Quyền riêng tư

Chính sách quyền riêng tư

Thay đổi lần cuối 19 tháng 10, 2026.

Những gì được lưu

Cấu hình máy chủ mà bạn đặt qua các lệnh của bot: ID kênh và vai trò, ngưỡng, công tắc, và văn bản bạn gõ vào một cài đặt — tiền tố lệnh, danh sách từ bị chặn, văn bản của bảng xác minh, cụm từ kích hoạt việc xóa sạch kênh theo lịch, ID người dùng bạn miễn trừ khỏi một bộ lọc. Hồ sơ kiểm duyệt: số vụ việc, ai đã thực hiện, nhắm vào ai, lý do bạn đã gõ và thời điểm. Khi một tính năng cần đến, ID của các tin nhắn hoặc kênh mà nó đã tạo để sau này có thể quản lý chúng.

Văn bản cấu hình được lưu đúng như bạn viết, và đó là chủ ý: người kiểm duyệt của bạn phải đọc lại được máy chủ đang được đặt để làm gì. Đó không phải những lời riêng tư của ai đó về bản thân họ — đó là quy tắc của máy chủ bạn, do người vận hành nó viết ra.

Số liệu hoạt động, tính từ lúc bot được thêm vào. Mỗi thành viên đã gửi bao nhiêu tin nhắn, đã dành bao nhiêu phút trong kênh thoại, mỗi kênh sôi nổi đến mức nào, tổng theo giờ của máy chủ, và bản ghi ai đã vào hoặc rời đi và lời mời nào đã đưa họ đến. Nếu bộ chuyển tiếp webhook đang bật, thì còn có số lần nó đã đăng lại tin nhắn bị chặn của một thành viên, và lần gần nhất là khi nào. Đây là các bộ đếm và dấu thời gian, không gì khác: không có hàng nào ở bất kỳ đâu ghi lại ai đã nói gì, ở kênh nào, hay vào lúc nào. Bảng phân tích theo ngày dùng để cộng ra các bảng xếp hạng bị xóa sau 120 ngày, còn lịch sử vào và rời bị xóa sau 400 ngày.

Việc đếm được bật ngay từ lúc bot đến, không như phần lớn những gì nó làm được, vì một lịch sử chỉ bắt đầu khi ai đó nhớ ra phải tìm một cài đặt là một lịch sử không ai tin được, và một tháng không được đếm thì không thể lấy lại. Tắt nó chỉ cần một dòng — /logs activity với off — việc đếm dừng ngay lập tức, và /stats vẫn tiếp tục hiển thị những gì đã được ghi lại trước khi bạn tắt.

Nó không phải thứ duy nhất được bật khi bot tham gia, dù trang này từng nói như vậy. Lệnh văn bản, nhật ký kiểm duyệt, bậc thang hình phạt, giveaway, snipe, AFK và cài đặt ngôn ngữ của bot cũng bật sẵn; trang tài liệu liệt kê chúng bên cạnh mọi mô-đun khác và đánh dấu cái nào là cái nào. Trong số đó, snipe và AFK có giữ một điều gì đó về thành viên: snipe giữ trong bộ nhớ chứ không phải trong cơ sở dữ liệu, còn AFK chỉ khi chính thành viên đặt nó — đoạn bên dưới nói chính xác là giữ gì và trong bao lâu.

AFK, chỉ khi một thành viên tự đặt. Việc họ đang vắng mặt, lý do họ đã gõ, thời điểm họ đi, biệt danh mà bot đã thay để có thể trả lại, và liên kết tới tối đa mười tin nhắn đã nhắc đến họ trong lúc họ vắng — tin nhắn nào, ở kênh nào, của ai, và khi nào, không bao giờ là nội dung tin nhắn. Tất cả được xóa vào lần tiếp theo họ nói chuyện ở một nơi được tính (một máy chủ có thể liệt kê các kênh không tính), khi họ rời máy chủ, hoặc bằng /afk remove — và dù thế nào cũng bị xóa sau ba mươi ngày. Một máy chủ có thể tắt việc giữ các lượt nhắc đến.

Những gì bot đánh giá về một tài khoản khi nó bước vào. Nếu sàng lọc thành viên đang bật: điểm số nó đã chấm, mức xếp hạng, các tín hiệu đã kích hoạt, bất cứ điều gì bot tự làm, và điều người kiểm duyệt quyết định sau đó. Nó được giữ lại để câu hỏi “vì sao tôi bị đuổi” có câu trả lời không phải là một sự dựng lại, và vì “tài khoản này đã từng vào rồi rời khỏi đây chưa” là một tín hiệu cần có lịch sử mới tồn tại được. Bị xóa sau 90 ngày — một nhận định về ai đó không giống với hành động kiểm duyệt mà nó dẫn tới, và chỉ cái thứ hai mới là một bản ghi.

Những gì mọi người gửi cho một tính năng, và những gì tính năng đó làm ra từ nó. Kháng nghị cấm và phiếu bầu của đội ngũ về chúng; đơn ứng tuyển vào đội ngũ, câu trả lời và phiếu bầu của chúng; ticket, câu trả lời của chúng và điểm đánh giá để lại khi một ticket đóng; lượt tham gia giveaway; đăng ký và điểm danh sự kiện; cấp bậc, danh sách thành viên, ghi chú của đội ngũ và lý do đóng góp; đánh giá ai đó viết về máy chủ của bạn; đơn đối tác và phần giới thiệu của chúng. Bốn trường trong danh sách đó là những lời được viết trong sự tin cậy, và chúng được mã hóa — phần bên dưới nêu chính xác chúng.

Bản sao lưu máy chủ, nếu ai đó tạo. /backup save lưu một ảnh chụp cấu trúc của máy chủ để có thể dựng lại: tên và quyền của vai trò, tên kênh, chủ đề và quyền ghi đè, danh mục, siêu dữ liệu emoji và nhãn dán, và danh sách cấm kèm các lý do đã ghi trên đó. Nó không chứa tin nhắn nào. Đó là cấu trúc của chính máy chủ bạn, được giữ ở nơi bạn đã bảo bot giữ, và /backup delete xóa hẳn một ô lưu.

Tin nhắn mà đội ngũ của bạn dựng bằng /message. Một bản nháp chưa hoàn thành (bị bỏ sau một tuần không đụng tới), các mẫu đã lưu, bài đăng hẹn giờ cho sau này, và bản ghi của mỗi bài đăng để có thể sửa nó — bị quên sau 90 ngày không có lần sửa nào. Đây là văn bản đội ngũ của bạn viết để bot gửi, kèm người đã viết nó; không phải điều gì một thành viên đã nói.

Lời chào của máy chủ bạn. Tin nhắn chào mừng, tin nhắn tạm biệt và tin nhắn riêng chào mừng mà đội ngũ của bạn dựng, văn bản trên thẻ chào mừng và thẻ tạm biệt, và một ảnh nền nếu có ảnh được tải lên cho một thẻ — được lưu dưới dạng một bức ảnh bot đã vẽ lại từ bản tải lên, nên không còn gì của tệp gốc ngoài các điểm ảnh của nó. Để vẽ một thẻ, bot lấy ảnh đại diện của thành viên vừa vào hoặc vừa rời từ Discord ngay lúc đó và không giữ lại gì về nó.

