Herkos

Kebijakan privasi Herkos

Terakhir diperbarui: 11 November 2026. URL kanonis: https://herkos.app/privacy

Terjemahan. Terjemahan ini disediakan sebagai bentuk kemudahan. Jika terdapat perbedaan, versi bahasa Inggris yang berlaku.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive, dan Herkos Local Relay adalah aplikasi gratis dan sumber terbuka untuk jaringan Nostr, yang diterbitkan oleh proyek Herkos (“kami”). Herkos Calendar, Herkos Notes, Herkos Drive, dan Herkos Local Relay masih dalam pengembangan. Dokumen ini menjelaskan data apa yang ditangani aplikasi dan situs web kami, ke mana data itu pergi, dan siapa yang dapat melihatnya. Kami menulisnya untuk dibaca, bukan sekadar dibaca sekilas: jika ada sesuatu di sini yang mengejutkan Anda, beri tahu kami di privacy@herkos.email.

Informasi dasar tentang pelindungan data

Lapisan pertama, dalam beberapa baris; sisa dokumen ini adalah lapisan kedua.

Versi singkat

Data yang tetap berada di perangkat Anda

Di browser, penyimpanan aman seperti itu tidak ada. Kunci berada di penyimpanan lokal situs dan diproses lewat JavaScript setiap kali sesuatu ditandatangani, sehingga ekstensi browser yang memiliki akses ke semua halaman, bug XSS, atau deployment yang telah dimanipulasi dapat membacanya; dan tidak seperti aplikasi yang terinstal, halaman web menyajikan kode baru pada setiap kunjungan. Dengan versi web, gunakan penanda tangan jarak jauh, atau identitas yang tidak apa-apa jika hilang. - Kotak surat Anda: email yang telah didekripsi, lampiran, label, folder, dan kontak disimpan dalam cache di basis data lokal agar aplikasi dapat berfungsi secara offline. Basis data ini tidak dienkripsi melebihi apa yang disediakan sistem operasi; kunci aplikasi (PIN/biometrik) adalah penghalang praktis, bukan enkripsi data tersimpan. Di Android, aplikasi dikecualikan dari cadangan cloud dan cadangan antarperangkat. - PIN kunci aplikasi: disimpan sebagai hash yang diberi salt dan diperkuat (PBKDF2), tidak pernah dalam bentuk teks biasa. Herkos Calendar dan Herkos Notes masing-masing memiliki PIN sendiri, yang disimpan dengan cara yang sama. - Kalender Anda (Herkos Calendar): acara, daftar, kunci tampilan, dan pengingat yang dapat Anda baca disimpan dalam cache di perangkat, dienkripsi per catatan dengan kunci yang disimpan di penyimpanan aman sistem operasi. Di browser, kalender hanya disimpan di memori dan diambil lagi dari relay setiap kali. Pengingat dibunyikan oleh perangkat itu sendiri: Calendar tidak menggunakan server push. Jika Anda memilih untuk menyembunyikan judul dalam pengingat, pengingat hanya menampilkan “Acara” dan waktu mulainya. Kunci Calendar Anda disimpan terpisah dari kunci Herkos Mail (lihat “Akun Anda”, di bagian Calendar). - Catatan Anda (Herkos Notes): catatan, riwayatnya, buku catatan, dan indeks pencarian disimpan dalam cache di perangkat, dienkripsi per entri dengan kunci yang disimpan di penyimpanan aman sistem operasi. Di browser, semuanya disimpan dengan cara yang sama, di penyimpanan browser untuk situs ini (IndexedDB), dengan kuncinya juga di browser: di komputer yang dipakai orang lain, ini kurang melindungi. Jika browser tidak menyimpan apa pun untuk situs ini (jendela pribadi, data situs diblokir), semuanya hanya disimpan di memori dan tanpa koneksi tidak ada yang bisa ditulis. Catatan yang Anda kunci mendapat kata sandinya sendiri; tanpa kata sandi itu tidak ada yang dapat membuka catatan tersebut, termasuk kami. Salinan catatan Anda adalah file yang hanya ditulis di tempat Anda menyimpannya, dienkripsi dengan kata sandinya sendiri. Salinan otomatis, yang dibuat setiap hari kecuali Anda mematikannya, adalah file di sebuah folder di perangkat (Herkos Notes/backups di Dokumen Anda), dienkripsi dengan kunci akun Anda; tujuh yang terakhir disimpan, dan salinan itu tidak dikirim ke mana pun (di browser tidak ada). Catatan yang dibagikan akun lain kepada Anda menunggu di “Diterima dari orang lain”, di perangkat dan terenkripsi seperti yang lain, sampai Anda menyimpan atau membuangnya. - File Anda (Herkos Drive): daftar file dan folder Anda, beserta kuncinya, disimpan dalam cache di perangkat, dienkripsi per entri dengan kunci yang disimpan di penyimpanan aman sistem operasi; apa yang masih harus dikirim, dan blok yang menunggu diunggah, juga disimpan terenkripsi. Gambar mini hanya disimpan di memori. File yang Anda unduh atau buka ditulis tanpa enkripsi di tempat yang Anda pilih, seperti file lainnya. Cadangan Drive Anda (.hbk, atau cadangan indeks dengan kata sandinya sendiri) adalah file yang hanya ditulis di tempat Anda menyimpannya. Di Android, pemilih file sistem dan “Bagikan” menampilkan file Drive hanya selama Drive tidak terkunci, dan apa yang diterima aplikasi dari sana didekripsi saat itu juga, tidak pernah ditulis ke disk. - Relay Anda (Herkos Local Relay): event-nya, aplikasi yang dipasangkan, setelannya, dan ke mana salinannya pergi; lihat bagiannya sendiri di bawah.

Anda dapat menghapus semuanya dari Setelan → Lainnya → Reset aplikasi, atau dengan menghapus akun.

Data yang meninggalkan perangkat Anda, dan kepada siapa

Tabel ini untuk Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive, dan Herkos Local Relay memiliki bagiannya masing-masing di bawah.

