Prywatność

Polityka prywatności

Ostatnia zmiana: 19 października 2026.

Co jest przechowywane

Konfiguracja serwera, którą ustawiasz poleceniami bota: identyfikatory kanałów i ról, progi, przełączniki oraz tekst wpisywany w ustawieniu — prefiks komend, lista zablokowanych słów, treść panelu weryfikacji, fraza uruchamiająca zaplanowane wyczyszczenie kanału, identyfikatory użytkowników zwolnionych z filtra. Zapisy moderacji: numer sprawy, kto działał, wobec kogo, wpisany przez ciebie powód i kiedy. Tam, gdzie funkcja tego potrzebuje, identyfikatory wiadomości lub kanałów, które utworzyła, żeby móc nimi później zarządzać.

Tekst konfiguracji jest przechowywany tak, jak go napisano, i jest to celowe: moderatorzy muszą móc odczytać, co serwer ma robić. Nie są to czyjeś prywatne słowa o samym sobie — to zasady twojego serwera, spisane przez osobę, która go prowadzi.

Liczniki aktywności, od chwili dodania bota. Ile wiadomości wysłał każdy członek, ile minut spędził na kanałach głosowych, jak ruchliwy jest każdy kanał, godzinowa suma dla serwera oraz zapis, kto dołączył lub wyszedł i które zaproszenie go przyprowadziło. Jeśli przekaźnik webhooków jest włączony, ile razy odesłał zablokowane wiadomości członka i kiedy zrobił to ostatnio. To są liczniki i znaczniki czasu i nic więcej: nigdzie nie ma wiersza mówiącego, co ktokolwiek powiedział, na którym kanale ani w jakim momencie. Rozbicie na dni, z którego sumowane są rankingi, jest usuwane po 120 dniach, a historia dołączeń i wyjść po 400 dniach.

Liczenie jest włączone od chwili, gdy bot się pojawia, w odróżnieniu od większości tego, co potrafi, ponieważ historia, która zaczyna się dopiero wtedy, gdy ktoś przypomni sobie o znalezieniu ustawienia, to historia, której nikt nie może ufać, a miesiąca, którego nie policzono, nie da się odzyskać. Wyłączenie go zajmuje jedną linijkę — /logs activity z off — liczenie zatrzymuje się natychmiast, a /stats nadal pokazuje to, co zapisano, zanim to zrobiłeś.

To nie jedyna rzecz włączona w chwili dołączenia bota, a ta strona kiedyś tak twierdziła. Komendy tekstowe, dziennik moderacji, drabina kar, konkursy, snipe, AFK i ustawienie języka bota również startują włączone; strona poradnika wymienia je obok wszystkich innych modułów i zaznacza, który jest włączony, a który nie. Spośród nich snipe i AFK przechowują coś o członku: snipe w pamięci, a nie w bazie danych, a AFK dopiero wtedy, gdy członek sam je ustawi — akapit poniżej dokładnie mówi, co i na jak długo.

AFK, tylko jeśli członek je ustawi. To, że jest nieobecny, wpisany przez niego powód, kiedy odszedł, pseudonim, który bot zastąpił, żeby móc go przywrócić, oraz odnośniki do maksymalnie dziesięciu wiadomości, które go oznaczyły podczas nieobecności — która wiadomość, na jakim kanale, od kogo i kiedy, nigdy treść wiadomości. Wszystko to jest usuwane, gdy tylko członek znów się odezwie w miejscu, gdzie się to liczy (serwer może wskazać kanały, na których nie), gdy opuści serwer albo przez /afk remove — a po trzydziestu dniach w każdym przypadku. Serwer może wyłączyć zapisywanie oznaczeń.

Co bot wywnioskował o koncie, gdy to weszło na serwer. Jeśli weryfikacja członków jest włączona: przyznana ocena, przedział, sygnały, które zadziałały, wszystko, co bot zrobił sam, i to, co moderator zdecydował potem. Jest to zachowywane po to, żeby na pytanie „dlaczego mnie wyrzucono” istniała odpowiedź, która nie jest rekonstrukcją, i dlatego, że „czy to konto już tu dołączało i wychodziło” jest sygnałem, który wymaga istnienia historii. Usuwane po 90 dniach — osąd o kimś to nie to samo co działanie moderacyjne, do którego doprowadził, a tylko to drugie jest zapisem.

Co ludzie przesyłają do funkcji i co funkcja z tego zrobiła. Odwołania od banów i głosowanie ekipy nad nimi; podania do ekipy, ich odpowiedzi i głosowanie; zgłoszenia, ich odpowiedzi i ocena zostawiana przy zamknięciu; wejścia do konkursów; zapisy na wydarzenia i obecność; rangi, składy, notatki ekipy i powody wkładów; recenzje, które ktoś napisał o twoim serwerze; podania partnerskie i ich prezentacja. Cztery pola z tej listy, które są słowami napisanymi w zaufaniu, są szyfrowane — sekcja poniżej wymienia je dokładnie.

Kopie zapasowe serwera, jeśli ktoś je wykona. /backup save zapisuje strukturalną migawkę serwera, tak aby można go było odbudować: nazwy i uprawnienia ról, nazwy kanałów, tematy i nadpisania uprawnień, kategorie, metadane emoji i naklejek oraz listę banów z wpisanymi powodami. Nie zawiera żadnych wiadomości. To własna struktura twojego serwera, przechowywana tam, gdzie kazałeś botowi ją trzymać, a /backup delete usuwa slot całkowicie.

Wiadomości, które twoja ekipa buduje przez /message. Nieskończony szkic (porzucany po tygodniu bez zmian), zapisane szablony, wpisy zaplanowane na później i zapis każdego wpisu, żeby można go było edytować — zapominany po 90 dniach bez edycji. To tekst, który ekipa napisała, aby bot go wysłał, wraz z informacją, kto go napisał; nic, co powiedział członek.

Powitania twojego serwera. Wiadomość powitalna, wiadomość pożegnalna i powitalna wiadomość prywatna, które twoja ekipa zbudowała, tekst na kartach powitalnych i pożegnalnych oraz obraz tła, jeśli wgrano go na kartę — przechowywany jako obraz, który bot przerysował z wgranego pliku, więc z oryginału nie zostaje nic poza jego pikselami. Aby narysować kartę, bot pobiera z Discorda zdjęcie profilowe dołączającego lub wychodzącego członka w tej chwili i nic z niego nie zachowuje.

