Personvern

Personvernerklæring

Sist endret 19. oktober 2026.

Hva som lagres

Serverkonfigurasjon du setter gjennom botens kommandoer: kanal- og rolle-ID-er, grenseverdier, brytere og teksten du skriver inn i en innstilling — et kommandoprefiks, en liste over blokkerte ord, teksten på et verifiseringspanel, frasen som utløser en planlagt kanalopprydding, bruker-ID-ene du unntar fra et filter. Modereringsoppføringer: saksnummeret, hvem som handlet, hvem det gjaldt, grunnen du skrev og når. Der en funksjon trenger det, ID-ene til meldinger eller kanaler den opprettet, slik at den kan håndtere dem senere.

Konfigurasjonstekst lagres slik du skrev den, med vilje: moderatorene dine må kunne lese tilbake hva serveren er satt opp til å gjøre. Det er ikke noens private ord om seg selv — det er reglene for serveren din, skrevet av den som driver den.

Aktivitetstall, fra det øyeblikket boten legges til. Hvor mange meldinger hvert medlem har sendt, hvor mange minutter de har tilbrakt i tale, hvor travel hver kanal er, en timesoppsummering for serveren, og en oversikt over hvem som ble med eller forlot serveren og hvilken invitasjon som tok dem inn. Hvis webhook-relayen er på, hvor mange ganger den har lagt ut et medlems blokkerte meldinger igjen, og når den sist gjorde det. Dette er tellere og tidsstempler og ingenting annet: det finnes ingen rad noe sted som sier hva noen skrev, eller i hvilken kanal, eller på hvilket tidspunkt. Dagsoversikten som ledertavlene summeres fra, slettes etter 120 dager, og historikken over hvem som ble med og forlot serveren, etter 400 dager.

Tellingen er på fra det øyeblikket boten kommer, i motsetning til det meste den kan gjøre, fordi en historikk som begynner når noen husker å finne en innstilling, er en historikk ingen kan stole på, og en måned som ikke er talt, kan ikke gjenopprettes. Å slå den av tar én linje — /logs activity med off — tellingen stopper umiddelbart, og /stats fortsetter å vise det som ble registrert før du gjorde det.

Det er ikke det eneste som er slått på når boten blir med, og denne siden pleide å si at det var det. Tekstkommandoer, modereringsloggen, straffetrappen, giveaways, snipe, AFK og botens språkinnstilling starter også påslått; dokumentasjonssiden viser dem ved siden av alle andre moduler og markerer hvilken som er hvilken. Av disse holder snipe og AFK noe om et medlem: snipe i minnet i stedet for i databasen, og AFK først når et medlem selv setter det — avsnittet nedenfor er presist om hva og hvor lenge.

AFK, bare hvis et medlem setter det. At de er borte, grunnen de skrev, når de gikk, kallenavnet boten erstattet slik at den kan sette det tilbake, og lenker til opptil ti meldinger som nevnte dem mens de var borte — hvilken melding, i hvilken kanal, fra hvem og når, aldri meldingens tekst. Alt dette slettes neste gang de skriver et sted som teller (en server kan liste kanaler som ikke gjør det), når de forlater serveren, eller med /afk remove — og uansett etter tretti dager. En server kan slå av lagringen av omtalene.

Hva boten gjorde ut av en konto da den kom inn. Hvis medlemsscreening er på: poengsummen den ga, nivået, signalene som utløstes, det boten gjorde på egen hånd, og det en moderator bestemte etterpå. Det lagres slik at «hvorfor ble jeg kastet ut» har et svar som ikke er en rekonstruksjon, og fordi «har denne kontoen vært med og forlatt serveren her før» er et signal som krever at det finnes en historikk. Slettes etter 90 dager — en vurdering av noen er ikke det samme som modereringstiltaket den førte til, og bare det siste er en oppføring.

Det folk sender inn til en funksjon, og det funksjonen gjorde ut av det. Utestengelsesklager og staffens avstemning om dem; staffsøknader, svarene deres og avstemningen; saker, svarene på dem og vurderingen som gis når en lukkes; giveaway-påmeldinger; arrangementspåmeldinger og oppmøte; gruppens rangeringer, tropper, staffnotater og bidragsgrunner; omtaler noen skrev om serveren din; partnersøknader og presentasjonen deres. De fire feltene i denne listen som er ord skrevet i fortrolighet, er kryptert — avsnittet nedenfor nevner dem nøyaktig.

Serversikkerhetskopier, hvis noen tar en. /backup save lagrer et strukturelt øyeblikksbilde av serveren slik at den kan bygges opp igjen: rollenavn og rettigheter, kanalnavn, emner og overstyringer, kategorier, metadata om emojier og klistremerker, og banlisten med grunnene skrevet på den. Den inneholder ingen meldinger. Det er serverens egen struktur, oppbevart der du ba boten oppbevare den, og /backup delete fjerner en plass fullstendig.

Meldinger staffen bygger med /message. Et uferdig utkast (forkastes etter en uke uten endring), lagrede maler, innlegg planlagt til senere, og en oppføring for hvert innlegg slik at det kan redigeres — glemmes etter 90 dager uten redigering. Dette er tekst staffen din skrev for at boten skal sende, med hvem som skrev den; ingenting et medlem har sagt.

Serverens hilsener. Velkomstmeldingen, farvelmeldingen og velkomst-DM-en staffen din bygget, teksten på velkomst- og farvelkortene, og et bakgrunnsbilde hvis ett ble lastet opp til et kort — lagret som et bilde boten tegnet på nytt fra opplastingen, slik at ingenting av den opprinnelige filen beholdes bortsett fra pikslene. For å tegne et kort henter boten profilbildet til medlemmet som blir med eller forlater serveren fra Discord i det øyeblikket, og beholder ingenting av det.

