Niciun jurnal, prin construcție. Un no-log așa cum îmi place.

Ce nu înregistrez niciodată

• Site-urile pe care le vizitezi și conținutul traficului tău.
• Interogările tale DNS.
• Orele la care te conectezi.
• Adresa ta IP de origine.
• Consumul tău de date per utilizator.

Ca să-ți transporte traficul, serverele mele prelucrează în memoria volatilă adresa ta IP, interogările tale DNS și starea conexiunilor tale, pe durata conexiunii. După aceea, nimic din toate acestea nu este înregistrat. Nu „anonimizat", nu „agregat", nu „păstrat 30 de zile": deloc înregistrat, nicăieri. Răspunsurile DNS rămân o vreme într-un cache comun tuturor utilizatorilor serverului, fără legătură cu cine le-a cerut.

Ce știu despre tine

O cheie publică și o dată de expirare: acesta este miezul dosarului tău de client. În jur, câteva date tehnice de scurtă durată (protecția împotriva reluării, emiterea jetoanelor, copii de siguranță de 7 zile), toate enumerate în politica de confidențialitate. Doar un abuz semnalat pe unul dintre porturile tale îi poate adăuga ceva, detaliat mai jos.

Cheia ta este generată de aplicație, pe dispozitivul tău, fără nume, fără email, fără înregistrare. Când deschizi Warren, serverul verifică un singur lucru: are această cheie timp rămas? O copie a bazei de abonați nu ar da acces la nicio identitate, pentru că nu conține niciuna.

Ce se stochează, și de ce

Iată tot ce există la mine, sau la procesatorii noștri:

• Un registru de facturare (sume, date, țara de TVA, referințe de plată), păstrat 10 ani: obligație contabilă și fiscală. Nu conține cheia ta, iar numele tău doar dacă ceri o factură nominală.
• La procesatorul de plăți (Stripe pentru card): datele bancare obișnuite ale unei achiziții. Ele nu se intersectează niciodată cu cheia ta: plata creditează un cod, pe care aplicația ta îl schimbă apoi pe timp. Această verigă lipsă este planul.
• Dacă îți exerciți dreptul de retragere: referința de plată și adresa de rambursare pe care mi le dai, și statusul cererii, păstrate 12 luni după închidere.

Dar reînnoirea automată?

Reînnoirea automată este o opțiune, dezactivată implicit. Este condusă de aplicația ta, nu de serverele mele. Autorizația de plată trăiește criptată pe dispozitivul tău: între două plăți, baza mea de date nu conține nimic care să spună că reînnoiești automat. Lași exact aceleași urme ca cineva care cumpără din nou manual în fiecare lună.

Este o problemă pe care prietenii noștri, celelalte VPN-uri, nu o rezolvaseră. Mullvad a eliminat abonamentele în 2022 pentru că menținerea lor obliga serverul său să păstreze legătura dintre plata ta și contul tău pe toată durata abonamentului. IVPN și Proton le oferă, dar păstrând mandatul de plată pe serverele lor. Aici în vizuină, această legătură nu există niciodată pe server: trăiește în aplicația ta și dispare când o oprești.

Cele trei niveluri de discreție rămân:

• Criptomonedă sau voucher: nicio reînnoire automată, pentru că nimic nu leagă o achiziție de următoarea.
• Card bancar, cu sau fără reînnoire automată: Stripe vede o plată către o referință de achiziție aleatorie, niciodată cheia ta. Legătura dintre o plată și codul pe care îl creditează există doar pe durata ferestrei de rambursare (20 de zile), apoi este ruptă. Activarea reînnoirii automate nu adaugă nimic la ce stochez.
• Achiziții prin Apple sau Google: magazinul este comerciantul și vede achiziția ta; nu vede niciodată cheia ta Warren, iar legătura tehnică este ruptă după fereastra de rambursare a magazinului.

Servere fără disc

Serverele de ieșire rulează pe o imagine de sistem imuabilă, în întregime în memorie: sistemul de fișiere rădăcină este read-only, starea trăiește în RAM, o repornire șterge tot. Chiar și alocările de port forwarding trăiesc doar în memorie.

Unealta care construiește aceste mașini se numește alpineAnywhere. Am dezvoltat-o și am publicat-o open source: poți verifica exact ce rulează.

Singura excepție: un abuz semnalat pe un port

Există un singur caz în care adaug ceva la un cont. Când un terț îmi semnalează un abuz venit de la un port încă deschis, închid acel port, iar nimeni nu îl poate relua timp de 48 de ore. Abia în acel moment, și numai atunci, pot afla ce cont îl deținea: aplicația ta prezintă o etichetă criptată la fiecare deschidere de port, iar doar serverul meu central o poate citi. Pun apoi un avertisment pe acel cont, dacă deținea deja portul la ora abuzului semnalat. Cine a luat portul după aceea nu primește nimic. Trei avertismente în 90 de zile și contul este revocat pentru 12 luni.

Înaintea unei sesizări, nimic nu leagă un port de un cont și nu păstrez nicio listă a porturilor pe care le-ai deschis. După o sesizare, scriu trei lucruri: dosarul sesizării (server, port, protocol, categorie, sursă, date, fără niciun identificator de cont, păstrat 12 luni, apoi anonimizat), avertismentul (un identificator pseudonim al contului tău, referința dosarului, categoria și ziua, păstrat 90 de zile) și, la al treilea, revocarea (identificatorul contului tău și datele ei la nivel de zi, cât timp durează). Când se încheie, o șterg împreună cu data ta de expirare: contul tău redevine o cheie fără timp, ca în prima zi, iar timpul neconsumat ți-a fost rambursat proporțional la revocare, conform secțiunii 12 din politica de rambursare. Nicio destinație, niciun conținut, nicio adresă IP. Vezi fiecare avertisment în aplicație, îl poți contesta scriind la abuse@warrenbrowse.com cu referința dosarului, iar un avertisment pus din greșeală este anulat, iar revocarea pe care a putut-o declanșa este ridicată.

Acesta este prețul port forwarding-ului. Mullvad și IVPN au preferat să elimine funcționalitatea în 2023 decât să lege, fie și o singură dată, un port de un cont. Respect. Am ales să o păstrez și să îți spun exact cât «costă».

Și dacă o autoritate îmi cere socoteală?

O autoritate poate cere ce dețin, în formele prevăzute de lege. Pentru un cont care n-a fost niciodată semnalat, esențialul încape în două coloane: o cheie publică, o dată de expirare. Un cont semnalat adaugă avertismentele sale și, dacă s-a ajuns acolo, revocarea. Nu pot preda un istoric pe care nu l-am înregistrat niciodată. Pot fi în schimb obligat, împreună cu furnizorii mei de găzduire, să îmi dau concursul la o interceptare țintită și autorizată de lege.