2026-07-22
A oscurasIn the dark
Un corte de luz apagó las máquinas que sostienen la red; al volver la corriente, la cadena se reanudó sola y siguió. Pero hay otra oscuridad en esta casa, y no la trae ningún apagón: es deliberada, y es la que tenemos sobre ti.
Cualquier proyecto puede prometer que el Estado no verá lo que haces. Esa promesa es barata. La pregunta que separa el humo de lo construido: ¿lo ven los que lo operan? Si nosotros podemos verlo, la promesa vale lo que valga nuestra buena voluntad, y la buena voluntad es justo lo que no queremos pedirte. Un operador que puede mirar tendrá que explicar algún día por qué no miró. La única respuesta que no envejece es no poder.
Lo primero y más simple: esta casa guarda de ti nada. Sin nombre, correo, teléfono, rastreadores, terceros, registros de tu dirección de red, clave privada ni custodia de tu dinero. No es una política de privacidad, es una propiedad de cómo está hecho: una política se cambia el martes con un aviso a pie de página; esto no, sin reconstruirlo. Lo que nunca se tuvo no se puede entregar, y un requerimiento contra un cofre vacío vuelve vacío.
Las llaves, en tu dispositivo. Tu máscara —tu identidad en esta sociedad— nace en tu navegador y solo tú la guardas. Se recupera con tu frase semilla y nada más: no hay botón de «he olvidado la contraseña», porque ese botón es siempre una puerta trasera con buenos modales —si nosotros pudiéramos devolverte tu cuenta, también podría hacerlo quien nos apuntara con algo—. Nadie firma por ti. Y si corres un nodo, su llave de red es un fichero aparte sin fondos ni voz: solo dice «este nodo es este». Máscara y máquina van separadas a propósito, para que sostener la red no obligue a enseñar quién eres.
Los mensajes. En el Corro se cifran en tu dispositivo y solo se descifran en el del destinatario. Quien los transporta ve ruido, y ahí estamos incluidos nosotros. Eso es un operador ciego: no que prometamos no mirar, sino que mirar no sirva de nada.
Ahora la parte incómoda: una cadena de bloques es, por diseño, pública y permanente. Ese es su valor —un libro que nadie reescribe en silencio— y su peligro: lo escrito queda para siempre. Por eso a la cadena va lo mínimo para funcionar: el seudónimo, los saldos y huellas de las pruebas, no las pruebas. Una huella es como la que dejas en un cristal: demuestra que fue tu mano, y no dice nada de tu cara. Basta para lo que exige una sociedad transparente: cualquiera puede rehacer la cuenta y comprobar que la reputación se calculó bien a partir de las pruebas comprometidas, sin leer ninguna. El detalle se abre solo a quien lo necesita —el jurado de un pleito, cotejándolo contra la huella—, nunca al público. En corto: público el poder, reservada la persona.
Y ahora la frontera de verdad, que preferimos decir antes de que la encuentre otro. Lo que no está resuelto son los metadatos. El contenido va cifrado; el hecho de que algo viajó, cuándo, cuánto abultaba y entre qué direcciones, no. Es la diferencia entre no poder leer una carta y ver perfectamente el sobre, el matasellos y el tamaño del paquete. Quien observe bastante tráfico saca conclusiones sin descifrar nada. Ahí está hoy el límite real de la privacidad de esta red, y no lo tenemos cerrado. El transporte que haría falta —el que envía tus operaciones dando rodeos, para que no lleguen con tu dirección de red pegada al seudónimo— está en construcción, sin terminar. Decirlo tal cual es parte del trato.
Queda un residuo que asumimos a conciencia, inherente y no un descuido: aunque el contenido vaya en huellas, la forma del tejido —quién avala a quién, quién pleitea con quién, en qué momento— filtra señal correlacionable, y filtra para siempre, porque el libro es inmutable. Esconder esa forma es mucho más caro y hoy es un problema abierto. Lo mitigamos publicando agregados en vez de vínculos crudos; no lo eliminamos. Una reputación a la vez verificable por cualquiera y permanente deja huella estructural. Es un precio elegido, y mejor saberlo antes.