Nivåer, hvis en server slår dem på. Med Nivå-modulen på lagrer boten ett tall per medlem — XP-en de har tjent fra meldinger og tid i tale — og når det sist endret seg, og ingenting mer: ingen oppføring av hva som ble sagt, eller hvor. Fra det tallet regnes et nivå og en plassering ut. Det blir værende så lenge boten er på serveren, også etter at et medlem har forlatt den, slik at belønningsrollene deres kan komme tilbake hvis de kommer tilbake; det slettes sammen med resten av serverens data tretti dager etter at boten er fjernet. Hvis serveren lar sin offentlige ledertavle stå på — den er på som standard, og én bryter slår den av — vises medlemmets servernavn, profilbilde, nivå og XP på en offentlig side på dette nettstedet for alle med lenken. Navnet og bildet hentes fra Discord når siden tegnes, og skrives aldri til databasen; den tegnede siden holdes i under ett minutt, slik at en travel ledertavle ikke når boten ved hver visning.

Raid-gjenspillinger, bare når anti-raid fanger opp et raid eller staben markerer et tidsrom. Hvilke kontoer som kom inn i løpet av det og når, hvor gammel hver konto var, om den hadde avatar, en nøkkel av bare bokstaver laget av brukernavnet for å oppdage en gruppe lignende navn (aldri selve brukernavnet), hva boten eller en moderator gjorde med hver enkelt (kick, ban, timeout), om serveren ble låst og hvor mange meldinger som ble fjernet. Aldri teksten i en melding. Lagres i 30 dager, maks 25 raid per server, og slettes sammen med alt annet når boten forlater en server.

Forslag, hvis en server slår dem på. Et forslag lagrer det som ble skrevet, hvem som sendte det, hvor kortet ble lagt ut og — når staben svarer — svaret, hvem som ga det og hvorfor. Hver stemme er én rad: hvilket forslag, hvilket medlem, hvilken vei. Et anonymt forslag lagrer likevel hvem som sendte det, fordi grensen per medlem og ventetiden telles derfra; det vises ingen steder. Alt dette slettes sammen med resten av serverens data tretti dager etter at boten er fjernet. Et forslag sendt med /suggest bot handler om boten og ikke om en server: det sendes videre til en kanal på støtteserveren med navnet ditt, ID-en din og serveren det kom fra, og lagres ikke i det hele tatt.

Bursdager, hvis et medlem oppgir en. /birthday lagrer ingenting om en person før vedkommende oppgir en dato. Da lagres dag og måned personen oppga; året, bare hvis det ble oppgitt, kryptert med samme nøkkel som den fortrolige teksten nedenfor og bare lest tilbake for å oppgi en alder, og bare på en server som viser aldre; en tidssone fra en fast liste; tidspunktet da neste bursdag begynner; og hvilke servere personen valgte å dele den med, én post hver, opprettet av personen og av ingen andre. En moderator kan fjerne en servers post og kan aldri sette eller lese en dato som ikke er delt på vedkommendes server. Ingen under 13 lagres: et år som gjør noen yngre, avvises og ingenting lagres. Boten sender aldri melding til personen. /birthday remove sletter datoen og alle serverposter på én gang; en servers post forsvinner også når medlemmet forlater serveren eller når serverens data slettes; og den korte posten over hvilke feiringer som allerede er kunngjort, slettes etter 400 dager.

Når en fødselsdag slettes med /birthday remove, slettes også personens oversikt over kunngjorte feiringer umiddelbart, uten å vente på de 400 dagene.

Midlertidige roller. Når en moderator låner ut en rolle for en stund, lagrer boten hvem som har den, hvilken rolle, når den utløper, hvem som lånte den ut og grunnen de skrev (høyst 400 tegn), til rollen tas tilbake. En rolle som lånes ut for en bursdag eller for å ha brutt en telling, lagres på samme måte, med boten som utlåner. Posten slettes når rollen tas tilbake, når medlemmet utestenges, og — med mindre serveren valgte å beholde tiden til de kommer tilbake — når de forlater serveren.

Telling, hvis en server setter opp en kanal. For hver tellekanal lagrer boten tallet den står på, hvem som telte sist, reglene kanalen følger og, for hvert medlem som har telt der, hvor mange riktige tall de ga og hvor mange ganger de brøt tellingen — id-er og tall, aldri hva noen skrev. Meldinger i en tellekanal leses etter hvert som de kommer for å bedømmes, og lagres ikke. Alt slettes sammen med kanalen, når tellingen stoppes der, eller sammen med resten av serverens data tretti dager etter at boten er fjernet.

Modmail, bare hvis en server slår det på. Når et medlem sender boten en direktemelding, leser boten den og gir den videre til staben på serveren som er valgt, i en privat kanal serveren har valgt — alle som kan se kanalen kan lese den, og det kan de som ser serverens loggkanal hvis transkripsjoner postes der. Stabens svar sendes til medlemmets DM; et anonymt svar skjuler avsenderen for medlemmet, ikke for resten av staben. Boten lagrer ingen meldingstekst: bare id-er, tellere og tidspunkter, hvilken DM-melding som svarer til hvilken melding i kanalen (slettes tretti dager etter at tråden er lukket), begrunnelsene staben skrev for en lukking eller blokkering og de lagrede svarene. Oppføringen for en lukket tråd slettes etter det antall dager serveren har satt, nitti som standard. Selve samtalen og eventuelle transkripsjonsfiler blir i den serverens Discord, etter dens egne regler. Et medlem avslutter en samtale med Close this conversation under botens første svar, hindrer en server i å starte en med Stop messages from this server, eller skriver rett og slett ikke til boten. Ingen tredjepart mottar noe av det.

