Integritet

Integritetspolicy

Senast ändrad 19 oktober 2026.

Vad som sparas

Serverinställningar som du anger genom botens kommandon: kanal- och roll-ID:n, tröskelvärden, reglage och den text du skriver in i en inställning — ett kommandoprefix, en lista med blockerade ord, texten på en verifieringspanel, frasen som utlöser en schemalagd kanalrensning, användar-ID:n som du undantar från ett filter. Modereringsposter: fallnumret, vem som agerade, mot vem det riktades, skälet du skrev och när. Där en funktion behöver det, ID:n för de meddelanden eller kanaler den skapade så att den kan hantera dem senare.

Inställningstext sparas som du skrev den, och det är avsiktligt: dina moderatorer måste kunna läsa tillbaka vad servern är inställd på att göra. Det är inte någons privata ord om sig själv — det är din servers regler, skrivna av den som driver den.

Aktivitetsräknare, från det ögonblick boten läggs till. Hur många meddelanden varje medlem har skickat, hur många minuter de har tillbringat i röstkanaler, hur aktiv varje kanal är, en timtotal för servern, samt en post över vem som gick med eller lämnade och vilken inbjudan som tog dem dit. Om webhook-reläet är på, hur många gånger det har lagt tillbaka en medlems blockerade meddelanden och när det senast gjorde det. Det här är räknare och tidsstämplar och inget annat: det finns ingen rad någonstans som säger vad någon sa, eller i vilken kanal, eller vid vilken tidpunkt. Uppdelningen per dag som topplistorna summeras från raderas efter 120 dagar, och historiken över anslutningar och avhopp efter 400 dagar.

Räkningen är på från det ögonblick boten kommer in, till skillnad från det mesta den kan göra, eftersom en historik som börjar först när någon kommer ihåg att leta upp en inställning är en historik ingen kan lita på, och en månad som inte räknats går inte att få tillbaka. Att stänga av den tar en enda rad — /logs activity med off — räkningen upphör omedelbart, och /stats fortsätter visa det som registrerades innan du gjorde det.

Det är inte det enda som är påslaget när boten kommer in, och den här sidan sa tidigare att det var det. Textkommandon, moderationsloggen, straffstegen, utlottningar, snipe, AFK och botens språkinställning startar också påslagna; dokumentationssidan listar dem bredvid alla andra moduler och markerar vilka som är vilka. Av dessa håller snipe och AFK något om en medlem: snipe i minnet snarare än i databasen, och AFK först när en medlem själv slår på det — stycket nedan är exakt om vad och hur länge.

AFK, bara om en medlem slår på det. Att de är borta, skälet de skrev, när de gick, smeknamnet som boten ersatte så att den kan sätta tillbaka det, och länkar till upp till tio meddelanden som nämnde dem medan de var borta — vilket meddelande, i vilken kanal, av vem och när, aldrig meddelandets text. Allt detta raderas nästa gång de skriver någonstans där det räknas (en server kan ange kanaler där det inte gör det), när de lämnar servern, eller med /afk remove — och efter trettio dagar oavsett vad. En server kan stänga av att nämningarna sparas.

Vad boten gjorde av ett konto när det kom in. Om medlemsgranskning är på, poängen den gav, nivån, de signaler som utlöstes, vad boten gjorde på egen hand och vad en moderator beslutade efteråt. Det sparas så att ”varför blev jag utsparkad” har ett svar som inte är en rekonstruktion, och eftersom ”har det här kontot gått med och lämnat här förut” är en signal som kräver att det finns en historik. Raderas efter 90 dagar — en bedömning av någon är inte detsamma som den moderationsåtgärd den ledde till, och bara den andra är en post.

Vad folk skickar in till en funktion, och vad funktionen gjorde av det. Överklaganden av bannlysningar och personalens röstning om dem; personalansökningar, deras svar och rösten om dem; ärenden, deras svar och betyget som lämnas när ett stängs; deltaganden i utlottningar; evenemangsanmälningar och närvaro; gillesrang, trupplistor, personalanteckningar och skäl till bidrag; recensioner som någon skrivit om din server; partneransökningar och deras presentation. De fyra fälten i den listan som är ord skrivna i förtroende är krypterade — avsnittet nedan namnger dem exakt.

Säkerhetskopior av servern, om någon tar en. /backup save sparar en strukturell ögonblicksbild av servern så att den kan byggas upp igen: rollnamn och behörigheter, kanalnamn, ämnen och överskrivningar, kategorier, metadata för emojier och klistermärken, och banlistan med skälen som skrivits på den. Den innehåller inga meddelanden. Det är din servers egen struktur, förvarad där du sa åt boten att förvara den, och /backup delete tar bort en plats helt.

Meddelanden som din personal bygger med /message. Ett ofärdigt utkast (tas bort efter en vecka utan ändring), sparade mallar, inlägg schemalagda till senare, och en post över varje inlägg så att det kan redigeras — glöms efter 90 dagar utan redigering. Det här är text som din personal skrivit för att boten ska skicka, med vem som skrev den; inget en medlem har sagt.

Din servers hälsningar. Välkomstmeddelandet, avskedsmeddelandet och välkomst-DM:et som din personal byggde, texten på välkomst- och farvälkorten och en bakgrundsbild om en laddats upp till ett kort — sparad som en bild boten ritat om från uppladdningen, så ingenting av originalfilen behålls utom dess pixlar. För att rita ett kort hämtar boten den anslutande eller lämnande medlemmens profilbild från Discord i det ögonblicket och behåller ingenting av den.

