Документ, у которого нет выключателя

Спросите про любой подтверждающий вас документ, кто за ним стоит, — и тем же ответом получите имя того, кто вправе его забрать. Государство изымает паспорт. Компания закрывает учётную запись по правилам собственного сочинения. Домен уходит по решению регистратора, реестра, суда или следствия. Отметка подлинности исчезает, когда площадка меняет политику. Различаются сроки и процедура, а не устройство: удостоверение — не предмет, а чьё-то поддерживаемое утверждение о вас, и стоит утверждающему замолчать, как в руках остаётся картинка.

Право погасить учётную запись компании не прячут — излагают спокойно. Google оговаривает у себя приостановку доступа и удаление аккаунта при существенном или повторном нарушении, по требованию закона и при риске вреда, обещая предупредить заранее «когда это разумно возможно». У YouTube формула родственная: доступ к части сервиса или ко всему можно прекратить, если поведение сочтено опасным для пользователей, посторонних лиц или самой компании. Оценивает в обоих текстах одна сторона; вторая узнаёт итог.

Февраль 2021-го. Два отца — в Сан-Франциско и в Хьюстоне — по просьбе медиков сняли воспаление у своих малышей для дистанционного приёма. Снимки сами ушли в облако, алгоритм принял их за материалы о насилии над детьми, компания уведомила правоохранителей, но не самих отцов, а у одного просмотрела весь архив. Ни сан-францисская проверка, ни хьюстонская состава не нашли. Записи всё равно не вернули: пропали почта, фотографии, видео, у одного — ещё и телефонный номер. Об этом написала Кашмир Хилл в The New York Times, правовой разбор дала EFF в августе 2022-го. Полицейское заключение о невиновности оказалось бессильно: выдавал его не тот, у кого выключатель.

2025-й, площадки Meta: Би-би-си насчитала десятки тысяч жалоб на ошибочные баны, свыше пятисот человек написали в редакцию сами, а под петицией о массовых отключениях и о том, что живого человека в поддержке нет, подписались больше 25 000. Часть аккаунтов вернулась после журналистских запросов по конкретным историям — то есть рабочей процедурой обжалования оказалась редакция, способ, доступный почти никому. Ещё два отключения обошлись без всякой вины: 20 апреля 2023-го синие галочки исчезли у всех, кто успел подтвердиться в Twitter до смены владельца, и стали признаком подписки за восемь долларов в месяц в вебе в США; Google+ закрыли для обычных пользователей 2 апреля 2019 года, а Skype вывели из эксплуатации 5 мая 2025-го, оставив историю переписки и звонков до января 2026-го.

Спор о документе разбирает его издатель — прямое следствие той же конструкции. Дальше вступает арифметика. Решения выносит автоматика, потому что вручную такой объём не разобрать; жалоб приходит столько же, сколько решений, значит и они уходят в автоматику; круг замыкается, и система проверяет саму себя. Для масштаба: по отключённому аккаунту Google разбирает не больше двух апелляций, после чего запись остаётся отключённой и уходит в удаление со всем содержимым. Европейский регламент о цифровых услугах обязывает площадки объяснять свои решения, помечать автоматические и показывать пути обжалования, а объяснения складываются в открытую базу прозрачности. Шаг заметный, но направлен он внутрь: улучшается процедура у издателя, зависимость от издателя остаётся на месте.

Стандарт децентрализованных идентификаторов консорциум W3C утвердил 19 июля 2022 года: по его же описанию, такому идентификатору центральный выдающий орган не нужен, а переносится он между поставщиками услуг. Утверждение прошло поверх формальных возражений — Google просила дождаться хотя бы трёх зрелых «методов», Mozilla указывала, что практическая совместимость не показана, а спецификация опирается на реестр из полусотни таких методов. Возражения отклонили, по существу не сняв, и редакция 1.1, вышедшая кандидатом 5 марта 2026-го, кандидатом в августе и осталась. Формат самих удостоверений — Verifiable Credentials 2.0 — стал Рекомендацией 15 мая 2025 года семью документами сразу, среди них Bitstring Status List 1.0 для отзыва. Доверия к выдавшему стандарт не отменяет, а формализует; более того, статус-лист возвращает часть прежней зависимости — раз отзыв ведёт выдавший, к нему снова приходится ходить.

Тем же путём идёт европейский кошелёк. Регламент 2024/1183 действует с 20 мая 2024-го и требует, чтобы граждане каждой из 27 стран получили хотя бы один такой кошелёк; отсчёт ведут от исполнительных актов конца ноября 2024 года, и общепринятая арифметика даёт 24 декабря 2026-го. Проверка там выстроена цепочкой подписей: документ, затем выдавший в национальном доверенном списке, затем сам список внутри перечня LoTL, затем подпись Еврокомиссии. Государство перестало быть местом, куда ходят с запросом, но осталось источником того, кому верить. Готовность неровная: Германия назвала 2 января 2027-го, Нидерланды дали понять, что не успевают, Мальта рассчитывает выйти с частью функций.

Сам паспорт — обычный JSON, открывающийся блокнотом. В Arweave он уходит однократно и получает адрес транзакции длиной 43 знака; адрес служит одновременно ссылкой и контрольной суммой, ведь другой набор байтов дал бы другой адрес. Внутри лежат имя и никнейм, короткое описание и манифест, ссылки на телеграм, X и сайт, уровень тарифа, момент выдачи с точностью до секунды, адрес сайта-издателя и отпечаток личности. Почты в файле нет — есть sha256 от неё.

