بُني بحيث لا يوجد ما يُسلَّم.
تعدك أكثر التطبيقات بحماية بياناتك. أما رهان ستيگ فأبسط: ألا تجمعها من الأصل. لا يوجد جدول هويات يمكن تسليمه، لأنه لا ينشأ أصلًا — لا على السيرفر، ولا عند المنظم. هذه الصفحة هي الرواية الكاملة لهذا الكلام: ما الذي يعبر الشبكة فعلًا، وكيف تثبت العضوية من غير تعريف بصاحبها، ومن يرى ماذا بالضبط — ولأن صفحة خصوصية لا تحتمل الشك لا قيمة لها، ما الذي لا تدافع ستيگ عنه عمدًا. كل عبارة هنا يمكن التحقق منها في PLAN.md وفي المصدر المنشور بجانبها.
ست خصائص، لا خيار في أي منها.
هذه ليست إعدادات تفتح وتغلق. كل واحدة منها التزام معماري في مستودع المصدر — وتغييرها تغيير للمنتج نفسه.
لا هوية تصادر
لا قاعدة بيانات لبريد أو هاتف أو أسماء مستخدمين في أي موضع من النظام — فلا شيء يتسرب، ولا شيء يمكن إجبارك على تسليمه.
Tor فقط، لا إنترنت مكشوف
السيرفر عنوان onion v3 لا مدخل له على الإنترنت المكشوف ولا تسجيل عنده لعناوين IP. والتطبيق بلا طريق بديل: إن تعذر Tor أظهر حالة انقطاع بدل أن يمد يده في العلن.
تصاريح كتابة عمياء
كل منشور وتصويت وتعليق ينفق تصريحًا موقعًا على عماه يستعمل مرة واحدة — برهان على أن عضوًا ما يحق له أن يكتب، صيغ بحيث لا يسمي حامله أبدًا.
السيرفر في يدك
المحتوى يقيم على جهاز تتحكم فيه أنت، وعلى كل هاتف في مخزن مشفر معزول لكل مجتمع. انزع القابس يغب المجتمع.
لا تتبع، وبالقوة
لا تحليلات ولا تقارير أعطال ولا حزم تتبع — والبناء يفشل في خط الاختبار إن ظهر شيء منها في شجرة الاعتماديات مجرد ظهور.
لا يُرى إلا بدعوة
عنوان onion الخاص بالسيرفر مقفل بمصادقة العميل في Tor v3: من دون المفتاح المرفق بالدعوة لا يجيب بشيء أصلًا. ومجتمع لا يُعثر عليه، لا يُطرق بابه.
ما الذي يعبر الشبكة فعلًا.
بروتوكول واحد، وطريق واحد: الصيغة Nostr القياسية، والطريق دائرة Tor. ولا شيء ثالث.
الطريق: Tor v3، خدمة خفية لا غير
لا يمكن بلوغ السيرفر إلا بوصفه خدمة onion v3 على Tor: يرتبط بالمنفذ المحلي وTor يتصدره. لا مدخل له على الإنترنت المكشوف يحتاج إلى جدار حماية، لأنه غير موجود أصلًا. ولا يسجل السيرفر عناوين IP — فاتصال onion لا يسلم عنوان الزائر من الأساس.
التطبيق يحمل Tor في داخله — لا Orbot ولا وكيل نظام — ولا طريق له خارج Tor أبدًا: إن تعذر الاتصال أظهر حالة انقطاع. لا يوجد مسار في الشيفرة يبلغ السيرفر في العلن.
وعلى الشبكات التي تحجب Tor، يتدرج سلم اتصال عبر أنفاق النقل — webtunnel وobfs4 وsnowflake — حتى لا يلزم أن تبدو حركتك لشبكتك شبيهة بـ Tor أصلًا.