Nivåer, om en server slår på dem. Med Nivå-modulen på sparar botten ett tal per medlem — den XP de tjänat från meddelanden och tid i röst — och när det senast ändrades, och inget mer: ingen notering om vad som sades, eller var. Ur det talet räknas en nivå och en placering ut. Det finns kvar så länge botten är på servern, även efter att en medlem har lämnat, så att deras belöningsroller kan komma tillbaka om de återvänder; det raderas tillsammans med resten av serverns data trettio dagar efter att botten tagits bort. Om servern låter sin offentliga topplista vara på — den är på som standard, och en knapp slår av den — visas medlemmens servernamn, profilbild, nivå och XP på en offentlig sida på den här webbplatsen för alla med länken. Namnet och bilden hämtas från Discord när sidan ritas och skrivs aldrig till databasen; den ritade sidan sparas i under en minut, så att en välbesökt topplista inte når botten vid varje visning.

Raid-återspelningar, bara när anti-raid fångar en raid eller personalen markerar en tidsperiod. Vilka konton som gick med under den och när, hur gammalt varje konto var, om det hade en avatar, en nyckel av enbart bokstäver gjord av användarnamnet för att upptäcka en grupp liknande namn (aldrig själva användarnamnet), vad boten eller en moderator gjorde med varje (kick, ban, timeout), om servern låstes och hur många meddelanden som togs bort. Aldrig ett meddelandes text. Sparas i 30 dagar, högst 25 raider per server, och raderas tillsammans med allt annat när boten lämnar en server.

Förslag, om en server slår på dem. Ett förslag sparar det som skrevs, vem som skickade det, var kortet lades upp och — när staben svarar — svaret, vem som gav det och varför. Varje röst är en rad: vilket förslag, vilken medlem, åt vilket håll. Ett anonymt förslag sparar ändå vem som skickade det, eftersom gränsen per medlem och väntetiden räknas därifrån; det visas ingenstans. Allt detta raderas med resten av serverns data trettio dagar efter att boten tagits bort. Ett förslag som skickas med /suggest bot handlar om boten och inte om en server: det skickas vidare till en kanal i supportservern med ditt namn, ditt ID och servern det kom från, och sparas inte alls.

Födelsedagar, om en medlem anger en. /birthday sparar ingenting om en person förrän hen anger ett datum. Då sparas dag och månad som angavs; året, bara om det angavs, krypterat med samma nyckel som den förtroliga texten nedan och som bara läses tillbaka för att ange en ålder, och bara på en server som visar åldrar; en tidszon från en fast lista; ögonblicket då nästa födelsedag börjar; och vilka servrar hen valde att dela den med, en post vardera, skapad av personen och av ingen annan. En moderator kan ta bort en servers post och kan aldrig ange eller läsa ett datum som inte delats på just den servern. Ingen under 13 sparas: ett år som gör någon yngre avvisas och inget sparas. Boten skickar aldrig meddelanden till personen. /birthday remove raderar datumet och alla serverposter på en gång; en servers post försvinner också när medlemmen lämnar servern eller när serverns data raderas; och den korta posten över vilka firanden som redan annonserats raderas efter 400 dagar.

När en födelsedag raderas med /birthday remove raderas även personens uppgifter om tillkännagivna firanden omedelbart, utan att de 400 dagarna avvaktas.

Tillfälliga roller. När en moderator lånar ut en roll en tid sparar boten vem som har den, vilken roll det gäller, när den upphör, vem som lånade ut den och den anledning som angavs (högst 400 tecken), tills rollen tas tillbaka. En roll som lånas ut för en födelsedag eller för ett brutet räknande sparas på samma sätt, med boten som utlånare. Posten raderas när rollen tas tillbaka, när medlemmen bannlyses och — om inte servern valt att behålla tiden till en återkomst — när hen lämnar servern.

Räkning, om en server ställer in en kanal. För varje räknekanal sparar boten vilket tal den står på, vem som räknade senast, vilka regler kanalen följer och, för varje medlem som har räknat där, hur många rätta tal hen gav och hur många gånger hen bröt räkningen — id:n och tal, aldrig vad någon skrev. Meddelanden i en räknekanal läses när de kommer in för att bedömas och sparas inte. Allt raderas tillsammans med kanalen, när räkningen avslutas där, eller med resten av serverns data trettio dagar efter att boten tagits bort.

Modmail, bara om en server slår på det. När en medlem skickar boten ett direktmeddelande läser boten det och för det vidare till personalen på den server som valts, i en privat kanal som servern valt — alla som kan se kanalen kan läsa det, liksom den som ser serverns loggkanal om transkript postas där. Personalens svar skickas till medlemmens DM; ett anonymt svar döljer avsändaren för medlemmen, inte för övrig personal. Boten sparar ingen meddelandetext: den lagrar id:n, antal och tider, vilket DM-meddelande som motsvarar vilket meddelande i kanalen (raderas trettio dagar efter att tråden stängts), de skäl personalen skrev för en stängning eller blockering och de sparade svaren. Posten för en stängd tråd raderas efter det antal dagar servern ställt in, nittio som standard. Själva samtalet och eventuella transkriptfiler finns kvar i den serverns Discord, enligt dess egna regler. En medlem avslutar ett samtal med Close this conversation under botens första svar, hindrar en server från att starta ett med Stop messages from this server, eller skriver helt enkelt inte till boten. Ingen tredje part får något av det.

