Privacidade

Política de privacidade

Última alteração em 19 de outubro de 2026.

O que é guardado

A configuração do servidor que você define pelos comandos do bot: IDs de canais e cargos, limites, chaves de ligar e desligar e o texto que você digita em uma configuração — um prefixo de comando, uma lista de palavras bloqueadas, o texto de um painel de verificação, a frase que dispara a limpeza programada de um canal, os IDs de usuário que você isenta de um filtro. Registros de moderação: o número do caso, quem agiu, contra quem foi, o motivo que você digitou e quando. Quando um recurso precisa, os IDs das mensagens ou dos canais que ele criou, para poder gerenciá-los depois.

O texto de configuração é guardado do jeito que você o escreveu, de propósito: os seus moderadores precisam poder ler de volta o que o servidor está configurado para fazer. Não são palavras privadas de alguém sobre si mesmo — são as regras do seu servidor, escritas por quem o administra.

Contagens de atividade, a partir do momento em que o bot é adicionado. Quantas mensagens cada membro enviou, quantos minutos passou em voz, o quanto cada canal é movimentado, um total por hora do servidor e um registro de quem entrou ou saiu e de qual convite veio. Se a retransmissão por webhook estiver ligada, quantas vezes ela republicou as mensagens bloqueadas de um membro e quando foi a última vez. São contadores e horários, e nada além disso: não existe nenhuma linha em lugar algum dizendo o que alguém falou, ou em qual canal, ou em que momento. O detalhamento por dia a partir do qual os rankings são somados é apagado após 120 dias, e o histórico de entradas e saídas após 400 dias.

A contagem fica ligada desde o momento em que o bot chega, ao contrário da maior parte do que ele pode fazer, porque um histórico que só começa quando alguém se lembra de achar uma configuração é um histórico em que ninguém pode confiar, e um mês que não foi contado não se recupera. Desligá-la leva uma linha — /logs activity com off — a contagem para imediatamente, e o /stats continua mostrando o que foi registrado antes de você desligar.

Ela não é a única coisa ligada quando o bot entra, e esta página dizia que era. Os comandos de texto, o registro de moderação, a escada de punições, os sorteios, o snipe, o AFK e a configuração de idioma do bot também começam ligados; a página de documentação os lista ao lado de todos os outros módulos e marca qual é qual. Desses, o snipe e o AFK guardam algo sobre um membro: o snipe na memória e não no banco de dados, e o AFK só depois que o próprio membro o ativa — o parágrafo abaixo é exato sobre o que e por quanto tempo.

AFK, somente se o membro o ativar. Que a pessoa está ausente, o motivo que digitou, quando saiu, o apelido que o bot trocou para poder devolvê-lo e links para até dez mensagens que a mencionaram enquanto estava ausente — qual mensagem, em qual canal, de quem e quando, nunca o texto da mensagem. Tudo isso é apagado na próxima vez que a pessoa falar em algum lugar que conte (um servidor pode listar canais que não contam), quando ela sair do servidor, ou com /afk remove — e depois de trinta dias aconteça o que acontecer. Um servidor pode desligar o registro das menções.

O que o bot concluiu sobre uma conta quando ela entrou. Se a triagem de membros estiver ligada, a pontuação que ele deu, a faixa, os sinais que dispararam, o que o bot fez por conta própria e o que um moderador decidiu depois. Isso é guardado para que “por que fui expulso” tenha uma resposta que não seja uma reconstrução, e porque “esta conta já entrou e saiu daqui antes” é um sinal que precisa de um histórico para existir. Apagado após 90 dias — um julgamento sobre alguém não é a mesma coisa que a ação de moderação a que ele levou, e só a segunda é um registro.

O que as pessoas enviam a um recurso, e o que o recurso fez com isso. Apelações de banimento e a votação da staff sobre elas; candidaturas à staff, as respostas e a votação; tickets, as respostas e a avaliação deixada quando um é fechado; participações em sorteios; inscrições e presença em eventos; patentes, elencos, notas da staff e motivos de contribuição; avaliações que alguém escreveu sobre o seu servidor; candidaturas de parceria e o texto de apresentação. Os quatro campos dessa lista que são palavras escritas em confiança são criptografados — a seção abaixo os nomeia com exatidão.

Backups do servidor, se alguém fizer um. /backup save guarda um retrato estrutural do servidor para que ele possa ser reconstruído: nomes e permissões de cargos, nomes, tópicos e sobrescritas de canais, categorias, metadados de emojis e figurinhas e a lista de banimentos com os motivos escritos nela. Ele não contém mensagens. É a estrutura do seu próprio servidor, guardada onde você mandou o bot guardar, e /backup delete remove um espaço por completo.

Mensagens que a sua staff monta com /message. Um rascunho inacabado (descartado após uma semana sem ser mexido), modelos salvos, publicações agendadas para depois e um registro de cada publicação para que ela possa ser editada — esquecido após 90 dias sem edição. É texto que a sua staff escreveu para o bot enviar, com quem o escreveu; nada que um membro tenha dito.

As boas-vindas do seu servidor. A mensagem de boas-vindas, a mensagem de despedida e a mensagem direta de boas-vindas que a sua staff montou, o texto dos cartões de boas-vindas e de despedida e uma imagem de fundo, se uma foi enviada para um cartão — guardada como uma imagem que o bot redesenhou a partir do envio, de modo que nada do arquivo original é mantido além dos seus pixels. Para desenhar um cartão, o bot busca no Discord, naquele momento, a foto de perfil do membro que entra ou sai e não guarda nada dela.