Penerima Apa yang dapat mereka lihat Kapan
Relay Nostr (daftar default di Setelan → Jaringan & server, dapat diubah) Alamat IP Anda, kunci publik Anda, event yang Anda terbitkan (profil, daftar relay, daftar server Blossom, label NIP-32, setelan terenkripsi) dan “gift wrap” terenkripsi yang ditujukan kepada Anda, beserta waktunya. Relay tidak dapat membaca isi gift wrap. Relay yang meminta autentikasi NIP-42 mengetahui kunci publik Anda bahkan ketika Anda hanya membaca. Selalu, selama aplikasi melakukan sinkronisasi; dan di Android juga saat aplikasi ditutup, kira-kira setiap 15 menit, ketika pemeriksaan latar belakang menggantikan server push.
Server Blossom (dapat diubah) Alamat IP dan kunci publik Anda, serta blob terenkripsi dari email yang lebih besar dari 32 KB beserta lampirannya. Kunci untuk mendekripsi blob hanya dikirim di dalam pesan terenkripsi. Saat Anda mengirim atau membuka email berukuran besar.
Jembatan (uid.ovh secara default, dapat diubah) Seluruh isi email apa pun yang Anda kirim ke, atau terima dari, alamat email tradisional (Gmail, Outlook…), dan alias name@bridge yang Anda daftarkan. Jembatan adalah operator independen dengan ketentuan privasinya sendiri; Herkos tidak menjalankannya. Saat Anda menggunakan identitas @bridge atau menulis ke alamat non-Nostr.
Server NIP-05 (domain dari alamat yang Anda ketik) Bahwa seseorang menanyakan apakah name@domain adalah pengguna Nostr. Saat Anda menambahkan penerima user@domain.
Server push (secara default tidak ada; di Setelan → Notifikasi Anda dapat memilih api.nmail.li, yang hanya memberi tahu tentang email yang sampai ke relay relay.nmail.li sehingga ditawarkan bersama relay itu, keduanya dioperasikan oleh proyek hulu Nostr Mail, atau server lain) Kunci publik Anda, token push perangkat (endpoint UnifiedPush), bahasa notifikasi Anda, dan — karena server ini memantau relay atas nama Anda — kapan Anda menerima email (bukan apa isinya). Hanya jika Anda memilih server push dan mengaktifkan notifikasi untuk suatu akun; tanpa server, Herkos memeriksa relay Anda sendiri. Menonaktifkannya, atau mengganti server, akan meminta server lama menghapus langganan tersebut.
DVM penjadwal (layanan Nostr yang dijalankan oleh pihak ketiga, lihat NostrConfig.schedulerDvm) Kunci publik Anda, pesan yang sudah terenkripsi untuk diterbitkan, relay tujuannya, dan waktu yang dijadwalkan. Hanya jika Anda menggunakan “kirim nanti”.
Penanda tangan jarak jauh / relay untuk NIP-46 (relay.nsec.app dan cadangannya) Kunci publik Anda dan permintaan tanda tangan terenkripsi. Hanya jika Anda masuk dengan bunker atau aplikasi penanda tangan.
Server gambar (server mana pun yang ditunjuk oleh profil atau email) Alamat IP Anda dan waktu saat gambar diambil. Foto profil diunduh dari alamat yang ditulis pemiliknya di profilnya hanya jika Anda mengaktifkan Muat foto profil (foto akun Anda sendiri selalu dimuat); siapa pun yang menjalankan server itu kemudian dapat mengetahui kapan Anda melihat pesan atau kontaknya. Gambar di dalam email diblokir secara default; begitu Anda memuatnya (Muat gambar, atau setelan Selalu muat gambar), server-servernya, sering kali milik pengirim, mengetahui bahwa Anda membuka email itu dan kapan. Gambar latar yang Anda tambahkan lewat alamatnya diunduh dari server tersebut. Foto profil: hanya jika Anda mengaktifkannya (milik Anda, selalu). Gambar email: hanya jika Anda memuatnya.

Relay pribadi Anda. Jika akun Anda memiliki daftar relay pribadi (kind 10013, NIP-37; Herkos Notes dan Calendar memakai daftar yang sama), Mail menyimpan draf, setelan terenkripsi, label, dan kiriman terjadwal Anda di relay daftar itu, bukan di relay tulis Anda; apa yang dulu ditinggalkannya di sana tetap dibacanya, dan juga dihapusnya di sana. Tanpa daftar itu, semuanya masuk ke relay tulis Anda. Mail hanya menerbitkan daftar itu jika Anda memintanya (Setelan → Hosting → Relay pribadi), terenkripsi dengan kunci Anda: relay melihat kunci publik Anda, bahwa daftar itu ada, dan kapan berubah, bukan relay yang ada di dalamnya. Daftar yang ditulis aplikasi lain dipakai apa adanya dan tidak pernah ditimpa.

Penerusan otomatis (Setelan → Penerusan otomatis, mati sampai Anda menyalakannya). Salinan setiap pesan baru dikirim ke satu alamat yang Anda pilih: ke akun Nostr, terenkripsi ujung ke ujung seperti pesan lainnya; ke alamat email biasa, melalui jembatan alamat utama akun Anda, yang melihatnya secara utuh (lihat Jembatan di atas). Perangkat inilah yang melakukannya, selama Mail berjalan atau pada sinkronisasi berikutnya; setelannya tetap di perangkat dan tidak pernah diterbitkan.

Aplikasi penanda tangan di ponsel Android Anda (NIP-55, seperti Amber). Kunci tetap berada di aplikasi itu, dan Mail berbicara langsung dengannya di ponsel, tanpa relay atau jaringan di antaranya; perangkat hanya menyimpan kunci publik Anda dan aplikasi mana yang menandatangani. Mail hanya memintanya menandatangani kind yang ditandatangani Mail dengan akun Anda serta mengenkripsi dan mendekripsi (NIP-44), tidak pernah amplop pesan, yang memakai kunci sekali pakai, dan memeriksa setiap event bertanda tangan yang kembali sebelum memakainya.