Poziomy, jeśli serwer je włączy. Przy włączonym module Poziomy bot przechowuje jedną liczbę na członka — XP zdobyte z wiadomości i czasu na głosowym — oraz to, kiedy ostatnio się zmieniła, i nic więcej: żadnego zapisu tego, co powiedziano ani gdzie. Z tej liczby wyliczane są poziom i miejsce. Zostaje, dopóki bot jest na serwerze, nawet po odejściu członka, aby jego role-nagrody mogły wrócić, jeśli wróci; jest usuwana razem z resztą danych serwera trzydzieści dni po usunięciu bota. Jeśli serwer zostawi swój publiczny ranking włączony — jest włączony domyślnie, a jeden przełącznik go wyłącza — nazwa członka na serwerze, zdjęcie profilowe, poziom i XP są pokazywane na publicznej stronie tej witryny każdemu, kto ma link. Nazwa i zdjęcie są pobierane z Discorda w chwili rysowania strony i nigdy nie są zapisywane w bazie danych; narysowana strona jest przechowywana krócej niż minutę, aby często odwiedzany ranking nie trafiał do bota przy każdym wyświetleniu.

Zapisy rajdów, tylko gdy anty-raid wykryje rajd lub zespół oznaczy okres. Które konta dołączyły w jego trakcie i kiedy, ile lat miało każde konto, czy miało awatar, klucz złożony tylko z liter, zrobiony z nazwy użytkownika, by wykryć grupę podobnych nazw (nigdy sama nazwa użytkownika), co bot lub moderator zrobił z każdym z nich (wyrzucenie, ban, timeout), czy serwer został zablokowany i ile wiadomości usunięto. Nigdy treść wiadomości. Przechowywane przez 30 dni, najwyżej 25 rajdów na serwer, i usuwane razem z całą resztą, gdy bot opuści serwer.

Propozycje, jeśli serwer je włączy. Propozycja zachowuje wpisany tekst, autora, miejsce publikacji karty oraz — gdy ekipa odpowie — odpowiedź, jej autora i powód. Każdy głos to jeden wiersz: która propozycja, który użytkownik, w którą stronę. Anonimowa propozycja i tak zapisuje autora, bo limit na osobę i odstęp liczą się od niego; nigdzie nie jest pokazywany. Wszystko to jest usuwane wraz z resztą danych serwera trzydzieści dni po usunięciu bota. Propozycja wysłana przez /suggest bot dotyczy bota, a nie serwera: trafia na kanał serwera wsparcia wraz z twoją nazwą, twoim ID i serwerem pochodzenia, i nie jest w ogóle przechowywana.

Urodziny, jeśli członek je poda. /birthday nie zapisuje niczego o osobie, dopóki nie poda daty. Wtedy zachowuje podane dzień i miesiąc; rok — tylko jeśli został podany — zaszyfrowany tym samym kluczem co poufny tekst poniżej, odczytywany wyłącznie po to, by podać wiek, i tylko na serwerze, który pokazuje wiek; strefę czasową ze stałej listy; moment, w którym zaczną się kolejne urodziny; oraz z którymi serwerami osoba postanowiła je udostępnić — po jednym wpisie na serwer, tworzonym przez tę osobę i nikogo innego. Moderator może usunąć wpis serwera, ale nigdy nie może ustawić ani odczytać daty, która nie została udostępniona na jego serwerze. Nikt poniżej 13 lat nie jest zapisywany: rok, który czyni kogoś młodszym, jest odrzucany i nic nie jest przechowywane. Bot nigdy sam nie pisze do osoby. /birthday remove usuwa datę i wpisy wszystkich serwerów naraz; wpis serwera znika też, gdy członek opuści ten serwer lub gdy dane serwera zostaną usunięte; a krótki zapis o tym, które życzenia już ogłoszono, jest usuwany po 400 dniach.

Usunięcie urodzin poleceniem /birthday remove natychmiast usuwa również zapis ogłoszonych obchodów tej osoby, bez czekania na upływ 400 dni.

Role tymczasowe. Gdy moderator pożycza komuś rolę na jakiś czas, bot zapisuje, kto ją ma, jaka to rola, kiedy się kończy, kto ją nadał i podany przez niego powód (najwyżej 400 znaków), dopóki rola nie zostanie odebrana. Rola nadana na urodziny lub za przerwanie liczenia jest przechowywana tak samo, z botem jako nadającym. Wpis jest usuwany, gdy rolę odbierze się, gdy członek zostanie zbanowany i — chyba że serwer postanowił zachować czas na jego powrót — gdy odejdzie.

Liczenie, jeśli serwer ustawi kanał. Dla każdego kanału liczenia bot zapisuje liczbę, na której jest, kto liczył ostatni, zasady, według których kanał gra, oraz dla każdego członka, który tam liczył, ile poprawnych liczb podał i ile razy przerwał liczenie — identyfikatory i liczby, nigdy to, co ktokolwiek napisał. Wiadomości na kanale liczenia są czytane na bieżąco, by je ocenić, i nie są zapisywane. Wszystko to jest usuwane razem z kanałem, po zatrzymaniu tam liczenia albo razem z resztą danych serwera trzydzieści dni po usunięciu bota.

Modmail, tylko jeśli serwer go włączy. Gdy członek wyśle botowi wiadomość prywatną, bot ją odczyta i przekaże zespołowi wybranego serwera na prywatny kanał wskazany przez ten serwer — każdy, kto widzi ten kanał, może ją przeczytać, podobnie jak ten, kto widzi kanał logów serwera, jeśli publikowane są tam transkrypcje. Odpowiedzi zespołu trafiają do wiadomości prywatnych członka; anonimowa odpowiedź ukrywa nadawcę przed członkiem, nie przed resztą zespołu. Bot nie przechowuje żadnego tekstu wiadomości: zapisuje identyfikatory, liczniki i czasy, która wiadomość prywatna odpowiada której wiadomości na kanale (usuwane trzydzieści dni po zamknięciu wątku), powody wpisane przez zespół przy zamknięciu lub blokadzie oraz zapisane odpowiedzi. Wpis zamkniętego wątku jest usuwany po liczbie dni ustawionej przez serwer, domyślnie dziewięćdziesięciu. Sama rozmowa i wszelkie pliki transkrypcji zostają na Discordzie tego serwera, według jego własnych zasad. Członek kończy rozmowę przyciskiem Close this conversation pod pierwszą odpowiedzią bota, uniemożliwia serwerowi rozpoczęcie jej przyciskiem Stop messages from this server albo po prostu nie pisze do bota. Żadna strona trzecia niczego z tego nie otrzymuje.