Níveis, se um servidor os ativar. Com o módulo de Níveis ativado, o bot guarda um número por membro — o XP que ganhou com mensagens e tempo em voz — e quando ele mudou pela última vez, e nada mais: nenhum registro do que foi dito, nem onde. Desse número são calculados um nível e uma posição. Ele fica guardado enquanto o bot estiver no servidor, mesmo depois que um membro sai, para que seus cargos de recompensa possam voltar se ele voltar; é apagado junto com o resto dos dados do servidor trinta dias depois que o bot é removido. Se o servidor deixar sua classificação pública ativada — ela vem ativada por padrão, e uma chave a desativa — o nome do membro no servidor, a foto de perfil, o nível e o XP são mostrados numa página pública deste site a qualquer um com o link. O nome e a foto são obtidos do Discord quando a página é desenhada e nunca são gravados no banco de dados; a página desenhada é guardada por menos de um minuto, para que uma classificação muito visitada não chegue ao bot a cada visita.

Repetições de raids, apenas quando o anti-raid deteta um raid ou a equipa marca um período. Que contas entraram durante ele e quando, a idade de cada conta, se tinha avatar, uma chave só de letras feita a partir do nome de utilizador para detetar um grupo de nomes parecidos (nunca o nome de utilizador em si), o que o bot ou um moderador fez com cada uma (expulsão, banimento, timeout), se o servidor foi bloqueado e quantas mensagens foram removidas. Nunca o texto de uma mensagem. Guardado por 30 dias, no máximo 25 raids por servidor, e apagado com tudo o resto quando o bot sai de um servidor.

Sugestões, se um servidor as ativar. Uma sugestão guarda o que foi escrito, quem a enviou, onde o seu cartão foi publicado e — quando o staff responde — a resposta, quem a deu e porquê. Cada voto é uma linha: que sugestão, que membro e em que sentido. Uma sugestão anónima continua a registar quem a enviou, porque o limite por membro e a espera são contados a partir daí; não é mostrada em lado nenhum. Tudo isto é apagado com os restantes dados do servidor trinta dias depois de o bot ser removido. Uma sugestão enviada com /suggest bot é sobre o bot e não sobre um servidor: é passada para um canal no servidor de apoio com o teu nome, o teu ID e o servidor de origem, e não é guardada de todo.

Aniversários, se um membro definir um. O /birthday não guarda nada sobre uma pessoa até ela informar uma data. Aí ele guarda o dia e o mês informados; o ano, só se foi informado, criptografado com a mesma chave do texto confidencial abaixo e lido apenas para dizer uma idade, e só em um servidor que mostra idades; um fuso horário de uma lista fixa; o momento em que o próximo aniversário começa; e com quais servidores a pessoa escolheu compartilhar, um registro para cada, feito pela pessoa e por mais ninguém. Um moderador pode remover o registro de um servidor e nunca pode definir ou ler uma data que não foi compartilhada no seu servidor. Ninguém com menos de 13 anos é mantido: um ano que deixe alguém mais novo é recusado e nada é guardado. O bot nunca envia mensagem à pessoa. O /birthday remove apaga a data e o registro de todos os servidores de uma vez; o registro de um servidor também some quando o membro sai desse servidor ou quando os dados do servidor são apagados; e o breve registro de quais comemorações já foram anunciadas é apagado após 400 dias.

Apagar um aniversário com /birthday remove também elimina de imediato o registo das celebrações anunciadas dessa pessoa, sem esperar pelos 400 dias.

Cargos temporários. Quando um moderador empresta um cargo a alguém por um tempo, o bot guarda quem o tem, qual cargo, quando termina, quem o emprestou e o motivo digitado (no máximo 400 caracteres), até o cargo ser retirado. Um cargo emprestado por um aniversário ou por quebrar uma contagem é guardado do mesmo jeito, com o bot como quem empresta. O registro é apagado quando o cargo é retirado, quando o membro é banido e — a menos que o servidor tenha escolhido guardar o tempo para a volta dele — quando ele sai.

Contagem, se um servidor configurar um canal. Para cada canal de contagem o bot guarda o número em que está, quem contou por último, as regras do canal e, para cada membro que contou ali, quantos números corretos deu e quantas vezes quebrou a contagem — ids e números, nunca o que alguém escreveu. As mensagens de um canal de contagem são lidas ao chegar para julgá-las e não são guardadas. Tudo é apagado junto com o canal, quando a contagem é encerrada ali, ou com o resto dos dados do servidor trinta dias depois de o bot ser removido.

Modmail, só se um servidor o ativar. Quando um membro envia uma mensagem direta ao bot, o bot lê-a e passa-a à equipa do servidor que ele escolher, num canal privado que esse servidor definiu — quem puder ver esse canal pode lê-la, tal como quem vir o canal de registo do servidor se as transcrições forem aí publicadas. As respostas da equipa chegam às mensagens diretas do membro; uma resposta anónima esconde o remetente do membro, não do resto da equipa. O bot não guarda nenhum texto de mensagem: guarda identificadores, contagens e horas, que mensagem direta corresponde a que mensagem do canal (apagado trinta dias depois de o tópico fechar), os motivos escritos pela equipa para um fecho ou um bloqueio e as respostas guardadas pela equipa. O registo de um tópico fechado é apagado depois dos dias definidos pelo servidor, noventa por predefinição. A conversa em si e qualquer ficheiro de transcrição ficam no Discord desse servidor, sob as regras dele. Um membro termina uma conversa com Close this conversation por baixo da primeira resposta do bot, impede um servidor de iniciar uma com Stop messages from this server, ou simplesmente não escreve ao bot. Nenhum terceiro recebe nada disto.