Herkos Local Relay. Jika Herkos Local Relay ada di perangkat yang sama, Mail menawarkan sekali untuk terhubung dengannya; tidak ada yang dikirim sampai Anda mengetuk Hubungkan dan menyetujui Mail di Herkos Local Relay. Mail berpasangan dengannya memakai kunci miliknya sendiri dan memeriksa pada setiap koneksi bahwa itu relay yang sama. Mail menandatangani sekali dengan kunci Anda, agar relay menyimpan event Anda sebagai milik Anda; lalu ia menyalin ke sana email yang disimpan perangkat ini dan, sejak itu, setiap event akun Anda yang dikirim Mail dan setiap amplop yang diterimanya, persis seperti saat ditandatangani dan tetap terenkripsi, serta meminta relay menyimpannya di perangkat dan memberikan yang pribadi hanya kepada kunci Anda. Amplop yang Anda kirim ke orang lain tidak disalin. Mail tidak pernah membaca darinya: itu hanya salinan. Untuk ini tidak ada yang keluar dari perangkat.

Herkos sendiri tidak menerima satu pun dari data ini. Tidak ada laporan crash atau telemetri.

Herkos Calendar: apa yang dilihat relay

Calendar berkomunikasi dengan relay Nostr: relay akun Anda (daftar NIP-65 dan daftar kotak masuk Anda), relay di Setelan → Relay (dapat diubah) dan, saat Anda mengundang seseorang atau menjawab undangan, relay kotak masuk orang tersebut. Tidak dengan siapa pun lagi, kecuali yang Anda cari sendiri (di bawah): juga tidak dengan indeks relay publik. “Akun Anda”, di bawah, menjelaskan untuk apa masing-masing relay itu. Tidak ada server Herkos, tidak ada server push, dan tidak ada telemetri. Setiap relay melihat alamat IP Anda dan waktu setiap koneksi.

Apa Apa yang dapat dilihat relay yang menyimpannya Apa yang tidak dapat mereka lihat
Acara pribadi (kind 32678) Kunci publik Anda, bahwa itu adalah acara kalender (kind-nya), pengenal acak, kapan Anda membuat atau terakhir mengubahnya, dan kira-kira seberapa besar ukurannya. Acara ini hanya disimpan di relay Anda, tempat tamu Anda mencarinya; tidak pernah di relay mereka. Judul, tanggal dan waktu, zona waktu, pengulangan, tempat, deskripsi, tamu, pengingat.
Daftar kalender Anda (kind 32123) dan setelan pengingat (kind 30078, d=calendar-alarms) Kunci publik Anda, bahwa semua itu ada, dan kapan berubah. Acara apa saja yang dimuatnya, namanya, kunci tampilan, pengingat Anda.
Undangan (sebuah gift wrap, kind 1059) Kunci publik tamu, dan tag k=1052 yang menyatakan bahwa amplop berisi undangan kalender (dengan cara itulah aplikasi kalender, termasuk milik Formstr, menemukan undangan tanpa membuka email Anda). Undangan hanya dikirim ke relay kotak masuk milik tamu itu sendiri, dengan kunci sekali pakai, dengan stempel waktu acaknya sendiri, dan undangan untuk acara yang sama berangkat dalam urutan acak, masing-masing 5 sampai 90 detik setelah undangan sebelumnya (yang pertama, setelah acara itu sendiri). Amplop juga membawa tanggal kedaluwarsa, dipilih secara acak antara 60 dan 90 hari setelah dikirim, agar relay dapat membuangnya: tanggal ini tidak mengatakan apa pun tentang kapan acaranya. Siapa pengirimnya, acara yang mana, dan tamu lain siapa saja yang diundang.
Jawaban pribadi atas undangan (gift wrap, kind 1059, tag k=1925) Kunci publik penerimanya (penyelenggara, atau Anda sendiri dalam salinan Anda) dan bahwa amplop berisi jawaban kalender. Jawaban hanya dikirim ke relay kotak masuk penerima, dengan kunci sekali pakai, tanggal acak, dan tanggal kedaluwarsa, seperti undangan. Siapa yang menjawab, untuk acara apa, dan apa jawabannya.
Menghapus (kind 5) Kunci publik Anda dan pengenal dari apa yang Anda hapus. —

Relay yang meminta autentikasi NIP-42 mengetahui kunci publik Anda; Calendar hanya menanggapi permintaan semacam itu untuk acara Anda sendiri di relay Anda sendiri, dan untuk membaca kotak masuk Anda sendiri. Menghapus di Nostr adalah sebuah permintaan: relay dapat tetap menyimpan salinannya, yang masih terenkripsi.

Yang tidak dapat disembunyikan oleh apa pun di dalam acara: setiap undangan berangkat dari alamat IP Anda, dan setiap tamu mengambil acara dari relay Anda dari alamat IP mereka sendiri. Relay yang menyimpan kotak masuk beberapa tamu Anda dapat mengetahui bahwa undangan mereka datang dari alamat yang sama. Hanya Tor atau VPN yang dapat menyembunyikannya.

Akun Anda

Calendar tidak membuat akun: Anda masuk dengan identitas Nostr yang sudah Anda miliki, dengan salah satu cara berikut.

Relay Anda. Saat masuk, Calendar mencari daftar Anda (NIP-65, kind 10002, dan daftar kotak masuk Anda, kind 10050) di relay pada Setelan → Relay, melalui koneksi terpisah yang tidak mengidentifikasi Anda: relay yang meminta autentikasi mendapat kunci sekali pakai, bukan kunci Anda. Sejak saat itu:

Relay tamu Anda (diputuskan pada 21 Oktober 2026). Untuk mengundang seseorang, aplikasi perlu tahu di mana orang itu menerima undangan. Calendar mencari daftar mereka (10002 dan 10050) hanya di relay pada Setelan → Relay, tidak pernah di indeks publik milik pihak ketiga (seperti purplepag.es): layanan itu akan melihat alamat asal pertanyaan Anda dan siapa yang Anda tanyakan, yaitu siapa yang Anda undang. Setiap tamu dicari secara terpisah, dalam urutan acak, melalui koneksinya sendiri dengan kunci sekali pakai, sehingga relay tersebut tidak dapat mengetahui siapa diundang bersama siapa. Yang mereka lihat adalah alamat IP Anda dan kunci publik setiap orang yang Anda cari. Jika daftar seseorang tidak ada di relay tersebut, aplikasi menandainya sebagai “tidak ada kotak masuk yang diketahui” sebelum mengirim, dan undangan tidak sampai kepadanya. Untuk menemukannya, tambahkan relay tempat orang itu menerbitkan daftarnya ke Setelan → Relay.

