Ci piace scrivere delle debolezze delle altre app di messaggistica — di recente le impostazioni predefinite di Telegram. Giusto è giusto: prima di continuare a criticare gli altri, giriamo lo specchio. Ecco cosa non brilla proprio come i nostri testi di marketing a volte lasciano intendere, sulla nostra stessa infrastruttura.

"Decentralizzato" al momento è più tipo "due server, un unico gestore"

La parola più grande nel nostro stesso vocabolario è "decentralizzato". La versione onesta: al momento girano esattamente due relay. Uno su un server affittato presso Infomaniak, uno su un NAS privato in un salotto in Svizzera. Entrambi sono gestiti dallo stesso piccolo team. Non è la stessa cosa di una rete di nodi indipendenti che nessuno può spegnere singolarmente — è un sistema con ridondanza integrata, ma con lo stesso controllo dietro le quinte.

La differenza rispetto a un fornitore centralizzato classico resta reale: dopo lo scambio delle chiavi, i relay vedono solo testo cifrato, mai testo in chiaro — questo resta vero indipendentemente da quanti o quanto pochi siano. Ma "nessuno può leggere di nascosto" e "nessuno può spegnere tutto" sono due promesse diverse, e al momento manteniamo onestamente solo la prima per intero. Più gestori indipendenti è il piano, non lo stato attuale — ci stiamo lavorando.

I post locali raggiungono solo chi è connesso in quel momento

Una funzione che abbiamo costruito deliberatamente e di cui non siamo ancora del tutto soddisfatti: i post pensati per i dintorni immediati — un mercatino di quartiere, un annuncio spontaneo — raggiungono solo le persone effettivamente connesse in quel preciso momento. Non esiste un meccanismo di ricerca che li trovi più tardi, quando qualcuno apre l'app per la prima volta due ore dopo la pubblicazione. Per post che comunque invecchiano in fretta, è accettabile. Per tutto il resto, è una lacuna che conosciamo e non abbiamo ancora colmato.

Un orologio integrato che nessuno vede

Il nostro relay non conserva per sempre post e voci di rubrica — dopo sette giorni i post più vecchi spariscono, a meno che qualcuno non li abbia aggiornati nel frattempo. È una decisione deliberata: un server che accumula tutto all'infinito diventa esattamente il tesoro di dati che vogliamo evitare. Resta il fatto che è una decisione centrale che vale per tutti allo stesso modo, presa da noi, non da una regola che gli utenti potrebbero impostare da soli. Anche questo è meno "decentralizzato" di quanto sembri, se si prende sul serio la parola.

Cosa abbiamo deliberatamente lasciato così

Alcuni punti di questa lista non sono bug ma compromessi presi a occhi aperti. Nessuna ricerca full-text nella cronologia chat lato server — conseguenza diretta della stessa cifratura spiegata nell'articolo su StrongBox. Nessun backup che finisce automaticamente in qualche cloud — chi perde il dispositivo deve averlo configurato lui stesso in anticipo (ne parliamo nell'articolo sui telefoni persi). Sono compromessi in cui abbiamo deliberatamente scelto il lato meno comodo, perché il lato comodo è esattamente la superficie d'attacco che vogliamo evitare.

L'unico punto di cui non siamo ancora soddisfatti

Se dovessimo nominare onestamente un unico punto che ci disturba di più: il numero di gestori di relay indipendenti. Due server sotto un'unica mano sono un inizio, non un traguardo raggiunto. Non è un segreto che nascondiamo — è scritto nella nostra stessa documentazione tecnica, ed è per questo che vogliamo usare "decentralizzato" con più cautela in futuro, finché non gireranno più nodi indipendenti. Fino ad allora: meglio nominare onestamente due server che rivendicare una rete che non esiste ancora.