Sklep z szablonami. Jeśli ocenisz szablon, bot zapisuje identyfikator Twojego konta, gwiazdki i czas. Jeśli skomentujesz, zapisuje identyfikator Twojego konta, wyświetlaną wtedy nazwę, treść i czas; komentarz możesz usunąć samodzielnie, a właściciel może go usunąć. Zgłoszenie zapisuje identyfikator Twojego konta i wpisany powód. Aby szablon mogły oceniać tylko osoby, które go używały, bot zapisuje, który szablon zastosowałeś, na jakim identyfikatorze serwera i kiedy, dopóki szablon istnieje. Właściciel czyta każdy przesłany szablon, zanim trafi na listę, i każdy komentarz czekający na sprawdzenie, zanim się pojawi; komentarz, o którym nikt nie zdecydował, jest usuwany po 30 dniach. Aby ograniczyć, jak często jedno konto lub jeden adres może komentować, zgłaszać lub oceniać, bot zapisuje skrót adresu z kluczem — nigdy sam adres — razem z identyfikatorem konta i czasem, usuwany po 30 dniach. Szablon, który jeszcze piszesz, jest przechowywany zapieczętowany (zaszyfrowany) przez 7 dni. Aby usunąć wszystko, co sklep przechowuje o Twoim koncie, poproś na serwerze wsparcia, a właściciel przeprowadzi usunięcie. Treść komentarza — i tylko treść, bez konta, nazwy i szablonu — jest wysyłana do punktu moderacji OpenAI przed opublikowaniem komentarza, na warunkach opisanych wyżej w części o OpenAI; komentarz, który oznaczy lub na który nie odpowie na czas, jest wstrzymywany dla właściciela zamiast opublikowany. Gdy bot nie ma klucza OpenAI, ten krok jest pomijany, a pozostałe kontrole działają samodzielnie.

Co nigdy nie jest przechowywane

Treść wiadomości. Nic w bazie danych nie zachowuje tego, co ludzie mówią na twoich kanałach, i nie ma od tego wyjątku — ani jedna kolumna w bazie nie zawiera wiadomości, którą ktoś opublikował. Ta strona kiedyś wymieniała transkrypcje zgłoszeń jako wyjątek, a nim nie są: transkrypcja powstaje z historii, którą trzyma sam Discord, w chwili gdy moderator o nią poprosi, i wraca na twój serwer jako plik. Nic z niej nie jest tu przechowywane. Tekst, który ktoś świadomie przesyła do bota — odwołanie od bana, podanie, formularz przy otwieraniu zgłoszenia, komentarz zostawiony przy ocenie — jest przechowywany, bo recenzja, której nie można przeczytać, nie jest recenzją; jest szyfrowany, a sekcja poniżej mówi dokładnie, które pola. Tak samo powód, który członek podaje przez /afk, do czasu powrotu — nieszyfrowany, bo nie jest napisany w zaufaniu: jest pokazywany każdemu, kto go oznaczy.

Dwie rzeczy są trzymane poza bazą danych i o obu warto mówić dokładnie. Pierwsza to snipe: /snipe pokazuje ostatnią usuniętą lub zmienioną wiadomość na kanale, więc musi jedną trzymać: pięć na kanał, najwyżej przez dwie godziny, w pamięci. Nic nie jest zapisywane, restart zapomina wszystko i nigdy nie opuszcza procesu. Poprosić o nią może każdy, kto może czytać kanał — po to jest to polecenie — a bot sprawdza ten dostęp w chwili odpowiedzi, a nie wtedy, gdy wiadomość usunięto. Nie pokaże wiadomości usuniętej przez samego bota ani niczego wyczyszczonego hurtowo, ponieważ snipe nie może stać się sposobem na odczytywanie moderacji. Serwer, który chce węższego dostępu, ogranicza go do moderatorów albo całkiem wyklucza kanały przez /logs snipe; moderator, który właśnie coś usunął, czyści go natychmiast przez /snipe clear.

Druga to liczniki zabezpieczeń. Anti-nuke, anti-raid, anti-spam i pozostałe rozstrzygają przez liczenie — ilu kanałów jeden moderator usunął w ostatniej minucie, ile kont dołączyło w ostatnich trzydziestu sekundach — a te liczby są co kilka sekund kopiowane do pamięci podręcznej Redis na tej samej maszynie, aby restart bota nie dawał komuś będącemu w połowie ataku świeżego limitu. Kopiowane są identyfikatory — serwera oraz członka lub kanału, których to dotyczy — i czasy zdarzeń, nigdy to, co ktokolwiek powiedział: pamięć anti-spamu o ostatnich wiadomościach zostaje w procesie, a restart ją zapomina. Każda kopia wygasa sama — w ciągu godziny, większość w ciągu minut — pamięć podręczna nigdy nie zapisuje na dysk i nic nie może się z nią połączyć poza samym botem — ani strona, ani internet. Podczas aktualizacji, gdy nowa kopia bota przejmuje pracę od starej, identyfikatory wiadomości i interakcji, na które stara kopia odpowiedziała w ostatnich sekundach, przechodzą przez tę samą pamięć podręczną, najwyżej przez trzydzieści sekund, aby na nic nie odpowiedzieć dwa razy. Jedna rzecz w tej pamięci podręcznej trwa dłużej niż godzinę: którzy nowi członkowie wciąż czekają przy którejś bramce — ekranie zasad Discorda, weryfikacji, kwarantannie — na role, które serwer daje przy dołączeniu, zapisane jako identyfikator serwera, identyfikator członka i chwila, w której oczekiwanie wygasa, przez najwyżej jeden dzień, żeby aktualizacja nie zapomniała ich nadać.

Adresy IP. Bot nigdy żadnego nie widzi — Discord nie udostępnia botowi adresu członka i nic tutaj tego nie obchodzi. Jedyne miejsce, w którym adres jest kiedykolwiek odczytywany, to opisane niżej sprawdzenie połączenia na stronie, i jest odczytywany raz, bez zachowywania: ani przechowywany, ani zapisywany w dziennikach, ani haszowany. Skradziona baza danych nie zawiera żadnych adresów ani niczego, co z nich wyprowadzono.

Wiadomości głosowe, jeśli ktoś poprosi o ich zapisanie. /transcribe pobiera tę wiadomość głosową i zamienia ją na tekst na własnym serwerze bota, modelem mowy, który tam działa. Dźwięk nie trafia do żadnej innej firmy ani usługi; jest przechowywany tylko na czas odsłuchu i usuwany zaraz po jego zakończeniu. Słowa są publikowane na kanale, na którym użyto polecenia, i nigdzie indziej nie są zapisywane — nie powstaje żaden zapis tego, co powiedziano. Aby jedna osoba nie zajęła maszyny, bot zlicza w pamięci, ile próśb zgłosiła w ostatnich dziesięciu minutach każda osoba i każdy serwer; liczniki są potem zapominane, a restart zapomina je od razu.