Apa yang disinkronkan antarperangkat Anda, selalu terenkripsi untuk Anda dan di relay tulis Anda: daftar kalender Anda (beserta kunci acaranya), setelan pengingat (d=calendar-alarms), kalender yang Anda ikuti (d=calendar-subscriptions), serta undangan yang Anda abaikan atau acara orang lain yang Anda keluarkan dari kalender Anda (kind 30078, d=calendar-declined: hanya acara yang mana dan kapan, tidak pernah judulnya). Relay melihat bahwa semua itu ada dan kapan berubah, bukan apa isinya. Pengingat yang dibunyikan perangkat adalah pengingat dari akun yang sedang Anda gunakan, tidak pernah dari akun sebelumnya.

Salinan kunci Anda. Calendar menawarkan untuk menyimpan salinan: file berisi daftar kalender Anda dan kunci acaranya, dienkripsi dengan kata sandi yang Anda pilih untuknya (dengan cipher NIP-49). File itu hanya ditulis di tempat Anda menyimpannya; tidak dikirim ke relay atau server mana pun. Namanya memuat tanggal, tidak pernah akun. Untuk pengingat, perangkat hanya mengingat dua tanggal: salinan terakhir dan “Nanti saja” terakhir.

Keluar pertama-tama menunjukkan apa yang akan hilang dan menawarkan untuk menyimpan salinan. Lalu menghapus dari perangkat ini kunci Anda (atau koneksi bunker) dan kalender yang tersimpan. Apa yang sudah diterbitkan tetap ada di relay, terenkripsi. Izin yang Anda berikan di aplikasi penanda tangan dicabut di aplikasi itu.

Publik atas pilihan Anda

Fitur-fitur ini nonaktif sampai Anda mengaktifkannya, dan aplikasi menunjukkan apa yang diungkap masing-masing sebelum Anda melakukannya:

Herkos Calendar membaca balasan publik untuk acara publik Anda yang ditulis oleh aplikasi lain (RSVP, kind 31925, dan penarikan diri, kind 84); aplikasi ini tidak menulis keduanya.

Yang Anda cari sendiri

Koneksi ini hanya terjadi saat Anda memintanya:

Herkos Notes: apa yang dilihat relay

Notes berkomunikasi dengan relay Nostr, dan tidak dengan siapa pun lagi. Tidak ada server Herkos, tidak ada server push, dan tidak ada telemetri. Setiap relay melihat alamat IP Anda dan waktu setiap koneksi.

Relay yang mana. Jika akun Anda memiliki daftar relay pribadi (kind 10013, daftar yang dijelaskan NIP-37), Notes menggunakan relay di dalamnya apa adanya, dan tidak pernah menimpanya; Notes mencari daftar itu di relay yang ada di Setelannya dan di relay tempat Anda menerbitkan (daftar NIP-65 Anda). Jika tidak, Notes menggunakan relay di Setelannya: relay.formstr.app, nos.lol, dan relay.primal.net secara default, paling banyak delapan, semuanya dapat diubah. Setelan juga menawarkan daftar relay yang dikenal untuk ditambahkan dengan satu ketukan; tidak satu pun dihubungi kecuali Anda menambahkannya. Relay boleh memakai ws://, koneksi tanpa enkripsi, hanya jika relay itu ada di perangkat atau di jaringan rumah (localhost, alamat pribadi, nama .local): catatan tetap dikirim terenkripsi, tetapi siapa pun di jaringan itu dapat melihat apa yang dilihat relay (tabel di bawah). Notes tidak menerbitkan daftar relay miliknya sendiri, kecuali Anda memintanya (Relay → Simpan sebagai daftar relay pribadi saya). Dalam hal itu, Notes menerbitkan relay ini sebagai 10013 Anda, dienkripsi dengan kunci Anda, ke relay yang sama tempat Notes mencari daftar, dan terus memperbaruinya sesuai perubahan yang Anda buat di Notes: relay melihat kunci publik Anda, bahwa daftar itu ada, dan kapan daftar itu berubah, bukan relay di dalamnya. Daftar yang ditulis aplikasi lain tidak pernah ditimpa: Notes menggunakannya apa adanya. Jika salah satu relay ini berjalan di perangkat ini (alamat ws://127.0.0.1 atau ws://localhost, seperti aplikasi Citrine), Notes juga meninggalkan di sana salinan catatan, buku catatan, dan penghapusan Anda, persis seperti saat ditandatangani dan masih terenkripsi. Tidak ada yang keluar dari perangkat untuk itu; Notes tidak pernah membaca dari relay itu, dan catatan yang hanya dimiliki relay itu tidak dihitung sebagai terunggah. Aplikasi lain di perangkat yang membaca relay itu melihat apa yang dilihat relay mana pun.

Herkos Local Relay. Jika Herkos Local Relay ada di perangkat yang sama, Notes menawarkan sekali untuk terhubung dengannya; tidak ada yang dikirim sampai Anda mengetuk Hubungkan dan menyetujui Notes di Herkos Local Relay. Notes berpasangan dengannya memakai kunci miliknya sendiri, yang dibuat untuk pasangan itu, dan pada setiap koneksi memeriksa bahwa itu relay yang sama, jadi program lain yang mendengarkan di port-nya tidak menerima apa pun. Sejak itu Notes menyalin ke sana catatan, titik pemeriksaan, buku catatan, penghapusan, daftar relay pribadi Anda, dan segel catatan yang Anda bagikan, persis seperti saat ditandatangani dan tetap terenkripsi, dan memintanya menyimpan semuanya sebagai pribadi kecuali penghapusan: relay hanya memberikannya kepada kunci Anda dan tidak meneruskannya kepada siapa pun. Agar relay menyimpannya sebagai milik Anda, Notes menandatangani sekali dengan kunci Anda saat terhubung. Untuk ini tidak ada yang keluar dari perangkat. Notes tidak pernah membaca darinya: itu salinan, dan catatan yang hanya ada di sana tidak dihitung sebagai terunggah. Jika relay itu berhenti menjawab, Notes melanjutkan dengan relay Anda yang lain dan nanti hanya mengirim apa yang terlewat. Anda bisa memutuskannya di Setelan Notes, atau mencabut Notes di Herkos Local Relay.