Cấp độ, nếu một máy chủ bật chúng. Khi mô-đun Cấp độ được bật, bot giữ một con số cho mỗi thành viên — XP họ kiếm được từ tin nhắn và thời gian trong thoại — cùng thời điểm con số đó thay đổi lần cuối, và không gì khác: không có bản ghi nào về điều gì đã được nói, hay ở đâu. Cấp độ và thứ hạng được tính từ con số đó. Con số này được giữ khi bot còn ở trong máy chủ, kể cả sau khi một thành viên rời đi, để vai trò thưởng của họ có thể trở lại nếu họ quay lại; nó bị xóa cùng phần dữ liệu còn lại của máy chủ ba mươi ngày sau khi bot bị gỡ. Nếu máy chủ để bảng xếp hạng công khai của mình bật — mặc định là bật, và một công tắc sẽ tắt nó — tên của thành viên trên máy chủ, ảnh đại diện, cấp độ và XP được hiển thị trên một trang công khai của trang web này cho bất kỳ ai có liên kết. Tên và ảnh được lấy từ Discord khi trang được vẽ và không bao giờ được ghi vào cơ sở dữ liệu; trang đã vẽ được giữ chưa tới một phút, để một bảng xếp hạng đông người xem không phải gọi tới bot mỗi lần được mở.

Bản ghi lại raid, chỉ khi chống raid phát hiện một raid hoặc quản trị viên đánh dấu một khoảng thời gian. Những tài khoản nào đã tham gia trong đó và khi nào, mỗi tài khoản bao nhiêu tuổi, có ảnh đại diện hay không, một khóa chỉ gồm chữ cái được tạo từ tên người dùng để nhận ra một loạt tên giống nhau (không bao giờ là chính tên người dùng), bot hoặc người điều hành đã làm gì với từng tài khoản (đá, cấm, timeout), máy chủ có bị khóa không và bao nhiêu tin nhắn đã bị xóa. Không bao giờ lưu nội dung của tin nhắn. Được giữ 30 ngày, tối đa 25 raid mỗi máy chủ, và bị xóa cùng mọi thứ khác khi bot rời một máy chủ.

Đề xuất, nếu máy chủ bật. Một đề xuất lưu nội dung đã viết, người gửi, nơi thẻ được đăng và — khi ban quản trị trả lời — câu trả lời, người trả lời cùng lý do. Mỗi phiếu là một dòng: đề xuất nào, thành viên nào, về phía nào. Đề xuất ẩn danh vẫn ghi lại người gửi, vì giới hạn mỗi người và thời gian chờ được tính từ đó; nó không hiển thị ở bất kỳ đâu. Tất cả sẽ bị xóa cùng phần dữ liệu còn lại của máy chủ ba mươi ngày sau khi bot bị gỡ. Đề xuất gửi bằng /suggest bot là về chính bot chứ không phải về một máy chủ: nó được chuyển tới một kênh trong máy chủ hỗ trợ kèm tên bạn, ID của bạn và máy chủ nơi gửi, và hoàn toàn không được lưu.

Sinh nhật, nếu một thành viên đặt. /birthday không lưu gì về một người cho đến khi họ đưa ra một ngày. Sau đó nó giữ ngày và tháng họ đã đưa; năm, chỉ khi họ đưa, được mã hóa bằng cùng khóa với văn bản bí mật bên dưới và chỉ được đọc lại để nói ra tuổi, và chỉ trong máy chủ có hiển thị tuổi; một múi giờ từ danh sách cố định; thời điểm sinh nhật kế tiếp bắt đầu; và những máy chủ họ chọn chia sẻ, mỗi nơi một bản ghi, do chính người đó tạo và không ai khác. Một người điều hành có thể gỡ bản ghi của máy chủ và không bao giờ có thể đặt hay đọc một ngày chưa được chia sẻ trong máy chủ của họ. Không ai dưới 13 tuổi được lưu: một năm khiến ai đó nhỏ tuổi hơn sẽ bị từ chối và không có gì được lưu. Bot không bao giờ nhắn tin cho người đó. /birthday remove xóa ngày và bản ghi của mọi máy chủ cùng lúc; bản ghi của một máy chủ cũng mất khi thành viên rời máy chủ đó hoặc khi dữ liệu của máy chủ bị xóa; và bản ghi ngắn về những lần chúc mừng đã được thông báo sẽ bị xóa sau 400 ngày.

Khi xóa ngày sinh bằng /birthday remove, bản ghi về các lời chúc mừng đã được thông báo của người đó cũng bị xóa ngay lập tức, không cần chờ đủ 400 ngày.

Vai trò tạm thời. Khi một người điều hành cho ai đó mượn một vai trò trong một thời gian, bot giữ ai đang có nó, vai trò nào, khi nào hết hạn, ai đã cho mượn và lý do họ đã nhập (tối đa 400 ký tự), cho đến khi vai trò được thu hồi. Một vai trò cho mượn vì sinh nhật hoặc vì làm hỏng lượt đếm được giữ theo cách tương tự, với bot là người cho mượn. Bản ghi bị xóa khi vai trò được thu hồi, khi thành viên bị cấm và — trừ khi máy chủ chọn giữ thời gian cho lúc họ quay lại — khi họ rời đi.

Đếm số, nếu một máy chủ thiết lập kênh. Với mỗi kênh đếm số, bot giữ con số đang đếm đến, ai đếm cuối cùng, các quy tắc kênh đó áp dụng và, với mỗi thành viên đã đếm ở đó, họ đã đưa ra bao nhiêu số đúng và đã làm hỏng lượt đếm bao nhiêu lần — id và con số, không bao giờ là điều ai đó viết. Tin nhắn trong kênh đếm số được đọc ngay khi đến để xét và không được lưu. Tất cả bị xóa cùng kênh, khi việc đếm số dừng ở đó, hoặc cùng phần dữ liệu còn lại của máy chủ ba mươi ngày sau khi bot bị gỡ.

Modmail, chỉ khi máy chủ bật nó. Khi một thành viên nhắn tin riêng cho bot, bot đọc tin đó và chuyển cho đội ngũ của máy chủ được chọn, trong một kênh riêng do máy chủ đó chọn — bất kỳ ai nhìn thấy kênh đó đều đọc được, cũng như người nhìn thấy kênh nhật ký của máy chủ nếu bản ghi được đăng ở đó. Phản hồi của đội ngũ được gửi vào tin nhắn riêng của thành viên; phản hồi ẩn danh giấu người gửi với thành viên, không giấu với phần còn lại của đội ngũ. Bot không lưu nội dung tin nhắn nào: chỉ lưu id, bộ đếm và thời gian, tin nhắn riêng nào khớp với tin nhắn nào trong kênh (xóa sau ba mươi ngày kể từ khi luồng đóng), lý do đội ngũ nhập khi đóng hoặc chặn và các câu trả lời đã lưu. Bản ghi của một luồng đã đóng bị xóa sau số ngày máy chủ đặt, mặc định là chín mươi. Bản thân cuộc trò chuyện và mọi tệp bản ghi vẫn nằm trong Discord của máy chủ đó, theo quy tắc riêng của nó. Thành viên kết thúc cuộc trò chuyện bằng Close this conversation dưới phản hồi đầu tiên của bot, ngăn máy chủ bắt đầu một cuộc bằng Stop messages from this server, hoặc đơn giản là không nhắn cho bot. Không bên thứ ba nào nhận được bất cứ điều gì trong số này.