Pięć stron trzecich i to, co każda dostaje

Przez większość swojego istnienia ta strona mogła twierdzić, że żadna strona trzecia nigdy nie widzi twoich członków. Przestało to być prawdą, gdy moduł weryfikacji zyskał Odrzucaj VPN-y i proxy, ponieważ to, czy adres należy do VPN-a, jest faktem, który zna tylko usługa reputacji. Każda z pięciu poniżej jest wyłączona, dopóki serwer jej nie włączy, a gdy jest włączona, poniższy opis to całość tego, co się dzieje.

proxycheck.io. Członek, którego dotyczy to ustawienie, dostaje jednorazowy link do strony na tej witrynie. Gdy naciśnie na niej przycisk, adres połączenia jest wysyłany jeden raz do proxycheck.io z pytaniem „czy to VPN, proxy lub zakres hostingowy” i niczym więcej — bez nazwy użytkownika, bez serwera, bez identyfikatora konta. Odpowiedź jest odczytywana dla tego jednego bitu i odrzucana. Bot, który wie, kim jest członek, nigdy nie otrzymuje adresu; strona, która widziała adres, nigdy nie dowiaduje się, kim jest członek. Po wszystkim zostaje znacznik czasu przy zapisie weryfikacji członka mówiący, że połączenie było czyste, a odmowa nie zostawia nic.

Cloudflare Turnstile. Opcjonalnie ta sama strona zawiera widżet Turnstile od Cloudflare, żeby skrypt nie mógł nacisnąć przycisku. Skrypt widżetu to jedyna rzecz, jaką ta witryna kiedykolwiek ładuje z innego źródła, i to tylko na tej stronie, a Content-Security-Policy tej witryny nadal zabrania tego wszędzie indziej. Jego odpowiedź jest sprawdzana w Cloudflare bez dołączania adresu. Turnstile nie zastępuje CAPTCHA wewnątrz Discorda, która nadal jest rysowana w procesie.

OpenAI. To największa z trzech i ta, która dostaje to, co ludzie publikują, więc warto mówić dokładnie. Serwer może włączyć skanowanie obrazów przez AI, w którym model rozstrzyga, czy obraz jest erotyczny, drastyczny, brutalny albo przedstawia samookaleczenie. Żadna lista słów nie odczyta obrazu i nie istnieje wersja tego, która działałaby na naszych własnych maszynach, a to jedyny powód, dla którego w ogóle tu jest.

Gdy serwer to włączy, każdy obraz opublikowany na skanowanym kanale jest wysyłany do punktu moderacji OpenAI jako link do tego obrazu na serwerach samego Discorda i nic więcej — bez tekstu, który ktokolwiek wpisał, bez nazwy użytkownika, bez identyfikatora konta, bez nazwy serwera, bez nazwy kanału. Dotyczy to przesłanych plików oraz, jeśli serwer to zostawi włączone, obrazu, który Discord pokazuje pod linkiem. Odpowiedź wraca jako wynik na kategorię, jest odczytywana, aby rozstrzygnąć, czy obraz łamie zasady serwera, i odrzucana. Nic z niej nie jest tu zapisywane, a sam obraz nigdy nie trafia do naszej bazy danych.

Co OpenAI z tym robi, ich słowami, a nie naszymi. Ich dokumentacja stwierdza, że dane wysyłane do API „nie są używane do trenowania ani ulepszania modeli OpenAI”, chyba że wyraźnie się na to zgodzisz, a my się nie zgodziliśmy. Stwierdza też, że dzienniki monitorowania nadużyć „mogą zawierać pewne treści klientów, takie jak prompty i odpowiedzi” i są domyślnie „przechowywane do 30 dni”. Uczciwa wersja brzmi więc nie tak, że obraz znika w chwili skanowania: my nie zachowujemy z niego nic, a OpenAI może go przechowywać do trzydziestu dni, aby pilnować własnej usługi. Serwer, który nie godzi się na to, powinien zostawić ten moduł wyłączony, i tak właśnie jest dostarczany.

Jest wyłączony, dopóki administrator nie włączy modułu. Serwer może zwolnić role, pominąć całe kanały lub skanować tylko niektóre, skanować tylko nowszych członków i pomijać własnych moderatorów, a opis modułu mówi wprost, że jego włączenie jest tym, co wysyła obrazy poza serwer. Wyłącz moduł, a nic więcej nie zostanie wysłane.

Dwa uczciwe ograniczenia. Dobrze radzi sobie z ogólnymi szkodami i nie wie, jak wygląda zagrożenie dla twojego serwera — organizowany rajd, oszustwo, reklama — bo to nie są kategorie, które model zna, i w ogóle nie czyta tekstu. A dokumentacja OpenAI mówi, że ten punkt nie jest przeznaczony do wykrywania materiałów przedstawiających seksualne wykorzystywanie dzieci i nie zastępuje wyspecjalizowanych środków ochrony dzieci; nic tutaj nie twierdzi inaczej, a ta ścieżka zgłaszania pozostaje po stronie Discorda.

Nic poza tym nie jest ładowane. Żadnej analityki, żadnej usługi czcionek, żadnego skryptu ani arkusza stylów z cudzego CDN: każda strona poza sprawdzeniem połączenia nie pobiera niczego z innego źródła, a wymusza to Content-Security-Policy, a nie obietnica. Cloudflare stoi przed witryną jako jej sieć — widzi żądania, które widzi każda sieć przed witryną, i dzięki niemu witryna działa pod zalewem ruchu — ale nie dostaje niczego o twoich członkach, ponieważ strony nie niosą niczego o twoich członkach.

YouTube i Twitch. Serwer może obserwować kanał YouTube lub streamera Twitcha poleceniem /alerts, a bot co kilka minut pyta wtedy usługę, czy jest coś nowego. YouTube dostaje jedno żądanie o publiczny kanał RSS, w którym występuje tylko publiczny identyfikator kanału. Twitch dostaje publiczną nazwę logowania streamera — razem z innymi, do stu w jednym żądaniu — podpisaną własną aplikacją Twitch tego bota, nigdy kontem członka. Do żadnego z nich nie jest wysyłany członek, nazwa serwera ani nazwa kanału, i żaden nie dowiaduje się, który serwer kogo obserwuje. Odpowiedź jest czytana pod kątem najnowszego filmu albo identyfikatora, tytułu i gry transmisji na żywo, a następnie odrzucana. Zapisywany jest kanał lub nazwa logowania, które serwer wybrał do obserwowania, miejsce publikacji oraz identyfikator ostatniej ogłoszonej rzeczy, aby nic nie zostało ogłoszone dwa razy. Obie usługi są wyłączone, dopóki serwer nie doda obserwowania, a jego usunięcie zatrzymuje żądania.

Wiersz sponsorowany

Osoby prowadzące tego bota mogą ustawić jeden sponsorowany link: krótki wiersz oznaczony jako Sponsorowane, którego treść i adres wybierają one, a płaci za niego ten, do kogo prowadzi. Pojawia się w stopce tej strony i od czasu do czasu pod jedną z odpowiedzi bota na serwerze bez premium: najwyżej raz na 45 minut na jednym serwerze, dopiero po co najmniej 6 innych odpowiedziach tam i nigdy pod akcją moderacyjną, ostrzeżeniem, prywatną odpowiedzią ani wiadomością z przyciskami. Serwery premium nigdy go nie widzą na Discordzie. Strona nie wie, kto ją czyta, więc stopka pokazuje go każdemu odwiedzającemu.