Apa Apa yang dapat dilihat relay yang menyimpannya Apa yang tidak dapat mereka lihat
Catatan (kind 31234, NIP-37) Kunci publik Anda; pengenal acak (d), yang dibuat dari angka acak dan tidak pernah dari judul; tag k=30023, yang sama di setiap catatan, sehingga tidak mengatakan apa pun tentang apa yang Anda tulis; kapan Anda terakhir mengubahnya; dan kira-kira seberapa besar ukurannya. Judul, teks, tag, buku catatan, apakah catatan itu disematkan, favorit, atau ada di tempat sampah, dan kapan Anda membuatnya.
Titik simpan (kind 1234), riwayat catatan Kunci publik Anda, catatan mana yang memilikinya (tag a-nya menunjuk ke pengenal catatan), dan kapan titik simpan itu dibuat. Apa isi catatan itu saat itu.
Buku catatan Anda (kind 30078) Kunci publik Anda, bahwa daftarnya ada, dan kapan daftar itu berubah. Pengenalnya diturunkan dari kunci publik Anda, sehingga sama di semua perangkat Anda. Nama buku catatan Anda, berapa jumlahnya, dan catatan mana saja yang ada di masing-masing.
Menghapus (kind 5) Kunci publik Anda dan pengenal dari apa yang Anda hapus: catatan dan titik simpannya. —
Catatan yang Anda bagikan (kind 1059, gift wrap NIP-59) Kunci publik akun yang dituju (p); tag k=30023; tanggal yang dimundurkan secara acak hingga dua hari; dan kira-kira seberapa besar ukurannya. Gift wrap ini ditandatangani dengan kunci sekali pakai yang dibuat khusus untuknya, bukan dengan kunci Anda. Siapa pengirimnya, kapan dikirim, judul, dan teksnya. Di dalamnya, tersegel (kind 13) dan dienkripsi hanya untuk akun itu, ada kunci publik Anda dan catatannya: hanya akun itu yang dapat membukanya, dan akun itu jadi tahu siapa pengirimnya.

Yang tidak dapat disembunyikan. d dan k sebuah catatan serta a sebuah titik simpan harus dapat dibaca: relay membutuhkannya untuk mengganti catatan dengan versi yang lebih baru dan untuk menemukan riwayatnya. Jadi relay dapat menghitung berapa banyak catatan yang Anda miliki, dan melihat kapan Anda mengedit masing-masing catatan serta seberapa sering. Notes membuatnya lebih kasar, bukan tidak terlihat: Notes menyimpan paling banyak satu titik simpan per catatan untuk setiap jam pengeditan, satu saat Anda menutup catatan yang berubah, dan satu dari masing-masing sisi saat Anda menyelesaikan konflik, tidak pernah satu per penyimpanan, sehingga ritme menulis Anda tidak diterbitkan menit demi menit.

Mengapa catatan Anda tidak pernah kedaluwarsa. Draf NIP-37 boleh membawa tag expiration (contohnya menggunakan 90 hari), dan relay yang mematuhinya menghapus event tersebut pada tanggal itu. Untuk aplikasi catatan, hal itu berarti kehilangan catatan yang tidak pernah diminta siapa pun untuk dihapus, jadi Notes tidak pernah menuliskannya. Sisi lainnya: catatan Anda tetap ada di relay, terenkripsi, sampai Anda menghapusnya, dan menghapus di Nostr adalah sebuah permintaan: relay dapat tetap menyimpan salinannya.

Membagikan catatan. Notes mengirim salinannya ke relay tempat akun lain menyatakan bahwa ia membaca (relay NIP-17-nya, kind 10050, atau jika tidak ada, relay baca dari daftar NIP-65-nya), yang dicari Notes di relay Anda, dan ke relay Anda sendiri, paling banyak delapan. Yang dikirim adalah isi catatan (judul, teks, dan tag), bukan buku catatan, tanda, atau tempat sampah Anda; yang Anda ubah setelahnya tidak dikirim. Akun lain itu tetap menyimpan salinannya: Notes tidak dapat menariknya kembali, dan menghapus catatan Anda tidak menghapusnya. Untuk menerima, Notes meminta relay Anda mengirimkan gift wrap yang ditujukan ke kunci Anda dengan k=30023 dan membukanya di perangkat. Membuang salah satunya hanya menghapusnya dari perangkat: gift wrap ditandatangani dengan kunci yang tidak disimpan siapa pun, jadi tidak seorang pun dari Anda berdua dapat meminta relay menghapusnya, dan gift wrap itu tetap ada di sana, tidak dapat dibaca siapa pun kecuali Anda.

Pencarian bersifat lokal. Semuanya terenkripsi, jadi tidak ada relay yang dapat mencari untuk Anda. Notes mengunduh dan mendekripsi catatan Anda serta membangun indeks di perangkat; kata-kata yang Anda cari tidak pernah dikirim ke mana pun.

Relay yang meminta autentikasi NIP-42 mengetahui kunci publik Anda; Notes menanggapinya dengan akun Anda. Notes juga meminta relay Anda mengirimkan draf yang ditulis aplikasi lain dengan kunci Anda (kind 31234 dan 30024 yang lebih lama), untuk menampilkannya dalam mode hanya baca, dan tidak menerbitkan apa pun saat melakukannya. Jika Anda masuk dengan penanda tangan jarak jauh (bunker atau Nostr Connect), relay-nya membawa permintaan tanda tangan terenkripsi Anda, dan Notes hanya memintanya menandatangani kind di atas (termasuk segel catatan yang dibagikan, kind 13; gift wrap-nya ditandatangani di perangkat, dengan kunci sekali pakai). Dengan aplikasi penanda tangan di ponsel Android Anda (NIP-55, seperti Amber), Notes berbicara langsung dengannya di ponsel, tanpa relay di antaranya, meminta hal yang sama, dan memeriksa setiap event bertanda tangan yang kembali sebelum menggunakannya.

