Co Ściema widzi i co wysyła.

Dla kogo

Kupującym jest rodzic albo szkoła. Rozszerzenie instaluje dorosły. Nie zakłada konta dziecka i nie prosi o imię, wiek ani adres e-mail. Strona produktu mówi o stronach, które ogląda młodzież (około 10-17 lat). To narzędzie dla rodzica i szkoły, a nie osobna usługa, w której dziecko zakłada konto.

Tekst strony

Skrypt treści działa na stronach http i https. Szuka widocznych bloków tekstu (między innymi akapit, artykuł, lista) o długości od 60 do 1200 znaków. Na jednej stronie bierze najwyżej 40 takich bloków.

Gdy klasyfikator jest włączony, a strona nie jest z listy prywatnych, rozszerzenie wysyła do proxy najwyżej 800 znaków tego tekstu, sam hostname (bez ścieżki i bez pełnego adresu) oraz wybraną czułość. Na jednej stronie woła proxy najwyżej 16 razy. Proxy obcina tekst do 1200 znaków po zbiciu białych znaków.

Domyślny adres to https://proxy-production-6f75.up.railway.app. Własny adres, także lokalny, wysyła te same pola dopiero wtedy, gdy użytkownik zapisze go w ustawieniach i przeglądarka zgodzi się na ten host.

Proxy przekazuje ten fragment i hostname do klasyfikatora Jev (TypeSafe, System One). Klucz TypeSafe zostaje na serwerze. Rozszerzenie go nie widzi. Odpowiedź to werdykt, powód po polsku i ewentualnie warstwa twierdzenia. Treść fragmentu nie wraca w odpowiedzi.

Czat, poczta, formularze

Na tych hostach klasyfikator w ogóle nie jest wołany, więc tekst nie idzie do proxy: web.whatsapp.com, mail.google.com, outlook.live.com, outlook.office.com, outlook.office365.com, messages.google.com. To samo dotyczy wiadomości prywatnych na discord.com (ścieżka /channels/@me) oraz ścieżek direct, messages, messaging, inbox, im, chat i dm na Instagramie, Facebooku, Messengerze, TikToku, Snapchacie, X, Twitterze i LinkedIn.

Na tych stronach zostają tylko lokalne heurystyki w przeglądarce. Pola formularza, textarea i obszary contenteditable nie dostają plakietki i nie są wysyłane. Rozszerzenie nie czyta skrzynki jako skrzynki i nie buduje historii rozmów. Nie obejmuje każdej poczty w internecie: inny webmail, którego nie ma na liście, jest traktowany jak zwykła strona.

Co zostaje w przeglądarce

W chrome.storage.local leżą: czułość, tryb demo, język (polski), włącznik klasyfikatora, tryb proxy, adres własnego proxy, przełącznik zasłony oraz token planu, jeśli użytkownik go wkleił. Token jest w polu typu hasło. Nie ma listy odwiedzonych stron. Werdykty z bieżącej karty trzyma pamięć skryptu do przeładowania.

Gdy klasyfikator jest wyłączony albo proxy nie odpowiada, heurystyki liczą werdykt w przeglądarce i tekst nie wychodzi.

Co robi proxy

Cache werdyktów jest w pamięci procesu. Klucz to skrót SHA-256 znormalizowanego tekstu. Wpis trzyma odpowiedzi Jev, nazwę modelu i liczby tokenów, nie sam tekst. Domyślnie żyje 12 godzin, a w cache jest najwyżej 2000 wpisów. Hostname i czułość nie wchodzą do klucza.

Log oceny, gdy jest włączony, ma zdarzenie, trafienie cache, liczby tokenów modelu, nazwę modelu i liczbę znaków. Nie ma w nim treści strony, hostname, adresu IP ani klucza API.

Adres IP służy do limitu demo (w kodzie 30 ocen na minutę z jednego IP) i jest trzymany w pamięci licznika. Dobowy limit z IP włącza się tylko wtedy, gdy na serwerze ustawisz EVALUATE_DAILY_IP_CAP. Plan płatny liczy 120 ocen na minutę i 2000 na dobę po skrócie tokenu, nie po IP. Rodzic i szkoła nie dostają listy otwartych stron.

Google

Safe Browsing jest opcjonalne. Gdy proxy ma klucz SAFE_BROWSING_API_KEY, wysyła do Google tylko adresy http(s) wyciągnięte z fragmentu, nie cały tekst. Bez klucza ten krok jest pomijany.

Fact Check Tools (ClaimReview) też jest opcjonalne. Gdy proxy ma klucz FACT_CHECK_API_KEY (albo alias GOOGLE_FACT_CHECK_API_KEY albo FACT_CHECK_TOOLS_API_KEY), a żądanie ma ważny token planu Rodzic albo Szkoła, i warstwa twierdzeń już oznaczyła fragment, proxy wysyła do Google najwyżej 240 znaków tego tekstu. Szuka publicznej weryfikacji. Demo bez tokenu tego kroku nie woła. Brak trafienia nie znaczy, że zdanie jest prawdziwe. Klucza Google nie ma w rozszerzeniu.

Płatności

Checkout jest na proxy, w Stripe. Rozszerzenie nie zbiera numeru karty. Stripe dostaje dane płatności. Checkout prosi o adres rozliczeniowy i może zebrać identyfikator podatkowy (NIP). Po opłaceniu proxy zapisuje token planu powiązany z identyfikatorem klienta Stripe. Token wklejasz w ustawieniach. Anulowanie subskrypcji cofa token. Plany: Demo 0 PLN, Rodzic 12 PLN miesięcznie albo 99 PLN rocznie, Szkoła 1490 PLN rocznie na 40 urządzeń.

Czego nie robimy

Nie sprzedajemy danych. Nie używamy ich do reklam ani do oceny zdolności kredytowej. Nie ma zdalnego kodu: skrypty rozszerzenia są w paczce, nie są dociągane z sieci. Ściema działa w Chrome. Nie obiecuje ochrony na telefonie.