To link i nic więcej. Nic nie jest wczytywane od sponsora ani do niego wysyłane. Aby trzymać się powyższej reguły, bot przechowuje w pamięci — nigdy w bazie danych — kiedy każdy serwer ostatnio widział wiersz i ile odpowiedzi wyszło tam od tego czasu, a także bieżącą liczbę wyświetleń; żadna osoba nie jest zapisywana, a sponsor nic z tego nie widzi. Bot nie rejestruje kliknięć i nie wykonuje przekierowań, a link nie przekazuje odsyłacza z tej strony. Jeśli go klikniesz, przechodzisz na ich stronę, gdzie obowiązują ich własne zasady. Tekst sponsora jest pokazywany tak, jak został napisany, i nie jest tłumaczony. Gdy sponsor nie jest ustawiony, wiersz nie istnieje nigdzie.

Nic z tego nie jest trzymane długo. Zapis serwera jest zapominany 24 godziny po jego ostatniej odpowiedzi. Naraz trzymanych jest najwyżej 20 000 serwerów; gdy to się zapełni, odpada ten, który milczy najdłużej. Wszystko to, łącznie z bieżącym licznikiem, znika przy każdym restarcie bota.

Tokeny premium i twoje konto

Premium przypisane do konta to jeden wiersz: twój identyfikator Discord, czy jest miesięczne czy dożywotnie, kiedy się kończy, skąd pochodzi i ile dodatkowych zmian serwera kupiłeś. Token jest przechowywany wyłącznie jako skrót z kluczem samego siebie, więc baza danych nie zawiera niczego, co dałoby się zamienić z powrotem w token; token istnieje w odpowiedzi dla właściciela w chwili wygenerowania i nigdzie później.

Każda próba wykorzystania tokenu jest zapisywana — twój identyfikator, czy przyszła z tej strony czy z Discorda, jak się skończyła i skrót z kluczem adresu, który ta strona potwierdziła dla żądania, nigdy sam adres. Ten zapis blokuje konto i adres po kilku błędnych tokenach i pozwala osobom prowadzącym bota zobaczyć jeden adres za wieloma kontami. Jest usuwany po 90 dniach.

Każdy serwer zapisuje, które konto dodało sick, i to właśnie czyni serwer premium, gdy to konto je ma. Serwery, do których dodajesz sick, są też odnotowywane przy twoim koncie — identyfikator serwera i czas — aby można było policzyć twoje zmiany. Ta lista jest przechowywana, a serwer pozostaje na niej po odejściu sick, bo zużyta zmiana jest zużyta.

Poczta w tej domenie

Serwis ma też małą usługę poczty dla osób, które go prowadzą: adres właściciela oraz adresy kont, którym właściciel zezwolił z niej korzystać, każdy otwierany ze strony poczty po zalogowaniu się tutaj. Poczta wysłana na jeden z tych adresów dociera przez Cloudflare Email Routing i Cloudflare Email Worker, który przekazuje ją do tego serwisu; gdy serwis jest nieosiągalny, Worker trzyma wiadomość w Cloudflare Workers KV do siedmiu dni i próbuje ponownie. Poczta wysyłana z jednego z tych adresów wychodzi przez Cloudflare Email Sending. To cztery zaangażowane usługi Cloudflare i żadna inna strona nie widzi poczty.

Poczta jest zapieczętowana w spoczynku. Gdy wiadomość przychodzi, ta witryna ją parsuje i pieczętuje kluczem publicznym należącym do skrzynki — AES-256-GCM pod jednorazowym kluczem dla tej wiadomości, który sam jest pieczętowany kluczem publicznym X25519 skrzynki — i dopiero wtedy przekazuje ją botowi, którego baza danych przechowuje zapieczętowaną wiadomość: jej temat, nadawcę, odbiorców, tekst, HTML, załączniki i ich nazwy oraz oryginalne bajty, które są przechowywane przez siedem dni, aby wiadomość źle odczytaną przez parser można było pobrać w całości. Klucz prywatny, który ją otwiera, jest opakowany pod kluczem utworzonym z Twojego hasła do poczty (scrypt) oraz, jeśli go utworzysz, pod jednorazowym kluczem odzyskiwania; bot nigdy nie ma klucza prywatnego i przechowuje tylko jednokierunkowy skrót Twojego hasła. To jest zero-access w spoczynku, a nie zero-knowledge: ta witryna czyta Twoją pocztę w pamięci, gdy parsuje przychodzącą wiadomość i gdy Twoja skrzynka jest odblokowana, więc ktoś, kto może zmienić kod uruchamiany przez tę witrynę, mógłby ją odczytać, ale właściciel nie może jej odczytać z bazy danych. Twój odblokowany klucz żyje tylko w pamięci tej witryny, najwyżej przez dobę, a ponowne uruchomienie blokuje każdą skrzynkę, dopóki znów nie wpiszesz hasła. Zdalne obrazy w wiadomości nigdy nie są pobierane przez witrynę: ładują się w Twojej przeglądarce tylko na Twoją prośbę, a załadowanie obrazu mówi nadawcy, kiedy otworzyłeś wiadomość i skąd.

Gdy logujesz się na tę stronę przez Discorda, zapisywane są Twój identyfikator Discord, nazwa użytkownika i hash awatara wraz z czasem, aby właściciel widział, kto się logował, zanim przyzna adres. Kosz i Spam usuwają swoją zawartość trzydzieści dni po trafieniu do nich wiadomości; odwołana skrzynka jest usuwana czternaście dni po odwołaniu. Jeśli poprosisz właściciela o dostęp, prośba — to samo id, nazwa i skrót awatara oraz czas — jest przechowywana, dopóki właściciel na nią nie odpowie lub nie minie trzydzieści dni, a właściciel jest powiadamiany wiadomością bezpośrednią od bota na Discordzie. Nic więcej dotyczącego poczty nie jest udostępniane Discordowi.

Wysyłanie jest liczone na odbiorcę, na podstawie wierszy skrzynki nadawczej, które i tak są przechowywane w celu wysłania wiadomości, więc nie zbieramy w tym celu niczego nowego. Skrzynce, której poczta wciąż wraca, wysyłanie jest wstrzymywane, dopóki właściciel jej nie sprawdzi. Poczta wysłana na adres postmaster@ lub abuse@ w tych domenach trafia do właściciela.

