salix.host

Bots buiten de deur houden zonder Google binnen te laten

Fri, 17 Jul 2026 00:00:00 +0200

Als je hebt geprobeerd je te registreren op salix.host, is het rijspelletje je vast opgevallen. Je moet achttien seconden verkeer overleven voordat je een registratietoken krijgt. Het is een beetje mal, maar er is een reden dat het bestaat.

Een open Matrix-server draaien betekent dat ik een manier nodig heb om automatische registraties buiten te houden. Als registratie helemaal open is, vinden bots die vroeg of laat. Ze kunnen de accounts gebruiken voor spam, oplichting of dingen die ik echt niet op mijn server gehost wil hebben. Registratie sluiten zou dat oplossen, maar dan kunnen normale mensen er ook niet meer bij, en dat mist het hele punt van een publieke server.

Het gebruikelijke antwoord is een CAPTCHA toevoegen. Meestal betekent dat een blokje van Google, Cloudflare of een ander groot bedrijf op de pagina zetten. Het werkt, maar het betekent ook dat iedereen die een account wil eerst met dat bedrijf moet praten. Hun browser stuurt een extra request, hun IP-adres gaat ergens anders heen, en soms mogen ze vijf minuten verkeerslichten aanwijzen omdat een onzichtbare score ze niet mocht.

Dat voelde nogal krom voor een privacygerichte Matrix-server. “Wij geven om je privacy, meld je eerst even bij Google voordat je binnenkomt” is geen heel overtuigend welkomstbericht.

Dus maakte ik er zelf een.

De eerste versie

Het registratiesysteem gebruikte al proof of work. De server geeft je browser een kleine SHA-256-puzzel, en de browser probeert getallen tot hij het juiste vindt. Op een normaal apparaat duurt dat een paar seconden, maar het duizenden keren doen wordt duur voor een spammer.

Proof of work is nuttig, maar op zichzelf niet genoeg. Een echte bezoeker wacht één keer een paar seconden. Een bot kan de hele dag puzzels oplossen, zeker als de accounts iets waard zijn. Het verhoogt de kosten, en dat is mooi, maar het maakt niet echt onderscheid tussen mensen en scripts.

Ik wilde een tweede check die wat interactie vroeg, zonder persoonlijke informatie te verzamelen. Om de een of andere reden was mijn antwoord daarop een vijfbaansweg vol slecht bestuurde pixelauto’s en vrachtwagens.

Het idee is geïnspireerd op CAPTCHA Hell, een aankomende game over iemand die zich door een stapel steeds belachelijkere CAPTCHA’s moet werken. Ik zag daar de rij-captcha en vond hem grappig. Toen begon ik me af te vragen of zoiets ook als echte CAPTCHA kon werken. De eer voor het rare idee ligt dus daar. Ik heb er alleen mijn eigen versie van gemaakt en het waarschijnlijk veel te serieus genomen.

Je bestuurt een autootje met een schuifje. Andere voertuigen komen de weg af, sommige wisselen van rijstrook, en jij moet ze achttien seconden lang ontwijken. De auto heeft een beetje traagheid, dus je kunt niet in één klap van de ene kant naar de andere springen. Crash je, dan mag je dezelfde weg opnieuw proberen.

Het is geen wetenschappelijke test op mens-zijn. Het is gewoon een taak die net vervelend genoeg is dat simpele registratiescripts niet op een knop kunnen drukken en onbeperkt accounts krijgen.

De browser wordt niet vertrouwd

Het voor de hand liggende probleem met een zelfgemaakte CAPTCHA is dat alle browsercode zichtbaar is. Iedereen kan de developer tools openen, de JavaScript lezen en hem aanpassen. Als de pagina simpelweg ik heb gewonnen naar de server zou sturen, zou een bot ook ik heb gewonnen sturen, waarschijnlijk een stuk sneller dan ik.

De server vertrouwt daarom niet op het resultaat dat de browser meldt. Tijdens het spel registreert de browser op elke game-tick de positie van het stuurschuifje. Die lijst met stuurinvoer is wat aan het einde wordt opgestuurd.

