O que o balde recolhe
O balde de X-DOC anônimos não é uma pasta de coisas que você quis esconder. Ele recolhe os dois: os documentos que você registrou anonimamente e os que outras pessoas te encaminharam, juntos, sem separação visível e sem etiqueta dizendo qual é qual. Essa mistura não é desorganização — é a primeira metade da proteção.
A linha do balde diz quantos documentos existem e quantos faltam resolver — e a luz vermelha pisca só pelo que chegou. Documento que você mesmo registrou não pende de nada: o balde não cobra de você uma decisão sobre o seu próprio ato. Rascunho anônimo em aberto entra na mesma linha, à parte, porque ele é transitório de propósito.
O que você registrou e o que recebeu ficam no mesmo balde, na mesma ordem. Não há aba, filtro nem marca dividindo os dois — e é justamente isso que impede alguém de apontar o seu.
O balde se ordena pelo hash do documento, não pela hora em que ele entrou. Ordem de chegada seria uma pista: o mais antigo do balde tende a ser o seu.
O balde não guarda quem mandou — nem para os documentos que chegaram. Não é que a origem fique escondida na ficha: ela não é gravada em lugar nenhum.
A proteção é proporcional ao que chega. Num balde com um documento só, ele é obviamente seu. Quanto mais anônimos chegam de fora, menos possível fica apontar qual partiu de você. Por isso a tela não promete que "seus documentos ficam protegidos aqui" — ela mostra o mecanismo, e o mecanismo depende do movimento.
A ambiguidade é a proteção
Esta é a parte mais importante da folha. Quando um X-DOC anônimo chega para alguém, essa pessoa vê quem encaminhou — o nome está ali, na conversa, como em qualquer recado. O que ela não vê, e não tem como descobrir, é quem escreveu. E os dois papéis chegam exatamente iguais na tela.
- Quem encaminhou. O nome de quem apertou Encaminhar, na conversa dele, como em qualquer recado.
- O teor inteiro, com o selo, a data e o carimbo — conferível linha por linha.
- Que o documento é anônimo: a folha diz "Registrado anonimamente", e a lista mostra "Autor desconhecido".
- Quem escreveu. O campo de autoria não existe no selo — não está oculto, não foi gravado.
- Se quem encaminhou é o autor ou só está repassando. As duas coisas são indistinguíveis.
- Por quantas mãos passou. O documento não acumula rastro de percurso.
É isso que faz a camada funcionar na prática. Quem escreveu um X-DOC anônimo pode encaminhá-lo ele mesmo, e conversar sobre o assunto como quem comenta um papel que caiu na sua mão — "olha o que chegou aqui". Do outro lado, não há teste, não há metadado, não há detalhe de interface que separe o autor do portador. O autor se esconde dentro do papel de portador, e o portador legítimo carrega a mesma dúvida sem nenhum custo.
A consequência que interessa a quem recebe é o contrário: receber de alguém não é saber quem escreveu. Se um X-DOC anônimo chega e o assunto é grave, a pergunta certa não é "quem me mandou isto?" — é o que o próprio teor prova, com o selo dele. O documento se defende pelo que está escrito e pela integridade do hash; nunca pela procedência.
E é por isso que o balde não guarda remetente. Se ele guardasse, a ambiguidade se desfaria dentro do seu próprio dispositivo: bastaria abrir a ficha para ver de quem veio, e a cadeia se reconstruiria de trás para frente. A origem não é escondida da tela — ela não é gravada.
Onde o anônimo nasce
A autoria se escolhe antes de registrar, no cabeçalho do compositor. Não é um menu de canto: é uma folha inteira, porque a escolha não muda depois do selo. Quem assina como autor pode ser você, uma das suas marcas — ou ninguém.
Ao registrar anonimamente, o diálogo avisa o que se perde — e é honesto: sem o campo de autoria no selo, não há como provar depois que o documento é seu. Não existe revelação seletiva guardada num canto, não existe chave que você mostre a um juiz mais tarde. O anonimato aqui é definitivo nos dois sentidos.
Registrar anonimamente apaga o rascunho que originou o documento, e o apagamento é irreversível. O rascunho vive no seu dispositivo identificado como seu — deixá-lo para trás seria manter uma cópia rastreável do mesmo texto ao lado do registro anônimo.