Herkos Drive: apa yang dilihat relay dan server

Drive menyimpan isi file Anda di server Blossom dan daftar file serta folder Anda (indeks) di relay Nostr, keduanya dienkripsi di perangkat Anda. Tidak ada server Herkos, tidak ada server push, dan tidak ada telemetri. Setiap relay dan server melihat alamat IP Anda dan waktu setiap koneksi. Secara bawaan, indeks dikirim ke lima relay dan file ke lima server Blossom, tidak satu pun dijalankan oleh Herkos; Setelan → Hosting File mengubah server tersebut, dan server milik Anda sendiri dapat ditambahkan di sana. Siapa yang menjalankan masing-masing dan di mana lokasinya, sejauh yang kami ketahui (diperiksa pada 5 November 2026):

Server Untuk Operator (menurut pengakuannya sendiri) Lokasi (menurut alamat IP-nya)
nos.lol indeks tidak menyebutkan Jerman (Hetzner)
relay.primal.net indeks Primal tidak diketahui: di balik Cloudflare
relay.nmail.li indeks Nmail, proyek hulu Nostr Mail Prancis (OVH)
relay.nostr.net indeks nostr.net (aljaz@nostr.si) tidak diketahui: di balik Cloudflare
nostr.oxtr.dev indeks 0xtr (oxtrr@protonmail.com) Jerman (Hetzner)
nostr.download file tidak menyebutkan Irlandia (Apex Strata)
blossom.ditto.pub file Ditto Amerika Serikat (DigitalOcean)
blossom.nmail.li file Nmail, proyek hulu Nostr Mail Prancis (OVH)
blossom.yakihonne.com file YakiHonne Singapura (Vultr)
blossom.jumble.social file Jumble tidak diketahui: di balik Cloudflare

Negara ditentukan dari alamat IP server dan bisa saja salah, dan server di balik Cloudflare tidak menunjukkan lokasinya; yang penting adalah di mana setiap operator menyatakan menyimpan data, dan sebagian besar tidak menyatakannya. Setiap operator bersifat independen, dengan ketentuannya sendiri; Herkos tidak memiliki perjanjian dengan satu pun dari mereka. Setidaknya dua dari lima server file berada di luar Uni Eropa: apa yang mereka simpan dienkripsi di perangkat Anda dan mereka tidak dapat membacanya, tetapi alamat IP Anda dan waktu setiap unggahan sampai ke mereka.

Dua kunci. Akun Anda hanya menandatangani satu hal: lokator, sebuah event yang dienkripsi untuk kunci Anda sendiri yang memungkinkan perangkat Anda menemukan Drive Anda. Semua hal lainnya ditandatangani oleh kunci volume yang dibuat secara acak untuk Drive Anda, tidak diturunkan dari akun Anda, sehingga indeks tidak menunjukkan milik siapa. Drive membaca lokator sekali per perangkat, bukan setiap kali dimulai, agar relay tidak melihat akun dan volume Anda diminta bersamaan. Orang yang menerima folder yang Anda bagikan juga mendapatkan kunci volume; Anda dapat mengubahnya kapan saja (Setelan → Kunci volume): perangkat Anda yang lain mengikuti dengan sendirinya, dan apa yang ditandatangani dengan kunci lama tidak lagi diterima.

Apa Apa yang dapat dilihat relay yang menyimpannya Apa yang tidak dapat mereka lihat
Lokator (kind 31152) Kunci publik Anda, pengenal acak, dan kapan lokator ditulis. Isinya: kunci volume dan lokasi indeks Anda, dienkripsi untuk kunci Anda.
File atau folder (kind 31150), masing-masing satu event Kunci volume; pengenal acak, dibuat dari angka acak dan tidak pernah dari nama; pengenal folder tempatnya berada; kapan terakhir berubah; dan ukurannya, dibulatkan ke pangkat dua. Nama, jenis, ukuran, tanggal, kunci, versi, dan server mana yang menyimpan bloknya.
Link (kind 31151) Siapa yang menandatanganinya: kunci volume untuk folder, kunci yang dibuat untuk link itu untuk file; pengenal acak; tanggal kedaluwarsanya, jika ada (NIP-40); ukurannya, dibulatkan. Apa yang dibukanya.
Penghapusan (kind 5) Pengenal dari apa yang Anda hapus. —
Berbagi dengan akun (kind 1059, gift wrap NIP-59) Kunci publik akun yang dituju (p); tag k=31151; tanggal yang dimundurkan secara acak hingga dua hari; kedaluwarsa 60 sampai 90 hari kemudian. Ditandatangani dengan kunci yang dibuat khusus untuknya dan dipakai sekali. Siapa pengirimnya, kapan, dan apa yang dibukanya.

Yang tidak dapat disembunyikan. Setiap event menyatakan di folder mana ia berada, sehingga relay dapat menghitung berapa banyak file dan folder yang Anda miliki, melihat bentuk pohonnya (folder mana berisi berapa banyak hal), dan kapan masing-masing berubah. Relay tidak dapat mengetahui apa nama atau isi semua itu.

Server Blossom menerima blok file Anda, masing-masing dienkripsi dengan kunci dari revisinya sendiri dan diberi padding hingga kelipatan 64 KiB, sehingga mereka melihat kira-kira seberapa besar setiap file, bukan apa isinya atau apa namanya. Setiap unggahan ditandatangani: di server milik Anda sendiri, dengan kunci volume; di server lain mana pun, dengan kunci yang dibuat hanya untuk server itu dan file itu, yang tidak menyebut siapa pun dan tidak pernah sama di dua server. Menghapus file meminta server-servernya menghapus bloknya; seperti relay, server bisa saja menyimpan salinannya.

Link (herkos.app/f/…). Link ke file atau folder membawa, setelah #, kunci yang membukanya: link itu adalah kuncinya. Bagian setelah # tidak pernah sampai ke server kami atau Cloudflare, dan halaman menghapusnya dari bilah alamat segera setelah membacanya. Tetapi sebelum itu, browser mungkin sudah menyimpan seluruh alamat di riwayatnya, dan browser yang menyinkronkan riwayatnya juga menyimpannya di server penyedianya. Tidak ada apa pun di pihak kami yang dapat mencegahnya. Untuk apa pun yang sensitif, beri link itu kata sandi (link tersebut lalu tidak membuka apa pun tanpanya, dan kata sandinya dikirim terpisah), atau bagikan dengan akun orang tersebut sebagai gantinya, yang tidak memerlukan link sama sekali. Halaman membaca relay dan server dari link; yang tidak dikenalnya baru dihubungi setelah Anda menyetujui, karena ia akan melihat alamat IP Anda. Link dapat kedaluwarsa: pada hari itu link berhenti terbuka, dan folder mendapat kunci baru, sehingga apa yang ditambahkan kemudian tidak terbuka dengan kunci lama. Siapa pun yang sudah membukanya tetap memiliki apa yang telah diunduhnya. Untuk memutus akses lebih cepat, hapus link-nya: folder lalu langsung mendapat kunci baru.

