Навіщо існує Privacy Ratings

Посібники з конфіденційності допомагають мільйонам людей обирати кращі застосунки та сервіси. Багато з них роблять чудову роботу. Але більшість мають ті самі слабкі місця:

• Нечіткі правила. Сервіс додають до списку або ні, а причина — тема на форумі, приватне обговорення чи взагалі не опублікована.
• Лише «так» або «ні». Список або каже «рекомендовано», або нічого не каже. Він не показує, наскільки близько щось підійшло і що змінило б результат.
• Заяви без перевірки. В описах написано «зашифровано» чи «без журналів» без посилання на щось, що читач може перевірити.
• Без тестування. Сервіси на серверах постачальника рідко перевіряють на базову безпеку, як-от налаштування TLS, заголовки безпеки чи автентифікацію пошти.
• Окремі платформи. Пропозиції та дискусії відбуваються на форумі чи чат-сервері, що потребує окремого облікового запису й модерації, окремо від самого вмісту.
• Повільні зміни. Коли продукт змінюється, списки часто залишаються застарілими, бо їх оновлення залежить від кількох людей.

Privacy Ratings створено, щоб виправити кожну з цих проблем.

Від awesome-списків до ресурсу, що підтримується

Багато таких посібників починалися як списки на GitHub. Формат «awesome»-списків, започаткований Sindre Sorhus, дав змогу будь-кому легко опублікувати добірку, і з’явилися тисячі списків awesome-щось, багато з яких — форки один одного. Списки на кшталт Awesome Privacy роблять цінну роботу, і багато записів тут уперше з’явилися саме там.

Формат має слабке місце: більшість списків залежать від одного-двох волонтерів. Коли супровідник іде, список затихає, архівується або розпадається на форки, кожен з яких поступово застаріває. Читачі не можуть зрозуміти, яка копія актуальна, і нічого в списку не тестується й не оцінюється.

Privacy Ratings підтримує та веде компанія — Forward Email. Проєкт не залежить від волонтерів, які можуть піти або заархівувати репозиторій. Дані структуровані, а не зібрані в одному README, тож їх можна щодня автоматично перевіряти, оцінювати й тестувати. А оскільки все має відкритий код і ліцензію CC BY-SA, спільнота завжди може скопіювати, перевірити й покращити їх.

Що інакше

Кожне правило публічне. Кожна категорія має короткий список запитань із вагою від 1 до 3. Запитання, значення кожної відповіді та спосіб її перевірки зберігаються в теці criteria/. Див. критерії.

Кожна відповідь має докази. Відповідь «так» або «частково» повинна посилатися на джерело, яке може перевірити будь-хто: документацію, вихідний код, файл ліцензії чи звіт аудиту. Усе без доказів вважається «невідомо» й отримує нуль балів. Запис отримує літерну оцінку, лише коли достатньо його відповідей підкріплено доказами.

Бали, а не лише списки. Кожен запис отримує бал від 0 до 100, тож читачі бачать, як сервіси порівнюються і де саме кожен із них недотягує.

Автоматичні тести безпеки. Сервіси на серверах постачальника регулярно тестуються за допомогою Qualys SSL Labs, Mozilla HTTP Observatory та Internet.nl (зокрема тестом пошти Internet.nl для поштових сервісів). Результати зберігаються в репозиторії, і на них є посилання з кожної сторінки. Див. SCANS.md.

Юрисдикція відкрито. Кожна сторінка показує, де розташована компанія, чи входить її країна до Five, Nine чи Fourteen Eyes, чи діє GDPR і чи поширюється на неї американський CLOUD Act. Юрисдикцію показано, але не оцінено, бо те, що постачальник може передати, залежить переважно від того, що він зберігає і в кого ключі. Див. юрисдикції і CLOUD Act.

Усе відбувається на GitHub. Пропозиції та виправлення — це issues на GitHub. Зміни — це pull request. Дискусії відбуваються в GitHub Discussions. Немає окремого форуму, чат-сервера чи системи облікових записів. Кожна зміна кожного рейтингу має публічну історію.

Відкриті дані. Рейтинги — це прості файли Markdown і YAML, а повний набір даних публікується в JSON. Вміст поширюється за ліцензією CC BY-SA 4.0, тож будь-хто може використовувати його повторно.

Наш вибір позначено як вибір. Супровідники обирають один або два варіанти для кожної категорії й пояснюють кожен. Вибір показується окремо й ніколи не змінює балів, тож читач завжди може відрізнити редакційне судження від виміряних результатів.

Хто це підтримує

Privacy Ratings підтримує, фінансує та супроводжує Forward Email — поштовий сервіс, орієнтований на конфіденційність, який також оцінено тут. Це забезпечує довгострокову підтримку проєкту, але водночас є конфліктом інтересів, тому він розв’язується відкрито:

• Forward Email оцінюється за тими самими критеріями, що й кожен інший поштовий сервіс.
• Його запис містить розкриття інформації, як і будь-який запис з іншим зв’язком із супровідниками.
• Зміни, що підвищують бал пов’язаного запису, мають містити посилання на докази й залишатися відкритими для публічної перевірки до злиття. Див. GOVERNANCE.md.
• Немає партнерських посилань, платних розміщень чи спонсорства. Перевірка відхиляє посилання з реферальними параметрами.

Якщо рейтинг здається помилковим, створіть issue або pull request із доказами. Ось і весь процес.

Подяки

Багато записів уперше взято з Awesome Privacy, опублікованого під CC0. Дані про хостинг поштових серверів походять з Awesome Mail Server Providers.