Niektóre rzeczy pozostają jawne, ponieważ usługa musi je odczytać bez Twojego klucza: w jakim folderze i na jakiej karcie jest wiadomość, jej flagi (przeczytana, z gwiazdką, ważna, odłożona), kiedy przyszła, jej rozmiar, do jakiej rozmowy należy, ile ma załączników, ich typy plików i identyfikatory obrazów w treści, na który z Twoich adresów przyszła, użyty przez Ciebie znacznik plus, wyniki kontroli nadawcy oraz skróty z kluczem jej identyfikatorów (Message-ID, References) i nadawcy. Reguły, które ustawiasz dla nadawców — adres lub domena, które przeniosłeś do folderu, zablokowałeś lub dla których zezwoliłeś na obrazy — również są jawne. Gdy wiadomość przychodzi, bot odczytuje w pamięci jej nadawcę, odbiorców, temat, nagłówki i nazwy załączników, aby przypisać ją do karty i zastosować reguły antyspamowe, i nie zapisuje żadnego z nich jawnie. Skrzynki, których posiadacz nie zalogował się jeszcze hasłem od początku pieczętowania, zachowują starszą pocztę taką, jaka była, czytelną dla usługi; właściciel widzi, które to skrzynki, a każda jest pieczętowana, gdy tylko jej posiadacz się zaloguje.

Wyszukiwanie działa na skrótach z kluczem, a nie na Twoich słowach. Gdy Twoja skrzynka jest odblokowana, każda zapieczętowana wiadomość otrzymuje do 512 skrótów (HMAC-SHA256) całych słów w niej oraz jej nadawcy i odbiorców, wykonanych pod losowym kluczem wyszukiwania, który istnieje tylko zapakowany pod Twoim hasłem i kluczem odzyskiwania. Dzięki temu wyszukiwanie może znaleźć całe słowa i dokładne adresy — nie przedrostki, formy wyrazów ani frazy — a ktoś, kto ma kopię bazy danych, nie może testować na nich zgadniętego słowa. Dwa koszty: poczta, która przychodzi, gdy Twoja skrzynka jest zablokowana, nie może być przeszukiwana, dopóki następnym razem jej nie odblokujesz; a skróty z kluczem identyfikatorów i nadawców pozostawionych jawnie (powyżej) powstają pod sekretem, który ma witryna, a baza danych nie, więc ktoś, kto ma jedno i drugie, mógłby sprawdzić, czy zgadnięty adres lub Message-ID występuje.

Wiadomość wysłana z opcją Cofnij lub w późniejszym terminie czeka w skrzynce nadawczej w postaci, jakiej potrzebuje wysyłanie: ponieważ musi być czytelna przy wysyłce, jest przechowywana pod własnym kluczem serwera bota, dopóki nie zostanie wysłana, anulowana lub ostatecznie odrzucona, a następnie usuwana. Kopia w Twoim folderze Wysłane pozostaje zapieczętowana dla Ciebie. Poczta, którą wysyłasz, wychodzi przez TLS jak każda inna poczta, przez Cloudflare Email Sending, a poczta do Ciebie przychodzi przez Cloudflare Email Routing: Cloudflare widzi wiadomość w tranzycie, zanim ta witryna ją zapieczętuje i gdy wychodzi.

Wiadomości, które wysyłasz, nie niosą identyfikatora Discord, identyfikatora konta ani adresu Twojej przeglądarki: losowy Message-ID w domenie nadawczej, brak nagłówków X-Mailer, User-Agent i X-Originating-IP oraz wiersz From pokazujący tylko wybrany przez Ciebie adres, z nazwą wyświetlaną tylko wtedy, gdy ją ustawisz. Alias to dodatkowy adres, który dostarcza pocztę do Twojej skrzynki i który możesz wyłączyć, ustawić jego wygasanie albo pozwolić mu odpowiedzieć raz. To nie jest anonimowość wobec osób prowadzących usługę, wobec Cloudflare ani wobec osoby, do której piszesz: widzą adres, z którego pisałeś, czas i treść wiadomości.

Jeśli utracisz zarówno hasło, jak i klucz odzyskiwania, Twojej poczty nie można otworzyć i nikt nie może jej dla Ciebie odzyskać, łącznie z właścicielem. Gdy właściciel resetuje hasło do poczty posiadacza, usuwany jest także klucz, który ono otwierało: poczta zapieczętowana pod nim nie może już nigdy zostać odczytana i jest usuwana trzydzieści dni później.

Muzyka i teksty piosenek

Gdy serwer włącza odtwarzacz muzyki, bot odtwarza dźwięk na kanale głosowym przez węzeł Lavalink, który działa obok niego na tym samym komputerze. Węzeł pobiera dźwięk tylko z witryny, o którą poprosił członek, i z niczego innego: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), bezpośredni link https wklejony przez członka i — tylko jeśli właściciel to włączył — YouTube (youtube.com, youtu.be, music.youtube.com). Link do Spotify (open.spotify.com, spotify.link) lub Apple Music (music.apple.com) jest sprawdzany w tej witrynie w celu ustalenia nazwy utworu, a znalezione dopasowanie jest odtwarzane z SoundCloud; z żadnego z nich nie pochodzi dźwięk. Każda z tych witryn widzi żądanie, które węzeł wysyła po utwór, tak jak widziałaby je każda przeglądarka otwierająca stronę, i nic o serwerze ani o członku, który o to poprosił.

Co bot zapisuje na potrzeby odtwarzacza: kanał głosowy i tekstowy, w którym się znajduje, kolejkę — tytuł, wykonawcę, długość i źródło każdego utworu, własny identyfikator węzła dla tego utworu oraz id członka, który go dodał — i ostatnie dwadzieścia odtworzonych utworów, które znikają, gdy odtwarzacz się zatrzyma lub bot opuści serwer. Playlista zapisana przez członka należy do niego i jest przechowywana pod jego id, dopóki jej nie usunie. Teksty piosenek pochodzą z LRCLIB (lrclib.net), otwartej bazy danych bez konta: otrzymuje ona wykonawcę, tytuł i długość odtwarzanego utworu i nic poza tym, a odpowiedź jest wyświetlana i nie jest zapisywana.

Bezpieczeństwo Twojego konta

Twoja skrzynka otwiera się Twoim własnym hasłem, ustawionym w samym kliencie poczty i trzymanym osobno od Discorda. Witryna widzi je tylko, gdy je wpisujesz, aby rozpakować klucz Twojej skrzynki, i go nie zachowuje; bot, który je otrzymuje w celu sprawdzenia, przechowuje tylko jednokierunkowy skrót scrypt z niego — wartość, której nic nie zamieni z powrotem w hasło, nawet my — i sprawdza to, co wpisujesz, względem niego. Samo hasło nie jest w żadnym logu, żadnej kolumnie bazy danych ani żadnym ciasteczku.

Drugi krok jest opcjonalny i zależy od Ciebie. Sekret aplikacji uwierzytelniającej oraz adres, na który wysyłany jest kod, przechowywane są zaszyfrowane za pomocą AES-256-GCM, tym samym kluczem dostępnym tylko botowi co poufny tekst powyżej; klucz dostępu przechowywany jest wyłącznie jako jego klucz publiczny, który może zweryfikować logowanie, ale nigdy go utworzyć; kody odzyskiwania trzymane są tylko jako kluczowane skróty, jak tokeny premium. Wysłany kod wychodzi przez Cloudflare Email Sending z adresu w jednej z naszych domen. Żadna metoda drugiego składnika nie jest z nikim udostępniana.