Cửa hàng mẫu. Nếu bạn đánh giá một mẫu, bot lưu id tài khoản của bạn, số sao và thời điểm. Nếu bạn bình luận, bot lưu id tài khoản của bạn, tên hiển thị bạn có lúc đó, nội dung và thời điểm; bạn có thể tự xóa bình luận của mình, và chủ sở hữu cũng có thể gỡ nó. Một báo cáo lưu id tài khoản của bạn và lý do bạn đã nhập. Để chỉ những người đã dùng một mẫu mới có thể đánh giá nó, bot lưu mẫu nào bạn đã áp dụng, ở id máy chủ nào và khi nào, chừng nào mẫu còn tồn tại. Chủ sở hữu đọc mọi mẫu được gửi lên trước khi nó được liệt kê, và mọi bình luận đang chờ duyệt trước khi nó hiện ra; một bình luận chưa ai quyết định sẽ bị xóa sau 30 ngày. Để giới hạn tần suất một tài khoản hoặc một địa chỉ có thể bình luận, báo cáo hay đánh giá, bot lưu một băm có khóa của địa chỉ — không bao giờ là chính địa chỉ — cùng id tài khoản và thời điểm, bị xóa sau 30 ngày. Một mẫu bạn vẫn đang viết được lưu ở dạng niêm phong (mã hóa) trong 7 ngày. Để xóa mọi thứ cửa hàng đang giữ về tài khoản của bạn, hãy yêu cầu trong máy chủ hỗ trợ và chủ sở hữu sẽ thực hiện việc xóa. Nội dung của một bình luận — và chỉ nội dung, không kèm tài khoản, tên hay mẫu — được gửi đến điểm cuối kiểm duyệt của OpenAI trước khi bình luận được đăng, theo các điều khoản đã mô tả ở trên trong mục OpenAI; một bình luận mà nó gắn cờ, hoặc không trả lời kịp thời, sẽ được giữ lại cho chủ sở hữu thay vì được đăng. Khi bot không có khóa OpenAI, bước đó bị bỏ qua và các kiểm tra khác tự đứng một mình.

Những gì không bao giờ được lưu

Nội dung tin nhắn. Không có gì trong cơ sở dữ liệu giữ lại điều mọi người nói trong các kênh của bạn, và không có ngoại lệ nào — không một cột nào trong cơ sở dữ liệu chứa một tin nhắn ai đó đã đăng. Trang này từng nêu bản ghi ticket là một ngoại lệ, và chúng không phải: một bản ghi được dựng từ lịch sử mà chính Discord giữ, vào lúc người kiểm duyệt yêu cầu, rồi được đăng trở lại máy chủ của bạn dưới dạng tệp. Không phần nào của nó được giữ ở đây. Văn bản mà ai đó chủ động gửi cho bot — một kháng nghị cấm, một đơn ứng tuyển, biểu mẫu khi mở một ticket, lời nhận xét để lại cùng điểm đánh giá — thì được giữ, vì một đánh giá không đọc được thì không phải là đánh giá; nó được mã hóa, và phần bên dưới nói chính xác là những trường nào. Lý do một thành viên đưa ra với /afk cũng vậy, cho đến khi họ quay lại — không được mã hóa, vì nó không được viết trong sự tin cậy: nó được hiển thị cho bất kỳ ai nhắc đến họ.

Hai thứ được giữ bên ngoài cơ sở dữ liệu, và cả hai đều đáng nói cho chính xác. Thứ nhất là snipe: /snipe hiển thị tin nhắn cuối cùng bị xóa hoặc sửa trong một kênh, nên nó phải giữ một tin: năm tin mỗi kênh, tối đa hai giờ, trong bộ nhớ. Không có gì được ghi xuống, khởi động lại là quên hết, và nó không bao giờ rời khỏi tiến trình. Bất kỳ ai đọc được kênh đều có thể yêu cầu xem — đó là mục đích của lệnh — và bot kiểm tra quyền truy cập đó vào lúc nó trả lời chứ không phải lúc tin nhắn bị gỡ. Nó sẽ không hiển thị tin nhắn mà chính bot đã xóa, hay bất cứ thứ gì bị dọn hàng loạt, vì snipe không được trở thành cách để đọc lại việc kiểm duyệt. Một máy chủ muốn hẹp hơn thì giới hạn nó cho người kiểm duyệt, hoặc loại hẳn các kênh, bằng /logs snipe; người kiểm duyệt vừa gỡ một thứ gì đó thì xóa nó ngay bằng /snipe clear.

Thứ hai là các bộ đếm của các lớp bảo vệ. Chống nuke, chống raid, chống spam và những lớp khác quyết định bằng cách đếm — một người kiểm duyệt đã xóa bao nhiêu kênh trong phút vừa rồi, bao nhiêu tài khoản đã vào trong ba mươi giây vừa rồi — và các số đếm đó được sao chép sang bộ nhớ đệm Redis trên cùng máy cứ vài giây một lần, để việc khởi động lại bot không trao cho kẻ đang tấn công giữa chừng một hạn mức mới. Những gì được sao chép là các id — của máy chủ, và của thành viên hoặc kênh liên quan — cùng thời điểm mọi việc xảy ra, không bao giờ là điều ai đó đã nói: bộ nhớ của chống spam về các tin nhắn gần đây ở lại trong tiến trình và khởi động lại là quên. Mỗi bản sao tự hết hạn — trong vòng một giờ, phần lớn trong vài phút — bộ nhớ đệm không bao giờ ghi ra đĩa, và không gì chạm tới được nó ngoài chính bot — không phải trang web, cũng không phải internet. Trong lúc cập nhật, khi một bản mới của bot tiếp quản từ bản cũ, các id của tin nhắn và tương tác mà bản cũ đã trả lời trong vài giây cuối đi qua cùng bộ nhớ đệm đó, tối đa ba mươi giây, để không có gì bị trả lời hai lần. Có một thứ trong bộ nhớ đệm đó tồn tại lâu hơn một giờ: những thành viên mới nào vẫn đang chờ ở một cổng — màn hình quy tắc của Discord, xác minh, cách ly — để nhận các vai trò mà máy chủ trao khi tham gia, được lưu dưới dạng id của máy chủ, id của thành viên và thời điểm hết hạn chờ, trong tối đa một ngày, để một bản cập nhật không quên trao chúng.

Địa chỉ IP. Bot không bao giờ thấy địa chỉ nào — Discord không để lộ địa chỉ của thành viên cho bot, và ở đây không có gì lách qua điều đó. Nơi duy nhất một địa chỉ từng được đọc là bước kiểm tra kết nối của trang web, mô tả ngay sau đây, và nó được đọc một lần rồi không giữ lại: không lưu, không ghi nhật ký, không băm. Một cơ sở dữ liệu bị đánh cắp không chứa địa chỉ nào và không chứa gì suy ra từ địa chỉ.

Tin nhắn thoại, nếu ai đó yêu cầu chép lại thành văn bản. /transcribe lấy tin nhắn thoại đó và chuyển thành văn bản ngay trên máy chủ của bot, bằng một mô hình giọng nói chạy ở đó. Âm thanh không đi tới công ty hay dịch vụ nào khác; nó chỉ được giữ trong lúc nghe và bị xóa ngay khi xong. Chữ được đăng trong kênh nơi lệnh được dùng và không được lưu ở đâu khác — không có bản ghi nào về điều đã nói. Để một người không chiếm hết máy, bot đếm trong bộ nhớ mỗi người và mỗi máy chủ đã yêu cầu bao nhiêu lần trong mười phút qua; các số đếm đó sau đó bị quên, và khởi động lại sẽ quên ngay.