A loja de modelos. Se você avaliar um modelo, o bot guarda o id da sua conta, as estrelas e quando. Se comentar, guarda o id da sua conta, o nome de exibição que você tinha na época, o texto e quando; você pode apagar o seu comentário e o proprietário pode removê-lo. Uma denúncia guarda o id da sua conta e o motivo que você digitou. Para que só quem usou um modelo possa avaliá-lo, o bot guarda qual modelo você aplicou, em qual id de servidor e quando, enquanto o modelo existir. O proprietário lê cada modelo enviado antes de ele ser listado, e cada comentário à espera de revisão antes de aparecer; um comentário sobre o qual ninguém decidiu é apagado após 30 dias. Para limitar a frequência com que uma conta ou um endereço pode comentar, denunciar ou avaliar, o bot guarda um hash com chave do endereço — nunca o endereço em si — com o id da conta e a hora, apagado após 30 dias. Um modelo que você ainda está escrevendo é guardado selado (criptografado) por 7 dias. Para ter removido tudo o que a loja guarda sobre a sua conta, peça no servidor de suporte e o proprietário faz a remoção. O texto de um comentário — e só o texto, sem conta, nome nem modelo — é enviado ao endpoint de moderação da OpenAI antes de o comentário ser publicado, nos termos descritos acima em OpenAI; um comentário que ele sinalize, ou ao qual não responda a tempo, fica retido para o proprietário em vez de ser publicado. Onde o bot não tem chave da OpenAI, essa etapa é ignorada e as outras verificações valem sozinhas.

O que nunca é guardado

O conteúdo das mensagens. Nada no banco de dados retém o que as pessoas dizem nos seus canais, e não há exceção a isso — nem uma coluna do banco de dados guarda uma mensagem que alguém publicou. Esta página já citou as transcrições de tickets como exceção, e elas não são: uma transcrição é montada a partir do histórico que o próprio Discord mantém, no momento em que um moderador a pede, e devolvida ao seu servidor como um arquivo. Nada dela fica aqui. O texto que alguém envia de propósito ao bot — uma apelação de banimento, uma candidatura, o formulário quando um ticket é aberto, o comentário deixado com uma avaliação — é guardado, porque uma avaliação que não pode ser lida não é uma avaliação; ele é criptografado, e a seção abaixo diz exatamente quais campos. O mesmo vale para o motivo que um membro dá com /afk, até ele voltar — sem criptografia, porque não é escrito em confiança: é mostrado a quem o mencionar.

Duas coisas ficam fora do banco de dados, e vale a pena ser exato sobre as duas. A primeira é o snipe: /snipe mostra a última mensagem apagada ou editada em um canal, então precisa guardar uma: cinco por canal, por duas horas no máximo, na memória. Nada é escrito em disco, um reinício esquece tudo, e nada sai do processo. Qualquer pessoa que consiga ler o canal pode pedir — é para isso que o comando serve — e o bot confere esse acesso no momento em que responde, e não quando a mensagem foi removida. Ele não mostra uma mensagem que o próprio bot apagou, nem nada removido em massa, porque o snipe não pode virar um jeito de ler de volta a moderação. Um servidor que o queira mais restrito o limita a moderadores, ou exclui canais por completo, com /logs snipe; um moderador que acabou de remover algo o limpa imediatamente com /snipe clear.

A segunda são os contadores das proteções. Antinuke, antirraide, antispam e as demais decidem contando — quantos canais um moderador apagou no último minuto, quantas contas entraram nos últimos trinta segundos — e essas contagens são copiadas a cada poucos segundos para um cache Redis na mesma máquina, para que reiniciar o bot não dê uma margem nova a alguém no meio de um ataque. O que é copiado são os IDs — do servidor e do membro ou canal envolvido — e os horários em que as coisas aconteceram, nunca o que alguém disse: a memória do antispam sobre as mensagens recentes fica no processo e um reinício a esquece. Cada cópia expira sozinha — em até uma hora, a maioria em minutos —, o cache nunca grava em disco e nada consegue alcançá-lo além do próprio bot — nem o site, nem a internet. Durante uma atualização, quando uma nova cópia do bot assume no lugar da antiga, os IDs das mensagens e das interações que a cópia antiga respondeu nos seus últimos segundos passam pelo mesmo cache, por trinta segundos no máximo, para que nada seja respondido duas vezes. Uma coisa nesse cache dura mais de uma hora: quais novos membros ainda estão esperando em um portão — a tela de regras do Discord, a verificação, uma quarentena — pelos cargos que o servidor dá ao entrar, guardados como o ID do servidor, o ID do membro e o momento em que a espera expira, por no máximo um dia, para que uma atualização não se esqueça de entregá-los.

Endereços IP. O bot nunca vê um — o Discord não expõe o endereço de um membro a um bot, e nada aqui contorna isso. O único lugar em que um endereço é lido é a verificação de conexão do site, descrita a seguir, e ele é lido uma vez e não é guardado: nem armazenado, nem registrado em log, nem convertido em hash. Um banco de dados roubado não contém endereços nem nada derivado de um.

Mensagens de voz, se alguém pedir que sejam escritas. /transcribe obtém essa mensagem de voz e a transforma em texto no próprio servidor do bot, com um modelo de voz que corre lá. O áudio não vai para nenhuma outra empresa ou serviço; é guardado apenas enquanto é ouvido e apagado assim que termina. As palavras são publicadas no canal onde o comando foi usado e não são guardadas em mais lado nenhum — não se guarda registo do que foi dito. Para que uma pessoa não ocupe a máquina, o bot conta em memória quantas cada pessoa e cada servidor pediu nos últimos dez minutos; essas contagens são esquecidas depois, e um reinício esquece-as de imediato.