Zaufanie przeglądarce na trzydzieści dni zapisuje losowy token w ciasteczku, a po stronie bota tylko kluczowany skrót tego tokena — nigdy sam token — więc lista Twoich zaufanych przeglądarek nie zawiera niczego, co identyfikowałoby przeglądarkę komukolwiek innemu. Obok trzech ciasteczek logowania panelu skrzynka ustawia kilka własnych, gdy jest otwarta: to, które trzyma ją odblokowaną przez dzień, to, które przechowuje logowanie lub hasło, gdy odpowiadasz na jej drugi krok, to, które żyje dziesięć minut i oznacza przeglądarkę, która rozpoczęła logowanie do poczty, aby nie można go było dokończyć z innej, oraz token zaufanej przeglądarki. Sesja poczty kończy się sześć godzin po otwarciu albo wcześniej, jeśli wylogujesz się z witryny na współdzielonym hoście. Każde błędne hasło lub kod liczone jest wobec Twojego konta i wobec adresu, który ta witryna udowodniła — Twojego id i kluczowanego skrótu tego adresu, nigdy samego adresu — co blokuje konto po kilku próbach w ciągu kwadransa; te zapisy są usuwane w ciągu doby.

Słuchanie — tylko jeśli coś połączysz

Co jest przechowywane. /fm nie przechowuje niczego o osobie, dopóki nie połączy ona źródła. Jeśli połączysz Last.fm lub ListenBrainz, przechowujemy tam Twoją nazwę użytkownika. Jeśli włączysz też wysyłanie scrobbli, przechowujemy klucz, który pozwala botowi wysyłać odtworzenia w Twoim imieniu, zaszyfrowany, tylko dopóki jest to włączone — wyłączenie lub odłączenie go usuwa. Jeśli korzystasz ze statusu Spotify na Discordzie, bot odczytuje utwór Spotify w Twoim statusie, na serwerach, które dzieli z Tobą, dopiero po Twojej zgodzie, i zapisuje odtworzenie, gdy usłyszysz mniej więcej połowę. Nic więcej z Twojej obecności nie jest odczytywane.

Co jest zachowywane i kto to widzi. Odtworzenia, które bot usłyszał sam — z Twojego statusu Spotify lub własnego odtwarzacza muzyki — są zachowywane przez rok. Twoi najczęściej słuchani wykonawcy, albumy, utwory i gatunki, do tysiąca z każdej kategorii, są co kilka godzin kopiowani z Twojej usługi, aby serwer mógł pokazać, kto czego słucha. Przechowywani są także znajomi, kilka ustawień wyświetlania i serwery, na których wybrano ukrycie Ciebie. Odtworzenia i listy są pokazywane tylko osobom na serwerach, na których jesteś; Twoja nazwa użytkownika Last.fm lub ListenBrainz pojawia się w globalnym who-knows tylko wtedy, gdy to włączysz, a dopóki tego nie zrobisz, jest to wyłączone. /fm account pokazuje to wszystko i usuwa to wszystko naraz, a odłączenie ostatniego źródła robi to samo.

Last.fm i ListenBrainz. Gdy ktoś używa /fm, bot pyta Last.fm (ws.audioscrobbler.com) lub ListenBrainz (api.listenbrainz.org) o publiczne dane słuchania połączonej osoby, używając jej nazwy użytkownika i niczego więcej na jej temat. Tylko jeśli wysyłanie scrobbli jest włączone, bot wysyła też do usługi odtworzenia, które usłyszał dla tej osoby, podpisane jej kluczem. Okładki albumów pobiera z serwerów obrazów Last.fm bot, nigdy Twoje urządzenie. Każda usługa ma własną politykę prywatności, a to, co przechowuje o Twoim słuchaniu, było tam już Twoje.

Połączenie z Last.fm odbywa się na samej stronie Last.fm: bot prosi Last.fm o jednorazowy token i podaje Ci adres, pod którym go zatwierdzasz, a potem dowiaduje się, że to zrobiłeś, pytając Last.fm. Token żyje tylko w pamięci bota, dopóki nie zostanie użyty lub nie minie godzina, i nigdy nie jest przechowywany ani zapisywany w logach. Wpisanie samej nazwy użytkownika Last.fm łączy bez zatwierdzania czegokolwiek i wysyła Last.fm tę nazwę i nic więcej. Połączenie statusu Spotify na Discordzie wymaga Presence intentu bota; dopóki nie jest włączony, dostępne są tylko pozostałe dwie opcje.

Import historii. Jeśli podasz /fm import plik ze Spotify lub Apple Music, bot odczyta go raz i zachowa tylko czas, wykonawcę, utwór i album każdego odtworzenia. Sam plik jest przechowywany w pliku tymczasowym przez minuty trwania importu i usuwany zaraz potem; nic nie jest nikomu wysyłane. Zaimportowane odtworzenia są przechowywane, dopóki ich nie usuniesz (/fm account ma do tego przycisk) lub nie usuniesz wszystkiego, i są pokazywane jak wszystkie inne odtworzenia: tylko osobom na serwerach, na których też jesteś.

Historia koron. Gdy odczytywane są korony serwera lub ranking „kto zna”, bot zapisuje, kto trzyma koronę każdego wykonawcy, a gdy zmienia ona właściciela — kto ją komu i kiedy zabrał; do roku. Usunięcie danych o słuchaniu usuwa korony, które trzymałeś, i zapomina, komu jakąś zabrałeś.

Szyfrowanie

Wolny tekst, który ludzie piszą w zaufaniu, jest szyfrowany przez AES-256-GCM przed zapisem i odszyfrowywany dopiero w chwili pokazania ekipie, dla której został napisany. To pięć rzeczy: odwołania od banów, odpowiedzi w podaniach do ekipy, odpowiedzi udzielane przy otwieraniu zgłoszenia, komentarz zostawiony przy ocenie zgłoszenia oraz rok, który ktoś podaje wraz z urodzinami. Klucz jest wyprowadzany z sekretu, który istnieje wyłącznie w środowisku samego bota — strona działa jako osobna usługa, która go nie ma i nie mogłaby go użyć — więc sama kopia bazy danych daje tylko szyfrogram.

Do 19 września 2026 roku ta strona mówiła: trzy, a czwarte było powodem zmiany: komentarz zostawiony przy ocenie zgłoszenia — „moderator, który to zamknął, był dla mnie opryskliwy” to coś, co się w nim pisze — był przechowywany jako zwykły tekst od dnia, w którym funkcja ruszyła. Leżał dwie deklaracje pod odpowiedziami na zgłoszenie, które były szyfrowane, w tym samym pliku, i nic nie zestawiało tych dwóch ze sobą. Jest już szyfrowany, wszystko, co było już zapisane, zostało przekonwertowane, a sprawdzenie w procesie budowania odrzuca każde nowe pole tego rodzaju, dopóki ktoś nie zapisze, które z dwóch to jest.