Malbutikken. Hvis du vurderer en mal, lagrer boten konto-ID-en din, stjernene og tidspunktet. Hvis du kommenterer, lagrer den konto-ID-en din, visningsnavnet du hadde da, teksten og tidspunktet; du kan slette kommentaren selv, og eieren kan fjerne den. En rapport lagrer konto-ID-en din og årsaken du skrev. For at bare folk som har brukt en mal, kan vurdere den, lagrer boten hvilken mal du tok i bruk, på hvilken server-ID og når, så lenge malen finnes. Eieren leser hver innsendte mal før den blir oppført, og en kommentar som venter på gjennomgang før den vises; en kommentar ingen har tatt stilling til, slettes etter 30 dager. For å begrense hvor ofte én konto eller én adresse kan kommentere, rapportere eller vurdere, lagrer boten en nøkkelbasert hash av adressen — aldri selve adressen — sammen med konto-ID-en og tidspunktet, slettet etter 30 dager. En mal du fortsatt skriver, lagres forseglet (kryptert) i 7 dager. For å få fjernet alt butikken har om kontoen din, spør i støtteserveren, så utfører eieren fjerningen. Teksten i en kommentar — og bare teksten, uten konto, navn eller mal — sendes til OpenAIs modereringsendepunkt før kommentaren legges ut, på vilkårene som er beskrevet under OpenAI ovenfor; en kommentar den flagger, eller ikke svarer på i tide, holdes tilbake for eieren i stedet for å legges ut. Der boten ikke har noen OpenAI-nøkkel, hoppes det trinnet over, og de andre kontrollene står alene.

Hva som aldri lagres

Meldingsinnhold. Ingenting i databasen beholder det folk sier i kanalene dine, og det finnes ingen unntak — ikke én kolonne i databasen holder en melding noen har postet. Denne siden pleide å nevne saksutskrifter som et unntak, og det er de ikke: en utskrift bygges fra historikken Discord selv holder, i det øyeblikket en moderator ber om den, og legges tilbake i serveren din som en fil. Ingenting av den beholdes her. Tekst noen bevisst sender til boten — en utestengelsesklage, en søknad, skjemaet når en sak åpnes, kommentaren som følger med en vurdering — beholdes, fordi en omtale som ikke kan leses, ikke er en omtale; den er kryptert, og avsnittet nedenfor sier nøyaktig hvilke felt. Det samme gjelder grunnen et medlem oppgir med /afk, til de er tilbake — ikke kryptert, fordi den ikke er skrevet i fortrolighet: den vises for alle som nevner dem.

To ting holdes utenfor databasen, og begge er verdt å være nøyaktig om. Den første er snipe: /snipe viser den siste meldingen som ble slettet eller redigert i en kanal, så den må holde én: fem per kanal, i høyst to timer, i minnet. Ingenting skrives ned, en omstart glemmer alt, og det forlater aldri prosessen. Alle som kan lese kanalen, kan be om det — det er det kommandoen er til for — og boten sjekker den tilgangen i det øyeblikket den svarer, ikke da meldingen ble fjernet. Den viser ikke en melding boten selv slettet, eller noe som ble ryddet i bulk, fordi snipe ikke må bli en måte å lese tilbake moderering på. En server som vil ha det snevrere, begrenser det til moderatorer, eller utelukker kanaler helt, med /logs snipe; en moderator som nettopp har fjernet noe, tømmer det umiddelbart med /snipe clear.

Den andre er beskyttelsenes tellere. Anti-nuke, anti-raid, anti-spam og de andre avgjør ved å telle — hvor mange kanaler én moderator slettet i løpet av det siste minuttet, hvor mange kontoer som ble med de siste tretti sekundene — og disse tallene kopieres til en Redis-hurtigbuffer på samme maskin med noen sekunders mellomrom, slik at en omstart av boten ikke gir noen midt i et angrep en ny kvote. Det som kopieres, er ID-ene — til serveren og til medlemmet eller kanalen det gjelder — og tidspunktene ting skjedde, aldri det noen sa: anti-spams hukommelse om nylige meldinger blir i prosessen, og en omstart glemmer den. Hver kopi utløper av seg selv — innen en time, de fleste innen minutter — hurtigbufferen skriver aldri til disk, og ingenting kan nå den bortsett fra selve boten — ikke nettstedet, og ikke internett. Under en oppdatering, når en ny kopi av boten overtar fra den gamle, passerer ID-ene til meldingene og interaksjonene den gamle kopien besvarte i sine siste sekunder gjennom den samme hurtigbufferen, i høyst tretti sekunder, slik at ingenting besvares to ganger. Én ting i den hurtigbufferen varer lenger enn en time: hvilke nye medlemmer som fortsatt venter ved en port — Discords regelskjerm, verifisering, en karantene — på rollene serveren gir ved innmelding, lagret som serverens ID, medlemmets ID og tidspunktet ventetiden går ut, i høyst ett døgn, slik at en oppdatering ikke glemmer å gi dem.

IP-adresser. Boten ser aldri en — Discord gir ikke ut et medlems adresse til en bot, og ingenting her omgår det. Det eneste stedet en adresse noen gang leses, er nettstedets tilkoblingssjekk, beskrevet neste, og den leses én gang og beholdes ikke: ikke lagret, ikke logget, ikke hashet. En stjålet database inneholder ingen adresser og ingenting utledet fra en.

Talemeldinger, hvis noen ber om å få dem skrevet ut. /transcribe henter talemeldingen og gjør den om til tekst på botens egen server med en talemodell som kjører der. Lyden går ikke til noe annet selskap eller noen annen tjeneste; den holdes bare mens den lyttes til, og slettes så snart det er ferdig. Ordene postes i kanalen der kommandoen ble brukt, og lagres ingen andre steder — det føres ingen oversikt over hva som ble sagt. For at ingen skal binde opp maskinen, teller boten i minnet hvor mange hver person og hver server har bedt om de siste ti minuttene; tallene glemmes etterpå, og en omstart glemmer dem med en gang.