Os cinco terceiros, e o que cada um recebe

Durante a maior parte da sua vida este site pôde dizer que nenhum terceiro jamais viu os seus membros. Isso deixou de ser verdade quando o módulo de verificação ganhou Recusar VPNs e proxies, porque saber se um endereço pertence a uma VPN é um fato que só um serviço de reputação tem. Cada um dos cinco abaixo fica desligado a menos que um servidor o ligue, e quando está ligado, o que segue é tudo o que acontece.

proxycheck.io. Um membro a quem a configuração se aplica recebe um link de uso único para uma página deste site. Quando ele aperta o botão nela, o endereço da conexão é enviado uma vez ao proxycheck.io com a pergunta “isto é uma VPN, um proxy ou uma faixa de hospedagem” e nada mais — sem nome de usuário, sem servidor, sem ID de conta. A resposta é lida para esse único bit e descartada. O bot, que sabe quem é o membro, nunca recebe o endereço; o site, que viu o endereço, nunca descobre quem é o membro. O que sobra depois é um carimbo de data e hora no registro de verificação do membro dizendo que a conexão estava limpa, e uma recusa não deixa nada.

Cloudflare Turnstile. Opcionalmente, essa mesma página traz o widget Turnstile da Cloudflare para que um script não consiga apertar o botão. O script do widget é a única coisa que este site carrega de outra origem, somente nessa página, e a Content-Security-Policy deste site continua a proibi-lo em todas as outras. A resposta dele é conferida com a Cloudflare sem o endereço anexado. O Turnstile não substitui o CAPTCHA dentro do Discord, que continua sendo desenhado no processo.

OpenAI. Este é o maior dos três e o que recebe o que as pessoas publicam, então vale ser exato. Um servidor pode ligar a verificação de imagens por IA, que faz um modelo decidir se uma imagem é sexual, explícita, violenta ou mostra automutilação. Nenhuma lista de palavras-chave consegue ler uma imagem, e não existe versão disso que rode nas nossas próprias máquinas, que é a única razão de ela estar aqui.

Quando um servidor a ligou, cada imagem publicada em um canal verificado é enviada ao endpoint de moderação da OpenAI como o link dessa imagem nos servidores do próprio Discord, e nada mais — nenhum texto que alguém digitou, nenhum nome de usuário, nenhum ID de conta, nenhum nome de servidor, nenhum nome de canal. Isso abrange envios e, se o servidor mantiver ligado, a imagem que o Discord mostra sob um link. A resposta volta como uma pontuação por categoria, é lida para decidir se a imagem quebra as regras daquele servidor e é descartada. Nada dela é gravado aqui, e a imagem em si nunca é guardada no nosso banco de dados.

O que a OpenAI faz com isso, nas palavras deles e não nas nossas. A documentação deles afirma que os dados enviados à API “não são usados para treinar ou melhorar os modelos da OpenAI” a menos que você escolha participar explicitamente, e nós não escolhemos. Ela também afirma que os registros de monitoramento de abuso “podem conter certos conteúdos de clientes, como prompts e respostas” e são “retidos por até 30 dias” por padrão. Então a versão honesta não é que a imagem desaparece no instante em que é verificada: nós não guardamos nada dela, e a OpenAI pode retê-la por até trinta dias para fiscalizar o próprio serviço. Um servidor que não aceita que isso aconteça deve deixar este módulo desligado, que é como ele é entregue.

Ele fica desligado até um administrador ativar o módulo. Um servidor pode isentar cargos, pular canais inteiros ou verificar só alguns, verificar apenas membros mais novos e pular os próprios moderadores, e a descrição do módulo diz com clareza que ligá-lo é o que envia imagens para fora do servidor. Desligue o módulo e nada mais é enviado.

Dois limites honestos. Ele é bom para danos gerais e não sabe como é uma ameaça ao seu servidor — uma raid sendo organizada, um golpe, um anúncio — porque essas não são categorias que o modelo tem, e ele não lê texto nenhum. E a própria documentação da OpenAI diz que o endpoint não foi projetado para detectar material de abuso sexual infantil e não substitui medidas dedicadas de proteção à criança; nada aqui afirma o contrário, e essa via de denúncia continua sendo a do Discord.

Nada mais é carregado. Nenhuma análise de uso, nenhum serviço de fontes, nenhum script ou folha de estilo da CDN de ninguém: toda página, exceto a verificação de conexão, não busca nada de outra origem, e isso é imposto pela Content-Security-Policy e não apenas prometido. A Cloudflare fica, sim, na frente do site como a sua rede — ela vê as requisições que qualquer rede na frente de um site vê, e é por causa dela que o site continua no ar sob uma enxurrada de tráfego —, mas não recebe nada sobre os seus membros, porque as páginas não carregam nada sobre os seus membros.

YouTube e Twitch. Um servidor pode seguir um canal do YouTube ou um streamer da Twitch com /alerts, e o bot pergunta então ao serviço, a cada poucos minutos, se há algo novo. Ao YouTube envia um pedido do feed RSS público do canal, que nomeia apenas o id público desse canal. À Twitch envia o nome de utilizador público do streamer — junto com outros, até cem por pedido — assinado com a própria aplicação Twitch deste bot, nunca com a conta de um membro. Nenhum membro, nome de servidor ou nome de canal é enviado a nenhum dos dois, e nenhum fica a saber que servidor segue quem. A resposta é lida para o vídeo mais recente, ou o id, o título e o jogo da transmissão em direto, e descartada. O que fica guardado é o canal ou nome de utilizador que o servidor escolheu seguir, onde publicar, e o id da última coisa anunciada para que nada seja anunciado duas vezes. Ambos ficam desligados até um servidor adicionar um seguimento, e remover o seguimento pára os pedidos.