Mallbutiken. Om du betygsätter en mall sparar boten ditt konto-id, stjärnorna och tidpunkten. Om du kommenterar sparar den ditt konto-id, det visningsnamn du hade då, texten och tidpunkten; du kan själv radera din kommentar, och ägaren kan ta bort den. En anmälan sparar ditt konto-id och den orsak du skrev. För att bara de som har använt en mall ska kunna betygsätta den sparar boten vilken mall du använde, på vilket server-id och när, så länge mallen finns. Ägaren läser varje inskickad mall innan den listas, och en kommentar som väntar på granskning innan den visas; en kommentar som ingen har tagit ställning till raderas efter 30 dagar. För att begränsa hur ofta ett konto eller en adress kan kommentera, anmäla eller betygsätta sparar boten en nyckelbaserad hash av adressen — aldrig själva adressen — med konto-id och tidpunkt, raderad efter 30 dagar. En mall du fortfarande skriver sparas förseglad (krypterad) i 7 dagar. För att få bort allt butiken har om ditt konto, fråga i supportservern så utför ägaren borttagningen. Texten i en kommentar — och bara texten, utan konto, namn eller mall — skickas till OpenAI:s modereringsändpunkt innan kommentaren publiceras, på de villkor som beskrivs under OpenAI ovan; en kommentar den flaggar, eller inte svarar på i tid, hålls kvar för ägaren i stället för att publiceras. Där boten saknar OpenAI-nyckel hoppas det steget över och de övriga kontrollerna står ensamma.

Vad som aldrig sparas

Meddelandeinnehåll. Ingenting i databasen behåller vad folk säger i dina kanaler, och det finns inget undantag från det — inte en enda kolumn i databasen innehåller ett meddelande som någon skrivit. Den här sidan namngav tidigare ärendeutskrifter som ett undantag, och det är de inte: en utskrift byggs av historiken som Discord självt håller, i det ögonblick en moderator ber om den, och läggs tillbaka i din server som en fil. Ingenting av den sparas här. Text som någon medvetet skickar in till boten — ett överklagande av bannlysning, en ansökan, formuläret när ett ärende öppnas, kommentaren som lämnas med ett betyg — sparas, eftersom en recension som inte går att läsa inte är en recension; den krypteras, och avsnittet nedan säger exakt vilka fält. Det gäller även skälet en medlem anger med /afk, tills de återvänder — inte krypterat, eftersom det inte är skrivet i förtroende: det visas för alla som nämner dem.

Två saker hålls utanför databasen, och båda förtjänar att beskrivas exakt. Den första är snipe: /snipe visar det senaste meddelandet som raderats eller redigerats i en kanal, så den måste hålla ett: fem per kanal, som mest i två timmar, i minnet. Ingenting skrivs ner, en omstart glömmer allt, och det lämnar aldrig processen. Alla som kan läsa kanalen kan be om det — det är vad kommandot är till för — och boten kontrollerar den åtkomsten i det ögonblick den svarar snarare än när meddelandet togs bort. Den visar inte ett meddelande som boten själv raderat, eller något som rensats i bulk, eftersom snipe inte får bli ett sätt att läsa tillbaka moderering. En server som vill ha det snävare begränsar det till moderatorer, eller utesluter kanaler helt, med /logs snipe; en moderator som nyss tagit bort något rensar det omedelbart med /snipe clear.

Den andra är skyddens räknare. Anti-nuke, anti-raid, anti-spam och de andra avgör genom att räkna — hur många kanaler en moderator raderade den senaste minuten, hur många konton som gick med de senaste trettio sekunderna — och de räkningarna kopieras till en Redis-cache på samma maskin med några sekunders mellanrum, så att en omstart av boten inte ger någon mitt i en attack en ny kvot. Det som kopieras är ID:n — för servern och för medlemmen eller kanalen det gäller — och tidpunkterna då saker hände, aldrig vad någon sa: anti-spams minne av senaste meddelanden stannar i processen och glöms vid en omstart. Varje kopia går ut av sig själv, inom en timme och de flesta inom minuter; cachen skriver aldrig till disk, och ingenting når den utom boten själv — inte webbplatsen och inte internet. Under en uppdatering, när en ny kopia av boten tar över från den gamla, passerar ID:n för de meddelanden och interaktioner som den gamla kopian besvarade under sina sista sekunder genom samma cache, i högst trettio sekunder, så att ingenting besvaras två gånger. En sak i den cachen varar längre än en timme: vilka nya medlemmar som fortfarande väntar vid en spärr — Discords regelskärm, verifiering, en karantän — på de roller servern ger vid anslutning, sparat som serverns ID, medlemmens ID och tidpunkten då väntan löper ut, i högst ett dygn, så att en uppdatering inte glömmer att ge dem.

IP-adresser. Boten ser aldrig någon — Discord lämnar inte ut en medlems adress till en bot, och ingenting här går runt det. Den enda plats där en adress någonsin läses är webbplatsens anslutningskontroll, som beskrivs härnäst, och den läses en gång och sparas inte: inte lagrad, inte loggad, inte hashad. En stulen databas innehåller inga adresser och ingenting som härletts från en.

Röstmeddelanden, om någon ber om att få dem utskrivna. /transcribe hämtar röstmeddelandet och gör om det till text på botens egen server, med en talmodell som körs där. Ljudet går inte till något annat företag eller någon annan tjänst; det hålls bara medan det lyssnas på och raderas så fort det är klart. Orden postas i kanalen där kommandot användes och sparas ingen annanstans — ingen uppgift om vad som sades förs. För att ingen ska binda upp maskinen räknar boten i minnet hur många varje person och varje server har bett om de senaste tio minuterna; räknarna glöms efteråt, och en omstart glömmer dem direkt.