Năm bên thứ ba, và mỗi bên được trao gì

Trong phần lớn thời gian tồn tại, trang này có thể nói rằng không bên thứ ba nào từng thấy thành viên của bạn. Điều đó hết đúng khi mô-đun xác minh có thêm Từ chối VPN và proxy, vì việc một địa chỉ có thuộc về VPN hay không là một sự thật mà chỉ một dịch vụ đánh giá uy tín nắm giữ. Cả năm bên dưới đều tắt trừ khi một máy chủ bật chúng, và khi chúng bật, những gì tiếp theo là toàn bộ những gì xảy ra.

proxycheck.io. Một thành viên mà cài đặt áp dụng được trao một liên kết dùng một lần tới một trang trên trang web này. Khi họ bấm nút trên đó, địa chỉ đang kết nối được gửi một lần tới proxycheck.io cùng câu hỏi “đây có phải VPN, proxy hay dải địa chỉ lưu trữ không” và không gì khác — không tên người dùng, không máy chủ, không id tài khoản. Câu trả lời được đọc lấy đúng một bit đó rồi bỏ đi. Bot, vốn biết thành viên là ai, không bao giờ nhận địa chỉ; trang web, vốn đã thấy địa chỉ, không bao giờ biết thành viên là ai. Những gì còn lại sau đó là một dấu thời gian trên hồ sơ xác minh của thành viên cho biết kết nối đã sạch, còn một lần bị từ chối thì không để lại gì cả.

Cloudflare Turnstile. Tùy chọn, chính trang đó mang theo tiện ích Turnstile của Cloudflare để một đoạn mã không thể bấm nút. Mã của tiện ích là thứ duy nhất trang này từng tải từ một nguồn gốc khác, chỉ trên trang đó, và Content-Security-Policy của trang này vẫn cấm nó ở mọi nơi khác. Câu trả lời của nó được kiểm tra với Cloudflare mà không kèm địa chỉ. Turnstile không thay thế CAPTCHA bên trong Discord, thứ vẫn được vẽ trong tiến trình.

OpenAI. Đây là bên lớn nhất trong ba bên và là bên được trao những gì mọi người đăng, nên đáng nói cho chính xác. Một máy chủ có thể bật quét ảnh bằng AI, để một mô hình quyết định một bức ảnh có mang tính tình dục, ghê rợn, bạo lực hay thể hiện tự làm hại bản thân hay không. Không danh sách từ khóa nào đọc được một bức ảnh, và không có phiên bản nào của việc đó chạy trên máy của chính chúng tôi, đó là lý do duy nhất nó có mặt ở đây.

Khi một máy chủ đã bật nó, mỗi ảnh được đăng trong một kênh được quét sẽ được gửi tới điểm cuối kiểm duyệt của OpenAI dưới dạng liên kết tới ảnh đó trên máy chủ của chính Discord, và không gì khác — không văn bản nào ai đó đã gõ, không tên người dùng, không id tài khoản, không tên máy chủ, không tên kênh. Điều đó bao gồm các tệp tải lên và, nếu máy chủ để bật, hình ảnh mà Discord hiển thị dưới một liên kết. Câu trả lời trả về là một điểm cho mỗi hạng mục, được đọc để quyết định ảnh có vi phạm quy tắc của máy chủ đó không, rồi bị bỏ đi. Không gì từ nó được ghi xuống ở đây, và bản thân bức ảnh không bao giờ được lưu trong cơ sở dữ liệu của chúng tôi.

OpenAI làm gì với nó, theo lời của họ chứ không phải của chúng tôi. Tài liệu của họ nêu rằng dữ liệu gửi tới API “không được dùng để huấn luyện hay cải thiện các mô hình của OpenAI” trừ khi bạn chủ động đồng ý, và chúng tôi chưa đồng ý. Tài liệu cũng nêu rằng nhật ký giám sát lạm dụng “có thể chứa một số nội dung của khách hàng, chẳng hạn như câu lệnh và phản hồi” và theo mặc định “được lưu giữ tối đa 30 ngày”. Vì vậy phiên bản trung thực không phải là bức ảnh biến mất ngay khi được quét: chúng tôi không giữ gì của nó, còn OpenAI có thể giữ tối đa ba mươi ngày để giám sát dịch vụ của chính họ. Một máy chủ không muốn điều đó xảy ra nên để mô-đun này tắt, đúng như cách nó được phát hành.

Nó tắt cho đến khi một quản trị viên bật mô-đun. Một máy chủ có thể miễn trừ các vai trò, bỏ qua cả kênh hoặc chỉ quét một số kênh, chỉ quét thành viên mới hơn, và bỏ qua chính người kiểm duyệt của mình, và mô tả của mô-đun nói rõ rằng bật nó là điều khiến hình ảnh được gửi ra khỏi máy chủ. Tắt mô-đun thì không còn gì được gửi đi nữa.

Hai giới hạn cần nói thẳng. Nó giỏi với các tác hại nói chung và không biết một mối đe dọa đối với máy chủ của bạn trông ra sao — một cuộc raid đang được tổ chức, một vụ lừa đảo, một quảng cáo — vì đó không phải các hạng mục mà mô hình có, và nó hoàn toàn không đọc văn bản. Và chính tài liệu của OpenAI nói rằng điểm cuối này không được thiết kế để phát hiện tài liệu lạm dụng tình dục trẻ em và không thay thế cho các biện pháp bảo vệ trẻ em chuyên biệt; ở đây không có gì khẳng định ngược lại, và đường báo cáo đó vẫn là của Discord.

Không có gì khác được tải. Không phân tích, không dịch vụ phông chữ, không đoạn mã hay bảng định kiểu từ CDN của bất kỳ ai: mọi trang ngoài bước kiểm tra kết nối đều không tải gì từ nguồn gốc khác, và điều đó được thực thi bằng Content-Security-Policy chứ không chỉ là lời hứa. Cloudflare có đứng trước trang web như mạng của nó — nó thấy những yêu cầu mà bất kỳ mạng nào đứng trước một trang web cũng thấy, và nhờ nó mà trang vẫn hoạt động khi bị ngập lụt — nhưng nó không được trao gì về thành viên của bạn, vì các trang không mang gì về thành viên của bạn.

YouTube và Twitch. Một máy chủ có thể theo dõi một kênh YouTube hoặc một streamer Twitch bằng /alerts, và bot khi đó cứ vài phút lại hỏi dịch vụ xem có gì mới không. Với YouTube, bot gửi một yêu cầu lấy nguồn cấp RSS công khai của kênh, trong đó chỉ nêu id công khai của kênh đó. Với Twitch, bot gửi tên đăng nhập công khai của streamer — cùng với những tên khác, tối đa một trăm tên cho mỗi yêu cầu — được ký bằng chính ứng dụng Twitch của bot này, không bao giờ dùng tài khoản của thành viên. Không có thành viên, tên máy chủ hay tên kênh nào được gửi cho bên nào, và cả hai đều không được biết máy chủ nào theo dõi ai. Phản hồi được đọc để lấy video mới nhất, hoặc id, tiêu đề và trò chơi của buổi phát trực tiếp, rồi bị bỏ đi. Thứ được lưu là kênh hoặc tên đăng nhập mà máy chủ đã chọn theo dõi, nơi đăng, và id của thông báo gần nhất để không có gì bị thông báo hai lần. Cả hai đều tắt cho đến khi một máy chủ thêm một lượt theo dõi, và gỡ lượt theo dõi sẽ dừng các yêu cầu.

