, il browser viene inviato attraverso Discord senza la schermata di consenso, per un’app che hai già approvato. Un mese è sicuro solo perché Discord ne resta responsabile: ogni pochi minuti il sito chiede a Discord se l’accesso è ancora valido, uscire revoca i token presso Discord — così anche una copia del cookie smette di funzionare — e rimuovere sick da App autorizzate nelle impostazioni di Discord stesso lo termina dal tuo lato, su ogni dispositivo contemporaneamente.

Un secondo cookie contiene solo la cifra 1, ed esiste solo dopo che esci. Registra che lo hai fatto, così il prossimo accesso mostra la schermata di consenso di Discord — con il «Non sei tu?» di Discord stesso, che è il modo per cambiare account — invece di saltarla. Accedere di nuovo lo rimuove. Un terzo vive dieci minuti mentre un accesso è in corso e contiene un valore casuale che dimostra che la risposta che torna da Discord appartiene all’accesso che questo browser ha avviato. Questi tre sono gli unici cookie che questo sito imposta. Cloudflare, che sta davanti, può impostare il proprio cookie di breve durata __cf_bm per distinguere i browser dai bot; quello è di Cloudflare, e nulla qui lo legge.

Chi può vedere cosa

La configurazione è visibile a chi può modificarla — per impostazione predefinita significa Gestisci server, e di più per le poche funzioni che richiedono Amministratore. I registri di moderazione sono visibili ai tuoi moderatori. Nessuno che gestisca il bot legge i dati del tuo server come cosa ordinaria, e non esiste alcuna interfaccia che lo renderebbe comodo.