Berbagi dengan akun. Drive mencari di mana akun itu membaca (relay NIP-17-nya, kind 10050, atau relay baca dari daftar NIP-65-nya) di relay Anda dan relay Drive, satu orang setiap kali, tidak pernah di indeks publik. Setiap orang mendapat link sendiri, sehingga menghapus satu orang tidak memengaruhi yang lain, dan tidak ada yang dapat mengetahui siapa lagi yang mendapatkannya.

Relay yang meminta autentikasi NIP-42 mengetahui kunci volume, tidak pernah akun Anda: Drive menanggapinya dengan kunci volume. Jika Anda masuk dengan aplikasi penanda tangan di ponsel Android Anda (NIP-55, seperti Amber), Drive hanya memintanya menandatangani lokator, permintaan yang menonaktifkan lokator lama, dan segel dari apa yang Anda bagikan dengan akun, serta mengenkripsi dan mendekripsi untuk kunci Anda sendiri.

Herkos Local Relay: apa yang disimpannya dan dengan siapa ia berkomunikasi

Herkos Local Relay adalah relay Nostr yang berjalan di perangkat Anda sendiri, untuk aplikasi Herkos dan klien Nostr lainnya. Tidak ada server kami di belakangnya, dan aplikasi ini tidak mengirim apa pun kepada kami.

Singkatnya (rinciannya di bawah):

Apa yang disimpannya, di perangkat. Event yang ditulis aplikasi Anda ke dalamnya dan event yang dibawanya dari relay Anda, dalam basis data yang dienkripsi dengan kunci yang disimpan di penyimpanan aman sistem operasi. Di sampingnya: aplikasi yang Anda pasangkan dan apa yang boleh dilakukan masing-masing; setelannya (settings.json: port, kuota, pemangkasan, apakah log sesi aktif, apakah aplikasi yang belum dipasangkan boleh masuk, apakah jaringan lokal aktif beserta port-nya); jika Anda mengaktifkan jaringan lokal, daftar kunci yang diizinkan, dengan nama yang Anda berikan, serta sertifikat relay dan kuncinya, di dalam basis data terenkripsi; dan setelan salinan (backups.json: seberapa sering, foldernya, kunci publik yang menjadi tujuan enkripsi salinan beserta salt-nya, kapan salinan terakhir dibuat). Tidak satu pun dari itu bersifat rahasia, dan kata sandi salinan tidak pernah disimpan. Di Windows dan Linux, selama berjalan, relay.json di folder aplikasi menyebutkan port tempat ia mendengarkan, agar aplikasi Herkos dapat menemukannya. Menghapus instalasi aplikasi akan menghapus basis data, dan kuncinya menjadi tidak berguna.

Siapa yang dapat terhubung. Aplikasi ini mendengarkan di 127.0.0.1 (port 4873 kecuali Anda mengubahnya): selama jaringan lokal nonaktif, seperti setelan awalnya, tidak ada apa pun di luar perangkat yang dapat menjangkaunya. Aplikasi mana pun di perangkat dapat menjangkau alamat itu, jadi sebuah aplikasi atau halaman web harus dipasangkan, yaitu disetujui oleh Anda di layar, sebelum dapat menulis, dan halaman web yang tidak dipasangkan ditolak. Mencabut sebuah aplikasi langsung memutus koneksinya. Event pribadi (draf, daftar pribadi, pengingat, amplop tersegel yang Anda terima) hanya diberikan kepada siapa pun yang membuktikan dengan NIP-42 bahwa ia memegang kunci pemilik event tersebut.

Jaringan lokal, jika Anda mengaktifkannya, membuka port kedua (4874 kecuali Anda mengubahnya) bagi perangkat di jaringan Anda: hanya wss://, dengan sertifikat milik relay itu sendiri, dan hanya untuk kunci yang ada di daftar Anda, setelah kunci itu melakukan autentikasi dengan NIP-42. Kunci yang ada di daftar dapat membaca event publik Anda dan event pribadi yang ditujukan kepadanya, dan hanya dapat menulis event yang ditandatanganinya sendiri; menghapusnya dari daftar akan memutus koneksinya. Siapa pun di jaringan yang sama dapat melihat bahwa perangkat itu membuka port tersebut dan seberapa banyak lalu lintas yang melewatinya, tetapi tidak isinya.

Tor, jika Anda menyalakannya (di Windows dan Linux; di Android menyusul nanti), menjadikan relay sebagai layanan onion Tor, dengan alamat .onion yang tidak berubah. Aplikasi menjalankan program tor di komputer ini (atau yang disertakan bersama aplikasi), yang terhubung ke jaringan Tor. Kunci alamat itu disimpan di dalam basis data terenkripsi dan hanya diberikan kepada tor tersebut, di perangkat itu sendiri; folder milik tor menyimpan salinan direktori jaringannya dan cookie-nya, tidak pernah kunci itu. Apakah Tor menyala disimpan di settings.json. Lewat Tor berlaku aturan yang sama seperti di jaringan lokal: hanya kunci dalam daftar Anda, setelah mereka mengautentikasi dengan NIP-42. Siapa pun yang terhubung ke alamat Anda tidak melihat alamat IP Anda, dan Anda tidak melihat miliknya. Alamat saja tidak membuka apa pun; jika sudah tersebar, Alamat baru menggantinya. Herkos tidak menerima apa pun.

