Message Content: uprzywilejowana intencja, nie uprawnienie

Uprawnienie czy intencja?

Uprawnienia są przyznawane na każdym serwerze, występują w liczbie uprawnień linku instalacyjnego i są widoczne na ekranie autoryzacji. Intencje ustawia się na poziomie aplikacji w portalu deweloperskim Discorda i obowiązują wszędzie, gdzie jest zainstalowana.

Message Content jest intencją. Nic podczas instalacji jej nie przyznaje ani nie odbiera i nie występuje w żadnej liczbie uprawnień. Według Discorda wpływa na dane obecne w zdarzeniach, które mogą zawierać pola treści wiadomości, zamiast ograniczać konkretne zdarzenia.

Bez tej intencji aplikacja otrzymuje puste treści wiadomości, z wyjątkiem własnych wiadomości, wiadomości prywatnych, wiadomości z wzmianką o niej i poleceń menu kontekstowego wiadomości.

Skąd katalog to wie

Discord publikuje flagi w publicznym rekordzie aplikacji, w tym flagi posiadanych intencji uprzywilejowanych. Katalog odczytuje je stamtąd, więc intencja widoczna w profilu jest zaobserwowanym faktem, a nie deklaracją dostawcy.

Każda intencja ma dwa warianty. Flaga bez ograniczenia dotyczy aplikacji na co najmniej 100 serwerach, które wymagają zatwierdzenia w ramach weryfikacji. Wariant ograniczony dotyczy aplikacji poniżej tego progu. Oba oznaczają posiadanie intencji.

Read Message History dotyczy innej kwestii

Read Message History to bit 16 uprawnień i określa, czy aplikacja może pobierać wcześniejsze wiadomości z widocznego dla niej kanału. Message Content określa, czy tekst tych wiadomości jest uzupełniony.

Aplikacja może mieć Read Message History i otrzymywać wiadomości z pustą treścią. Może mieć Message Content, a mimo to nie czytać kanału bez View Channel. Aby ustalić, co rzeczywiście może odczytać, trzeba sprawdzić oba mechanizmy.

Co to oznacza dla prywatności

Aplikacja z Message Content może przetwarzać tekst każdej wiadomości w każdym widocznym dla niej kanale na wszystkich serwerach, gdzie jest zainstalowana. To, czy zapisuje tekst i na jak długo, powinna wyjaśniać jej polityka prywatności. Jest to deklaracja dostawcy, nie coś, co katalog może zaobserwować.

Każdy profil zawiera link do polityki prywatności publikowany przez Discorda dla aplikacji. Katalog wskazuje cel linku, ale nie ręczy za treść dokumentu.