Минимальная публикация по умолчанию
Новая вставка создаётся unlisted: она не попадает в каталог, sitemap и внутренний поиск. Адрес состоит из 12 криптографически случайных Base58-символов, но сам по себе не заменяет пароль или шифрование.
Безопасность
Приватность здесь — технический режим.
Ни один переключатель не делает данные безопасными сам по себе. Поэтому ниже — точная модель угроз и ограничения каждого режима.
Сквозное шифрование до отправки
В E2E-режиме браузер шифрует единый документ с заголовком, форматом, языком и текстом через AES-256-GCM. Ключ хранится во фрагменте #k=, который браузер не отправляет серверу. Потерянный ключ восстановить невозможно.
Пароль защищает выдачу, а не базу
Пароль хешируется bcrypt и проверяется до ответа. В этом режиме сервер всё ещё хранит обычный текст. Если серверу нельзя доверять содержимое, выбирайте E2E; эти режимы намеренно взаимоисключающие.
Одноразовое чтение выполняется атомарно
Получатель должен явно нажать «Показать». Из нескольких параллельных запросов payload получает только один; после выдачи содержимое перестаёт быть доступным. Для E2E нужен необратимый verifier ключа, поэтому одного slug недостаточно, чтобы сжечь вставку.
Просмотр не исполняет содержимое
Raw отдаётся как text/plain с nosniff. Markdown не поддерживает raw HTML. Редактор, просмотр и кабинет получают строгую CSP, no-store и не загружают аналитику либо пользовательские admin-скрипты.
Сетевые данные минимизированы
IP используется для лимитов и дедупликации просмотров только в виде HMAC-хеша. Истёкшие и удалённые записи немедленно перестают выдаваться; payload очищается фоновым процессом, технический tombstone — позже.
Когда не использовать Maralys Paste
Для долгосрочного хранения секретов используйте менеджер секретов. Для совместной работы — систему контроля версий. Для файлов — специализированное файловое хранилище. Maralys Paste предназначен только для краткого обмена текстом.