Uma linha patrocinada

Quem administra este bot pode definir um único link patrocinado: uma linha curta marcada como Patrocinado, cujo texto e destino são escolhidos por eles e pagos por quem está do outro lado do link. Aparece no rodapé deste site e, de vez em quando, sob uma das respostas do bot num servidor sem premium: no máximo uma vez a cada 45 minutos num mesmo servidor, só depois de pelo menos 6 outras respostas ali, e nunca sob uma ação de moderação, um aviso, uma resposta privada ou uma mensagem com botões. Servidores premium nunca a veem no Discord. O site não sabe quem o está a ler, por isso o rodapé mostra-a a todos os visitantes.

É um link e nada mais. Nada é carregado do patrocinador nem lhe é enviado. Para cumprir a regra acima, o bot guarda em memória — nunca na base de dados — quando cada servidor viu a linha pela última vez e quantas respostas saíram lá desde então, além de uma contagem das vezes que foi mostrada; nenhuma pessoa é registada e o patrocinador não vê nada disso. O bot não regista cliques nem faz redirecionamentos, e o link não leva referenciador deste site. Se clicares nele, sais para o site deles, onde se aplica a política deles. O texto do patrocinador é mostrado tal como foi escrito e não é traduzido. Quando não há patrocinador definido, a linha não existe em lado nenhum.

Nada disso é guardado por muito tempo. O registro de um servidor é esquecido 24 horas depois da última resposta dele. No máximo 20.000 servidores são guardados ao mesmo tempo; quando enche, sai o que está há mais tempo em silêncio. Tudo isso, incluindo a contagem, some sempre que o bot reinicia.

Tokens premium e sua conta

O premium por conta é uma única linha: seu id do Discord, se é mensal ou vitalício, quando acaba, de onde veio e quantas trocas de servidor extras você comprou. Um token é guardado apenas como um hash com chave de si mesmo, então o banco de dados não contém nada que possa virar um token de novo; o token existe na resposta ao dono quando é gerado e em nenhum outro lugar depois.

Cada tentativa de resgatar um token é registrada — seu id, se veio deste site ou do Discord, como terminou e um hash com chave do endereço que este site comprovou para o pedido, nunca o endereço. Esse registro é o que bloqueia uma conta e um endereço após alguns tokens errados, e o que permite a quem opera o bot ver um endereço por trás de muitas contas. Ele é apagado depois de 90 dias.

Cada servidor registra qual conta adicionou o sick, que é o que torna o servidor premium quando essa conta é. Os servidores aos quais você adiciona o sick também ficam anotados na sua conta — o id do servidor e quando — para que suas trocas possam ser contadas. Essa lista é mantida, e um servidor continua nela depois que o sick sai, porque uma troca gasta está gasta.

E-mail neste domínio

O site também tem um pequeno serviço de correio para quem o administra: o endereço do proprietário e os endereços das contas que o proprietário permitiu usá-lo, cada um aberto a partir do site de correio depois de iniciar sessão aqui. O correio enviado para um desses endereços chega através do Cloudflare Email Routing e de um Cloudflare Email Worker, que o entrega a este site; quando o site não está acessível, o Worker guarda a mensagem no Cloudflare Workers KV até sete dias e tenta de novo. O correio enviado a partir de um desses endereços sai pelo Cloudflare Email Sending. São os quatro serviços da Cloudflare envolvidos, e nenhuma outra parte vê o correio.

O correio é selado em repouso. Quando uma mensagem chega, este site analisa-a e sela-a com uma chave pública que pertence à caixa de correio — AES-256-GCM sob uma chave de uso único para essa mensagem, a qual é ela própria selada com a chave pública X25519 da caixa — e só então a entrega ao bot, cuja base de dados guarda a mensagem selada: o assunto, o remetente, os destinatários, o texto, o HTML, os anexos e os seus nomes, e os bytes originais, que são mantidos durante sete dias para que uma mensagem mal lida pelo analisador possa ser descarregada por inteiro. A chave privada que a abre está envolvida sob uma chave feita a partir da sua palavra-passe de correio (scrypt) e, se criar uma, sob uma chave de recuperação de uso único; o bot nunca tem a chave privada e guarda apenas um hash de sentido único da sua palavra-passe. Isto é acesso zero em repouso, não conhecimento zero: este site lê o seu correio em memória enquanto analisa uma mensagem que chega e enquanto a sua caixa está desbloqueada, pelo que quem puder alterar o código que este site executa poderia lê-lo, mas o proprietário não o consegue ler a partir da base de dados. A sua chave desbloqueada vive apenas na memória deste site, no máximo um dia, e um reinício bloqueia todas as caixas até voltar a escrever a sua palavra-passe. As imagens remotas de uma mensagem nunca são obtidas pelo site: carregam-se no seu navegador apenas quando o pedir, e o carregamento de uma imagem diz ao remetente quando abriu a mensagem e a partir de onde.

Quando você entra neste site com o Discord, seu id do Discord, nome de usuário e hash do avatar são registrados com a hora, para que o dono veja quem já entrou antes de entregar um endereço. Lixeira e Spam apagam seu conteúdo trinta dias depois de uma mensagem entrar neles; uma caixa revogada é apagada catorze dias depois da revogação. Se você pedir acesso ao proprietário, o pedido — o mesmo id, nome e hash do avatar, e a hora — é mantido até o proprietário respondê-lo ou passarem trinta dias, e o proprietário é avisado por mensagem direta do bot no Discord. Nada mais sobre o e-mail é compartilhado com o Discord.

O envio é contado por destinatário, a partir das linhas da caixa de saída que já são guardadas para enviar o correio, por isso nada de novo é recolhido para isso. Uma caixa cujo correio volta sempre tem o envio retido até o proprietário a ver. O correio enviado para postmaster@ ou abuse@ nestes domínios chega ao proprietário.