De fem tredje parterna, och vad var och en får

Under större delen av sin tid kunde den här webbplatsen säga att ingen tredje part någonsin såg dina medlemmar. Det slutade vara sant när verifieringsmodulen fick Avvisa VPN och proxyservrar, eftersom huruvida en adress tillhör ett VPN är ett faktum som bara en ryktestjänst har. Var och en av de fem nedan är av om inte en server slår på den, och när den är på är det som följer allt som händer.

proxycheck.io. En medlem som inställningen gäller får en engångslänk till en sida på den här webbplatsen. När de trycker på knappen där skickas den anslutande adressen en gång till proxycheck.io med frågan ”är det här ett VPN, en proxy eller ett hostingintervall” och inget annat — inget användarnamn, ingen server, inget konto-ID. Svaret läses för den enda biten och släpps. Boten, som vet vem medlemmen är, får aldrig adressen; webbplatsen, som såg adressen, får aldrig veta vem medlemmen är. Det som finns kvar efteråt är en tidsstämpel på medlemmens verifieringspost som säger att anslutningen var ren, och ett avvisande lämnar ingenting alls.

Cloudflare Turnstile. Som tillval har samma sida Cloudflares Turnstile-widget så att ett skript inte kan trycka på knappen. Widgetens skript är det enda den här webbplatsen någonsin laddar från ett annat ursprung, bara på den sidan, och den här sidans Content-Security-Policy förbjuder det fortfarande överallt annars. Dess svar kontrolleras med Cloudflare utan att adressen bifogas. Turnstile ersätter inte CAPTCHAn inne i Discord, som fortfarande ritas i processen.

OpenAI. Det här är den största av de tre och den som får det folk publicerar, så det är värt att vara exakt. En server kan slå på AI-bildskanning, som låter en modell avgöra om en bild är sexuell, blodig, våldsam eller visar självskada. Ingen nyckelordslista kan läsa en bild, och det finns ingen version av det som körs på våra egna maskiner, vilket är den enda anledningen till att den finns här överhuvudtaget.

När en server har slagit på den skickas varje bild som publiceras i en skannad kanal till OpenAIs modereringsendpoint som länken till bilden på Discords egna servrar, och inget annat — ingen text någon skrivit, inget användarnamn, inget konto-ID, inget servernamn, inget kanalnamn. Det omfattar uppladdningar och, om servern låter det vara på, bilden Discord visar under en länk. Svaret kommer tillbaka som en poäng per kategori, läses för att avgöra om bilden bryter mot den serverns regler, och släpps. Ingenting av det skrivs ner här, och själva bilden sparas aldrig i vår databas.

Vad OpenAI gör med den, med deras ord snarare än våra. Deras dokumentation anger att data som skickas till API:et ”is not used to train or improve OpenAI models” om du inte uttryckligen tackar ja, och det har vi inte gjort. Den anger också att loggar för missbruksövervakning ”may contain certain customer content, such as prompts and responses” och som standard ”retained for up to 30 days”. Så den ärliga versionen är inte att bilden försvinner i samma ögonblick som den skannats: vi behåller ingenting av den, och OpenAI kan hålla den i upp till trettio dagar för att övervaka sin egen tjänst. En server som inte vill att det ska ske bör lämna den här modulen av, vilket är hur den levereras.

Den är av tills en administratör slår på modulen. En server kan undanta roller, hoppa över hela kanaler eller bara skanna vissa, bara skanna nyare medlemmar och hoppa över sina egna moderatorer, och modulens beskrivning säger tydligt att det är att slå på den som skickar bilder ut ur servern. Slå av modulen och ingenting skickas igen.

Två ärliga begränsningar. Den är bra på allmänna skador och den vet inte hur ett hot mot din server ser ut — en raid som organiseras, en bluff, en annons — eftersom det inte är kategorier modellen har, och den läser ingen text alls. Och OpenAIs egen dokumentation säger att endpointen inte är utformad för att upptäcka material med sexuella övergrepp mot barn och inte ersätter särskilda barnskyddsåtgärder; ingenting här påstår något annat, och den rapporteringsvägen förblir Discords.

Inget annat laddas. Ingen analys, ingen typsnittstjänst, inget skript eller stilmall från någons CDN: varje sida utom anslutningskontrollen hämtar ingenting från ett annat ursprung, och det upprätthålls av Content-Security-Policy snarare än lovas. Cloudflare sitter framför webbplatsen som dess nätverk — det ser de förfrågningar som alla nätverk framför en webbplats ser, och det är därför webbplatsen står emot en störtflod — men det får ingenting om dina medlemmar, eftersom sidorna inte bär något om dina medlemmar.

YouTube och Twitch. En server kan följa en YouTube-kanal eller en Twitch-streamer med /alerts, och boten frågar då tjänsten var några minuter om det finns något nytt. Till YouTube skickar den en förfrågan om kanalens publika RSS-flöde, som bara nämner kanalens publika id. Till Twitch skickar den streamerns publika inloggningsnamn — tillsammans med andra, upp till hundra per förfrågan — signerat med den här botens egen Twitch-applikation, aldrig en medlems konto. Ingen medlem, inget servernamn och inget kanalnamn skickas till någon av dem, och ingen av dem får veta vilken server som följer vem. Svaret läses för den senaste videon, eller den direktsända strömmens id, titel och spel, och kasseras. Det som sparas är kanalen eller inloggningsnamnet som servern valde att följa, var det ska postas och id:t på det senast aviserade, så att inget aviseras två gånger. Båda är av tills en server lägger till en följning, och att ta bort följningen stoppar förfrågningarna.