الصيغة: Nostr قياسي، بمعايير NIP قياسية
كل ميزة محمولة على معيار Nostr علني — المنشورات والتصويت والتعليقات والرسائل والقنوات والمجموعات والفعاليات. لا شيء خاص بنا يركب الشبكة، أي لا لهجة سرية عليك أن تثق بها: أي أدوات Nostr تقرأ أشكال الأحداث، وبياناتك تعيش أطول من التطبيق الذي كتبها.
الرسائل الخاصة أغلفة NIP-17 مختومة: مغلقة على مستلمها، تنشر بمفاتيح زائلة، معتمة على السيرفر. ومفاتيح محتوى المساحات الخاصة تسلم لكل عضو، في كل حقبة، مغلفة بتشفير NIP-44.
| الميزة | أنواع أحداث Nostr | المعيار |
|---|---|---|
| المنشورات (مجرى المجتمع) | kind 1 | NIP-01 + وسوم NIP-12 |
| التصويت | kind 7 | NIP-25 |
| التعليقات المتسلسلة | kind 1111 | NIP-22 |
| استطلاعات الرأي | 1068 / 1018 | NIP-88 |
| الرسائل الخاصة | kind 1059 gift wraps | NIP-17 |
| القنوات | 30311 / 1311 | NIP-53 |
| المجموعات | 9 / 11 / 12 / 39xxx | NIP-29 |
| الفعاليات | 31923 / 31925 | NIP-52 |
| بلاغات الإشراف | kind 1984 | NIP-56 |
| إعدادات المنظم والمساحات | kind 30078 | NIP-78 |
السجل الكامل، مع مسوغ كل اختيار، في client/src/contracts/index.ts داخل مستودع المصدر.
رحلة التصريح، في أربع خطوات.
الآلية في جوهرها توقيع أعمى على معيار RFC 9474 — معيار من IETF تخدمه مكتبات مدققة، لا تشفير مصنوع عندنا. إليك القصة كاملة.
تولد المفاتيح على الجهاز
ينشئ التطبيق زوج مفاتيح Nostr عاديًا على هاتف العضو. لا يرسل المفتاح أبدًا، ولا حساب يربط به — لا يراه المنظم، ولا أحد سواه.
يوقع الانضمام على عماه
تحمل جهة الإصدار عند المنظم زوج مفاتيح RSA. عند التسجيل توقع رمزًا اختاره العضو من غير أن تستطيع قراءته — توقيع RSA أعمى على معيار RFC 9474. يمضي العضو حاملًا برهانًا على أن منظمًا أذن له، في صيغة لا تستطيع جهة الإصدار أن تتعرف عليها مرة أخرى أبدًا.
يربط التصريح مرة واحدة
ينشر التطبيق حدث ربط وحيدًا ينفق ذلك التصريح. يتحقق السيرفر من التوقيع، ويعلم الرمز مستهلكًا، ويقبل الهوية الجديدة من حينها. التصريح الواحد يربط مرة واحدة — والجهاز الجديد أو إعادة التسجيل يحتاجان تصريحًا جديدًا.
كل كتابة تنفق تصريحًا جديدًا
ينشر كل منشور وتصويت وتعليق بتصريح يستعمل مرة واحدة، يسحب من محفظة رموز محلية ويوقع بـ مفتاح يرمى بعد الاستعمال. يفحص السيرفر الاستحقاق ويسقط كتابات غير الأعضاء قبل التخزين؛ ومحاولة إنفاق الرمز مرتين تموت على قائمة رموزه المستهلكة. لا السيرفر ولا سائر الأعضاء يستطيعون رد الكتابة إلى صاحبها.
النتيجة: يعلم المنظم أنه أدخل أحدهم. لا يستطيع أن يعرف أي حساب صار له، ولا أي المنشورات كتبها — ولا يستطيع ذلك السيرفرُ الذي يشغله بيده.
وحيث يوجد إسناد للمشرفين أصلًا، فإنه يركب وسمًا مشفرًا بـ NIP-44 لا يقرؤه إلا طاقم الإشراف — والعموم لا يرون شيئًا. الآلية الكاملة في §3.3 و§3.6 من PLAN.md.