Một dòng tài trợ

Những người vận hành bot này có thể đặt một liên kết tài trợ duy nhất: một dòng ngắn được đánh dấu Được tài trợ, với nội dung và đích đến do họ chọn và được bên mà liên kết trỏ tới chi trả. Dòng này xuất hiện ở chân trang của trang web này và, thỉnh thoảng, dưới một câu trả lời của bot trong máy chủ không có premium: tối đa một lần mỗi 45 phút trong cùng một máy chủ, chỉ sau ít nhất 6 câu trả lời khác ở đó, và không bao giờ dưới một hành động kiểm duyệt, một cảnh báo, một câu trả lời riêng tư hay một tin nhắn có nút. Máy chủ premium không bao giờ thấy nó trên Discord. Trang web không thể biết ai đang đọc, nên chân trang hiển thị nó cho mọi khách truy cập.

Đó chỉ là một liên kết, không hơn. Không có gì được tải từ nhà tài trợ và không có gì được gửi cho họ. Để giữ đúng quy tắc ở trên, bot lưu trong bộ nhớ — không bao giờ trong cơ sở dữ liệu — thời điểm mỗi máy chủ thấy dòng này lần cuối và số phản hồi đã gửi ở đó từ lúc ấy, cùng một bộ đếm tổng số lần đã hiển thị; không ghi lại người nào, và nhà tài trợ không thấy bất kỳ điều gì trong số đó. Bot không ghi lại lượt nhấp và không chuyển hướng, và liên kết không mang referrer từ trang web này. Nếu bạn nhấp vào, bạn sẽ chuyển sang trang của họ, nơi áp dụng chính sách của riêng họ. Nội dung của nhà tài trợ được hiển thị đúng như họ viết và không được dịch. Khi không có nhà tài trợ nào được đặt, dòng này không tồn tại ở bất kỳ đâu.

Không thứ gì trong số này được giữ lâu. Bản ghi của một máy chủ bị quên sau 24 giờ kể từ câu trả lời cuối cùng của nó. Tối đa 20.000 máy chủ được giữ cùng lúc; khi đầy, máy chủ im lặng lâu nhất bị loại ra. Tất cả, kể cả bộ đếm, đều mất mỗi khi bot khởi động lại.

Mã token premium và tài khoản của bạn

Premium theo tài khoản là một dòng: id Discord của bạn, là theo tháng hay trọn đời, khi nào hết hạn, đến từ đâu, và bạn đã mua thêm bao nhiêu lần chuyển máy chủ. Một mã token chỉ được lưu dưới dạng hash có khóa của chính nó, nên cơ sở dữ liệu không chứa gì có thể biến ngược lại thành token; token tồn tại trong phản hồi gửi chủ bot khi được tạo và không ở đâu khác sau đó.

Mọi lần thử đổi token đều được ghi lại — id của bạn, đến từ trang này hay từ Discord, kết quả thế nào, và hash có khóa của địa chỉ mà trang này đã xác minh cho yêu cầu, không bao giờ là địa chỉ. Bản ghi đó là thứ khóa một tài khoản và một địa chỉ sau vài mã token sai, và cho phép những người vận hành bot thấy một địa chỉ đứng sau nhiều tài khoản. Nó bị xóa sau 90 ngày.

Mỗi máy chủ ghi lại tài khoản nào đã thêm sick, và đó là điều làm máy chủ thành premium khi tài khoản đó là premium. Các máy chủ bạn thêm sick vào cũng được ghi vào tài khoản của bạn — id máy chủ và thời điểm — để có thể đếm các lần chuyển của bạn. Danh sách đó được giữ lại, và máy chủ vẫn ở trong danh sách sau khi sick rời đi, vì lần chuyển đã tiêu là đã tiêu.

Thư trên miền này

Trang web cũng có một dịch vụ thư nhỏ cho những người vận hành nó: địa chỉ của chủ sở hữu và địa chỉ của các tài khoản mà chủ sở hữu đã cho phép dùng, mỗi địa chỉ được mở từ trang thư sau khi đăng nhập tại đây. Thư gửi đến một trong các địa chỉ đó đến qua Cloudflare Email Routing và một Cloudflare Email Worker, nơi chuyển nó cho trang này; khi không truy cập được trang, Worker giữ thư trong Cloudflare Workers KV tối đa bảy ngày và thử lại. Thư gửi từ một trong các địa chỉ đó đi ra qua Cloudflare Email Sending. Đó là bốn dịch vụ Cloudflare liên quan, và không bên nào khác thấy thư.

Thư được niêm phong khi lưu trữ. Khi một thư đến, trang này phân tích nó và niêm phong nó bằng một khóa công khai thuộc về hộp thư — AES-256-GCM dưới một khóa dùng một lần cho thư đó, chính khóa ấy lại được niêm phong bằng khóa công khai X25519 của hộp thư — rồi mới chuyển cho bot, nơi cơ sở dữ liệu giữ thư đã niêm phong: tiêu đề, người gửi, người nhận, văn bản, HTML, tệp đính kèm cùng tên của chúng, và các byte gốc, được giữ bảy ngày để một thư mà bộ phân tích đọc sai có thể được tải về nguyên vẹn. Khóa riêng tư mở được thư được bọc dưới một khóa tạo từ mật khẩu thư của bạn (scrypt) và, nếu bạn tạo, dưới một khóa khôi phục dùng một lần; bot không bao giờ giữ khóa riêng tư, và chỉ lưu một mã băm một chiều của mật khẩu của bạn. Đây là zero-access khi lưu trữ (không truy cập được khi nằm yên), không phải zero-knowledge: trang này đọc thư của bạn trong bộ nhớ khi phân tích một thư đang đến và khi hộp thư của bạn đang được mở khóa, nên bất kỳ ai có thể thay đổi mã mà trang này chạy đều có thể đọc nó, nhưng chủ sở hữu không thể đọc nó từ cơ sở dữ liệu. Khóa đã mở của bạn chỉ nằm trong bộ nhớ của trang này, tối đa một ngày, và một lần khởi động lại sẽ khóa mọi hộp thư cho đến khi bạn gõ lại mật khẩu. Hình ảnh từ xa trong thư không bao giờ được trang tải: chúng chỉ tải trong trình duyệt của bạn khi bạn yêu cầu, và việc tải một hình ảnh cho người gửi biết bạn đã mở thư khi nào và từ đâu.

Khi bạn đăng nhập vào trang web này bằng Discord, id Discord, tên người dùng và mã băm ảnh đại diện của bạn được ghi lại cùng thời gian, để chủ sở hữu thấy ai đã đăng nhập trước khi trao một địa chỉ. Thùng rác và Thư rác xóa nội dung của chúng ba mươi ngày sau khi một thư vào đó; hộp thư bị thu hồi bị xóa mười bốn ngày sau khi thu hồi. Nếu bạn xin chủ sở hữu cấp quyền truy cập, yêu cầu — cùng id, tên và mã băm ảnh đại diện, cùng thời gian — được giữ cho đến khi chủ sở hữu trả lời hoặc đủ ba mươi ngày, và chủ sở hữu được báo bằng tin nhắn trực tiếp từ bot trên Discord. Không có gì khác về thư được chia sẻ với Discord.

Việc gửi được tính theo người nhận, từ các dòng hộp thư đi vốn đã được giữ để gửi thư, nên không có gì mới được thu thập cho việc này. Hộp thư có thư liên tục bị trả lại sẽ bị giữ việc gửi cho đến khi chủ sở hữu xem xét. Thư gửi đến postmaster@ hoặc abuse@ trên các miền này sẽ đến tay chủ sở hữu.