De server draait vervolgens dezelfde bewegingsfysica nog een keer. Hij zet de auto in het midden, past elke stuurinvoer toe en vergelijkt de berekende positie met het verkeer op dat moment. Raakt de replay een voertuig, dan wordt de poging afgekeurd. De browser mag nooit zelf beslissen waar de auto echt was.

Er was nog een probleem. Als ik alle verkeersdata als nette gestructureerde JSON zou versturen, kon een script elke voertuigpositie lezen en een perfecte route uitrekenen. In plaats daarvan maakt de server het verkeer aan en rendert het naar een PNG-afbeelding. De browser krijgt de pixels die nodig zijn om de weg te tonen, maar geen handige lijst met “vrachtwagen op rijstrook drie op tick 120”.

Natuurlijk kun je pixels alsnog analyseren. Ik beweer niet dat ik hier een onkraakbare botdetector heb uitgevonden. Maar een geanimeerde pixelweg analyseren en daar geldige stuurinvoer uit produceren is flink meer werk dan een API aanroepen met de juiste JSON-velden. Voor een kleine hobbyserver maakt dat verschil uit.

Zorgen dat het spel eerlijk is

Willekeurig verkeer klinkt leuk, tot het spel een muur van vrachtwagens over alle rijstroken genereert.

Voordat de server een challenge verstuurt, controleert hij of de weg echt te halen is met dezelfde snelheidslimieten als de auto van de speler. Hij werkt achterstevoren door het spel en kijkt welke posities nog een ontsnappingsroute hebben. Hij keurt ook wegen af waar stil in het midden blijven zitten genoeg zou zijn, want dan zou het een nogal nutteloze rijtest zijn.

Dit deel kostte meer werk dan ik had verwacht. Willekeurige auto’s genereren is makkelijk. Willekeurige auto’s genereren die onvoorspelbaar ogen, sturen vereisen en een normale speler nooit in een onmogelijke val zetten is minder makkelijk.

Auto’s die van rijstrook wisselen knipperen zelfs voordat ze gaan. Dat is deels om eerlijk te zijn, en deels omdat ik me blijkbaar tegenwoordig druk maak om de verkeersmanieren van CAPTCHA-verkeer.

Meerdere kleine sloten in plaats van één groot slot

Het rijspelletje is maar één laag. Terwijl je rijdt, lost de browser op de achtergrond de proof-of-work-puzzel op. De challenge is ondertekend door de server, gekoppeld aan de rate-limit-bucket van het IP-adres van de bezoeker, verloopt na vijftien minuten en kan maar één keer worden gebruikt. In minder dan achttien seconden finishen wordt ook afgekeurd, om vrij voor de hand liggende redenen.

Er zitten limieten op hoeveel challenges en tokens één adres kan aanvragen, plus een globale limiet voor het geval iemand met een grote hoeveelheid adressen aan komt zetten. IPv6 vraagt hier wat zorg, want één apparaat kan enorm veel adressen hebben, dus ik tel ze per netwerk in plaats van te doen alsof elk adres een andere bezoeker is.

Als alles slaagt, is het registratietoken tien minuten geldig en goed voor één account. Dat is genoeg tijd voor een persoon om het in Element te plakken, maar niet erg nuttig voor iemand die tokens verzamelt voor later.

Geen van deze beschermingen is in z’n eentje perfect. Samen maken ze misbruik onhandig genoeg zonder registratie vreselijk te maken voor normale mensen. Dat is in elk geval de balans die ik probeer te vinden.

Het gevaarlijke geheim ergens anders bewaren

De publieke dispenser heeft toestemming nodig om registratietokens uit te delen, maar ik wilde niet dat het publieke proces het administratortoken van Synapse in handen had. Zit er een bug in de dispenser, dan geeft dat geheim een aanvaller veel meer macht dan die ooit zou mogen krijgen.

Het aanmaken van tokens is daarom opgesplitst in een tweede, heel kleine dienst. Het publieke proces controleert de puzzel, de rijpoging en de rate limits. Pas als dat allemaal klopt, vraagt het de tweede dienst om via een lokale Unix-socket één token te munten.

Die tweede dienst begrijpt precies één commando: mint. Hij heeft zijn eigen globale rate limit en geeft een kortlevend token terug dat één keer te gebruiken is. Hij luistert niet op een publieke netwerkpoort. Het publieke proces kan met hem praten, maar kan het administratortoken dat hij vasthoudt niet lezen.