من يرى ماذا — طرفًا طرفًا.
كلام الخصوصية لا معنى له إلا إذا سميت من يراقب. أربعة أطراف تهم هنا؛ هذا ما يصل إلى كل واحد منها، وما تحجبه العمارة عنه.
شبكتك
ترى
- أن حركة Tor مشفرة تغادر جهازك — أو، عبر جسر، حركة على هيئة HTTPS عادية.
- متى تكون متصلًا، وكم تنقل من البيانات تقريبًا.
لا ترى أبدًا
- أي خدمة onion تقصدها — عنوان السيرفر لا يظهر على شبكتك أصلًا.
- أي محتوى، أو أي بيانات وصفية داخل الدائرة — ولا حتى أن التطبيق هو ستيگ من الأساس.
السيرفر
يرى
- أحداث Nostr قياسية: الأنواع والطوابع الزمنية وما ينشره الأعضاء في المساحات المشتركة — فهو يخزنها ويقدمها.
- الإسناد نفسه الذي يراه الأعضاء في الداخل: كل منشور وفعل يحمل npub صاحبه.
- أن كل كتابة حملت تصريحًا صالحًا لم يستهلك من قبل.
لا يرى أبدًا
- عنوان IP لأي عضو — اتصال onion لا يسلم عنوانًا، والسيرفر لا يسجل شيئًا.
- من يقف خلف أي npub — فهو لا يقود إلى دعوة، ولا عنوان IP، ولا اسم، ولا هوية في أي مجتمع آخر.
- نصوص الرسائل الخاصة (مغلفة من الطرف إلى الطرف) أو محتوى المساحات الخاصة المختوم بمفاتيح الأعضاء.
المنظم
يرى
- أن دعوة أصدرها قد استعملت — يعلم أنه أدخل أحدًا، وكم واحدًا.
- كل ما يراه السيرفر: فهو جهازه.
- سجل الإشراف — وهو مفتوح لكل عضو على كل حال.
لا يرى أبدًا
- أي حساب خرج من أي دعوة — فالموافقة وقعت على عماها.
- أي مدعو من مدعويه يقف خلف أي اسم مستعار. إدخال أحدهم وقراءة ما ينشر خطان لا يلتقيان.
- مفتاح أي عضو. لم يغادر جهاز صاحبه قط.
سائر الأعضاء
يرون
- اسمك المستعار وتدرجك اللوني — الهوية التي اخترتها على الباب، ولك أن تبدلها لاحقًا.
- ما تنشره في المساحات التي تشاركهم إياها — كل منشور وفعل منسوب إلى اسمك المستعار.
لا يرون أبدًا
- أي شيء يربط ذلك الاسم بشخص — لا رقم هاتف ولا بريد ولا اسم حقيقي في النظام أصلًا حتى يتسرب.
- هويتك في أي مجتمع آخر: كل مجتمع معزول على الجهاز بمفاتيحه ومحفظته ومخزنه المشفر.
- ما تقرؤه ومتى — فتح التطبيق، وتقليب الصفحات، والمكوث عند نقاش: لا شيء من ذلك ينشر عنك شيئًا لأحد.
على الجهاز، وفي السجل.
ما يحمله الهاتف
مفتاح العضو وتصاريحه تقيم في مخزن مفاتيح الجهاز المدعوم عتاديًا، لا تصدر منه — لا في قاعدة بيانات، ولا في سطر سجل. والأحداث تحفظ في مخزن مشفر بـ SQLCipher للقراءة من غير اتصال، بقاعدة بيانات لكل مجتمع؛ والرسائل الخاصة مشفرة في سكونها داخل المخزن نفسه.
المجتمعات معزول بعضها عن بعض: لكل واحد هويته ومحفظة تصاريحه وقاعدته المشفرة، بفصل في التسمية يمنع مجتمعًا حتى من أن يلحظ أن غيره موجود على الجهاز.