De fem tredjepartene, og hva hver av dem får

I det meste av sin levetid kunne dette nettstedet si at ingen tredjepart noen gang så medlemmene dine. Det sluttet å stemme da verifiseringsmodulen fikk Avvis VPN-er og proxyer, fordi om en adresse tilhører en VPN, er et faktum bare en omdømmetjeneste har. Hver av de fem nedenfor er av med mindre en server slår den på, og når den er på, er det som følger hele det som skjer.

proxycheck.io. Et medlem innstillingen gjelder for, får en engangslenke til en side på dette nettstedet. Når de trykker på knappen der, sendes den tilkoblede adressen én gang til proxycheck.io med spørsmålet «er dette en VPN, proxy eller hostingområde» og ingenting annet — ikke noe brukernavn, ingen server, ingen konto-ID. Svaret leses for den ene biten og forkastes. Boten, som vet hvem medlemmet er, mottar aldri adressen; nettstedet, som så adressen, får aldri vite hvem medlemmet er. Det som er igjen etterpå, er et tidsstempel på medlemmets verifiseringsoppføring som sier at tilkoblingen var ren, og en avvisning etterlater ingenting i det hele tatt.

Cloudflare Turnstile. Valgfritt har den samme siden Cloudflares Turnstile-widget, slik at et skript ikke kan trykke på knappen. Widgetens skript er det eneste dette nettstedet noen gang laster fra et annet opphav, bare på den siden, og denne sidens Content-Security-Policy forbyr det fortsatt overalt ellers. Svaret kontrolleres hos Cloudflare uten at adressen følger med. Turnstile erstatter ikke CAPTCHAen inne i Discord, som fortsatt tegnes i prosessen.

OpenAI. Dette er den største av de tre og den som får det folk poster, så det er verdt å være nøyaktig. En server kan slå på AI-bildeskanning, som lar en modell avgjøre om et bilde er seksuelt, blodig, voldelig eller viser selvskading. Ingen nøkkelordliste kan lese et bilde, og det finnes ingen versjon av dette som kjører på våre egne maskiner, og det er den eneste grunnen til at det er her i det hele tatt.

Når en server har slått den på, sendes hvert bilde som postes i en skannet kanal, til OpenAIs modereringsendepunkt som lenken til bildet på Discords egne servere, og ingenting annet — ingen tekst noen skrev, ikke noe brukernavn, ingen konto-ID, ikke noe servernavn, ikke noe kanalnavn. Det dekker opplastinger og, hvis serveren lar det stå på, bildet Discord viser under en lenke. Svaret kommer tilbake som en poengsum per kategori, det leses for å avgjøre om bildet bryter den serverens regler, og det forkastes. Ingenting av det skrives ned her, og selve bildet lagres aldri i databasen vår.

Hva OpenAI gjør med det, med deres ord og ikke våre. Dokumentasjonen deres sier at data sendt til API-et «is not used to train or improve OpenAI models» med mindre du uttrykkelig melder deg på, og det har vi ikke gjort. Den sier også at logger for overvåking av misbruk «may contain certain customer content, such as prompts and responses» og som standard «retained for up to 30 days». Så den ærlige versjonen er ikke at bildet forsvinner i det øyeblikket det er skannet: vi beholder ingenting av det, og OpenAI kan holde det i opptil tretti dager for å overvåke sin egen tjeneste. En server som ikke er villig til at det skjer, bør la denne modulen stå av, som er slik den leveres.

Den er av til en administrator slår på modulen. En server kan unnta roller, hoppe over hele kanaler eller skanne bare noen, skanne bare nyere medlemmer og hoppe over sine egne moderatorer, og modulens beskrivelse sier tydelig at det å slå den på er det som sender bilder ut av serveren. Slå modulen av, og ingenting sendes igjen.

To ærlige begrensninger. Den er god på generelle skader og den vet ikke hvordan en trussel mot din server ser ut — en raid som organiseres, en svindel, en reklame — fordi det ikke er kategorier modellen har, og den leser ikke tekst i det hele tatt. Og OpenAIs egen dokumentasjon sier at endepunktet ikke er laget for å oppdage materiale med seksuelle overgrep mot barn og ikke er en erstatning for dedikerte tiltak for barns sikkerhet; ingenting her hevder noe annet, og den rapporteringsveien er fortsatt Discords.

Ingenting annet lastes. Ingen analyse, ingen skrifttjeneste, ingen skript eller stilark fra noens CDN: hver side bortsett fra tilkoblingssjekken henter ingenting fra et annet opphav, og det håndheves av Content-Security-Policy i stedet for å bli lovet. Cloudflare står riktignok foran nettstedet som nettverket dets — det ser forespørslene ethvert nettverk foran et nettsted ser, og det er derfor nettstedet holder seg oppe under en flom — men det får ingenting om medlemmene dine, fordi sidene ikke inneholder noe om medlemmene dine.

YouTube og Twitch. En server kan følge en YouTube-kanal eller en Twitch-streamer med /alerts, og boten spør da tjenesten hvert par minutter om det er noe nytt. Til YouTube sender den én forespørsel om kanalens offentlige RSS-feed, som bare nevner kanalens offentlige id. Til Twitch sender den streamerens offentlige brukernavn — sammen med andre, opptil hundre per forespørsel — signert med denne botens egen Twitch-applikasjon, aldri et medlems konto. Ingen medlemmer, servernavn eller kanalnavn sendes til noen av dem, og ingen av dem får vite hvilken server som følger hvem. Svaret leses for den nyeste videoen, eller id, tittel og spill for den direkte sendingen, og kastes. Det som lagres, er kanalen eller brukernavnet serveren valgte å følge, hvor det skal postes, og id-en til det siste som ble kunngjort, slik at ingenting kunngjøres to ganger. Begge er av til en server legger til en følging, og å fjerne følgingen stopper forespørslene.