Причина подмены арифметическая: запись публична и вечна разом, а это сочетание опаснее каждого свойства порознь. Открытый адрес заберёт первый же сборщик, и отозвать его будет негде, а сам адрес — половина логина. Отпечаток оставляет владельцу способ доказать своё: посчитал sha256 от собственной почты, сверил 64 знака. Анонимности он не даёт — кто уже подозревает адрес, проверит догадку тем же самым способом; несолёный хеш почты давно считают псевдонимом, а регуляторы — персональными данными. Надёжно он даёт другое: на хеш не напишешь письма.

Номер вида CE-378E447D тоже никем не назначается: первые восемь знаков отпечатка поднимают в верхний регистр. Сбиваться нечему — ни счётчика, ни таблицы соответствий, которую потеряют при переезде базы; кто угодно пересчитает номер из файла и через двадцать лет. Восемь шестнадцатеричных знаков дают порядка 4,3 миллиарда сочетаний: хватит, чтобы продиктовать номер по телефону, и не хватит, чтобы считать его вечно уникальным. Опознают документ по другому — по адресу из 43 знаков и полному отпечатку из 64.

Проверка, в которой издатель не участвует

Порядок такой. Открыть адрес на arweave.net и увидеть исходный файл, а не оформленную страницу. Повторить на постороннем шлюзе — их сотни, они у разных людей в разных странах, и подменённый файл по этому адресу просто не отдадут. Сличить дату из поля с номером блока, зафиксированным сетью: проставленное задним числом было бы видно всем. Посчитать sha256 своей почты. По живому документу сеть отвечает строчками block_height 1975726 и number_of_confirmations 130, и второе число растёт само, а вниз не идёт никогда.

Действия «изменить» в протоколе нет вовсе, есть «записать». Опечатка в имени, ссылка на аккаунт, который бросят через год, манифест, сочинённый в три часа ночи, уровень тарифа на день выпуска — всё застывает ровно таким, каким ушло в сеть. Новую версию записать можно, и тогда обе живут рядом. По той же причине никнейм закрепляется навсегда и в оборот не возвращается даже после удаления учётной записи: двух разных людей под одним именем в вечной записи лет через десять никто не различит.

С правом на забвение это сталкивается лоб в лоб. Требовать удаления семнадцатая статья GDPR позволяет, а её третий пункт перечисляет, когда требование не проходит: защита правовых требований, научные исследования и архивы в общественном интересе, общественное здравоохранение, исполнение правовой обязанности, свобода выражения. Пункта «нам технически неудобно» среди них нет. CNIL ещё в руководстве 2018 года предлагала личные данные в цепь не класть, а удаление обеспечивать уничтожением ключа; EDPB в Guidelines 02/2025 — апрель 2025-го, версия 2.0 от 7 июля 2026-го — строже и не признаёт ни открытого текста, ни шифрования, ни хеширования. Отсюда честная рамка: перед нами публикация, а не строка в базе. Ближайший родственник — книга, разошедшаяся тиражом по библиотекам, а тиражи не отзывают.

Он не государственный: смотреть его не обязаны ни ведомство, ни банк, ни университет, границу по нему не пересечь и счёта не открыть. Он не удостоверяет, что человек — тот, за кого себя выдаёт: публикуется запись по заявлению самого человека, а положить в открытую сеть файл с чужим именем может любой и без всякого издателя. Проверяемо здесь другое — что на такую-то дату запись с такими полями существовала и с тех пор не менялась. Отзыв, встроенный в зрелые схемы удостоверений, отсутствует намеренно: это размен, а не недоделка.

Польза узкая, но настоящая. Дата, за которую отвечает не ваш ноутбук, помогает в споре о первенстве, хотя авторское право по Бернской конвенции со 182 участниками возникает и без записей, в момент создания произведения. Ссылка живёт дольше площадок: Pew Research Center в мае 2024 года намерил, что к октябрю 2023-го стала недоступна четверть страниц, существовавших с 2013 по 2023 год, а из страниц 2013 года пропало 38%. Слово «навсегда» тоже требует оговорки, и в статье она есть: платят один раз, меньшее достаётся принимающему файл, большее уходит в фонд, а расчёт опирается на допущение, что хранение дешевеет минимум на полпроцента в год, с базой в двести лет. Это ставка, а не закон природы — фонд номинирован в токене сети, майнеры не обязаны хранить всё подряд, доступ идёт через шлюзы. Страховка простая: скачать свой JSON и держать копию у себя.

Понадобится действующий тариф: Spark за $15 — один Цифровой Паспорт, Family Archive за $100 — до десяти на учётную запись, Digital DNA за $1000 — до ста. Пока выпуск не нажат, черновик правится сколько угодно: ник от 3 до 32 знаков в нижнем регистре, имя до 40, описание до 280, манифест до 500, ссылки до 64 и 120 знаков, фотография до 95 КБ. Перед выпуском поля читают вслух — единственная минута, когда ещё можно что-то поменять. Потом кнопка гаснет навсегда: второго паспорта на ту же учётную запись не появится, система вернёт прежний адрес.

Плата за отсутствие выключателя ровно симметрична. Вашу запись не сотрёт никто — и вы тоже. Ваш манифест никто не перепишет — и вы тоже. Всё, что перечислено выше как ограничение, есть обратная сторона единственного полезного свойства, и соглашаться на него стоит с открытыми глазами.