新闻 · Blackbear 的安全

我们的服务器能看到什么

每个云服务都保存着关于你的元数据。大多数服务把这一点埋在隐私政策的第九页。我们宁愿把清单公开。

下面是 Blackbear 服务器存储的内容，在发布本文时对照我们实际的数据库结构逐项核对过。不是营销版本，而是一列一列的字段。

你的账户

你可以用邮箱、手机号、Google 或 Apple 登录。无论选哪一种，标识符都会加密存储，并通过带密钥的哈希查找。需要给你发送魔法链接时，我们可以解密你的邮箱，但它从不会以未脱敏的形式出现在我们的日志里。

手机号登录通过 Twilio Verify 发送验证码。我们从不存储验证码；为了发送短信，Twilio 必然会看到你的号码。

如果你为同步付费，支付信息由 Stripe 保管。我们只保存一个客户引用、你的方案和订阅状态。我们从来看不到你的银行卡。

同步

你同步的每一处改动，服务器都会记录：它是什么类型（文件、任务、日历事件）、它的 ID、用于解决冲突的版本元数据、时间戳、由你的哪台设备推送，以及它的字节大小。数据本身是密文，按第 1 部分所述在你的设备上密封。

所以没错：我们可能看得出你同步的表格比笔记多，也看得出你常在工作日的早上活跃。这是实实在在的元数据，我们不会假装不是。我们看不到的是：标题、正文、标签、文件夹名称，以及你文件里的任何内容。

媒体记录更精简：一个以 .enc 结尾的不透明存储键、一个字节数，以及上传校验时确定的大致文件类型。你的文件名从不进入存储键或数据库。

消息

收件箱是中转站，不是档案室。一条消息记录包含发件账户、收件账户、会话 ID、时间戳和密封的信封。我们能看到谁在和谁交流、在什么时候。我们看不到说了什么。

保留期是机械执行的：已送达的消息在 24 小时后删除。未送达的消息最多等待收件人 30 天，之后删除。

共享空间

为了协作，服务器会存储以密钥指纹标识的群组成员、签名的角色、密钥纪元和加密的更新。它能看出有五个指纹共享一份文档，以及他们编辑得有多活跃。却一个字也读不到。第 3 部分会详细讲这一点。

设备

你的设备列表会显示每台设备的平台、最后同步时间和同步游标。目前设备名称按你输入的原样存储。给设备起名时可以叫“MacBook”，而不是你不愿意被我们看到的东西。

安全日志

我们保留一份安全事件审计记录：登录、失败和敏感操作，附带 IP 地址和用户代理。它的存在是为了发现滥用，而且不会一直保持原始状态。在一个有限的热窗口期过后，每条记录都会被最小化：IP 被遮蔽，用户代理只保留平台名称，你的账户 ID 被替换成不透明的隐私 ID。最小化后的记录加密存入冷存储，原始记录则被删除。

就连我们自己的日志，也会按计划抹去可识别身份的细节。

分析

我们的网站（也就是这个网站）只会向我们自己的 API 发送一次页面浏览记录。不用 Cookie，不做指纹识别，并且尊重 Do Not Track。可识别身份的值会用每天轮换的盐值哈希，原始值被丢弃，记录按滚动窗口删除。App 从不被追踪。没有遥测，没有 SDK，没有第三方脚本。我们没法对你做 A/B 测试。有什么 bug，要靠你告诉我们。

归结起来

我们打造 Blackbear，就是为了让“你们对我了解多少？”这个问题的诚实答案始终很短。一个加密的标识符。带着大小和时间戳的密文。几小时就会忘记的中转站。刻意遗忘的日志。

一个无法核实的隐私承诺，只是一种感觉。一份你可以拿来对照我们的清单，才是公开的承诺。这就是我们的清单，对照 2026 年 8 月 15 日上线的数据库结构逐行核实。