Участники и роли
Владелец приглашает участников, управляет разрешёнными ролями и может закрыть участнику доступ к кругу.
Роль и безопасность
Кто такой владелец круга.
Какие решения принимает владелец круга, чего эта роль не даёт и что происходит, когда владелец меняется.
Чем управляет владелец
У круга всегда один владелец. Управлять кругом он может с любого своего подтверждённого подключения — телефона или браузера.
Точки входа
Владелец управляет обычными приглашениями, гостевыми ссылками и другими предусмотренными кругом способами входа.
Настройки круга
Владелец меняет название и доступные ему правила круга в пределах ограничений, установленных сервером.
Передача владения
Владелец может добровольно передать роль другому активному полноправному участнику.
Конкретные возможности интерфейса могут расширяться, но сама роль всегда относится ко всему кругу, а не к отдельному чату или подключению.
Что роль владельца не открывает
Назначение владельцем само по себе не передаёт ключи переписки и не делает человека участником всех существующих чатов.
Личные и групповые чаты
Новый владелец получает доступ только к тем сообщениям, ключи у него уже есть как у участника этого чата.
Данные на устройствах
Смена роли не извлекает данные с устройств участников и не позволяет удалённо прочитать уже сохранённое ими содержимое.
Что владелец видит
Состав круга, роли, приглашения и подключения участников — то, что нужно для управления кругом, но не их переписку.
Если владелец сам в чате
Если владелец уже состоит в конкретном чате или получает его ключи по обычным правилам, он видит этот чат как его участник, а не благодаря роли владельца.
Владелец круга и администратор сервера
Две роли, которые легко спутать. Один человек может занимать обе — на своём сервере обычно так и есть, — но полномочия у них не пересекаются.
Владелец решает, кто внутри
Участники, роли, приглашения, гостевые ссылки, настройки круга. Эта власть принадлежит одной личности, а не машине, и остаётся за кругом, даже если круг сменит сервер. Список участников подписывает владелец, и каждое устройство хранит его проверенную копию: сервер не может незаметно добавить человека или вернуть заблокированного — в том числе при переносе круга.
Администратор отвечает за машину
Доступность, обновления, резервные копии, обратный прокси, технические журналы. Инфраструктурные решения влияют на то, работает ли круг, а не на то, кто в нём состоит.
Администратор не может забрать круг себе
Владелец меняется, только если текущий владелец сам подписал передачу. Любой другой способ сервер отвергает.
В чём настоящая власть администратора
Он может остановить сервер или удалить круг с него целиком. Это разрушительно и сразу заметно всем — то есть совсем не то же самое, что тихо перехватить управление работающим кругом.
Содержимое недоступно ни одной из ролей
Сообщения, файлы и звонки зашифрованы ключами, которые лежат на устройствах участников. Смена владельца не передаёт ключи от чатов, а администрирование сервера доступа к ним никогда и не давало.
Владелец может уйти
Круг переносится на другой сервер по инициативе владельца, без согласия текущего администратора. Доверие, выданное администратору, остаётся отзывным.
Что администратор всё-таки видит, попунктно перечислено на странице что знает сервер.
Как меняется владелец
Способ ровно один, и круг записывает его системным событием, которое видят участники.
Добровольный перевод
Текущий владелец подписывает передачу роли выбранному участнику. Других способов нет.
Административного перехвата нет
Администратор сервера не может назначить владельца, создать профиль взамен прежнего или выдать ссылку для восстановления.
Прежний владелец остаётся участником
По умолчанию его личность становится обычным участником. Если доступ скомпрометирован, её можно отключить отдельно.
Участники получают уведомление
Каждый активный владелец и участник, но не гости, получает событие с именами прежнего и нового владельца и временем.
Если владелец потерял доступ к своим устройствам, роль за него не переназначают: он восстанавливает профиль из пакета восстановления. Смена владельца передаёт административную роль, но сама по себе не передаёт ключи от чатов — см. «Чем управляет владелец».
Вы управляете кругом?
Практические действия — создание круга, приглашения, гостевые ссылки, подключения и обслуживание — вынесены в отдельное руководство.