Прозрачность и доверие

No-logs — проверяемый

• Не логируем IP клиентов и не храним журналы трафика. Пер-юзер метрик нет — только агрегатный объём на ноде (для QoS).
• DNS-резолвер на нодах работает без логов.
• Аккаунт — это только номер (≥60 бит энтропии). Email не обязателен, имя не запрашиваем.
• Политику «нет PII в логах» стережёт автоматический гейт в CI плюс фильтр-скраб на всех логгерах приложения.

RAM-only серверы

• На диске ноды нет данных пользователей, ключей клиентов и журналов трафика. Приватные ключи генерируются в браузере — на сервер уходит только публичный.
• No-swap, журналы systemd — в RAM, DNS без логов, шифрование диска.
• Единственное, что нода хранит на диске, — её собственная WireGuard-идентичность (ключ сервера), чтобы пережить перезагрузку без обрыва клиентов. Это не данные пользователей.

Warrant canary

Действующая декларация. На дату последней подписи оператор заявляет, что:

• НЕ получал national security letters, gag orders или секретных судебных предписаний;
• НЕ получал требований установить оборудование для перехвата или логирования;
• НЕ передавал ключи и не менял код кабинета/агента под давлением;
• сохраняет контроль над инфраструктурой; ноды остаются RAM-only.

Свежесть: документ обновляется и подписывается PGP-ключом оператора каждые 14 дней, со ссылкой на свежий заголовок блока Bitcoin (доказательство даты). Отсутствие своевременного обновления или удаление любого пункта следует трактовать как сигнал. Подписанную версию с proof-of-freshness публикуем на сайте, в .onion и в репозитории.

Внешний аудит

Пока не проведён — честно. Независимый аудит кода и инфраструктуры на дорожной карте; аудитора и дату объявим здесь же.

Открытый код

Код кабинета, генератора конфигов, агента и провижининга мы планируем открыть — это часть стратегии доверия. Браузерный генератор ключей публикуется первым. Пока код не опубликован, мы не выдаём это за свершившийся факт.