Algumas coisas ficam em claro, porque o serviço tem de as ler sem a sua chave: em que pasta e separador está uma mensagem, os seus sinalizadores (lida, com estrela, importante, adiada), quando chegou, o seu tamanho, a que conversa pertence, quantos anexos tem, os seus tipos de ficheiro e ids de imagens incorporadas, a qual dos seus endereços chegou, uma etiqueta com sinal de mais que usou, os resultados das verificações do remetente e resumos com chave dos seus identificadores (Message-ID, References) e do seu remetente. As regras que define para remetentes — um endereço ou domínio que arquivou, bloqueou ou para o qual permitiu imagens — também estão em claro. Enquanto uma mensagem chega, o bot lê em memória o seu remetente, destinatários, assunto, cabeçalhos e nomes de anexos para a arquivar num separador e aplicar as regras de abuso, e não escreve nada disso em claro. As caixas cujo titular ainda não iniciou sessão com uma palavra-passe desde que a selagem começou mantêm o correio mais antigo como estava, legível pelo serviço; o proprietário vê quais são, e cada uma é selada assim que o seu titular inicia sessão.

A pesquisa funciona sobre resumos com chave, não sobre as suas palavras. Quando a sua caixa está desbloqueada, cada mensagem selada recebe até 512 resumos (HMAC-SHA256) das palavras inteiras que contém e do seu remetente e destinatários, feitos sob uma chave de pesquisa aleatória que só existe embrulhada sob a sua palavra-passe e a sua chave de recuperação. Assim, uma pesquisa encontra palavras inteiras e endereços exatos — não prefixos, formas de palavras nem expressões — e quem tiver uma cópia da base de dados não pode testar contra eles uma palavra que adivinhe. Dois custos: o correio que chega enquanto a sua caixa está bloqueada não pode ser pesquisado até a desbloquear de novo; e os resumos com chave dos identificadores e remetentes deixados às claras (acima) são feitos sob um segredo que o site tem e a base de dados não, de modo que quem tivesse ambos poderia testar se um endereço ou Message-ID que adivinhe aparece.

Uma mensagem que envia com Anular ou numa hora posterior espera na caixa de saída na forma de que o remetente precisa: como tem de estar legível quando sair, é mantida sob a chave de servidor do próprio bot até ser enviada, cancelada ou recusada em definitivo, e depois é apagada. A cópia na sua pasta Enviados continua selada para si. O correio que envia sai por TLS como qualquer outro, através do Cloudflare Email Sending, e o correio para si chega através do Cloudflare Email Routing: a Cloudflare vê a mensagem em trânsito, antes de este site a selar e quando sai.

As mensagens que envia não levam id do Discord, id de conta nem endereço do seu navegador: um Message-ID aleatório no domínio de envio, nenhum cabeçalho X-Mailer, User-Agent ou X-Originating-IP, e uma linha From que mostra apenas o endereço que escolheu, com um nome de apresentação só se definiu um. Um alias é um endereço adicional que entrega na sua caixa e que pode desligar, definir para expirar ou deixar responder uma vez. Isto não é anonimato perante quem gere o serviço, perante a Cloudflare ou perante a pessoa a quem escreve: veem o endereço a partir do qual escreveu, a hora e o que a mensagem diz.

Se perder a palavra-passe e a chave de recuperação, o seu correio não pode ser aberto, e ninguém o pode recuperar por si, o proprietário incluído. Quando o proprietário repõe a palavra-passe de correio de um titular, a chave que ela abria também é apagada: o correio selado sob ela nunca mais pode ser lido e é apagado trinta dias depois.

Música e letras

Quando um servidor ativa o reprodutor de música, o bot toca áudio num canal de voz por meio de um nó Lavalink que roda ao lado dele, na mesma máquina. O nó busca o áudio apenas no site que um membro pediu e em mais nenhum lugar: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), um link https direto colado por um membro e — somente se o dono tiver ativado — YouTube (youtube.com, youtu.be, music.youtube.com). Um link do Spotify (open.spotify.com, spotify.link) ou do Apple Music (music.apple.com) é consultado nesse site para obter o nome da faixa, e a correspondência encontrada é tocada a partir do SoundCloud; nenhum áudio vem de nenhum dos dois. Cada um desses sites vê a requisição que o nó faz para a faixa, como qualquer navegador que abrisse a página, e nada sobre o servidor ou o membro que a pediu.

O que o bot guarda para o reprodutor: o canal de voz e o de texto em que está, a fila — título, artista, duração e origem de cada faixa, o identificador do próprio nó para ela e o id do membro que a adicionou — e as últimas vinte faixas tocadas, que são apagadas quando o reprodutor para ou o bot sai do servidor. Uma playlist que um membro salva é dele e fica guardada sob o id dele até que a exclua. As letras vêm do LRCLIB (lrclib.net), um banco de dados aberto sem conta: ele recebe o artista, o título e a duração da faixa que está tocando e nada mais, e a resposta é exibida e não guardada.

A segurança da sua conta

A sua caixa de correio abre com a sua própria palavra-passe, definida no próprio cliente de correio e mantida separada do Discord. Este site só a vê enquanto a escreve, para desembrulhar a chave da sua caixa, e não a guarda; o bot, que a recebe para a verificar, guarda apenas um hash scrypt de sentido único dela — um valor que nada consegue reconverter na palavra-passe, nem nós — e verifica o que escreve em relação a ele. A palavra-passe em si não está em nenhum registo, nenhuma coluna da base de dados e nenhum cookie.