Siapa Apa yang dapat mereka lihat Kapan
Relay Anda (yang ada di daftar NIP-65 Anda) Alamat IP Anda; kunci publik Anda, saat relay meminta autentikasi NIP-42; event publik yang Anda terbitkan melaluinya; dan, untuk sinkronisasi, event Anda yang mana yang ditanyakannya. Saat Anda menerbitkan, dan saat ia melakukan sinkronisasi (dengan negentropy, NIP-77, jika relay menyediakannya).
Relay kotak masuk orang yang Anda kirimi pesan (daftar NIP-17 mereka, kind 10050, atau jika tidak ada, relay baca dari daftar NIP-65 mereka) Alamat IP Anda dan amplop tersegel (NIP-59) yang ditujukan kepada mereka, dikirim setelah jeda waktu acak. Amplop ini tidak pernah dikirim ke relay Anda sendiri. Saat sebuah aplikasi mengirim pesan pribadi atau undangan melaluinya.
Kunci yang ada di daftar Anda, di jaringan lokal (hanya jika Anda mengaktifkannya) Alamat IP perangkat Anda di jaringan; event publik Anda dan event pribadi yang ditujukan untuk kunci itu. Selama mereka terhubung.
Jaringan Tor (hanya jika Anda menyalakannya) Bahwa perangkat ini memakai Tor (relay Tor pertama melihat alamat IP Anda), bukan apa yang lewat; direktori Tor menyimpan deskripsi layanan, terenkripsi, yang hanya bisa dibaca oleh orang yang tahu alamatnya. Selama Tor menyala.
Kunci dalam daftar Anda, lewat Tor (hanya jika Anda menyalakannya) Event publik Anda dan event privat yang ditujukan ke kunci itu; bukan alamat IP Anda. Selama terhubung.

Untuk mengetahui di mana seseorang menerima pesan, aplikasi ini bertanya ke relay Anda. Event pribadi Anda (draf, daftar pribadi, pengingat) tidak pernah keluar dari perangkat. Aplikasi ini tidak pernah mengumumkan alamatnya sendiri (alamat itu tidak ada di daftar NIP-65 siapa pun), dokumen NIP-11-nya tidak menyebutkan siapa Anda, dan tidak ada analitik, telemetri, atau laporan crash. Di Android, aplikasi ini berjalan sebagai layanan dengan notifikasi yang memiliki tombol Hentikan; aplikasi ini tidur setelah 10 menit tanpa koneksi, dan aplikasi Herkos membangunkannya di perangkat itu sendiri, tanpa server push.

Log sesi nonaktif secara default. Jika Anda mengaktifkannya, log ini hanya disimpan di memori, 500 baris terakhir, dan dihapus saat relay berhenti: koneksi, autentikasi NIP-42, event yang diterima atau ditolak dan kind yang diminta, menurut kind dan awal id-nya, tidak pernah isinya.

Salinan. Salinan terenkripsi dari seluruh penyimpanan hanya ditulis di tempat yang Anda pilih: folder di perangkat atau disk eksternal. Folder milik klien cloud (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) ditolak. Salinan dienkripsi dengan kata sandi Anda sendiri (scrypt dan XChaCha20-Poly1305); salinan terjadwal, untuk kunci publik yang dihasilkan kata sandi itu, sehingga salinan tersebut dibuat tanpa kata sandi. Tujuh yang terakhir disimpan. Tanpa kata sandi, tidak ada yang dapat membuka salinan, termasuk kami, dan jika Anda kehilangannya, salinan itu hilang. Ekspor JSONL tidak dienkripsi: ekspor ini memuat event pribadi Anda dalam bentuk teks biasa, dan aplikasi memberi tahu hal itu sebelum menulisnya.

Pemangkasan nonaktif secara default: tanpanya, relay menyimpan event milik orang lain selama masih ada ruang. Anda dapat memangkas berdasarkan usia (30, 90, 180, atau 365 hari) atau berdasarkan ruang (dari 256 MB hingga 5 GB), dan aplikasi terlebih dahulu menunjukkan berapa banyak yang akan dihapusnya. Pemangkasan hanya menghapus event milik orang lain: tidak pernah milik Anda, amplop untuk Anda, kind yang dilindungi aplikasi Anda, atau permintaan penghapusan; berdasarkan ruang, hanya setelah ada salinan dari hari terakhir. Saat jaringan lokal atau Tor aktif, pemangkasan berdasarkan usia tidak dapat dinonaktifkan: event milik orang lain dihapus setelah 90 hari kecuali Anda memilih batas lain. Event yang memiliki tanggal kedaluwarsa (NIP-40) tidak lagi diberikan setelah kedaluwarsa, siapa pun yang menulisnya. Dan seperti di mana pun di Nostr, menghapus adalah sebuah permintaan: apa yang sudah sampai ke relay lain dapat tetap ada di sana.

Situs web kami dan Cloudflare

herkos.app (termasuk herkos.app/e/ dan herkos.app/f/), app.herkos.app (versi web Mail), calendar.herkos.app dan notes.herkos.app (versi web Calendar dan Notes, setelah diterbitkan), dan fdroid.herkos.app (repositori F-Droid kami) adalah file statis yang disajikan oleh Cloudflare (Cloudflare Pages dan R2). Seperti penyedia hosting web mana pun, Cloudflare menerima alamat IP Anda, user agent browser Anda, alamat yang Anda minta (tanpa bagian setelah #), dan waktunya, serta dapat menyimpannya dalam log-nya berdasarkan kebijakan privasinya sendiri.

Kami tidak memasang cookie dan tidak menjalankan analitik; halaman dan file milik aplikasi web hanya berasal dari domain-domain ini (setelah itu aplikasi web terhubung ke relay dan server yang dijelaskan di atas), dan kami tidak melihat log per pengunjung. Unduhan dari Releases berasal dari GitHub, yang melihat jenis data yang sama berdasarkan kebijakannya sendiri.

Publik sejak awal

Nostr adalah jaringan publik. Hal-hal berikut dapat dilihat oleh siapa pun yang mengakses relay yang Anda gunakan, dan terkait dengan kunci publik Anda:

Pilihan dan hak Anda

Perubahan

Kami akan mengubah dokumen ini ketika perilaku aplikasi berubah, dan mencatat tanggalnya di bagian atas. Sumber acuannya adalah PRIVACY.md di repositori; halaman yang diterbitkan adalah salinannya.

Kontak: privacy@herkos.email · https://herkos.app

Bahasa lain

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська