Casi cualquier app de notas podría leer lo que escribes.
No porque alguien quiera hacerlo. Simplemente porque nada se lo impide.
El texto está en una base de datos que alguien de soporte puede consultar, y lo único que lo protege de una tarde de curiosidad es una política.
Construí Scratchpad para que la política no fuera la única barrera.
Cifrada, no escondida
Cuando bloqueas una nota, su texto se cifra con una clave derivada de tu contraseña.
En la base de datos solo hay texto cifrado. Lo mismo en cada respaldo, cada instantánea y cada copia de la base de datos en disco.
Ahora, quiero ser preciso sobre lo que esto cubre, porque cuando se habla de privacidad es fácil exagerar.
Esto no es cifrado de extremo a extremo.
Tu contraseña viaja al servidor por una conexión cifrada. El servidor es el que cifra y descifra. Mientras la nota está abierta, guarda la clave en memoria, nunca en disco.
Lo que protege el bloqueo es todo lo que está guardado. Una copia de la base de datos, un respaldo o un disco robado no le sirven a nadie sin la contraseña.
El bloqueo protege todo lo que está guardado. Sin la contraseña, una copia de la base de datos no le sirve a nadie.
Esto tiene una consecuencia que vale la pena saber desde ya.
Si olvidas la contraseña de una nota bloqueada, nosotros no podemos recuperarla, a menos que hayas configurado Face ID o Touch ID para abrir esa nota.
No es una función que falte. Es justamente la función.
El contador de visitas sabe muy poco
Scratchpad cuenta las visitas a sus páginas con su propia analítica, que corre en su propio servidor.
No interviene ningún tercero. No usa cookies.
Y recibe mucho menos información de la que suele recibir un script de analítica. Antes de que algo salga de tu navegador, la dirección se reescribe:
| Lo que sabe la página | Lo que recibe el contador |
|---|---|
| El identificador de la nota | :id |
| El token de un enlace para compartir | :id |
| La cadena de consulta | Nada, se descarta |
| El título de la página | Uno genérico |
Así, el contador registra que alguien abrió una nota.
Pero no registra cuál.
Por qué el título es lo que más importa
Esa última fila importa más de lo que parece.
Habría sido fácil quitar el identificador y darlo por resuelto. En papel, eso parece privado.
Pero piensa en lo que realmente viaja con cada visita:
- Un enlace para compartir es una credencial que funciona. No tiene por qué quedar en el registro de nadie.
- El título de una nota suele ser lo más privado de la página. Es justo lo que dice de qué trata la nota.
- Quitar uno y mandar el otro es quedarse a medias. Es el tipo de privacidad que se ve bien en un diagrama y falla en la práctica.
Así que no se envía ninguno de los dos. El contador sabe que se abrió una nota, y eso es todo lo que va a saber.
Lo que cuesta
No voy a fingir que esto sale gratis. Algunas cosas se vuelven más difíciles.
- La búsqueda encuentra una nota bloqueada por su título, pero no por las palabras que contiene hasta que la desbloqueas.
- La analítica no nos puede decir qué notas son populares. (Igual no nos interesa.)
- Soporte no puede mirar tu nota para entender qué salió mal.
Son costos reales.
Y de eso se trata. Si yo pudiera echarle un ojo a una nota bloqueada cuando me conviniera, el bloqueo sería solo una política más bonita, y estaríamos otra vez en el punto de partida.
La privacidad de verdad es la que también me estorba a mí.
Una promesa que no cuesta nada cumplir no vale gran cosa.