Um segundo passo é opcional e cabe a si adicioná-lo. O segredo de uma aplicação de autenticação e o endereço para onde um código é enviado são guardados cifrados com AES-256-GCM, com a mesma chave exclusiva do bot que o texto confidencial acima; uma chave de acesso é guardada apenas como a sua chave pública, que pode verificar um início de sessão mas nunca criá-lo; os códigos de recuperação são mantidos apenas como hashes com chave, como os tokens premium. Um código enviado sai pelo Cloudflare Email Sending a partir de um endereço num domínio nosso. Nenhum método de segundo fator é partilhado com ninguém.

Confiar num navegador durante trinta dias guarda um token aleatório num cookie e, do lado do bot, apenas um hash com chave desse token — nunca o token em si — de modo que a lista dos seus navegadores de confiança não contém nada que identifique o navegador a mais alguém. Além dos três cookies de início de sessão do painel, a caixa de correio define alguns próprios enquanto está aberta: o que a mantém desbloqueada por um dia, o que retém um início de sessão ou uma palavra-passe enquanto o seu segundo passo é respondido, o que dura dez minutos e marca o navegador que iniciou um início de sessão de correio para que não possa ser concluído a partir de outro, e o token do navegador de confiança. Uma sessão de correio termina seis horas depois de aberta, ou antes se terminar sessão no site num anfitrião partilhado. Cada palavra-passe ou código errado é contado contra a sua conta e contra o endereço que este site provou — o seu id e um hash com chave desse endereço, nunca o endereço em si — o que bloqueia a conta após algumas tentativas num quarto de hora; esses registos são eliminados no prazo de um dia.

Escuta — só se ligar alguma coisa

O que é guardado. O /fm não guarda nada sobre uma pessoa até ela ligar uma fonte. Se ligar o Last.fm ou o ListenBrainz, guardamos o seu nome de utilizador aí. Se ativar também o scrobbling de saída, guardamos a chave que permite ao bot enviar as reproduções por si, cifrada, apenas enquanto isso estiver ativado — desativá-lo, ou desligar, elimina-a. Se usar o estado do Spotify do Discord, o bot lê a música do Spotify no seu estado, nos servidores que partilha consigo, só depois de concordar, e regista uma reprodução quando tiver ouvido cerca de metade. Mais nada da sua presença é lido.

O que é mantido e quem o vê. As reproduções que o bot ouviu por si — do seu estado do Spotify ou do seu próprio leitor de música — são mantidas durante um ano. Os seus artistas, álbuns, faixas e géneros mais ouvidos, até mil de cada, são copiados do seu serviço de poucas em poucas horas para que um servidor possa mostrar quem ouve o quê. Os amigos, algumas definições de apresentação e os servidores em que escolheu ocultar-se também são guardados. As reproduções e as listas só são mostradas a pessoas em servidores em que está; o seu nome de utilizador do Last.fm ou do ListenBrainz só aparece num who-knows global se o ativou, e está desativado até o fazer. O /fm account mostra tudo e elimina tudo de uma só vez, e desligar a sua última fonte faz o mesmo.

Last.fm e ListenBrainz. Quando alguém usa o /fm, o bot pede ao Last.fm (ws.audioscrobbler.com) ou ao ListenBrainz (api.listenbrainz.org) os dados de escuta públicos da pessoa ligada, usando o nome de utilizador e mais nada sobre ela. Só se o scrobbling de saída estiver ativado, o bot envia também ao serviço as reproduções que ouviu para essa pessoa, assinadas com a chave dela. As capas dos álbuns são obtidas dos servidores de imagens do Last.fm pelo bot, nunca pelo seu dispositivo. Cada serviço tem a sua própria política de privacidade, e o que guarda sobre a sua escuta já era seu aí.

Ligar o Last.fm acontece na própria página do Last.fm: o bot pede ao Last.fm um token de utilização única e dá-lhe o endereço onde o aprova, e depois fica a saber que o fez perguntando ao Last.fm. O token vive apenas na memória do bot até ser usado ou passar uma hora, e nunca é guardado nem registado. Escrever apenas o seu nome de utilizador do Last.fm liga sem aprovar nada e envia ao Last.fm esse nome e mais nada. Ligar o estado do Spotify do Discord exige o Presence intent do bot; até estar ativado, só são oferecidos os outros dois.

Importar histórico. Se der ao /fm import um ficheiro do Spotify ou do Apple Music, o bot lê-o uma vez e guarda apenas a hora, o artista, a faixa e o álbum de cada reprodução. O ficheiro em si fica num ficheiro temporário durante os minutos em que a importação decorre e é eliminado logo a seguir; nada é enviado a ninguém. As reproduções importadas são guardadas até as remover (o /fm account tem um botão) ou eliminar tudo, e são mostradas como quaisquer outras reproduções: apenas às pessoas nos servidores em que também está.

Histórico de coroas. Quando as coroas de um servidor ou um ranking de quem conhece são lidos, o bot anota quem tem a coroa de cada artista ali e, quando ela muda de mãos, quem a tirou de quem e quando — por até um ano. Apagar os teus dados de escuta remove as coroas que tinhas e esquece de quem tiraste uma.

Criptografia

O texto livre que as pessoas escrevem em confiança é criptografado com AES-256-GCM antes de ser guardado e só é descriptografado quando mostrado à staff para quem foi escrito. São cinco coisas: apelações de banimento, respostas de candidaturas à staff, as respostas dadas ao abrir um ticket, o comentário deixado com a avaliação de um ticket e o ano que alguém informa com seu aniversário. A chave é derivada de um segredo que existe apenas no ambiente do próprio bot — o site roda como um serviço separado que não o tem e não saberia usá-lo —, então uma cópia do banco de dados sozinha só rende texto cifrado.