En sponsrad rad

De som driver den här boten kan ange en enda sponsrad länk: en kort rad märkt Sponsrat, vars text och mål de väljer och som betalas av den länken pekar på. Den visas i sidfoten på den här webbplatsen och, då och då, under ett av botens svar i en server utan premium: högst en gång var 45 minut i en och samma server, först efter minst 6 andra svar där, och aldrig under en modereringsåtgärd, en varning, ett privat svar eller ett meddelande med knappar. Premiumservrar ser den aldrig i Discord. Webbplatsen kan inte veta vem som läser den, så sidfoten visar den för varje besökare.

Det är en länk och ingenting mer. Ingenting hämtas från sponsorn och ingenting skickas till den. För att hålla regeln ovan har boten i minnet — aldrig i databasen — när varje server senast såg raden och hur många svar som gått ut där sedan dess, samt en löpande räkning av hur ofta den visats; ingen person registreras och sponsorn ser inget av det. Boten registrerar inga klick och gör inga omdirigeringar, och länken bär ingen referrer från den här webbplatsen. Klickar du på den lämnar du till deras webbplats, där deras egna villkor gäller. Sponsorns text visas som den skrevs och översätts inte. När ingen sponsor är angiven finns raden inte någonstans.

Inget av detta sparas länge. En servers post glöms 24 timmar efter dess senaste svar. Högst 20 000 servrar hålls samtidigt; när det är fullt faller den bort som varit tyst längst. Allt, även den löpande räkningen, försvinner varje gång boten startar om.

Premiumtokens och ditt konto

Premium per konto är en enda rad: ditt Discord-id, om det är månadsvis eller livet ut, när det tar slut, var det kom ifrån och hur många extra serverbyten du köpt. En token lagras bara som en nyckelhash av sig själv, så databasen innehåller ingenting som kan bli en token igen; token finns i svaret till ägaren när den skapas och ingenstans därefter.

Varje försök att lösa in en token registreras — ditt id, om det kom från den här sidan eller från Discord, hur det gick och en nyckelhash av adressen som sidan bevisade för begäran, aldrig adressen. Den registreringen är det som låser ett konto och en adress efter en handfull fel tokens, och det som låter de som driver boten se en adress bakom många konton. Den tas bort efter 90 dagar.

Varje server antecknar vilket konto som lade till sick, och det är det som gör servern premium när det kontot är det. Servrarna du lägger till sick på antecknas också på ditt konto — serverns id och när — så att dina byten kan räknas. Den listan behålls, och en server stannar på den efter att sick lämnat, eftersom ett använt byte är använt.

E-post på den här domänen

Webbplatsen har också en liten e-posttjänst för de som driver den: ägarens egen adress och adresserna till de konton som ägaren har tillåtit att använda den, var och en öppnad från e-postsidan efter inloggning här. Post till en av dessa adresser kommer in via Cloudflare Email Routing och en Cloudflare Email Worker, som lämnar den till denna webbplats; när webbplatsen inte kan nås behåller Workern meddelandet i Cloudflare Workers KV i upp till sju dagar och försöker igen. Post som skickas från en av dessa adresser lämnar via Cloudflare Email Sending. Det är de fyra Cloudflare-tjänsterna som är inblandade, och ingen annan part ser posten.

E-post är förseglad i vila. När ett meddelande kommer in tolkar den här webbplatsen det och förseglar det med en publik nyckel som tillhör brevlådan — AES-256-GCM under en engångsnyckel för just det meddelandet, som i sin tur förseglas med brevlådans publika X25519-nyckel — och lämnar först därefter över det till boten, vars databas lagrar det förseglade meddelandet: ämne, avsändare, mottagare, text, HTML, bilagor och deras namn samt originalbytena, som sparas i sju dagar så att ett meddelande som en tolkare läst fel kan laddas ner i sin helhet. Den privata nyckel som öppnar det är omsluten av en nyckel som görs av ditt e-postlösenord (scrypt) och, om du skapar en, av en engångsåterställningsnyckel; boten har aldrig den privata nyckeln och lagrar bara en enkelriktad hash av ditt lösenord. Det här är noll åtkomst i vila, inte noll kunskap: webbplatsen läser din e-post i minnet medan den tolkar ett inkommande meddelande och medan din brevlåda är upplåst, så den som kan ändra koden som webbplatsen kör skulle kunna läsa den, men ägaren kan inte läsa den ur databasen. Din upplåsta nyckel finns bara i webbplatsens minne, i högst ett dygn, och en omstart låser varje brevlåda tills du skriver ditt lösenord igen. Fjärrbilder i ett meddelande hämtas aldrig av webbplatsen: de laddas i din webbläsare bara när du ber om det, och en bildladdning talar om för avsändaren när du öppnade meddelandet och varifrån.

När du loggar in på den här webbplatsen med Discord registreras ditt Discord-id, användarnamn och avatarhash med tidpunkten, så att ägaren kan se vem som har loggat in innan en adress delas ut. Papperskorgen och Skräppost raderar sitt innehåll trettio dagar efter att ett meddelande kom dit; en återkallad brevlåda raderas fjorton dagar efter återkallandet. Om du ber ägaren om åtkomst sparas begäran — samma id, namn och avatar-hash samt tidpunkten — tills ägaren svarar på den eller trettio dagar har gått, och ägaren meddelas med ett direktmeddelande från boten på Discord. Inget annat om e-post delas med Discord.

Utskick räknas per mottagare, utifrån de utkorgsrader som redan sparas för att skicka e-posten, så inget nytt samlas in för det. En brevlåda vars e-post gång på gång studsar får sitt utskick pausat tills ägaren har tittat på den. E-post som skickas till postmaster@ eller abuse@ på dessa domäner når ägaren.