Một số thứ được để ở dạng rõ, vì dịch vụ phải đọc chúng mà không có khóa của bạn: thư nằm trong thư mục và tab nào, các cờ của nó (đã đọc, gắn sao, quan trọng, tạm hoãn), thời điểm đến, kích thước, nó thuộc cuộc hội thoại nào, có bao nhiêu tệp đính kèm, loại tệp và id ảnh nội tuyến của chúng, thư được gửi đến địa chỉ nào của bạn, thẻ cộng (plus-tag) bạn đã dùng, kết quả kiểm tra người gửi, và các mã băm có khóa của các định danh của nó (Message-ID, References) và của người gửi. Các quy tắc bạn đặt cho người gửi — một địa chỉ hoặc tên miền bạn đã sắp xếp, chặn hoặc cho phép tải ảnh — cũng ở dạng rõ. Trong lúc một thư đến, bot đọc người gửi, người nhận, tiêu đề, header và tên tệp đính kèm của nó trong bộ nhớ để xếp nó vào một tab và áp dụng các quy tắc chống lạm dụng, và không ghi cái nào trong số đó xuống ở dạng rõ. Những hộp thư mà người dùng của chúng chưa đăng nhập bằng mật khẩu kể từ khi việc niêm phong bắt đầu giữ thư cũ của họ như cũ, dịch vụ có thể đọc được; chủ sở hữu được cho biết là hộp thư nào, và mỗi hộp thư được niêm phong ngay khi người dùng của nó đăng nhập.

Tìm kiếm dùng các mã băm có khóa, không dùng chữ của bạn. Khi hộp thư của bạn được mở khóa, mỗi thư được niêm phong nhận tối đa 512 mã băm (HMAC-SHA256) của các từ nguyên vẹn trong thư và của người gửi và người nhận, được tạo dưới một khóa tìm kiếm ngẫu nhiên chỉ tồn tại ở dạng được bọc dưới mật khẩu và khóa khôi phục của bạn. Nên tìm kiếm có thể tìm từ nguyên vẹn và địa chỉ chính xác — không phải tiền tố, dạng từ hay cụm từ — và ai nắm giữ một bản sao cơ sở dữ liệu cũng không thể thử một từ đoán được với chúng. Hai cái giá: thư đến khi hộp thư của bạn đang bị khóa không thể tìm kiếm cho đến lần bạn mở khóa tiếp theo; và các mã băm có khóa của định danh và người gửi được để ở dạng rõ (ở trên) được tạo dưới một bí mật mà trang web nắm giữ còn cơ sở dữ liệu thì không, nên ai nắm giữ cả hai có thể thử xem một địa chỉ hay Message-ID họ đoán có xuất hiện hay không.

Một thư bạn gửi với Hoàn tác hoặc vào một lúc sau sẽ chờ trong hộp thư đi ở dạng mà bộ gửi cần: vì nó phải đọc được khi gửi đi, nó được giữ dưới khóa máy chủ riêng của bot cho đến khi được gửi, bị hủy hoặc bị từ chối vĩnh viễn, rồi bị xóa. Bản sao trong thư mục Đã gửi của bạn vẫn được niêm phong cho bạn. Thư bạn gửi đi qua TLS như mọi thư khác, thông qua Cloudflare Email Sending, và thư gửi cho bạn đến qua Cloudflare Email Routing: Cloudflare thấy thư khi đang truyền, trước khi trang này niêm phong nó và khi nó rời đi.

Thư bạn gửi không mang id Discord, id tài khoản hay địa chỉ của trình duyệt bạn: một Message-ID ngẫu nhiên ở tên miền gửi, không có header X-Mailer, User-Agent hay X-Originating-IP, và một dòng From chỉ hiển thị địa chỉ bạn đã chọn, kèm tên hiển thị chỉ khi bạn đặt. Bí danh (alias) là một địa chỉ thêm chuyển thư đến hộp thư của bạn và bạn có thể tắt, đặt hết hạn, hoặc cho phép trả lời một lần. Đây không phải là ẩn danh đối với những người vận hành dịch vụ, đối với Cloudflare, hay đối với người bạn viết thư cho: họ thấy địa chỉ bạn gửi từ đó, thời gian và nội dung thư.

Nếu bạn mất cả mật khẩu lẫn khóa khôi phục, thư của bạn không thể mở được, và không ai có thể khôi phục nó cho bạn, kể cả chủ sở hữu. Khi chủ sở hữu đặt lại mật khẩu thư của một người dùng, khóa mà mật khẩu đó mở cũng bị xóa: thư được niêm phong dưới khóa đó không bao giờ đọc lại được, và bị xóa ba mươi ngày sau.

Nhạc và lời bài hát

Khi một máy chủ bật trình phát nhạc, bot phát âm thanh trong kênh thoại thông qua một nút Lavalink chạy ngay bên cạnh nó trên cùng một máy. Nút chỉ lấy âm thanh từ trang mà một thành viên đã yêu cầu và không lấy từ đâu khác: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), liên kết https trực tiếp mà một thành viên đã dán và — chỉ khi chủ sở hữu đã bật — YouTube (youtube.com, youtu.be, music.youtube.com). Liên kết Spotify (open.spotify.com, spotify.link) hoặc Apple Music (music.apple.com) được tra trên trang đó để lấy tên bài hát, và kết quả khớp tìm được sẽ được phát từ SoundCloud; không có âm thanh nào đến từ hai nơi đó. Mỗi trang trong số này nhìn thấy yêu cầu mà nút gửi để lấy bài hát, giống như bất kỳ trình duyệt nào mở trang, và không biết gì về máy chủ hay thành viên đã yêu cầu.

Những gì bot lưu cho trình phát: kênh thoại và kênh văn bản mà nó đang ở, hàng đợi — tiêu đề, nghệ sĩ, độ dài, nguồn của từng bài, mã định danh riêng của nút cho bài đó và id của thành viên đã thêm bài vào hàng đợi — và hai mươi bài đã phát gần nhất, những dữ liệu này sẽ mất khi trình phát dừng hoặc bot rời máy chủ. Danh sách phát mà thành viên lưu là của thành viên đó và được giữ dưới id của họ cho đến khi họ xóa. Lời bài hát đến từ LRCLIB (lrclib.net), một cơ sở dữ liệu mở không cần tài khoản: nó chỉ nhận nghệ sĩ, tiêu đề và độ dài của bài đang phát, không có gì khác, và câu trả lời được hiển thị chứ không được lưu.

Bảo mật tài khoản của bạn

Hộp thư của bạn mở bằng mật khẩu của riêng bạn, được đặt ngay trong ứng dụng thư và giữ tách biệt với Discord. Trang web chỉ thấy nó trong lúc bạn gõ, để giải bọc khóa của hộp thư bạn, và không giữ nó; bot, nơi nhận nó để kiểm tra, chỉ lưu một mã băm scrypt một chiều của nó — một giá trị mà không gì có thể chuyển ngược lại thành mật khẩu, kể cả chúng tôi — và đối chiếu những gì bạn gõ với nó. Bản thân mật khẩu không nằm trong bất kỳ nhật ký nào, cột cơ sở dữ liệu nào và cookie nào.

Bước thứ hai là tùy chọn và do bạn thêm. Bí mật của một ứng dụng xác thực và địa chỉ nơi mã được gửi tới được lưu mã hóa bằng AES-256-GCM, bằng cùng khóa chỉ bot mới có như văn bản bí mật ở trên; một khóa truy cập chỉ được lưu dưới dạng khóa công khai của nó, có thể xác minh một lần đăng nhập nhưng không bao giờ tạo ra một lần; mã khôi phục chỉ được giữ dưới dạng băm có khóa, như các token cao cấp. Một mã đã gửi đi qua Cloudflare Email Sending từ một địa chỉ trên một miền của chúng tôi. Không phương thức yếu tố thứ hai nào được chia sẻ với bất kỳ ai.

