Niemand kann eine Notiz zu dir zurückverfolgen

Du bist dabei, etwas zu schreiben, das du niemandem gesagt hast. Es ist vernünftig, genau wissen zu wollen, was damit passiert. Das hier ist die technische Antwort, und der letzte Abschnitt ist der wichtigste.

Wonach wir nie fragen

Kein Konto. Keine E-Mail-Adresse. Kein Benutzername, kein Passwort, keine Telefonnummer, keine Verifizierung irgendeiner Art. Es gibt keine Anmeldung, weil es nichts gibt, wozu man sich anmelden könnte. Nichts auf dieser Seite kennt einen Namen, weil kein Feld auf dieser Seite je nach einem fragt.

Was eine Notiz tatsächlich ist

In der Datenbank ist eine gepflanzte Notiz sechs Spalten und sonst nichts:

• eine zufällige Kennung
• ihre Position in der Spirale
• der Text, den du geschrieben hast
• wann sie gepflanzt wurde
• wie viele Menschen sie gemeldet haben
• ein Autoren-Fingerabdruck — siehe unten

Es gibt keine Spalte für einen Namen, ein Gerät, eine Sitzung, einen Browser oder einen Ort. Nicht leere: sie existieren nicht.

Deine IP-Adresse und was mit ihr geschieht

Jede Verbindung im Internet trägt eine IP-Adresse. Wir können deine nicht nicht empfangen — so findet die Antwort ihren Weg zurück. Worauf es ankommt, ist, was danach passiert, und danach passiert, dass sie nirgendwo aufgeschrieben wird.

Zuerst wird sie reduziert. Eine IPv6-Adresse wird auf ihr /64-Präfix gekürzt, den Block, den dein Anbieter deinem Zuhause zuteilt, sodass die achtzehn Trillionen Adressen, zwischen denen du wechseln könntest, zu einer einzigen zusammenfallen. Dann läuft sie durch HMAC-SHA256 mit einem geheimen Schlüssel, und wir behalten die ersten 32 Hexadezimalzeichen. Diese Zeichenfolge ist der Fingerabdruck. Die Adresse selbst erreicht die Datenbank nie.

Der geheime Schlüssel ist der Teil, der die Arbeit macht, und es lohnt sich, konkret zu sagen, warum. Es gibt nur etwa 4,3 Milliarden IPv4-Adressen. Ein gewöhnlicher SHA-256 von jeder einzelnen lässt sich auf einem Laptop in einer Mittagspause berechnen und ergibt eine Tabelle, die vom Hash zurück zur Adresse führt. Diese Tabelle nützt hier nichts: ohne den Schlüssel ist der Fingerabdruck deiner Adresse kein Wert, der darin vorkommt. Der Schlüssel lebt in der Umgebung des Servers, nicht in der Datenbank. Wer mit einer Kopie der Datenbank davonliefe, hätte ihn nicht.

Und dann wird er gelöscht

Der Fingerabdruck existiert für genau eine Aufgabe: die Ratenbegrenzungen, die drei Minuten und einen Tag zurückblicken. Danach ist er Risiko ohne Zweck. Also wird er gelöscht, bei jedem Pflanzen:

update notes set author_hash = ''
 where author_hash <> ''
   and created_at < now() - interval '2 days'

Zwei Tage statt einem, weil die Tagesgrenze genau 24 Stunden zurückzählt und eine Uhr, die sich an der Grenze mit sich selbst uneins ist, niemandem eine Gratisnotiz schenken sollte.

Nach zwei Tagen ist der Fingerabdruck auf deiner Notiz eine leere Zeichenfolge. Die Datenbank kann nicht sagen, dass deine Notiz und eine andere vom selben Ort kamen — nicht weil wir versprechen, nicht hinzusehen, sondern weil der Wert weg ist.

Was dein Browser behält

Vier Dinge, alle auf deinem Gerät, keines davon wird je an uns gesendet: ob du die Willkommenskarte schon gesehen hast, die Sprache, die du gewählt hast, wann deine Wartezeit bis zum nächsten Pflanzen endet, und die Liste der Notizen, die du gemeldet hast.

Das Letzte ist Absicht. Dass sie auf deiner Seite lebt, ist genau das, was uns erlaubt, für dich nicht zu behalten, welche Notizen dir missfallen haben. Und es gibt überhaupt keine Cookies: diese Seite setzt keine, unter keinen Umständen.

Nichts von irgendwem sonst

Keine Analytik. Kein Tracking-Pixel. Keine Schrift, die vom Server einer anderen Firma geladen wird. Nichts Eingebettetes. Die Content-Security-Policy, die diese Seite mit jeder Seite mitschickt, weigert sich, Skripte, Stile, Bilder, Schriften oder Verbindungen von irgendwoher außer dieser Domain zu laden. Die Teilen-Schaltflächen erreichen WhatsApp, X oder Facebook erst in dem Moment, in dem du eine davon drückst.

Was wir nicht versprechen können

Alles oben ist genau so viel wert, wie dieser Abschnitt ehrlich ist, hier also ohne Abmilderung.

• Dein Internetanbieter weiß, dass du dich hier verbunden hast. Nichts, was auf dieser Seite gebaut wird, kann daran etwas ändern.
• Die Seite läuft auf Vercel und die Datenbank auf Supabase. Beide sehen den Verkehr im Transit und beide führen ihre eigenen Betriebsprotokolle, zu ihren Bedingungen und außerhalb unserer Kontrolle. Das ist eine Eigenschaft davon, überhaupt etwas ins Internet zu stellen, keine Entscheidung von uns.
• Bis zu zwei Tage lang existiert der Fingerabdruck. Wer die Datenbank, den geheimen Schlüssel und eine bestimmte zu prüfende Adresse hätte, könnte einen Verdacht bestätigen. Bestätigen, nicht entdecken — er müsste dich schon vorher verdächtigen.
• Wenn das, was du schreibst, dich identifiziert, hilft nichts davon. Der Text ist öffentlich und dauerhaft, und Notizen werden nicht auf Anfrage entfernt: das ist dasselbe Versprechen, das alle anderen stehen lässt.
• Das hier ist nicht Tor. Wenn du in einer Lage bist, in der es wirklich gefährlich wäre, mit dem verbunden zu werden, was du schreibst, benutze Werkzeuge, die dafür gebaut sind, und keine Website über Bäume.

Wie du das alles selbst prüfst

Jetzt gleich, in diesem Browser. Öffne die Entwicklerwerkzeuge: unter Cookies findest du überhaupt nichts, und unter Local Storage genau die vier oben genannten Schlüssel. Wechsle zum Netzwerk-Tab und lade die Seite neu — jede einzelne Anfrage geht an diese Domain und an keine andere.

Das Stärkste auf dieser Seite ist kein Versprechen. Es ist, dass nach zwei Tagen nichts mehr übrig ist, worüber man etwas versprechen müsste.