En sponset linje

De som driver denne boten kan sette én sponset lenke: en kort linje merket Sponset, der de velger teksten og målet, og den lenken peker på betaler. Den vises i bunnteksten på dette nettstedet og nå og da under et av botens svar i en server uten premium: høyst én gang per 45 minutter i én og samme server, først etter minst 6 andre svar der, og aldri under en modereringshandling, en advarsel, et privat svar eller en melding med knapper. Premium-servere ser den aldri i Discord. Nettstedet kan ikke vite hvem som leser det, så bunnteksten viser den til alle besøkende.

Det er en lenke og ingenting mer. Ingenting lastes fra sponsoren, og ingenting sendes til den. For å holde regelen over har boten i minnet — aldri i databasen — når hver server sist så linjen og hvor mange svar som har gått ut der siden, samt en løpende telling av hvor ofte den er vist; ingen person registreres, og sponsoren ser ingenting av det. Boten registrerer ingen klikk og gjør ingen omdirigering, og lenken bærer ingen referrer fra dette nettstedet. Klikker du på den, går du videre til deres nettsted, der deres egne vilkår gjelder. Sponsorens tekst vises slik den ble skrevet, og oversettes ikke. Når ingen sponsor er satt, finnes linjen ingen steder.

Ingenting av dette holdes lenge. En servers oppføring glemmes 24 timer etter siste svar. Det holdes høyst 20 000 servere om gangen; når grensen nås, faller den som har vært stille lengst ut. Alt, også den løpende tellingen, forsvinner hver gang boten starter på nytt.

Premiumtokener og kontoen din

Premium per konto er én rad: Discord-id-en din, om det er månedlig eller for livet, når det går ut, hvor det kom fra og hvor mange ekstra serverbytter du har kjøpt. En token lagres bare som en nøkkelhash av seg selv, så databasen inneholder ingenting som kan bli en token igjen; tokenen finnes i svaret til eieren når den lages, og ingen steder etterpå.

Hvert forsøk på å løse inn en token registreres — id-en din, om det kom fra dette nettstedet eller fra Discord, hvordan det gikk, og en nøkkelhash av adressen nettstedet beviste for forespørselen, aldri adressen. Den registreringen er det som låser en konto og en adresse etter en håndfull feil tokener, og det som lar de som driver boten se én adresse bak mange kontoer. Den slettes etter 90 dager.

Hver server noterer hvilken konto som la til sick, og det er det som gjør serveren premium når den kontoen er det. Serverne du legger sick til på noteres også på kontoen din — serverens id og når — slik at byttene dine kan telles. Den listen beholdes, og en server blir stående på den etter at sick har forlatt den, fordi et brukt bytte er brukt.

E-post på dette domenet

Nettstedet har også en liten e-posttjeneste for dem som driver det: eierens egen adresse og adressene til kontoene eieren har tillatt å bruke den, hver åpnet fra e-poststedet etter innlogging her. Post til en av disse adressene kommer inn via Cloudflare Email Routing og en Cloudflare Email Worker, som leverer den til dette nettstedet; når nettstedet ikke kan nås, beholder Workeren meldingen i Cloudflare Workers KV i opptil sju dager og prøver igjen. Post sendt fra en av disse adressene forlater oss via Cloudflare Email Sending. Det er de fire Cloudflare-tjenestene som er involvert, og ingen annen part ser posten.

Posten forsegles i hvile. Når en melding kommer inn, analyserer dette nettstedet den og forsegler den med en offentlig nøkkel som tilhører postkassen — AES-256-GCM under en engangsnøkkel for den meldingen, som selv forsegles med postkassens offentlige X25519-nøkkel — og gir den først da videre til boten, hvis database lagrer den forseglede meldingen: emne, avsender, mottakere, tekst, HTML, vedlegg og navnene deres, og de opprinnelige bytene, som beholdes i sju dager slik at en melding en parser leste feil kan lastes ned i sin helhet. Den private nøkkelen som åpner den, er pakket inn under en nøkkel laget av e-postpassordet ditt (scrypt) og, hvis du lager en, under en engangsgjenopprettingsnøkkel; boten har aldri den private nøkkelen, og lagrer bare en enveis-hash av passordet ditt. Dette er zero-access i hvile, ikke zero-knowledge: dette nettstedet leser posten din i minnet mens det analyserer en innkommende melding og mens postkassen din er låst opp, så den som kan endre koden dette nettstedet kjører, kunne lese den, men eieren kan ikke lese den fra databasen. Den opplåste nøkkelen din lever bare i nettstedets minne, i høyst ett døgn, og en omstart låser hver postkasse til du skriver passordet ditt på nytt. Eksterne bilder i en melding hentes aldri av nettstedet: de lastes i nettleseren din bare når du ber om det, og en bildelasting forteller avsenderen når du åpnet meldingen og hvorfra.

Når du logger inn på dette nettstedet med Discord, registreres Discord-id-en, brukernavnet og avatarhashen din med tidspunktet, så eieren kan se hvem som har logget inn før en adresse deles ut. Papirkurv og Søppelpost sletter innholdet sitt tretti dager etter at en melding kom dit; en tilbakekalt postboks slettes fjorten dager etter tilbakekallingen. Hvis du ber eieren om tilgang, lagres forespørselen — samme id, navn og avatar-hash, og tidspunktet — til eieren svarer på den eller tretti dager har gått, og eieren varsles med en direktemelding fra boten på Discord. Ingenting annet om e-post deles med Discord.

Utsendelse telles per mottaker, fra utboksradene som allerede lagres for å sende e-posten, så det samles ikke inn noe nytt til det. En postkasse der e-posten stadig sendes i retur, får utsendelsen satt på hold til eieren har sett på den. E-post sendt til postmaster@ eller abuse@ på disse domenene når eieren.