Vissa saker lämnas öppna, eftersom tjänsten måste kunna läsa dem utan din nyckel: vilken mapp och flik ett meddelande ligger i, dess flaggor (läst, stjärnmärkt, viktigt, snoozat), när det kom, dess storlek, vilken konversation det hör till, hur många bilagor det har, deras filtyper och id:n för inbäddade bilder, vilken av dina adresser det kom till, en plustagg du använt, resultaten av avsändarkontrollerna och nyckelade sammanfattningar av dess identifierare (Message-ID, References) och av dess avsändare. De regler du satt för avsändare — en adress eller en domän som du filat, blockerat eller tillåtit bilder för — är också öppna. Medan ett meddelande kommer in läser boten dess avsändare, mottagare, ämne, huvuden och bilagenamn i minnet för att lägga det i en flik och tillämpa missbruksreglerna, och skriver inget av det öppet. Brevlådor vars innehavare ännu inte har loggat in med lösenord sedan förseglingen började behåller sin äldre post som den var, läsbar för tjänsten; ägaren visas vilka, och var och en förseglas så fort innehavaren loggar in.

Sökningen arbetar på nyckelade sammanfattningar, inte på dina ord. När din brevlåda är upplåst får varje förseglat meddelande upp till 512 sammanfattningar (HMAC-SHA256) av hela orden i det och av dess avsändare och mottagare, gjorda under en slumpmässig sökningsnyckel som bara finns inpackad under ditt lösenord och din återställningsnyckel. Så en sökning kan hitta hela ord och exakta adresser — inte prefix, ordformer eller fraser — och den som har en kopia av databasen kan inte testa ett gissat ord mot dem. Två priser: post som kommer medan din brevlåda är låst kan inte sökas förrän du nästa gång låser upp den; och de nyckelade sammanfattningarna av identifierare och avsändare som lämnas i klartext (ovan) görs under en hemlighet som webbplatsen har och databasen inte har, så den som har båda kan testa om en gissad adress eller Message-ID förekommer.

Ett meddelande du skickar med Ångra eller vid en senare tidpunkt väntar i utkorgen i den form som avsändaren behöver: eftersom det måste vara läsbart när det går ut sparas det under botens egen servernyckel tills det skickats, avbrutits eller slutgiltigt vägrats, och raderas sedan. Kopian i din mapp Skickat förblir förseglad åt dig. Post du skickar lämnar över TLS som all annan post, via Cloudflare Email Sending, och post till dig kommer in via Cloudflare Email Routing: Cloudflare ser meddelandet under transporten, innan den här webbplatsen förseglar det och när det lämnar.

Meddelanden du skickar bär inget Discord-id, konto-id eller adress till din webbläsare: ett slumpmässigt Message-ID på avsändardomänen, inget X-Mailer-, User-Agent- eller X-Originating-IP-huvud, och en From-rad som bara visar adressen du valde, med ett visningsnamn endast om du satt ett. Ett alias är en ytterligare adress som levererar till din brevlåda och som du kan stänga av, låta löpa ut eller låta svara en gång. Det här är inte anonymitet gentemot dem som driver tjänsten, gentemot Cloudflare eller gentemot den du skriver till: de ser adressen du skrev från, tiden och vad meddelandet säger.

Om du förlorar både ditt lösenord och din återställningsnyckel kan din e-post inte öppnas, och ingen kan återställa den åt dig, inte heller ägaren. När ägaren återställer en innehavares e-postlösenord raderas också nyckeln som det öppnade: e-posten som förseglats under den kan aldrig läsas igen och raderas trettio dagar senare.

Musik och sångtexter

När en server slår på musikspelaren spelar boten upp ljud i en röstkanal via en Lavalink-nod som körs bredvid den på samma maskin. Noden hämtar ljudet bara från den webbplats som en medlem har bett om och inte från något annat: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), en direkt https-länk som en medlem har klistrat in och — bara om ägaren har slagit på det — YouTube (youtube.com, youtu.be, music.youtube.com). En Spotify-länk (open.spotify.com, spotify.link) eller Apple Music-länk (music.apple.com) slås upp på den webbplatsen för spårets namn, och träffen spelas upp från SoundCloud; inget ljud kommer från någon av dem. Var och en av dessa webbplatser ser den begäran som noden gör för spåret, som vilken webbläsare som helst som öppnar sidan skulle göra, och inget om servern eller medlemmen som bad om det.

Det här sparar boten för spelaren: röst- och textkanalen den befinner sig i, kön — varje spårs titel, artist, längd och källa, nodens eget handtag för det och id:t för medlemmen som köade det — och de senaste tjugo spelade spåren, som försvinner när spelaren stoppar eller boten lämnar servern. En spellista som en medlem sparar tillhör medlemmen och förvaras under medlemmens id tills den raderas. Sångtexter kommer från LRCLIB (lrclib.net), en öppen databas utan konto: den får artist, titel och längd på spåret som spelas och inget annat, och svaret visas och sparas inte.

Säkerheten för ditt konto

Din brevlåda öppnas med ditt eget lösenord, satt i själva e-postklienten och hållet skilt från Discord. Webbplatsen ser det bara medan du skriver det, för att öppna din brevlådas nyckel, och sparar det inte; boten, som tar emot det för att kontrollera det, lagrar bara en enkelriktad scrypt-hash av det — ett värde som inget kan föra tillbaka till lösenordet, inte ens vi — och kontrollerar det du skriver mot den. Själva lösenordet finns i ingen logg, ingen databaskolumn och ingen kaka.

