Политика конфиденциальности

Последнее обновление: 14 октября 2026

Это личный блог. Я Алекс Ковалёв, веду koval.xyz сам, никакой компании за ним нет. Если коротко: аналитики нет, рекламных сетей нет, следящих пикселей нет. Я не знаю, кто вы, пока вы мне не напишете, не оставите комментарий или не подпишетесь. Ниже всё, что всё-таки уходит из вашего браузера, и куда именно.

Хостинг и Cloudflare

Сайт — это набор статических файлов на моём собственном сервере (VPS с nginx). Перед ним стоит Cloudflare: кэширует и отгоняет ботов, поэтому каждый запрос сначала проходит через него. Значит, Cloudflare видит ваш IP-адрес, браузер и страницу, которую вы открыли. Ещё он добавляет на страницы небольшой скрипт для распознавания ботов и может поставить собственную защитную cookie (например, cf_clearance). Это зона ответственности Cloudflare, по их политике конфиденциальности.

Мой сервер ведёт обычные логи доступа: время, страница, браузер и IP-адрес, причём обычно это адрес Cloudflare, а не ваш, потому что сайт стоит за ним. Я заглядываю в них, только когда что-то чиню или ищу злоупотребления, никому их не передаю, и через 52 дня они удаляются.

Аналитики нет

Ни Google Analytics, ни Plausible, ничего подобного. Я не считаю посетителей и не собираю профили. Шрифты, картинки, скрипты и поисковый индекс отдаются с этого сайта, а не с Google Fonts или какого-нибудь CDN.

Что запоминает ваш браузер

Сам сайт cookies не ставит. Зато хранит несколько мелочей в localStorage и sessionStorage вашего браузера, и мне они никогда не отправляются:

• theme: светлая или тёмная тема, если вы её выбрали.
• Игрушки в постах помнят своё состояние: цвет филамента у совы, сколько раз вы покормили закваску, какие пункты чек-листа отметили, починили ли стойку на странице контактов, цвет и звук терминала.
• Инструменты для SSL и WordPress держат незаконченный заказ или ваши отметки в sessionStorage, который исчезает, когда вы закрываете вкладку.

Если очистить данные этого сайта в браузере, всё это удалится.

Поиск

Поиск работает на Pagefind. Индекс скачивается с этого сайта, и искать по нему будет ваш браузер. То, что вы вводите, никуда не уходит.

Комментарии

Комментарии под постами и на странице инструментов работают через giscus, который хранит их как GitHub Discussions в публичном репозитории alexKov24/koval-comments. Пока вы не прокрутите до комментариев, ничего с giscus или GitHub не загружается. Чтобы написать комментарий, нужно войти через GitHub, после чего giscus хранит токен сессии в localStorage этого сайта (giscus-session). Ваш комментарий, имя пользователя и аватар на GitHub публичны и живут на GitHub, по его правилам конфиденциальности. Отредактировать или удалить их можно там же.

Рассылка

Форма внизу каждой страницы отправляет ваш email, и только его, в Buttondown, сервис, который рассылает письма. Сначала придёт письмо с подтверждением, потом по одному письму на каждый новый пост. В каждом письме есть ссылка для отписки, или просто напишите мне, и я вас уберу. Список хранит Buttondown, и как именно, описано в их политике конфиденциальности.

Инструменты

Большинство инструментов (обрезка и конвертация картинок, сравнение текстов, хеши, кодировщики, cron, даты Excel, SPF/DMARC) целиком работают в вашем браузере. Файлы и текст остаются на вашем компьютере. Два инструмента устроены иначе, и на их страницах об этом сказано:

• SSL-сертификат общается с Let’s Encrypt напрямую из вашего браузера, мимо моего сервера. Let’s Encrypt получает имена доменов, открытый ключ и подписанные запросы. Закрытый ключ из браузера не выходит. Кнопка «Проверить DNS» спрашивает TXT-запись у Google Public DNS (dns.google). И, как любой публичный сертификат, ваш попадёт в публичные журналы Certificate Transparency.
• Проверка безопасности WordPress отправляет введённый адрес небольшому сканеру на моём сервере, и уже он сам заходит на этот сайт. Эти заходы идут через сеть Cloudflare (WARP), так что сайт видит IP-адрес Cloudflare, а не ваш и не моего сервера. На каждый запрос сканирования он пишет в лог одну строку (время, ваш IP-адрес, сайт, результат и оценку), чтобы ловить злоупотребления. У лога есть ограничение по размеру, так что старые строки вытесняются. Отчёт держится в памяти 5 минут, чтобы повторная проверка не трогала сайт ещё раз, а лимиты считают проверки по IP-адресу и по сайту за последние несколько минут, тоже в памяти. Перезапуск стирает всё это. Чтобы найти известные уязвимости, сканер спрашивает публичную базу WPVulnerability про названия найденных плагинов и тем и версию WordPress. Никогда не адрес сайта и никогда не ваш IP.

Встроенный контент и ссылки

В одном посте, про починку шрифта, есть плеер Spotify. Он загружается со Spotify, когда вы до него докручиваете, и там действуют правила Spotify. Демки синтезатора из этого поста — отдельные страницы, которые грузят шрифты с Google Fonts и Fontshare и код с jsDelivr. Встроенных видео с YouTube нет, только ссылки. Ссылки на другие сайты в постах открываются в новой вкладке и не сообщают этим сайтам, с какой страницы вы пришли.

Ваши данные

Если вы пишете мне, письмо лежит в моём ящике Gmail, и никуда я вас не добавляю. Если хотите узнать, что у меня о вас есть, или что-то исправить или удалить, напишите, и я разберусь. Для большинства честный ответ будет «ничего», потому что хранить нечего.

Контакты

Алекс Ковалёв, privacy@koval.xyz. Если здесь что-то поменяется, поменяется и дата наверху.