Tin tưởng một trình duyệt trong ba mươi ngày lưu một token ngẫu nhiên trong một cookie và, về phía bot, chỉ một băm có khóa của token đó — không bao giờ là chính token — nên danh sách các trình duyệt tin cậy của bạn không chứa gì nhận diện trình duyệt với bất kỳ ai khác. Bên cạnh ba cookie đăng nhập của bảng điều khiển, hộp thư đặt một vài cookie của riêng nó khi đang mở: cái giữ nó mở khóa trong một ngày, cái giữ một lần đăng nhập hoặc một mật khẩu trong khi bước thứ hai của nó được trả lời, cái tồn tại mười phút và đánh dấu trình duyệt đã bắt đầu một lần đăng nhập thư để nó không thể được hoàn tất từ trình duyệt khác, và token trình duyệt tin cậy. Một phiên thư kết thúc sáu giờ sau khi mở, hoặc sớm hơn nếu bạn đăng xuất khỏi trang trên một máy chủ dùng chung. Mỗi mật khẩu hoặc mã sai được đếm đối với tài khoản của bạn và đối với địa chỉ mà trang này đã chứng minh — id của bạn và một băm có khóa của địa chỉ đó, không bao giờ là chính địa chỉ — điều này khóa tài khoản sau vài lần thử trong vòng mười lăm phút; các bản ghi đó bị xóa trong vòng một ngày.

Nghe nhạc — chỉ khi bạn liên kết gì đó

Những gì được lưu. /fm không lưu gì về một người cho đến khi họ liên kết một nguồn. Nếu bạn liên kết Last.fm hoặc ListenBrainz, chúng tôi lưu tên người dùng của bạn ở đó. Nếu bạn còn bật scrobble chiều gửi đi, chúng tôi lưu khóa cho phép bot gửi các lượt nghe thay bạn, được mã hóa, chỉ khi tùy chọn đó đang bật — tắt nó, hoặc hủy liên kết, sẽ xóa khóa. Nếu bạn dùng trạng thái Spotify của Discord, bot đọc bài hát Spotify trong trạng thái của bạn, ở các máy chủ dùng chung với bạn, chỉ sau khi bạn đồng ý, và ghi một lượt nghe khi bạn đã nghe khoảng một nửa bài. Không có gì khác trong trạng thái hiện diện của bạn bị đọc.

Những gì được giữ, và ai nhìn thấy. Các lượt nghe do chính bot nghe được — từ trạng thái Spotify của bạn hoặc trình phát nhạc riêng của bot — được giữ trong một năm. Nghệ sĩ, album, bài hát và thể loại hàng đầu của bạn, tối đa một nghìn mục mỗi loại, được sao chép từ dịch vụ của bạn vài giờ một lần để máy chủ có thể hiển thị ai nghe gì. Bạn bè, một vài cài đặt hiển thị và các máy chủ bạn chọn ẩn mình cũng được lưu. Lượt nghe và danh sách chỉ hiển thị cho những người trong các máy chủ bạn có mặt; tên người dùng Last.fm hoặc ListenBrainz của bạn chỉ xuất hiện trong who-knows toàn cầu nếu bạn đã bật, và nó tắt cho đến khi bạn bật. /fm account hiển thị tất cả và xóa tất cả cùng một lúc, và việc hủy liên kết nguồn cuối cùng của bạn cũng làm như vậy.

Last.fm và ListenBrainz. Khi ai đó dùng /fm, bot hỏi Last.fm (ws.audioscrobbler.com) hoặc ListenBrainz (api.listenbrainz.org) về dữ liệu nghe công khai của người đã liên kết, chỉ dùng tên người dùng của họ và không dùng gì khác về họ. Chỉ khi scrobble chiều gửi đi đang bật, bot mới gửi thêm các lượt nghe nó nghe được của người đó tới dịch vụ, được ký bằng khóa của họ. Ảnh bìa album do bot lấy từ máy chủ hình ảnh của Last.fm, không bao giờ do thiết bị của bạn lấy. Mỗi dịch vụ có chính sách quyền riêng tư riêng, và những gì nó giữ về việc nghe của bạn vốn đã là của bạn ở đó.

Liên kết Last.fm diễn ra trên trang riêng của Last.fm: bot xin Last.fm một mã dùng một lần và đưa bạn địa chỉ để phê duyệt, rồi biết bạn đã duyệt bằng cách hỏi Last.fm. Mã này chỉ nằm trong bộ nhớ của bot cho đến khi được dùng hoặc đã qua một giờ, và không bao giờ được lưu hay ghi log. Chỉ gõ tên người dùng Last.fm thì liên kết mà không cần phê duyệt gì, và Last.fm chỉ nhận tên đó, không gì khác. Liên kết trạng thái Spotify của Discord cần Presence intent của bot; khi chưa bật, chỉ có hai cách còn lại.

Nhập lịch sử. Nếu bạn đưa cho /fm import một tệp Spotify hoặc Apple Music, bot đọc nó một lần và chỉ lưu thời gian, nghệ sĩ, bài hát và album của từng lượt nghe. Bản thân tệp được giữ trong một tệp tạm suốt vài phút nhập và bị xóa ngay sau đó; không có gì được gửi cho ai. Các lượt nghe đã nhập được lưu cho đến khi bạn gỡ chúng (/fm account có một nút) hoặc xóa tất cả, và được hiển thị như mọi lượt nghe khác: chỉ cho những người trong các máy chủ bạn tham gia.

Lịch sử vương miện. Khi vương miện của một máy chủ hoặc bảng xếp hạng “ai biết” được đọc, bot ghi lại ai đang giữ vương miện của từng nghệ sĩ ở đó và khi đổi chủ thì ai lấy từ ai và lúc nào — tối đa một năm. Xóa dữ liệu nghe của bạn sẽ gỡ các vương miện bạn từng giữ và quên việc bạn đã lấy một chiếc từ ai.

Mã hóa

Văn bản tự do mà mọi người viết trong sự tin cậy được mã hóa bằng AES-256-GCM trước khi lưu, và chỉ được giải mã khi hiển thị cho đội ngũ mà nó được viết cho. Đó là năm thứ: kháng nghị cấm, câu trả lời đơn ứng tuyển vào đội ngũ, câu trả lời khi mở một ticket, nhận xét để lại cùng điểm đánh giá ticket, và năm mà ai đó đưa ra cùng sinh nhật của họ. Khóa được suy ra từ một bí mật chỉ tồn tại trong môi trường của chính bot — trang web chạy như một dịch vụ riêng không có nó và không thể dùng nó — nên một bản sao cơ sở dữ liệu một mình chỉ cho ra bản mã.

Trước ngày 19 tháng 9 năm 2026 con số này là ba, và cái thứ tư chính là lý do: nhận xét để lại cùng điểm đánh giá ticket — “người kiểm duyệt đóng ticket này đã cộc lốc với tôi” là kiểu điều được viết trong đó — được lưu dưới dạng văn bản thường từ ngày tính năng ra mắt. Nó nằm cách hai khai báo bên dưới các câu trả lời ticket vốn được mã hóa, trong cùng một tệp, và không có gì đối chiếu hai cái với nhau. Giờ nó đã được mã hóa, mọi thứ đã lưu trước đó đã được chuyển đổi, và một kiểm tra trong quá trình dựng từ chối mọi trường mới có dạng đó cho đến khi có người ghi rõ nó thuộc loại nào trong hai loại.