Processcheiding is niet spannend op een screenshot, maar het is misschien wel het onderdeel waar ik het meest om geef. Een publieke webdienst heeft altijd een aanvalsoppervlak. Hoe minder geheimen je hem geeft, hoe minder rampzalig een fout is.

Wat het niet oplost

Ik weet dat een rijspelletje toegankelijkheidsproblemen heeft. Het vraagt zicht en redelijk precieze invoer, en voor sommige mensen kan het lastig of onmogelijk zijn. Dat is de grootste zwakte van dit ontwerp. Op dit moment is contact met mij opnemen voor een account de terugvaloptie, maar dat is niet zo goed als een toegankelijke optie die in de pagina zelf zit. Hier moet ik nog een beter antwoord op vinden.

Het houdt ook geen vastberaden aanvaller voor altijd tegen. Iemand kan er computer vision voor bouwen, een browser automatiseren of gewoon mensen betalen om challenges op te lossen. CAPTCHA’s zijn een wapenwedloop en een kleine zelfgebouwde ontsnapt daar niet magisch aan.

Wat het wél tegenhoudt is goedkope, generieke automatisering. Er is geen standaard CAPTCHA-oplosdienst die al klaarstaat voor precies deze rare weg. Er zijn geen cookies, geen fingerprinting en geen script van een derde partij dat leert wie de registratiepagina bezocht. De tijdelijke IP-limieten leven op mijn server, waar de registratie toch al plaatsvindt.

Dat is goed genoeg voor mijn huidige dreigingsmodel. salix.host is een kleine homeserver, geen bank en niet het volgende gigantische sociale netwerk. Ik hoef niet elke bot op aarde te verslaan. Ik moet massaregistratie meer gedoe maken dan deze server waard is om te misbruiken.

En als mensen er een klein pixelracespelletje aan overhouden, is dat eerlijk gezegd leuker dan negen wazige fietsen aanklikken.

Private messengers vergeleken

Wed, 08 Jul 2026 00:00:00 +0200

Mensen vragen me soms waarom ik moeite doe met Matrix terwijl Signal bestaat. Terechte vraag. Er zijn een hoop “private” messengers en eerlijk gezegd proberen ze allemaal net iets andere problemen op te lossen. Dus hier is mijn kijk op de messengers waar ik echt een mening over heb.

Kleine disclaimer vooraf: ik draai een Matrix-server, dus natuurlijk ben ik bevooroordeeld. Ik zal toch proberen eerlijk te zijn.

Signal

Signal is het standaardantwoord, en met goede reden. De encryptie is zo’n beetje de gouden standaard, de apps zijn gepolijst, en het is makkelijk genoeg om je ouders erop te krijgen. Als iemand me vraagt “wat moet ik gebruiken in plaats van WhatsApp” en geen zin heeft in een college, dan zeg ik Signal.

Maar er zijn twee problemen die me dwarszitten. Ten eerste: het wil je telefoonnummer. Ze hebben een tijdje terug gebruikersnamen toegevoegd, dus je kunt je nummer verbergen voor anderen, maar Signal zelf weet nog steeds wie je bent. Ten tweede is het één gecentraliseerde dienst, gerund door één stichting in één land. Als Signal uitvalt, of geblokkeerd wordt, of een beslissing neemt die je niet bevalt, is er geen plan B. Je kunt je account nergens anders mee naartoe nemen. Dat is precies waar ik in mijn eerste post over schreef.

En dit is niet meer theoretisch. Signal vecht al jaren tegen wetten in het VK, en dreigde onlangs nog zich terug te trekken uit Canada vanwege een wetsvoorstel daar. Ze zeiden ook dat ze zoiets als 50 miljoen dollar per jaar nodig hebben om te blijven draaien. Ik vertrouw erop dat ze het goede gevecht voeren, maar het punt blijft staan: als alles afhangt van één organisatie, worden hun problemen jouw problemen.

Matrix

Je zag dit aankomen. Matrix is geen app, het is een netwerk. Niemand is er eigenaar van, iedereen kan een server draaien (hoi), en servers praten met elkaar zoals e-mail dat doet. End-to-end-encryptie staat standaard aan in privéchats.