Lo demás sí puedes auditarlo hoy, y es la única privacidad en la que creemos: código libre, cero recursos de terceros en estas páginas, y un navegador que comprueba por su cuenta que nada se filtra. La privacidad no es una promesa legal que alguien te hace: es una propiedad que compruebas. Está en el manifiesto —lo que no entregas, nadie lo posee— y está en el código para que no tengas que fiarte del manifiesto. No te protegemos guardando tus datos con cuidado: te protegemos no teniéndolos.
A power cut shut down the machines that hold the network up; when the current came back, the chain resumed on its own and carried on. But there is another darkness in this house, and no blackout brings it: it is deliberate, and it is the one we hold about you.
Any project can promise the State will not see what you do. That promise is cheap. The question that separates smoke from built things: can the people running it see? If we can, the promise is worth exactly our goodwill — and goodwill is what we refuse to ask you for. An operator able to look will one day have to explain why they did not. The only answer that does not age is being unable to.
First, the simplest: this house keeps nothing about you. No name, email, phone, trackers, third parties, logs of your network address, private key or custody of your money. This is not a privacy policy but a property of how the thing is built: a policy changes next Tuesday with a footnote; this cannot, without rebuilding it. What was never held cannot be handed over, and an order served on an empty chest comes back empty.
The keys, on your device. Your mask —your identity in this society— is born in your browser and you alone keep it. It is recovered with your seed phrase and nothing else: there is no "I forgot my password" button, because that button is always a back door with good manners —if we could hand your account back, so could anyone pointing something at us. Nobody signs for you. And if you run a node, its network key is a separate file with no funds and no voice: it only says "this node is this one". Mask and machine are kept apart on purpose: holding the network up never requires showing who you are.
The messages. In the Circle they are encrypted on your device and decrypted only on the recipient's. Whoever carries them sees noise — us included. That is a blind operator: not that we promise not to look, but that looking gets you nowhere.
Now the uncomfortable part: a blockchain is, by design, public and permanent. Its value —a ledger nobody quietly rewrites— and its danger: whatever is written stays forever. So the chain carries the bare minimum: the pseudonym, the balances, and fingerprints of the evidence, not the evidence. A fingerprint is like the one you leave on glass: it proves your hand was there and says nothing about your face. Enough for what a transparent society really requires: anyone can redo the arithmetic and check that reputation was computed correctly from the committed evidence, without reading any. The detail is opened only to whoever needs it —the jury in a dispute, checking it against the fingerprint— never to the public. In short: public the power, reserved the person.
And now the real frontier, which we would rather state than have someone find. What is not solved is metadata. The content travels encrypted; the fact that something travelled, when, how bulky, and between which addresses, does not. It is the difference between being unable to read a letter and seeing the envelope, the postmark and the parcel's size. Anyone watching enough traffic draws conclusions without decrypting a thing. That is the real privacy limit of this network today, and we have not closed it. The transport needed —one that sends your operations by a roundabout route, so they do not arrive with your network address stuck to your pseudonym— is under construction, unfinished. Saying so plainly is part of the deal.
One residue also remains, taken on knowingly because it is inherent rather than an oversight: even with content reduced to fingerprints, the shape of the weave —who vouches for whom, who disputes with whom, when— leaks correlatable signal, forever, because the ledger is immutable. Hiding that shape too is far more expensive, and an open problem today. We soften it with aggregates rather than raw links; we do not eliminate it. A reputation at once checkable by anyone and permanent leaves a structural trace. It is a chosen price, better known before coming in.
The rest you can audit today, and it is the only privacy we believe in: free code, zero third-party resources on these pages, and a browser that checks for itself that nothing leaks. Privacy is not a legal promise made to you: it is a property you check. It is in the manifesto —what you do not hand over, no one possesses— and in the code, so you need not take the manifesto's word for it. We do not protect you by keeping your data carefully: we protect you by not having it.