Обновлено 20260906 · сверено с исходным кодом, а не написано по памяти

Beresta работает на вашем устройстве. Сервера у приложения нет — ни для данных, ни для учётных записей, ни для сбора отчётов. Всё, что уходит наружу, уходит туда, куда вы сами велели, и ниже перечислено поимённо.

Эта страница — не юридическая формальность. Она собрана сверкой с кодом: девять областей, 71 канал, каждый проверен отдельно. Где обещание нуждается в оговорке — оговорка написана, а не спрятана.

Чего нет вовсе

• Нет нашего сервера. Ни один запрос приложения не идёт на адрес проекта. Единственный зашитый внешний адрес — страница Apple для погашения промокода.
• Нет аналитики, телеметрии и сборщиков падений. Ни Sentry, ни Crashlytics, ни Firebase, ни счётчиков — ничего.
• Нет рекламы и слежки. Ни рекламных сетей, ни рекламного идентификатора, ни запроса на отслеживание.
• Нет учётной записи, входа и ключей активации. Регистрироваться негде и не у кого.
• Нет уведомлений. Токен устройства не запрашивается никогда.
• Нет проверки обновлений «домой». Приложение не сообщает о себе никуда.
• Книга не ходит в сеть, пока вы читаете. Читалке запрещено обращаться наружу правилом содержимого; картинки сохранённых статей заменяются на местные ещё при сохранении.
• Нет поиска метаданных в интернете. Ни одной строки: ни Open Library, ни Google Books.

Что уходит с устройства, даже если вы ничего не включали

Сетевых запросов на чей-либо узел без единой настройки не уходит ни одного. Но три вещи работают всегда, и о двух из них честно сказать неприятно.

1. Handoff — «что вы читаете прямо сейчас». Открыв книгу, приложение объявляет её вашим же соседним устройствам с той же учётной записью Apple: название книги и место, на котором вы остановились. Ни текста, ни выписок, ни автора там нет. Канал — Apple, эфиром или через iCloud.

Оговорка, которую нужно знать: «название книги» у файла без метаданных — это имя файла, а у сохранённой веб-статьи без заголовка — домен сайта. Выключателя внутри приложения пока нет — отключается только системным переключателем Handoff. Это наш недосмотр, он будет исправлен.

2. Приложение слушает App Store. При запуске оно подписывается на сделки вашей учётной записи, чтобы знать, оплачены ли обновления, и подтверждает магазину полученные. Apple при этом видит вашу учётную запись, устройство и страну — то же, что видит и без нас. Чек никуда не отправляется; о покупателе мы не узнаём ничего.

3. Приложение пишет в системный журнал устройства. Журнал остаётся на устройстве и сам его не покидает. Но пишется он открытым текстом, и в него попадают названия книг и статей, полные адреса страниц, сохранённых из браузера, пути с именем вашей учётной записи, места чтения. Наружу это выходит только вашим действием: отчётом диагностики или системной выгрузкой журнала.

Что уходит, когда вы включили это сами

Синхронизация через папку

Вы выбираете каталог — на диске, на флешке, в каталоге Syncthing или внутри iCloud Drive. Туда уезжает: журнал ваших правок пополе (названия и метаданные книг, выписки с вашими мыслями, закладки, отрезки чтения, подписки RSS), позиции чтения, целые файлы книг и обложки всей библиотеки, а также имя устройства так, как его показывает система, и отметки о том, когда вы этим устройством пользовались.

В папке всё лежит открытым текстом. Шифрования Бересты там нет: это ваш каталог, и защищает его то, чем вы его защитили. Любой, у кого есть доступ к этому каталогу — или к облаку, в котором он лежит, — увидит, что вы читаете, где остановились, что выписали и что об этом подумали.

Если каталог лежит в iCloud Drive — всё вышеперечисленное лежит у Apple.

Синхронизация через S3 / Backblaze B2 или WebDAV

То же содержимое, но зашифрованное ключом, который есть только у вас (ChaCha20-Poly1305). Оператор хранилища видит зашифрованные объекты, их размеры и время обращений — и не видит содержимого. Ключ мы не знаем и восстановить не можем: потеряете код восстановления — данные в этом хранилище не прочитает никто, включая нас.

Подписки на ленты

Приложение само ходит за лентой, за страницей статьи и за её картинками. Владелец каждого из этих узлов видит обращение с вашего адреса — то же, что при обычном открытии страницы в браузере. Куки не отправляются.

Вырезки из браузера, каталог OPDS

Расширение браузера общается только с вашим же компьютером (127.0.0.1) и никуда больше. Каталог OPDS, если вы его включили, отдаёт вашу библиотеку в ту сеть, в которой машина находится сейчас, — по паролю. Выписки через него не отдаются.

Выгрузка в Obsidian

Снимок выписок ложится в папку вашего хранилища. Дальше он живёт по правилам того, чем вы синхронизируете хранилище — iCloud, Obsidian Sync, Dropbox, Syncthing, git.

Что уходит по одному вашему нажатию

• «Поделиться» (iPhone/iPad) — файл книги целиком либо файл с выписками. В выписках есть цитаты, ваши мысли и ссылка с точным местом и отпечатком файла.
• Отчёт диагностики — показывается вам целиком до отправки; отправляете его вы. Точки приёма у нас нет. В нём есть личное — см. страницу поддержки.
• Копирование в буфер обмена. Буфер на Маке читает любая программа, а при включённом Универсальном буфере он уезжает на другие ваши устройства. Помните об этом, копируя код восстановления: это и есть ключ от вашего шифрованного хранилища.
• «Открыть первоисточник» и ссылки внутри PDF — адрес открывается вашим браузером, со всеми вашими куками и всеми рекламными метками, которые были в сохранённом адресе.
• Покупка и «Восстановить покупки» — обычный разговор с App Store.

Кто и что узнаёт — поимённо

Кто	Что узнаёт	Когда
Apple	учётную запись, устройство, страну; при Handoff — что вы читаете; при папке в iCloud Drive — всё содержимое обмена	всегда / если папка в iCloud
Backblaze, оператор S3 или WebDAV	зашифрованные объекты, их размеры и время обращений	если вы его подключили
Узлы лент, страниц и картинок	обращение с вашего адреса	если заведена подписка
Сайт первоисточника	переход из вашего браузера, с вашими куками	по нажатию «Открыть первоисточник»
Всякий с доступом к папке обмена	всё содержимое обмена — оно там незашифровано	если папка общая
Мы	ничего	—

Про этот сайт

Сайт — не приложение, и здесь обещание «без моего сервера» не действует.

• Форма списка ожидания отправляет ваш адрес и, если вы его указали, имя на мой сервер рассылки (Listmonk, Hetzner, Германия); письма доставляет Resend. Отписаться можно ссылкой в любом письме.
• Шрифты грузятся у Google (fonts.googleapis.com и fonts.gstatic.com) при каждом открытии страницы — значит Google видит ваш адрес и браузер ещё до того, как вы что-либо нажали. Это будет исправлено размещением шрифтов у себя.
• На страницах сайта стоит Яндекс.Метрика (счётчик 112548209): она считает визиты, источники переходов и два события — долистали ли вы до формы списка ожидания и отправили ли её. Записи сессий (Вебвизор) выключены, содержимое полей не записывается, рекламных кук нет. Любой блокировщик её отключает, и страница работает без неё полностью.

Ваши права и как ими воспользоваться

Ваши данные лежат у вас. Забрать их можно без нас: формат базы задокументирован открыто и лежит под CC0, выписки выгружаются в открытые JSON-LD и Markdown, книги хранятся байт в байт такими, какими вы их положили. Удалить — удалить файлы; никакой копии у нас нет и запрашивать удаление не у кого.

Если вы подписались на список ожидания и хотите, чтобы адрес исчез, — напишите, и он исчезнет.

Как узнать об изменениях

Дата вверху страницы — дата последней сверки с кодом. Существенные изменения я буду называть здесь же, а не менять текст молча. Что меняется в самой программе — на странице «Что нового».

Кто отвечает

ИП Second Brain Production, Казахстан, Караганда. Вопросы и просьбы: laukhin@dementiy.com.