Новости · Безопасность в Blackbear

Что видят наши серверы

Любой облачный сервис хранит о вас метаданные. Большинство прячет этот факт на девятой странице политики конфиденциальности. Мы лучше опубликуем перечень.

Вот что хранят серверы Blackbear — сверено с настоящей схемой нашей базы данных на момент публикации этой записи. Не маркетинговая версия. Столбцы.

Ваш аккаунт

Войти можно по почте, телефону, через Google или Apple. Что бы вы ни выбрали, идентификатор хранится в зашифрованном виде, а ищем его мы по хешу с ключом. Мы можем расшифровать ваш адрес почты, когда нужно отправить вам ссылку для входа, и в наших журналах он никогда не появляется в открытом виде.

Для входа по телефону коды доставляет Twilio Verify. Сами коды мы не храним никогда; Twilio понятным образом видит ваш номер, чтобы отправить SMS.

Если вы платите за синхронизацию, платёжные данные хранит Stripe. У нас — ссылка на клиента, ваш тариф и состояние подписки. Вашу карту мы не видим никогда.

Синхронизация

По каждому синхронизированному изменению сервер записывает: что это за объект (файл, задача, событие календаря), его ID, сведения о версии для разрешения конфликтов, метку времени, с какого из ваших устройств оно пришло и его размер в байтах. Сами данные — это шифртекст, запечатанный на вашем устройстве, как описано в части 1.

Так что да: мы могли бы увидеть, что вы синхронизируете больше таблиц, чем заметок, и активны по утрам в будни. Это настоящие метаданные, и мы не станем делать вид, что это не так. Чего мы не видим: названий, текста, тегов, имён папок и вообще чего-либо внутри ваших файлов.

Записи о медиафайлах ещё скромнее: непрозрачный ключ хранения, оканчивающийся на .enc, число байтов и общий тип файла, известный по проверке при загрузке. Имена ваших файлов никогда не попадают ни в ключ хранения, ни в базу данных.

Сообщения

Почтовый ящик — это ретранслятор, а не архив. В записи о сообщении есть аккаунт отправителя, аккаунт получателя, ID разговора, метки времени и запечатанный конверт. Мы видим, кто с кем общается и когда. Мы не видим, что именно сказано.

Сроки хранения соблюдаются автоматически: доставленные сообщения удаляются через 24 часа. Недоставленные ждут получателя до 30 дней, а затем тоже удаляются.

Общие пространства

Для совместной работы сервер хранит состав группы по отпечаткам ключей, подписанные роли, эпохи ключей и зашифрованные обновления. Он может понять, что пять отпечатков совместно работают над документом и насколько активно они его правят. Прочитать из него ни слова он не может. Подробно об этом — в части 3.

Устройства

В списке устройств для каждого из них видны платформа, время последней синхронизации и курсор синхронизации. Названия устройств сейчас хранятся так, как вы их ввели, — назовите устройство «MacBook», а не так, чтобы вам было неприятно, если мы это увидим.

Журналы безопасности

Мы ведём журнал событий безопасности: входы, неудачные попытки, важные операции — с IP-адресом и user agent. Он нужен, чтобы ловить злоупотребления, и в сыром виде не задерживается. После ограниченного «горячего» периода каждая запись сокращается до минимума: IP маскируется, user agent сводится к названию платформы, а ID вашего аккаунта заменяется непрозрачным ID конфиденциальности. Сокращённые записи шифруются и уходят в холодное хранилище, а исходные строки удаляются.

Даже в наших собственных журналах опознавательные данные стираются по расписанию.

Аналитика

Наш сайт (этот самый) отправляет один сигнал о просмотре страницы в наш собственный API. Без cookie, без цифровых отпечатков, и Do Not Track уважается. Опознавательные значения хешируются с солью, которая меняется каждый день, исходные значения отбрасываются, а строки удаляются скользящим окном. За приложением мы не следим никогда. Никакой телеметрии, никаких SDK, никаких сторонних скриптов. Мы не можем проводить на вас A/B-тесты. Об ошибках мы узнаём, когда вы о них рассказываете.

Что в итоге

Мы сделали Blackbear так, чтобы честный ответ на вопрос «что вы обо мне знаете?» оставался коротким. Зашифрованный идентификатор. Шифртекст с размерами и метками времени. Ретранслятор, который забывает за часы. Журналы, которые забывают намеренно.

Обещание приватности, которое нельзя проверить, — это просто настроение. Перечень, за который можно нас спросить, — это публичное обязательство. Этот — наш, и он сверен строка за строкой со схемой, действующей на 15 августа 2026 года.