Ett andra steg är valfritt och ditt att lägga till. Hemligheten för en autentiseringsapp och adressen en kod skickas till sparas krypterade med AES-256-GCM, med samma nyckel som bara boten har som den förtroliga texten ovan; en nyckel sparas enbart som sin publika nyckel, som kan verifiera en inloggning men aldrig skapa en; återställningskoder hålls bara som nycklade hashar, som premiumtoken. En skickad kod går ut genom Cloudflare Email Sending från en adress på en av våra domäner. Ingen metod för andra faktor delas med någon.

Att lita på en webbläsare i trettio dagar sparar en slumpmässig token i en kaka och, på botens sida, bara en nycklad hash av den token — aldrig själva token — så att listan över dina betrodda webbläsare inte innehåller något som identifierar webbläsaren för någon annan. Vid sidan av panelens tre inloggningskakor sätter brevlådan några egna medan den är öppen: den som håller den upplåst en dag, den som håller en inloggning eller ett lösenord medan dess andra steg besvaras, den som lever tio minuter och märker webbläsaren som startade en e-postinloggning så att den inte kan slutföras från en annan, och den betrodda webbläsarens token. En e-postsession slutar sex timmar efter att den öppnats, eller tidigare om du loggar ut från webbplatsen på en delad värd. Varje fel lösenord eller kod räknas mot ditt konto och mot adressen som den här webbplatsen bevisade — ditt id och en nycklad hash av den adressen, aldrig adressen själv — vilket låser kontot efter en handfull försök inom en kvart; dessa poster raderas inom ett dygn.

Lyssnande — bara om du länkar något

Vad som sparas. /fm sparar ingenting om en person förrän hen länkar en källa. Om du länkar Last.fm eller ListenBrainz sparar vi ditt användarnamn där. Om du dessutom slår på scrobbling ut sparar vi nyckeln som låter boten skicka lyssningar åt dig, krypterad, bara så länge det är på — att slå av det, eller avlänka, raderar den. Om du använder Discords Spotify-status läser boten Spotify-låten i din status, på servrar den delar med dig, först efter att du godkänt, och registrerar en lyssning när du hört ungefär hälften av den. Inget annat i din närvaro läses.

Vad som behålls och vem som ser det. De lyssningar boten hörde själv — från din Spotify-status eller dess egen musikspelare — behålls i ett år. Dina toppartister, album, låtar och genrer, upp till tusen av varje, kopieras från din tjänst var några timmar så att en server kan visa vem som lyssnar på vad. Vänner, några visningsinställningar och de servrar där du valde att dölja dig sparas också. Lyssningar och listor visas bara för personer på servrar du är med i; ditt Last.fm- eller ListenBrainz-användarnamn syns i en global vem-vet-lista bara om du slagit på det, och det är av tills du gör det. /fm account visar allt detta och raderar allt på en gång, och att avlänka din sista källa gör detsamma.

Last.fm och ListenBrainz. När någon använder /fm frågar boten Last.fm (ws.audioscrobbler.com) eller ListenBrainz (api.listenbrainz.org) efter den länkade personens offentliga lyssningsdata, med hjälp av användarnamnet och inget annat om personen. Bara om scrobbling ut är på skickar boten också de lyssningar den hörde för den personen till tjänsten, signerade med personens nyckel. Albumomslag hämtas av boten från Last.fms bildservrar, aldrig av din enhet. Varje tjänst har sin egen integritetspolicy, och det den har om ditt lyssnande var redan ditt där.

Att länka Last.fm sker på Last.fms egen sida: boten ber Last.fm om en engångstoken och ger dig adressen där du godkänner den, och får sedan veta att du gjort det genom att fråga Last.fm. Token finns bara i botens minne tills den används eller en timme har gått, och sparas eller loggas aldrig. Om du bara skriver ditt Last.fm-användarnamn länkas kontot utan något godkännande, och Last.fm får det namnet och inget annat. Att länka Discords Spotify-status kräver botens Presence-intent; tills den är påslagen erbjuds bara de andra två.

Import av historik. Om du ger /fm import en Spotify- eller Apple Music-fil läser boten den en gång och sparar bara tid, artist, låt och album för varje lyssning. Själva filen ligger i en temporär fil under de minuter importen pågår och raderas direkt efteråt; ingenting skickas till någon. Importerade lyssningar sparas tills du tar bort dem (/fm account har en knapp) eller raderar allt, och visas som alla andra lyssningar: bara för personer på servrar du är med i.

Kronhistorik. När en servers kronor eller en vem-känner-lista läses noterar boten vem som har varje artists krona och, när den byter ägare, vem som tog den från vem och när — i upp till ett år. När du raderar din lyssningsdata tas kronorna du hade bort, och det glöms vem du tog en från.

Kryptering

Fri text som folk skriver i förtroende krypteras med AES-256-GCM innan den sparas, och dekrypteras bara när den visas för den personal den skrevs för. Det rör sig om fem saker: överklaganden av bannlysning, svar i personalansökningar, svaren som ges när ett ärende öppnas, kommentaren som lämnas med ett ärendebetyg och året någon anger med sin födelsedag. Nyckeln härleds från en hemlighet som bara finns i botens egen miljö — webbplatsen körs som en separat tjänst som inte har den och inte skulle kunna använda den — så en kopia av enbart databasen ger bara chiffertext.

Det sa tre fram till den 19 september 2026, och den fjärde var anledningen: kommentaren som lämnas med ett ärendebetyg — ”moderatorn som stängde det här var kort mot mig” är den sortens sak som skrivs i den — lagrades som vanlig text från den dag funktionen släpptes. Den låg två deklarationer under ärendesvaren som var krypterade, i samma fil, och ingenting höll de två mot varandra. Den är krypterad nu, allt som redan lagrats konverterades, och en kontroll i bygget vägrar varje nytt fält av den formen tills någon skrivit ner vilket av de två det är.