Noe blir liggende i klartekst, fordi tjenesten må lese det uten nøkkelen din: hvilken mappe og fane en melding ligger i, flaggene (lest, stjernemerket, viktig, utsatt), når den kom, størrelsen, hvilken samtale den hører til, hvor mange vedlegg den har, filtypene deres og id-ene til innebygde bilder, hvilken av adressene dine den gikk til, en plussmerkelapp du brukte, resultatene av avsenderkontrollene og nøkkelbaserte sammendrag av identifikatorene (Message-ID, References) og av avsenderen. Reglene du setter for avsendere — en adresse eller et domene du har arkivert, blokkert eller tillatt bilder for — ligger også i klartekst. Mens en melding kommer inn, leser boten avsender, mottakere, emne, headere og vedleggsnavn i minnet for å sortere den til en fane og bruke misbruksreglene, og skriver ingenting av det ned i klartekst. Postkasser hvis innehaver ikke har logget inn med passord siden forseglingen begynte, beholder den eldre posten sin slik den var, lesbar for tjenesten; eieren får se hvilke, og hver forsegles så snart innehaveren logger inn.

Søk bruker nøkkelbaserte sammendrag, ikke ordene dine. Når postkassen din er låst opp, får hver forseglet melding opptil 512 sammendrag (HMAC-SHA256) av hele ordene i den og av avsenderen og mottakerne, laget under en tilfeldig søkenøkkel som bare finnes innpakket under passordet ditt og gjenopprettingsnøkkelen din. Slik kan et søk finne hele ord og nøyaktige adresser — ikke prefikser, ordformer eller fraser — og den som har en kopi av databasen, kan ikke teste et gjettet ord mot dem. To kostnader: post som kommer mens postkassen din er låst, kan ikke søkes i før du låser den opp neste gang; og de nøkkelbaserte sammendragene av identifikatorer og avsendere som er lagt igjen i klartekst (ovenfor) lages under en hemmelighet som nettstedet har og databasen ikke har, så den som har begge deler, kunne teste om en gjettet adresse eller Message-ID finnes.

En melding du sender med Angre eller på et senere tidspunkt, venter i utboksen i den formen senderen trenger: fordi den må være lesbar når den går ut, beholdes den under botens egen servernøkkel til den er sendt, avbrutt eller avvist for godt, og slettes deretter. Kopien i Sendt-mappen din forblir forseglet for deg. Post du sender forlater oss over TLS som all annen post, via Cloudflare Email Sending, og post til deg kommer inn via Cloudflare Email Routing: Cloudflare ser meldingen underveis, før dette nettstedet forsegler den og når den går ut.

Meldinger du sender bærer ingen Discord-id, konto-id eller adresse til nettleseren din: en tilfeldig Message-ID på avsenderdomenet, ingen X-Mailer-, User-Agent- eller X-Originating-IP-header, og en From-linje som bare viser adressen du valgte, med visningsnavn bare hvis du setter ett. Et alias er en ekstra adresse som leverer til postkassen din og som du kan slå av, sette til å utløpe eller la svare én gang. Dette er ikke anonymitet overfor dem som driver tjenesten, overfor Cloudflare eller overfor personen du skriver til: de ser adressen du skrev fra, tidspunktet og hva meldingen sier.

Hvis du mister både passordet og gjenopprettingsnøkkelen, kan posten din ikke åpnes, og ingen kan gjenopprette den for deg, eieren heller ikke. Når eieren tilbakestiller e-postpassordet til en innehaver, slettes også nøkkelen det åpnet: posten som var forseglet under den kan aldri leses igjen, og slettes tretti dager senere.

Musikk og sangtekster

Når en server slår på musikkspilleren, spiller boten av lyd i en talekanal via en Lavalink-node som kjører ved siden av den på samme maskin. Noden henter lyd bare fra nettstedet et medlem ba om, og ingen andre steder: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), en direkte https-lenke et medlem har limt inn, og — bare hvis eieren har slått det på — YouTube (youtube.com, youtu.be, music.youtube.com). En Spotify-lenke (open.spotify.com, spotify.link) eller Apple Music-lenke (music.apple.com) slås opp på det nettstedet for å finne navnet på sporet, og treffet spilles av fra SoundCloud; ingen lyd kommer fra noen av dem. Hvert av disse nettstedene ser forespørselen noden gjør for sporet, slik enhver nettleser som åpner siden ville gjort, og ingenting om serveren eller medlemmet som ba om det.

Dette lagrer boten for spilleren: tale- og tekstkanalen den er i, køen — tittel, artist, lengde og kilde for hvert spor, nodens eget håndtak for det og id-en til medlemmet som la det i køen — og de siste tjue sporene som er spilt, som forsvinner når spilleren stopper eller boten forlater serveren. En spilleliste et medlem lagrer, tilhører medlemmet og oppbevares under id-en til medlemmet til det sletter den. Sangtekster kommer fra LRCLIB (lrclib.net), en åpen database uten konto: den får artisten, tittelen og lengden på sporet som spilles og ingenting annet, og svaret vises og lagres ikke.

Sikkerheten til kontoen din

Postkassen din åpnes med ditt eget passord, satt i selve e-postklienten og holdt atskilt fra Discord. Nettstedet ser det bare mens du skriver det, for å pakke ut nøkkelen til postkassen din, og beholder det ikke; boten, som mottar det for å sjekke det, lagrer bare en enveis scrypt-hash av det — en verdi ingenting kan føre tilbake til passordet, ikke engang vi — og sjekker det du skriver mot den. Selve passordet er i ingen logg, ingen databasekolonne og ingen informasjonskapsel.