ولا عبارة استرداد ولا نسخة احتياطية. ضياع الجهاز ضياع للهوية — وذلك هو الثمن الصادق لمفتاح لا يصطاد بالخداع، ولا يصدر، ولا يسلم لأحد.
الإشراف سجل، لا زر حذف
لأن السيرفر لا يعرف لمن أي حدث، لا يستطيع أن يفرض حظرًا. الإخفاء والحظر والبلاغات توصيات تحترمها التطبيقات الملتزمة؛ والتطبيق المعدل يستطيع تجاهلها. يضبط الإشراف ما يراه الأعضاء، لا ما يقبله السيرفر — فعمى الكتابة والطرد بالقوة لا يجتمعان، وستيگ اختارت العمى. والمجتمع الذي يحتاج طردًا قاطعًا يدور تصريحه ويعيد تسجيل أعضائه.
وما ينتجه الإشراف هو سجل: كل إخفاء ووسم وملاحظة يستقر على خط زمني يضاف إليه ولا يحذف منه، مفتوح لأي عضو — وطاقم الإشراف نفسه وثيقة موقعة لا ينشرها إلا مفتاح المنظم. يستطيع المجلس دائمًا أن يحاسب من يديره. الأسئلة الشائعة تقولها بلا مواربة؛ والسجل هو حيث يقرؤها الأعضاء.
ما لا تدافع ستيگ عنه.
صفحة خصوصية لا تذكر إلا مواطن القوة ليست إلا دعاية. هذه حدود ستيگ كما هي، ومعرفتها الآن خير من اكتشافها حين لا ينفع الاكتشاف.
تطبيق معدل يتجاهل الإشراف
هذا هو المعنى العملي للإشراف الاستشاري: من عدل تطبيقه ليتجاوز قوائم الإخفاء سيظل يرى ما حجبه المشرفون، ويواصل النشر. والسيرفر لا يملك رفض كتابته، لأن تصاريح الكتابة لا تسمي أصحابها. هذا ثمن ثابت في التصميم، نقوله هنا بوضوح لا في الهوامش.
منظم يطفئ الأنوار
المنظم يملك الجهاز، فيستطيع أن يقرأ كل ما نشر في المساحات المشتركة، وأن يوقف المجتمع كله، وأن يدور تصريح العضوية فيقرر من يعود ومن لا يعود. أما الذي لا يستطيعه، ولو ملك الجهاز كله، فهو أن يعرف من يقف خلف أي اسم. اطمئن إلى التصميم في ستر الهوية، واختر منظمك لبقاء الخدمة.
ما لا يصده Tor نفسه
حماية ستيگ للاتصال هي حماية Tor، بقوتها وحدودها معًا. جهة تراقب طرفي الاتصال في اللحظة نفسها — قدرة لا تكون عادة إلا لمن يراقب الشبكات على مستوى الدول — تتجاوز ما بني Tor لصده، وستيگ لا تدعي أكثر مما يقدر Tor عليه.
الأعضاء أنفسهم
ما تنشره في مساحة مشتركة يقرؤه كل من فيها، وأي عضو يستطيع أن يلتقط صورة للشاشة، أو ينسخ الكلام، أو يرويه خارج المجتمع. الدعوة تضبط من يدخل، أما حفظ الكلام بعدها فأمانة في أعناق الداخلين: المجتمع كتوم بقدر كتمان أعضائه، لا أكثر.
هاتف ضائع
المفاتيح لا تغادر الجهاز، ولا توجد عبارة استرداد، فلا سبيل إلى استعادة الحساب — لا لك، ولا لمن وقع الهاتف في يده، سواء بسواء. ضياع الجهاز ضياع للهوية، والعودة تكون بدعوة جديدة من المنظم.
كل ما قيل هنا تجده في المصدر.
مجاني برخصة MIT · السيرفر في يدك · ولا حسابات، أبدًا.
وجدت ثغرة؟ evergreenmarble@proton.me