Halvfärdiga ansökningar. Ett långt ansökningsformulär ställs i sidor. Svaren på de sidor som redan skickats sparas, krypterade på samma sätt, tills sista sidan skickas — då blir de ansökan — eller i en timme, vilket som inträffar först, och den sökande kan när som helst kasta dem. Ingenting sparas för den som aldrig börjar.

Det som inte är krypterat, sagt rakt ut: frågan en personalmedlem skrev bredvid varje svar, skäl som moderatorer skrivit på en modereringspost, skälet en medlem anger för att vara AFK — som boten visar för alla som nämner dem — och din servers inställningar. Inget av det är någons privata ord om sig själv, och att kryptera dem skulle kosta dina moderatorer möjligheten att söka i sina egna poster.

Radering

Ta bort boten från din server så raderas allt som hålls för den servern trettio dagar senare, automatiskt, utan att någon begäran behövs.

Fördröjningen är funktionen, inte haken. Det i särklass vanligaste skälet till att en server tar bort boten är att lägga tillbaka den direkt med andra behörigheter, och en radering som utlöstes i samma stund den lämnade skulle ta med sig varje inställning, varje varning och varje modereringspost. Bjud in den igen inom fönstret så är din server precis som du lämnade den; passera fönstret och det finns inget att komma tillbaka till. Ingenting nytt registreras medan boten är borta — den kan inte se servern — och klockan startar om från den senaste avgången, så att lämna två gånger förkortar den inte.

Om trettio dagar är för länge kan en serverägare eller administratör få det gjort omedelbart: fråga i supportservern. Det sker på begäran snarare än enligt ett schema.

Inloggning på panelen

Den här webbplatsen är sykbot.com, och dokumentationen finns på sickenn.info. Inloggningen sker på sicken.me och ingen annanstans, och cookies nedan tillhör bara den adressen — en webbläsare skickar dem aldrig till någon annan adress. En sida var som helst annars som ber dig logga in med Discord för sick är inte den här webbplatsen. Mejl läses och skrivs på mail.sicken.me. Den har ingen egen inloggning: den skickar dig till sicken.me för att logga in och tar dig tillbaka, och dess cookies tillhör bara den.

Webbplatsen har ingen databas, så en inloggning sparas i en enda cookie i din webbläsare. Inloggningen ber Discord om två omfång, identify och guilds — ditt namn och listan över servrar du är med i, inget annat — och cookien innehåller det som kommer tillbaka: ditt Discord-ID, användarnamn och ID:t för din profilbild, samt åtkomst- och uppdateringstokens för de två omfången. Den är krypterad och autentiserad med AES-256-GCM under en nyckel som bara webbplatsen har, så den kan varken läsas eller ändras i din webbläsare, och ingenting om den skrivs ner på servern. Den kommer också ihåg upp till fyra servrar du nyligen öppnat, så att de kommer först i listan.

Din profilbild och dina servrars ikoner hämtas av den här webbplatsen från Discord och lämnas vidare till din webbläsare, så din webbläsare kontaktar aldrig Discords bildservrar och de ser aldrig din adress. Den här webbplatsen behåller ingen av dem: var och en hämtas när en sida ber om den, och din webbläsare och nätverket framför den här webbplatsen kan hålla en kopia i upp till en vecka, under en adress som ändras när bilden ändras.

Medan en funktions inställningssida är öppen och synlig frågar den den här webbplatsen — aldrig någon annan — efter din servers kanal- och rollistor igen en gång i minuten, så att en kanal som skapades nyss finns att välja utan att ladda om. Den förfrågan bär samma cookie och besvaras bara för någon som kunde öppna sidan; det är det enda en sida här hämtar efter att den laddats, och Content-Security-Policy tillåter det enbart på de sidorna.

Den varar i trettio dagar från det att du loggar in, vilket gör att någon kan komma tillbaka utan att ansluta Discord igen; därefter skickas webbläsaren genom Discord utan medgivandeskärmen, för en app du redan godkänt. En månad är bara säker eftersom Discord förblir ansvarigt för den: med några minuters mellanrum frågar webbplatsen Discord om inloggningen fortfarande gäller, utloggning återkallar tokens hos Discord — så en kopia av cookien slutar också fungera — och att ta bort sick under Auktoriserade appar i Discords egna inställningar avslutar den från din sida, på alla enheter samtidigt.

En andra cookie innehåller bara siffran 1, och finns bara efter att du loggat ut. Den registrerar att du gjorde det, så att nästa inloggning visar Discords medgivandeskärm — med Discords eget ”Inte du?” på den, vilket är hur du byter konto — i stället för att hoppa över den. Att logga in igen tar bort den. En tredje lever i tio minuter medan en inloggning pågår och innehåller ett slumpmässigt värde som bevisar att svaret som kommer tillbaka från Discord hör till inloggningen den här webbläsaren startade. Dessa tre är de enda cookies den här webbplatsen sätter. Cloudflare, som sitter framför den, kan sätta sin egen kortlivade __cf_bm-cookie för att skilja webbläsare från botar; den är Cloudflares, och ingenting här läser den.

Vem som kan se vad

Inställningar är synliga för de som kan ändra dem — som standard betyder det Hantera server, och mer för de få funktioner som kräver Administratör. Modereringsposter är synliga för dina moderatorer. Ingen som driver boten läser din servers data som en självklarhet, och det finns inget gränssnitt som skulle göra det bekvämt.