Et andre trinn er valgfritt og opp til deg. Hemmeligheten til en autentiseringsapp og adressen en kode sendes til lagres kryptert med AES-256-GCM, med samme nøkkel bare boten har som den fortrolige teksten over; en tilgangsnøkkel lagres bare som sin offentlige nøkkel, som kan bekrefte en innlogging men aldri lage en; gjenopprettingskoder beholdes bare som nøklede hasher, som premium-tokenene. En sendt kode går ut gjennom Cloudflare Email Sending fra en adresse på et av domenene våre. Ingen metode for andre faktor deles med noen.

Å stole på en nettleser i tretti dager lagrer et tilfeldig token i en informasjonskapsel og, på botens side, bare en nøklet hash av det tokenet — aldri selve tokenet — slik at listen over de klarerte nettleserne dine ikke inneholder noe som identifiserer nettleseren for andre. Ved siden av dashbordets tre innloggingsinformasjonskapsler setter postkassen noen egne mens den er åpen: den som holder den opplåst en dag, den som holder en innlogging eller et passord mens dens andre trinn besvares, den som lever ti minutter og merker nettleseren som startet en e-postinnlogging, slik at den ikke kan fullføres fra en annen, og tokenet for den klarerte nettleseren. En e-postøkt avsluttes seks timer etter at den åpnes, eller tidligere hvis du logger ut av nettstedet på en delt vert. Hvert feil passord eller kode telles mot kontoen din og mot adressen dette nettstedet beviste — id-en din og en nøklet hash av den adressen, aldri adressen selv — noe som låser en konto etter en håndfull forsøk innen et kvarter; disse oppføringene slettes innen et døgn.

Lytting — bare hvis du kobler til noe

Hva som lagres. /fm lagrer ingenting om en person før de kobler til en kilde. Hvis du kobler til Last.fm eller ListenBrainz, lagrer vi brukernavnet ditt der. Hvis du også slår på utgående scrobbling, lagrer vi nøkkelen som lar boten sende avspillinger for deg, kryptert, bare mens det er på — å slå det av, eller koble fra, sletter den. Hvis du bruker Discords Spotify-status, leser boten Spotify-sangen i statusen din, i servere den deler med deg, bare etter at du har samtykket, og registrerer en avspilling når du har hørt omtrent halvparten. Ingenting annet i tilstedeværelsen din leses.

Hva som beholdes, og hvem som ser det. Avspillingene boten selv hørte — fra Spotify-statusen din eller sin egen musikkspiller — beholdes i ett år. De mest spilte artistene, albumene, sporene og sjangrene dine, opptil tusen av hver, kopieres fra tjenesten din med få timers mellomrom slik at en server kan vise hvem som hører på hva. Venner, noen få visningsinnstillinger og serverne du valgte å skjule deg i, lagres også. Avspillinger og lister vises bare for folk i servere du er med i; Last.fm- eller ListenBrainz-brukernavnet ditt vises i en global who-knows bare hvis du slo det på, og det er av til du gjør det. /fm account viser alt og sletter alt på én gang, og å koble fra den siste kilden din gjør det samme.

Last.fm og ListenBrainz. Når noen bruker /fm, ber boten Last.fm (ws.audioscrobbler.com) eller ListenBrainz (api.listenbrainz.org) om den tilkoblede personens offentlige lyttedata, med brukernavnet deres og ingenting annet om dem. Bare hvis utgående scrobbling er på, sender boten også avspillingene den hørte for den personen til tjenesten, signert med nøkkelen deres. Albumcovere hentes fra Last.fms bildeservere av boten, aldri av enheten din. Hver tjeneste har sin egen personvernerklæring, og det den har om lyttingen din, var allerede ditt der.

Å koble til Last.fm skjer på Last.fms egen side: boten ber Last.fm om et engangstoken og gir deg adressen der du godkjenner det, og får så vite at du har gjort det ved å spørre Last.fm. Tokenet finnes bare i botens minne til det er brukt eller en time har gått, og lagres eller logges aldri. Hvis du bare skriver Last.fm-brukernavnet ditt, kobles det til uten at noe godkjennes, og Last.fm får det navnet og ingenting annet. Å koble til Discords Spotify-status krever botens Presence intent; til den er slått på, tilbys bare de to andre.

Importere historikk. Hvis du gir /fm import en Spotify- eller Apple Music-fil, leser boten den én gang og lagrer bare tidspunkt, artist, låt og album for hver avspilling. Selve filen ligger i en midlertidig fil de minuttene importen pågår og slettes rett etterpå; ingenting sendes til noen. Importerte avspillinger lagres til du fjerner dem (/fm account har en knapp) eller sletter alt, og vises som alle andre avspillinger: bare til folk i servere du er med i.

Kronehistorikk. Når en tjeners kroner eller en hvem-kjenner-liste leses, noterer boten hvem som har hver artists krone, og når den bytter eier, hvem som tok den fra hvem og når — i inntil ett år. Når du sletter lyttedataene dine, fjernes kronene du hadde, og det glemmes hvem du tok en fra.

Kryptering

Fri tekst folk skriver i fortrolighet, krypteres med AES-256-GCM før den lagres, og dekrypteres først idet den vises for staffen den ble skrevet for. Det er fem ting: utestengelsesklager, svar på staffsøknader, svarene som gis når en sak åpnes, kommentaren som følger med en vurdering av en sak, og året noen oppgir sammen med bursdagen sin. Nøkkelen utledes fra en hemmelighet som bare finnes i botens eget miljø — nettstedet kjører som en egen tjeneste som ikke har den og ikke kunne brukt den — så en kopi av databasen alene gir bare chiffertekst.

Det het tre til 19. september 2026, og den fjerde var grunnen: kommentaren som følger med en vurdering av en sak — «moderatoren som lukket denne var kort med meg» er typen ting som skrives i den — ble lagret som ren tekst fra dagen funksjonen kom. Den lå to deklarasjoner under sakssvarene som var kryptert, i den samme filen, og ingenting holdt de to opp mot hverandre. Den er kryptert nå, alt som allerede var lagret ble konvertert, og en sjekk i byggeprosessen avviser ethvert nytt felt av den typen til noen har skrevet ned hvilken av de to det er.

