Porque a lista de exclusões não leva resumo criptográfico
Quem constrói o seu sítio abre-o vinte vezes por dia. Num contador com quarenta visitantes por mês, metade das estatísticas és tu. Por isso há uma opção: não contar visitas do meu próprio endereço.
Em todo o resto deste serviço os endereços passam por um resumo com um sal secreto e a data, e o endereço em si nunca chega ao armazenamento. Neste único ponto fica tal como o escreveste, às claras. É uma decisão deliberada e merece ser dita em voz alta em vez de deixada para ser descoberta.
A versão que se tentou primeiro
A primeira implementação guardava uma soma de verificação do endereço, coerente com todo o resto. Funcionava, guardava menos, e era quase inútil: a maior parte das ligações domésticas recebe um endereço novo todos os dias. A exclusão estava certa quando a punhas e não valia nada na manhã seguinte.
O que sobrevive a uma mudança diária é um intervalo — tipicamente o /24 ou o /16 do fornecedor, que se mantém igual enquanto a última parte roda. E um intervalo não se compara como soma de verificação. O resumo destrói a ordem de propósito, e «este endereço está dentro deste intervalo» é uma pergunta sobre ordem. Não há atalho engenhoso; os dois requisitos apontam em sentidos opostos.
O intervalo fica assim como foi introduzido, normalizado, ao lado dos seus dois limites de dezasseis bytes cada, e um único BETWEEN decide. IPv4 escreve-se na sua forma IPv6 para que ambas as famílias tenham a mesma largura e uma só comparação cubra as duas.
Porque esta troca é aceitável aqui
O que se guarda é a própria rede do operador, por ele escrita, a ele mostrada e por ele apagável a qualquer momento. Não é o endereço de um visitante. A política de privacidade diz o mesmo com as mesmas palavras, porque a alternativa — descrever o serviço como aplicando resumo a tudo e excetuar isto em silêncio — seria aquele tipo de afirmação verdadeira em traços gerais que vale menos do que afirmação nenhuma.
O limite são dez entradas por contador: chegam para casa, escritório e telemóvel, poucas para que a lista não possa tornar-se um depósito geral de endereços.
O segundo tipo, para o que se mexe
Parte do tráfego tem identidade estável e endereço instável: o teu próprio vigia de disponibilidade, o obtentor de pré-visualizações de um programa de conversa, um serviço de verificação. Nenhum intervalo os apanha.
Para esses a exclusão compara um pedaço da identificação do navegador. Escrever uptimerobot apanha a cadeia inteira que ele envia. O mínimo são quatro caracteres, porque um pedaço de duas letras apareceria em quase todas as identificações e desligaria o contador por completo.
O ponto geral
Um desenho de privacidade é um conjunto de trocas, e as partes interessantes são aquelas em que uma regra teve de vergar. Regras que nunca vergam significam normalmente que ninguém as pôs ainda diante de um requisito real.
O que há a evitar é vergar uma em silêncio. Um campo com resumo que na verdade não o tem, descrito na documentação como se tivesse, é pior do que um campo às claras descrito com clareza — gasta uma confiança que não ganhou, e acabará por ser encontrado por alguém que não contava ter de verificar.