باحثة تجمع 1,300 رابط RSS خاص من سجلات عامة في AT Protocol دون تسجيل دخول

نشرت Melanie Kat في 29 أكتوبر 2026 تدوينة بعنوان «Do At-Proto Users Know This Is Public?». وقد قررت أن تفحص بيانات تطبيقات Bluesky قبل أن تسجل في أحدها، فخرجت بـ 1,300 رابط RSS خاص، دون أي تسجيل دخول.

ويعود ذلك إلى تصميم الـ AT Protocol نفسه. فبيانات المستخدم تُخزَّن في ما يُسمى PDS، وهو مستودع يتبع المستخدم ومعظم محتواه عام بالتصميم. والتطبيق الذي يستخدمه لا يحفظ البيانات في خادمه، بل يكتب سجلات داخل مستودع المستخدم.

وحين يحفظ قارئ RSS اسمه Skyreader اشتراكات المستخدم، فإنه يكتب سجلًا من نوع app.skyreader.feed.subscription يحتوي حقلًا اسمه feedUrl، وفيه الرابط كاملًا. وروابط الـ RSS الخاصة تحمل رمز الدخول داخل الرابط نفسه، فالرابط هنا ليس عنوانًا فقط، بل هو المفتاح.

ولم تحتج الباحثة إلى أكثر من خطوة واضحة: مرت على relay عام، وجمعت كل السجلات من هذا النوع، ثم انتقلت منها إلى كل PDS وقرأته. ووجدت بين النتائج فيدًا مدفوعًا لـ Club MacStories، وفيدات النص الكامل لـ 404 Media، وفيدات لداعمي Patreon، وفيدات RSS لمستودعات GitLab خاصة.

وتشير التدوينة إلى أن المسألة لا تخص Bluesky وحده، إذ تذكر بدائل لـ Discord تخزّن الرسائل مكشوفة، وبديلًا لـ Twitch اسمه Stream.place يمكن قراءة محادثاته والبحث فيها.

والقاعدة أعم من المنصة: كل رابط يحمل صلاحيته داخله، سواء كان RSS خاصًا أو signed URL أو webhook، يصبح عامًا حين يكتبه تطبيق في مكان مفتوح. وبالنسبة لمن يبني تطبيقًا على AT Protocol، يعني ذلك أن ما يُكتب في مستودع المستخدم عام، وأن اختيار ما يُخزَّن هناك قرار يخص الخصوصية لا التخزين فقط.