Eram três até 19 de setembro de 2026, e o quarto foi o motivo: o comentário deixado com a avaliação de um ticket — “o moderador que fechou isto foi seco comigo” é o tipo de coisa escrita nele — era guardado como texto simples desde o dia em que o recurso foi lançado. Ele ficava duas declarações abaixo das respostas do ticket que eram criptografadas, no mesmo arquivo, e nada confrontava as duas. Agora ele é criptografado, tudo o que já estava guardado foi convertido, e uma verificação na compilação recusa qualquer campo novo desse formato até que alguém tenha escrito qual dos dois ele é.

Candidaturas a meio. Um formulário de candidatura longo é feito por páginas. As respostas das páginas já enviadas ficam guardadas, cifradas da mesma forma, até a última página ser enviada — e passarem a ser a candidatura — ou durante uma hora, o que acontecer primeiro, e quem se candidata pode descartá-las a qualquer momento. Não se guarda nada de quem nunca começa.

O que não é criptografado, dito com clareza: a pergunta que um membro da staff escreveu ao lado de cada resposta, os motivos digitados por moderadores em um registro de moderação, o motivo que um membro dá para estar AFK — que o bot mostra a quem o mencionar — e as configurações do seu servidor. Nada disso são palavras privadas de alguém sobre si mesmo, e criptografá-las custaria aos seus moderadores a capacidade de pesquisar nos próprios registros.

Exclusão

Remova o bot do seu servidor e tudo o que é guardado para esse servidor é apagado trinta dias depois, automaticamente, sem precisar de nenhum pedido.

A espera é o recurso, não a pegadinha. De longe, o motivo mais comum para um servidor remover o bot é adicioná-lo de volta logo em seguida com outras permissões, e uma exclusão que disparasse no instante em que ele saísse levaria junto cada configuração, cada advertência e cada registro de moderação. Convide de novo dentro do prazo e o seu servidor está exatamente como você o deixou; passe do prazo e não há nada para voltar. Nada novo é registrado enquanto o bot está fora — ele não consegue ver o servidor — e o relógio reinicia a partir da última saída, então sair duas vezes não o encurta.

Se trinta dias for demais, o dono ou um administrador do servidor pode pedir que seja feito imediatamente: peça no servidor de suporte. Isso acontece mediante pedido e não em um cronograma.

Entrar no painel

Este site é sykbot.com, e a documentação fica em sickenn.info. O login acontece em sicken.me e em nenhum outro lugar, e os cookies abaixo pertencem somente a esse endereço — um navegador nunca os envia a nenhum outro endereço. Uma página em qualquer outro lugar que peça para você entrar com o Discord para o sick não é este site. O e-mail é lido e escrito em mail.sicken.me. Ele não tem login próprio: envia você a sicken.me para fazer login e traz você de volta, e seus cookies pertencem somente a ele.

O site não tem banco de dados, então um login é guardado em um cookie no seu navegador. Entrar pede ao Discord dois escopos, identify e guilds — o seu nome e a lista de servidores em que você está, nada mais — e o cookie guarda o que volta: o seu ID do Discord, o nome de usuário e o ID da sua foto de perfil, além dos tokens de acesso e de renovação desses dois escopos. Ele é criptografado e autenticado com AES-256-GCM sob uma chave que só o site tem, então não pode ser lido nem alterado no seu navegador, e nada sobre ele é gravado no servidor. Ele também lembra até quatro servidores que você abriu recentemente, para que apareçam primeiro na lista.

A sua foto de perfil e os ícones dos seus servidores são buscados por este site no Discord e entregues ao seu navegador, de modo que o seu navegador nunca contata os servidores de imagens do Discord e eles nunca veem o seu endereço. Este site não guarda nenhum deles: cada um é buscado quando uma página o pede, e o seu navegador e a rede na frente deste site podem guardar uma cópia por até uma semana, sob um endereço que muda sempre que a imagem muda.

Enquanto a página de configurações de um recurso está aberta e à vista, ela pede a este site — nunca a mais ninguém — as listas de canais e cargos do seu servidor de novo, uma vez por minuto, para que um canal criado há um instante esteja lá para escolher sem recarregar. Essa requisição leva o mesmo cookie e só é respondida a quem poderia abrir a página; é a única coisa que qualquer página daqui busca depois de carregada, e a Content-Security-Policy a permite somente nessas páginas.

Ele dura trinta dias a partir de quando você entra, o que permite que alguém volte sem conectar o Discord de novo; depois disso o navegador é enviado ao Discord sem a tela de consentimento, para um aplicativo que você já aprovou. Um mês só é seguro porque o Discord continua no comando: a cada poucos minutos o site pergunta ao Discord se o login ainda vale, sair revoga os tokens no Discord — então uma cópia do cookie também deixa de funcionar — e remover o sick em Aplicativos autorizados nas configurações do próprio Discord o encerra pelo seu lado, em todos os dispositivos de uma vez.

Um segundo cookie guarda apenas o dígito 1 e só existe depois que você sai. Ele registra que você saiu, para que o próximo login mostre a tela de consentimento do Discord — com o “Não é você?” do próprio Discord nela, que é como se troca de conta — em vez de pulá-la. Entrar de novo o remove. Um terceiro vive por dez minutos enquanto um login está em andamento e guarda um valor aleatório que prova que a resposta que volta do Discord pertence ao login que este navegador iniciou. Esses três são os únicos cookies que este site define. A Cloudflare, que fica na frente dele, pode definir o seu próprio cookie de curta duração __cf_bm para distinguir navegadores de bots; esse é da Cloudflare, e nada aqui o lê.

Quem pode ver o quê

A configuração é visível a quem pode alterá-la — por padrão isso significa Gerenciar servidor, e mais para os poucos recursos que pedem Administrador. Os registros de moderação são visíveis aos seus moderadores. Ninguém que opera o bot lê os dados do seu servidor como rotina, e não existe nenhuma interface que tornasse isso conveniente.