Политика безопасности и конфиденциальности (SECURITY)

Мы не знаем, кто ты... и не хотим знать. Платформа Hypn0.xyz (HypnoSVG) функционирует в строгом соответствии с Межгалактическими протоколами DOOP и 152-ФЗ, придерживаясь принципа нулевого сбора персональных данных (Zero-PII). Никаких логинов, паролей, email. Только ты, исходный img и SVG-халфтон. Без регистрации, логинов, паролей, адресов электронной почты, sms или номеров телефонов. В базе данных проекта отсутствуют таблицы пользователей или учетных записей. Сгенери­рованные SVG-файлы содержат только математические координаты геометрических примитивов и инлайновые CSS-анимации. В них не встраиваются метаданные исходных изображений (EXIF-теги, геолокация и сведения об устройствах вырезаются при растеризации).

Пролог: Анатомия приватности в эпоху ментального резонанса

Мы — Гипножаба, Мозговые Слизни и Рецепторы Планетарного Мозгоклюйства. И мы не хотим знать, кто ты. И даже не уговаривай нас.

Платформа Hypn0 спроектирована по принципу нулевого сбора персональных данных (Zero-PII). Мы не требуем регистрации, логинов, паролей, адресов электронной почты или номеров телефонов. В базе данных проекта отсутствуют таблицы пользователей или учетных записей. Сгенерированные SVG-файлы содержат только математические координаты геометрических примитивов и инлайновые CSS-анимации. В них не встраиваются метаданные исходных изображений (EXIF-теги, геолокация, сведения об устройствах и даже тип и имя файла картинки вырезаются при растеризации).

Положение I. Режим без согласия (Default / No-Tracking)

Если ты не нажал кнопку «Подчиниться Гипножабе!» — ты для нас невидимка в астрале. А это значит:

1. Hypn0 (HypnoSVG) не использует никаких клиентских идентификаторов. Ни cookie-файлы, ни записи localStorage браузера не создаются.
2. Отключены внешние системы аналитики: трекеры и счетчики метрик (Яндекс.Метрика, Google Tag Manager и другие) блокируются на уровне шаблона и физически не загружаются на клиентское устройство.
3. Серверные логи — единственная информация, которая фиксируется инфраструктурой (IP-адрес, User-Agent, запрашиваемый URL и штамп времени) — используются исключительно для защиты от DDoS-атак, мониторинга доступности и хранятся ограниченное время с регулярной ротацией быстрее, чем стирается память после сеанса гипноза.

Положение II. Ограничения для «вольных гуманоидов без Мозгового Слизня»

Отказавшиеся от отслеживания или не давшие явного согласия могут свободно использовать локальный генератор и просматривать галерею. Однако им недоступны псевдо-социальные функции платформы:

• Публикация собственных работ в общую «Галерею Транса».
• Голосование за работы (лайки);
• Не могут ябедничать и отправлять жалобы (клеймы на спам или неприемлемый контент).

Причина ограничений: защита от накруток и бот-атак

Для работы гравитационного алгоритма Мозговых Слизней (рейтинга) и справедливого распределения работ по уровням («Инкубатор», «Выбор Мозгового Слизня», «Золотой фонд») платформе необходим уникальный анонимный якорь клиента.

Поскольку пользователь, «не подчинившийся Гипножабе» и не имеет даже анонимного идентификатора устройства, то Владыка Ментальных Интроспекций (сервер) не может распознать повторный лайк/дизлайк, что чревато мгновенной накруткой рейтинга скриптами, спамом и искажением всей неустойчивой экосистемы галереи.

Положение III. Механизм согласия при нажатии кнопки «Подчиниться Гипножабе!»

1. В браузере генерируется криптографический псевдослучайный идентификатор crypto.randomUUID() (UUID v4).
2. Значение сохраняется в cookie и/или localStorage браузера под ключом hypn0_vid.
3. Срок жизни составляет два года, флаги передачи настроены на безопасный режим (path=/; SameSite=Lax).
4. Значение hypn0_vid является случайной последовательностью символов и принципиально не может быть сопоставлено с реальной личностью пользователя, его физическим носителем или Т-Волнами и Альфа-ритмами его мозга.
5. Идентификатор используется бэкендом исключительно для ограничения частоты действий (Rate Limiting) и гарантии принципа «один голос на одну картину от одного браузера».

Положение IV. Безопасность обработки файлов при генерации SVG

• Санитизация входных данных (исходных картинок): Все поступающие изображения пропускаются через ментальный измельчитель Pillow, декодируются исключительно в оперативную память и тут же очищаются от мирской суеты. Никаких EXIF-тегов, геопозиций, моделей камер и временных артефактов на дисках сервера не остаётся.
• Безопасность выходного вектора: На сервере хранятся только генерации, созданные самим ядром Hypn0 (HypnoSVG). Выходной SVG формируется строго программно и не содержит тегов <script>, внешних ссылок xlink:href или событийных триггеров onload/onclick. Это полностью исключает угрозу Stored XSS при просмотре чужих работ: чужой халфтон безопасен для ваших зрительных нервов (за исключением риска добровольного транса).
• Ограничения ресурсов (DoS Prevention): Заданы строгие лимиты на максимальный размер входного файла, разрешение сетки (cols) и радиус элементов, предотвращающие исчерпание памяти сервера (Memory Exhaustion) и перегрев процессоров Нового Нью-Йорка.

Эпилог: Баги в матрице и аномалии гипноизлучателя (Vulnerability Disclosure)

Если вы обнаружили брешь безопасности, позволяющую обойти волю Гипножабы или внедрить чужеродный код в сознание платформы Hypn0 — просим подойти к раскрытию информации со всей галактической ответственностью:

• Не публикуйте информацию об уязвимости в открытом доступе, чтобы космические пираты и злоумышленники не смогли воспользоваться ею до исправления.
• Направьте подробный отчет мейнтейнеру проекта через issue-трекер репозитория с пометкой безопасности или на электронную почту администратора.
• Опишите векторы атаки, шаги для воспроизведения (PoC) и потенциальное влияние на систему.
• Мы оперативно подтвердим получение отчета и нейтрализуем аномалию. Просим воздержаться от публичного раскрытия до момента устранения уязвимости.