Halvferdige søknader. Et langt søknadsskjema stilles side for side. Svarene på sidene som allerede er sendt, lagres kryptert på samme måte til siste side sendes — da blir de søknaden — eller i én time, det som inntreffer først, og søkeren kan forkaste dem når som helst. Ingenting lagres for noen som aldri begynner.

Det som ikke er kryptert, sagt rett ut: spørsmålet et staffmedlem skrev ved siden av hvert svar, grunner moderatorer skrev i en modereringsoppføring, grunnen et medlem oppgir for å være AFK — som boten viser for alle som nevner dem — og serverens innstillinger. Ingen av disse er noens private ord om seg selv, og å kryptere dem ville koste moderatorene dine muligheten til å søke i sine egne oppføringer.

Sletting

Fjern boten fra serveren din, så slettes alt som holdes for den serveren tretti dager senere, automatisk, uten at noen forespørsel trengs.

Forsinkelsen er funksjonen, ikke haken. Den desidert vanligste grunnen til at en server fjerner boten, er å legge den rett inn igjen med andre rettigheter, og en sletting som utløstes i det øyeblikket den dro, ville tatt med seg hver innstilling, hver advarsel og hver modereringsoppføring. Inviter den på nytt innenfor fristen, og serveren din er akkurat slik du forlot den; passerer du fristen, er det ingenting å komme tilbake til. Ingenting nytt registreres mens boten er borte — den kan ikke se serveren — og klokken starter på nytt fra den siste avgangen, så å forlate serveren to ganger forkorter den ikke.

Hvis tretti dager er for lenge, kan en servereier eller administrator få det gjort umiddelbart: spør i støtteserveren. Det skjer på forespørsel i stedet for etter en tidsplan.

Innlogging på panelet

Dette nettstedet er sykbot.com, og dokumentasjonen ligger på sickenn.info. Innlogging skjer på sicken.me og ingen andre steder, og informasjonskapslene nedenfor tilhører bare den adressen — en nettleser sender dem aldri til noen annen adresse. En side et annet sted som ber deg logge inn med Discord for sick, er ikke dette nettstedet. E-post leses og skrives på mail.sicken.me. Den har ingen egen innlogging: den sender deg til sicken.me for å logge inn og tar deg tilbake, og informasjonskapslene dens tilhører bare den.

Nettstedet har ingen database, så en innlogging holdes i én informasjonskapsel i nettleseren din. Innlogging ber Discord om to omfang, identify og guilds — navnet ditt og listen over serverne du er med i, ingenting annet — og informasjonskapselen holder det som kommer tilbake: Discord-ID-en din, brukernavnet og ID-en til profilbildet ditt, og tilgangs- og fornyelsesnøklene for de to omfangene. Den er kryptert og autentisert med AES-256-GCM under en nøkkel bare nettstedet har, så den kan ikke leses eller endres i nettleseren din, og ingenting om den skrives ned på serveren. Den husker også opptil fire servere du åpnet nylig, slik at de kommer først i listen.

Profilbildet ditt og serverikonene dine hentes av dette nettstedet fra Discord og gis videre til nettleseren din, så nettleseren din kontakter aldri Discords bildeservere og de ser aldri adressen din. Dette nettstedet beholder ingen av dem: hvert hentes når en side ber om det, og nettleseren din og nettverket foran dette nettstedet kan holde en kopi i opptil en uke, under en adresse som endres hver gang bildet gjør det.

Mens en funksjons innstillingsside er åpen og synlig på skjermen, ber den dette nettstedet — aldri noen andre — om serverens kanal- og rolleliste på nytt én gang i minuttet, slik at en kanal som ble laget et øyeblikk siden, kan velges uten å laste inn på nytt. Den forespørselen bærer den samme informasjonskapselen og besvares bare for noen som kunne åpnet siden; det er det eneste noen side her henter etter at den er lastet, og Content-Security-Policy tillater det bare på de sidene.

Den varer i tretti dager fra du logger inn, som er det som gjør at noen kan komme tilbake uten å koble til Discord på nytt; etter det sendes nettleseren gjennom Discord uten samtykkeskjermen, for en app du allerede har godkjent. En måned er bare trygt fordi Discord forblir i kontroll: med noen minutters mellomrom spør nettstedet Discord om innloggingen fortsatt gjelder, utlogging tilbakekaller nøklene hos Discord — så en kopi av informasjonskapselen slutter å virke også — og å fjerne sick under Autoriserte apper i Discords egne innstillinger avslutter den fra din side, på alle enheter samtidig.

En andre informasjonskapsel holder bare sifferet 1, og finnes bare etter at du logger ut. Den registrerer at du gjorde det, slik at neste innlogging viser Discords samtykkeskjerm — med Discords egen «Ikke deg?» på, som er måten du bytter konto på — i stedet for å hoppe over den. Å logge inn igjen fjerner den. En tredje lever i ti minutter mens en innlogging pågår og holder en tilfeldig verdi som beviser at svaret som kommer tilbake fra Discord, tilhører innloggingen denne nettleseren startet. Disse tre er de eneste informasjonskapslene dette nettstedet setter. Cloudflare, som står foran det, kan sette sin egen kortlivede __cf_bm-informasjonskapsel for å skille nettlesere fra roboter; den er Cloudflares, og ingenting her leser den.

Hvem kan se hva

Konfigurasjon er synlig for folk som kan endre den — som standard betyr det Administrer server, og mer for de få funksjonene som krever Administrator. Modereringsoppføringer er synlige for moderatorene dine. Ingen som driver boten, leser serverens data som en selvfølge, og det finnes ikke noe grensesnitt som ville gjort det praktisk.