Đơn ứng tuyển chưa hoàn thành. Một biểu mẫu ứng tuyển dài được hỏi theo từng trang. Câu trả lời của các trang đã gửi được lưu, mã hóa theo cùng cách, cho đến khi trang cuối được gửi — lúc đó chúng trở thành đơn ứng tuyển — hoặc trong một giờ, tùy cái nào đến trước, và người ứng tuyển có thể hủy bỏ bất cứ lúc nào. Không có gì được lưu cho người chưa bao giờ bắt đầu.

Những gì không được mã hóa, nói thẳng: câu hỏi mà một thành viên đội ngũ viết bên cạnh mỗi câu trả lời, lý do do người kiểm duyệt gõ trên một hồ sơ kiểm duyệt, lý do một thành viên đưa ra để AFK — thứ bot hiển thị cho bất kỳ ai nhắc đến họ — và các cài đặt máy chủ của bạn. Không cái nào trong số đó là lời riêng tư của ai đó về bản thân họ, và mã hóa chúng sẽ khiến người kiểm duyệt của bạn mất khả năng tìm kiếm trong hồ sơ của chính họ.

Xóa dữ liệu

Gỡ bot khỏi máy chủ của bạn và mọi thứ được giữ cho máy chủ đó sẽ bị xóa ba mươi ngày sau, tự động, không cần yêu cầu gì.

Độ trễ là tính năng, không phải cái bẫy. Lý do phổ biến nhất khiến một máy chủ gỡ bot là để thêm lại ngay với quyền khác, và một việc xóa xảy ra ngay khi nó rời đi sẽ cuốn theo mọi cài đặt, mọi cảnh cáo và mọi hồ sơ kiểm duyệt. Mời lại trong khoảng thời gian đó và máy chủ của bạn nguyên vẹn như bạn để lại; quá khoảng đó thì không còn gì để quay về. Không có gì mới được ghi lại khi bot không còn ở đó — nó không thấy được máy chủ — và đồng hồ được tính lại từ lần rời đi gần nhất, nên rời hai lần không làm nó ngắn đi.

Nếu ba mươi ngày là quá lâu, chủ máy chủ hoặc quản trị viên có thể yêu cầu làm ngay lập tức: hãy hỏi trong máy chủ hỗ trợ. Việc đó được làm theo yêu cầu chứ không theo lịch.

Đăng nhập vào bảng điều khiển

Trang này là sykbot.com, còn tài liệu nằm ở sickenn.info. Việc đăng nhập chỉ diễn ra trên sicken.me và không ở đâu khác, còn các cookie bên dưới chỉ thuộc về địa chỉ đó — trình duyệt không bao giờ gửi chúng đến địa chỉ nào khác. Một trang ở bất kỳ nơi nào khác yêu cầu bạn đăng nhập bằng Discord cho sick đều không phải trang này. Thư được đọc và viết tại mail.sicken.me. Nó không có cách đăng nhập riêng: nó đưa bạn đến sicken.me để đăng nhập rồi đưa bạn trở lại, và cookie của nó chỉ thuộc về nó.

Trang web không có cơ sở dữ liệu, nên phiên đăng nhập được giữ trong một cookie trong trình duyệt của bạn. Đăng nhập xin Discord hai phạm vi quyền, identify và guilds — tên của bạn và danh sách máy chủ bạn đang ở, không gì khác — và cookie chứa những gì trả về: id Discord, tên người dùng và id ảnh đại diện của bạn, cùng token truy cập và token làm mới cho hai phạm vi đó. Nó được mã hóa và xác thực bằng AES-256-GCM với một khóa chỉ trang web nắm giữ, nên không thể đọc hay sửa trong trình duyệt của bạn, và không có gì về nó được ghi lại trên máy chủ. Nó cũng nhớ tối đa bốn máy chủ bạn đã mở gần đây, để chúng được xếp lên đầu danh sách.

Ảnh đại diện của bạn và biểu tượng các máy chủ của bạn được trang này lấy từ Discord rồi chuyển cho trình duyệt của bạn, nên trình duyệt của bạn không bao giờ liên hệ với máy chủ hình ảnh của Discord và họ không bao giờ thấy địa chỉ của bạn. Trang này không giữ cái nào trong số chúng: mỗi cái được lấy khi một trang yêu cầu, và trình duyệt của bạn cùng mạng đứng trước trang này có thể giữ một bản sao tối đa một tuần, dưới một địa chỉ thay đổi mỗi khi bức ảnh thay đổi.

Khi trang cài đặt của một tính năng đang mở và hiển thị trên màn hình, nó hỏi trang này — không bao giờ ai khác — danh sách kênh và vai trò của máy chủ bạn một lần mỗi phút, để một kênh vừa tạo cách đây một lúc đã có sẵn để chọn mà không cần tải lại. Yêu cầu đó mang cùng cookie và chỉ được trả lời cho người có thể mở trang; đó là thứ duy nhất mà bất kỳ trang nào ở đây lấy sau khi đã tải xong, và Content-Security-Policy chỉ cho phép nó trên các trang đó.

Nó kéo dài ba mươi ngày kể từ khi bạn đăng nhập, điều cho phép ai đó quay lại mà không phải kết nối Discord lại; sau đó trình duyệt được chuyển qua Discord mà không có màn hình đồng ý, cho một ứng dụng bạn đã chấp thuận. Một tháng chỉ an toàn vì Discord vẫn nắm quyền kiểm soát: cứ vài phút trang lại hỏi Discord xem phiên đăng nhập còn hiệu lực không, đăng xuất thu hồi các token tại Discord — nên một bản sao của cookie cũng ngừng hoạt động — và gỡ sick dưới mục Ứng dụng đã ủy quyền trong cài đặt của chính Discord sẽ chấm dứt nó từ phía bạn, trên mọi thiết bị cùng một lúc.

Cookie thứ hai chỉ chứa chữ số 1, và chỉ tồn tại sau khi bạn đăng xuất. Nó ghi lại rằng bạn đã đăng xuất, để lần đăng nhập tiếp theo hiển thị màn hình đồng ý của Discord — kèm nút “Không phải bạn?” của chính Discord, đó là cách bạn đổi tài khoản — thay vì bỏ qua nó. Đăng nhập lại sẽ xóa nó. Cookie thứ ba tồn tại mười phút trong lúc một lần đăng nhập đang diễn ra và chứa một giá trị ngẫu nhiên chứng minh câu trả lời từ Discord quay về thuộc về lần đăng nhập mà trình duyệt này đã bắt đầu. Ba cookie đó là những cookie duy nhất mà trang này đặt. Cloudflare, đứng trước nó, có thể đặt cookie __cf_bm ngắn hạn của riêng họ để phân biệt trình duyệt với bot; cookie đó là của Cloudflare, và ở đây không gì đọc nó.

Ai thấy được gì

Cấu hình được thấy bởi những người có thể thay đổi nó — theo mặc định nghĩa là Quản lý máy chủ, và hơn thế với một số ít tính năng yêu cầu Quản trị viên. Hồ sơ kiểm duyệt được thấy bởi người kiểm duyệt của bạn. Không ai vận hành bot đọc dữ liệu máy chủ của bạn như một việc thường lệ, và cũng không có giao diện nào khiến việc đó trở nên tiện.