Um X-DOC anônimo não abre corrente: sem revisão 2, sem semente para outra pessoa continuar, sem sucessor nomeado. Um elo entre duas revisões seria exatamente a pista que ligaria a segunda ao autor da primeira.
Achou um erro? Registre outro documento anônimo, com o texto certo. Os dois não têm ligação nenhuma entre si — e é assim que tem de ser: ligação é rastro.
Como ele viaja
Guardar anônimo não serve para nada — o valor está em circular. E circular aqui é de dispositivo a dispositivo, cifrado de ponta a ponta: não existe mural, não existe lista pública, e ninguém navega documento alheio. A única porta de saída é o próprio balde: você localiza o documento e encaminha para uma conversa. O X-DOC anônimo não tem porta no botão de anexar da conversa, e não vai ter: a operação dele é encaminhar.
Abra o balde X-DOC anônimos e localize o documento. É a prateleira onde ele mora, seja ele seu ou recebido.
Toque em Encaminhar e marque as conexões. O diálogo diz o que vai acontecer: chega sem remetente.
Mande. Quem recebe vê o seu nome como quem encaminhou — nunca como autor — e pode repassar do mesmo jeito.
Encaminhar também dá baixa. Se o documento tinha chegado até você e ainda estava pendente, encaminhar apaga a luz dele no balde: encaminhar já é uma decisão tomada sobre o teor. Você não precisa abrir e ler antes só para o balde ficar em paz.
Como sai de pendente
Um X-DOC anônimo que chegou até você fica pendente — a luz vermelha do balde pisca por ele. E a baixa é simples: role a folha até o fim. A leitura completa é a decisão. Não há botão a apertar, não há visto a dar.
Por que não há visto: o visto é a ciência do X-DOC lacrado — ele viaja de volta e avisa quem mandou que a pessoa leu. Num documento anônimo não existe autor a quem avisar. Se o visto voltasse, ele voltaria para quem encaminhou, e isso seria um fio de propagação: quem encaminhou saberia exatamente quem leu, e quando. A folha diz isso na cara, no pé da leitura: "você leu — e nada foi avisado a quem encaminhou".
As três portas fazem a mesma baixa. Você pode abrir o documento pela fita, quando o frame dele aparecer no expediente; pela conversa, no botão do balão em que ele chegou; ou pelo balde, tocando no documento. Em qualquer uma delas, rolar até o fim resolve — e o frame da fita cai junto, sem cobrar duas vezes a mesma leitura.
Fechar sem ler não dá baixa. O botão de fechar a leitura só acende quando a folha chegou ao fim — antes disso ele fica travado. É a mesma trava do visto no lacrado: o produto não registra leitura que não aconteceu.
O que ele não promete
Um produto que trata de anonimato tem de ser exato sobre o que ele não faz — porque quem confia no que não existe corre risco de verdade. Três limites, ditos sem rodeio.
O anonimato aqui é contra os outros usuários: ninguém consegue saber quem escreveu. E a rede sabe menos — a comunicação é cifrada de ponta a ponta, e ela conhece só o hash, nunca o teor: não distingue anônimo de assinado. Mas vê o endereço de quem envia — o seu, e o de quem encaminha depois.
O selo de um X-DOC anônimo prova que aquele teor exato existia naquela data e não foi alterado depois. Ele nunca prometeu provar que o que está escrito é verdade. Um anônimo selado é um documento de teor inforjável e autoria desconhecida — as duas coisas juntas.
Sem o campo de autoria no selo, você não consegue provar depois que redigiu aquele documento. Não existe chave guardada, nem revelação seletiva, nem recibo escondido. Se em algum momento você vai precisar dizer "isto é meu", registre identificado.
Quando usar
A pergunta que decide é: o texto precisa circular, e o seu nome ao lado dele criaria um problema? Se sim, é anônimo. Se você vai precisar provar autoria depois — ou cobrar assinatura de alguém —, é documento identificado.
Não use anônimo para pedir algo de alguém. Compromisso pede assinatura, e assinatura pede as duas partes nomeadas. Ciência confirmada pede o lacrado e o visto. O anônimo existe para fazer um texto circular — não para cobrar um ato de quem recebe.