Niedokończone podania. Długi formularz podania wypełnia się stronami. Odpowiedzi z już wysłanych stron są przechowywane, zaszyfrowane tak samo, do wysłania ostatniej strony — wtedy stają się podaniem — albo przez godzinę, zależnie od tego, co nastąpi wcześniej, a składający może je odrzucić w każdej chwili. Nic nie jest przechowywane dla kogoś, kto nigdy nie zaczął.

Co nie jest szyfrowane, powiedziane wprost: pytanie, które członek ekipy napisał przy każdej odpowiedzi, powody wpisane przez moderatora w zapisie moderacji, powód, który członek podaje dla bycia AFK — który bot pokazuje każdemu, kto go oznaczy — oraz ustawienia twojego serwera. Żadne z nich nie jest czyimiś prywatnymi słowami o samym sobie, a ich szyfrowanie kosztowałoby moderatorów możliwość przeszukiwania własnych zapisów.

Usuwanie

Usuń bota ze swojego serwera, a wszystko, co jest dla tego serwera przechowywane, zostanie skasowane trzydzieści dni później, automatycznie, bez żadnej prośby.

Opóźnienie jest cechą, a nie pułapką. Zdecydowanie najczęstszym powodem usunięcia bota z serwera jest dodanie go od razu z powrotem z innymi uprawnieniami, a usunięcie, które zadziałałoby w chwili jego wyjścia, zabrałoby ze sobą każde ustawienie, każde ostrzeżenie i każdy zapis moderacji. Zaproś go ponownie w tym oknie, a twój serwer będzie dokładnie taki, jak go zostawiłeś; po upływie okna nie ma już do czego wracać. Nic nowego nie jest zapisywane, gdy bota nie ma — nie widzi serwera — a odliczanie zaczyna się od ostatniego wyjścia, więc dwukrotne opuszczenie go nie skraca.

Jeśli trzydzieści dni to za długo, właściciel serwera lub administrator może poprosić o zrobienie tego natychmiast: zapytaj na serwerze wsparcia. Dzieje się to na prośbę, a nie według harmonogramu.

Logowanie do panelu

Ta witryna to sykbot.com, a dokumentacja jest pod adresem sickenn.info. Logowanie odbywa się pod adresem sicken.me i nigdzie indziej, a ciasteczka opisane niżej należą tylko do tego adresu — przeglądarka nigdy nie wysyła ich pod żaden inny adres. Strona gdziekolwiek indziej, która prosi cię o zalogowanie przez Discorda do sick, nie jest tą witryną. Poczta jest czytana i pisana pod adresem mail.sicken.me. Nie ma własnego logowania: wysyła cię pod adres sicken.me, żebyś się zalogował, i sprowadza z powrotem, a jej ciasteczka należą tylko do niej.

Strona nie ma bazy danych, więc logowanie jest przechowywane w jednym ciasteczku w twojej przeglądarce. Logowanie prosi Discorda o dwa zakresy, identify i guilds — twoją nazwę i listę serwerów, na których jesteś, nic więcej — a ciasteczko zawiera to, co wraca: twój identyfikator Discorda, nazwę użytkownika i identyfikator zdjęcia profilowego oraz tokeny dostępu i odświeżania dla tych dwóch zakresów. Jest szyfrowane i uwierzytelniane przez AES-256-GCM kluczem, który ma tylko strona, więc nie można go odczytać ani zmienić w twojej przeglądarce, a nic o nim nie jest zapisywane na serwerze. Pamięta też do czterech serwerów, które ostatnio otworzyłeś, aby były na liście pierwsze.

Twoje zdjęcie profilowe i ikony twoich serwerów są pobierane przez tę witrynę z Discorda i przekazywane twojej przeglądarce, więc twoja przeglądarka nigdy nie łączy się z serwerami obrazów Discorda, a one nigdy nie widzą twojego adresu. Ta witryna nie zachowuje żadnego z nich: każdy jest pobierany, gdy strona o niego poprosi, a twoja przeglądarka i sieć przed tą witryną mogą trzymać kopię do tygodnia, pod adresem, który zmienia się za każdym razem, gdy zmienia się obraz.

Gdy strona ustawień funkcji jest otwarta i widoczna na ekranie, co minutę ponownie pyta tę witrynę — nikogo innego — o listy kanałów i ról twojego serwera, aby kanał utworzony chwilę temu był do wyboru bez przeładowania. To żądanie niesie to samo ciasteczko i jest obsługiwane wyłącznie dla kogoś, kto mógłby otworzyć stronę; jest to jedyna rzecz, jaką jakakolwiek strona tutaj pobiera po załadowaniu, a Content-Security-Policy dopuszcza ją tylko na tych stronach.

Trwa trzydzieści dni od zalogowania, co pozwala komuś wrócić bez ponownego łączenia z Discordem; potem przeglądarka jest przekierowywana przez Discorda bez ekranu zgody, dla aplikacji, którą już zatwierdziłeś. Miesiąc jest bezpieczny tylko dlatego, że Discord pozostaje za to odpowiedzialny: co kilka minut witryna pyta Discorda, czy logowanie nadal obowiązuje, wylogowanie unieważnia tokeny w Discordzie — więc kopia ciasteczka również przestaje działać — a usunięcie sick w sekcji Autoryzowane aplikacje w ustawieniach samego Discorda kończy je z twojej strony, na wszystkich urządzeniach naraz.

Drugie ciasteczko zawiera tylko cyfrę 1 i istnieje wyłącznie po wylogowaniu. Zapisuje, że to zrobiłeś, więc następne logowanie pokazuje ekran zgody Discorda — z jego własnym „To nie ty?”, dzięki któremu zmieniasz konto — zamiast go pomijać. Ponowne zalogowanie je usuwa. Trzecie żyje dziesięć minut, gdy trwa logowanie, i zawiera losową wartość, która dowodzi, że odpowiedź wracająca z Discorda należy do logowania rozpoczętego przez tę przeglądarkę. Te trzy to jedyne ciasteczka, jakie ta witryna ustawia. Cloudflare, który stoi przed nią, może ustawić własne krótkotrwałe ciasteczko __cf_bm, aby odróżniać przeglądarki od botów; to ciasteczko należy do Cloudflare i nic tutaj go nie czyta.

Kto co widzi

Konfigurację widzą osoby, które mogą ją zmieniać — domyślnie oznacza to Zarządzanie serwerem, a dla kilku funkcji, które o to proszą, także Administratora. Zapisy moderacji widzą twoi moderatorzy. Nikt obsługujący bota nie czyta danych twojego serwera jako rzeczy oczywistej i nie ma interfejsu, który by to ułatwiał.