Het is trouwens een goed jaar geweest voor Matrix. Matrix 2.0 en de nieuwe Element X-client hebben veel van de oude traagheid opgelost, overheden in Europa blijven het adopteren voor hun interne communicatie (Frankrijk en Duitsland draaien enorme deployments), en toen Discord in februari hun leeftijdsverificatie aankondigde, kwam er een mooie golf mensen op zoek naar alternatieven die Matrix vonden. En dat is logisch, want voor communities, publieke rooms, spaces, dat hele Discord-achtige gebruik, is Matrix op dit moment simpelweg de beste optie op deze lijst. Niets anders hier doet zelfs maar een serieuze poging: Signal-groepen zijn alleen privé, en je leest straks wat ik vind van grote groepen op SimpleX.

De eerlijke nadelen: de ervaring hangt sterk af van welke client en server je gebruikt, encryptie in enorme publieke rooms kan nog wat houterig zijn, en metadata (wie met wie praat, roomnamen, dat soort dingen) is voor servers zichtbaarder dan bij Signal. Bovendien is de Matrix Foundation zelf chronisch ondergefinancierd, ze zeggen dat break-even draaien het doel is voor dit jaar. Het protocol verdwijnt niet als zij het moeilijk hebben, het is open en de code ligt overal, maar het is een herinnering dat open infrastructuur op te weinig geld draait.

En nu ik toch eerlijk ben: er is één ding dat me als serverbeheerder dwarszit, namelijk hoeveel van Matrix in feite één bedrijf is, Element. Zij hebben de meeste kernontwikkelaars in dienst, zij maken de belangrijkste clients, en zij maken Synapse, de serverimplementatie die bijna iedereen draait (ik ook). In 2023 hebben ze Synapse geherlicenseerd van Apache naar AGPL, met een contributor agreement waardoor alleen Element commerciële licenties mag verkopen bovenop ieders bijdragen. AGPL is een prima licentie, maar de stap maakte duidelijk wie er aan het stuur zit. Het is op papier een open netwerk, en dat is het ook echt, ik kan elk moment weg met het protocol intact. Maar in de praktijk hangt de gezondheid van het ecosysteem sterk af van het overleven van de business van één bedrijf, en ik zou rustiger slapen als de serverkant diverser was.

Hoe dan ook, Matrix ruilt nog steeds wat gelikte afwerking in voor iets dat volgens mij op de lange termijn meer telt: je huurt je identiteit niet van één bedrijf. In het ergste geval gaat je server dood, maak je ergens anders een account aan en ga je verder.

Dus: Signal is een beter product, Matrix is een beter netwerk. Kies waar je voor wilt optimaliseren.

Threema

Threema is interessant omdat het de “eenmalig betalen, geen telefoonnummer”-optie is. Het is Zwitsers, het bestaat al eeuwen, en je krijgt een willekeurige ID in plaats van dat je je nummer afgeeft. De apps zijn prima en het bedrijf had een redelijke reputatie.

Had, verleden tijd, want ik moet hier eerlijk zijn: de oorspronkelijke oprichters verlieten het bedrijf al in 2024, en afgelopen januari kondigde een Duitse private-equityfirma aan Threema over te nemen. Misschien verandert er niets. Maar “privacybedrijf wordt opgekocht door private equity” is geen zin die meestal goed afloopt, en het is precies het risico van je messenger toevertrouwen aan één bedrijf. Ik zou voorzichtig zijn met het aanraden op dit moment.

Het andere addertje is dat het een paar euro kost, wat niets lijkt maar in de praktijk een echte drempel is als je een groepschat probeert te verhuizen. “Installeer even deze app” verliest al de helft van de mensen, “installeer even deze app en betaal ervoor” verliest de rest. En het is nog steeds gecentraliseerd, hetzelfde verhaal als Signal, alleen met een andere vlag erop.

Session

Session nam het idee van het Signal-protocol en haalde het telefoonnummer en de centrale server weg. Je berichten worden gerouteerd via een gedecentraliseerd netwerk van nodes, dus in theorie kan niemand zien wie met wie praat. Er is helemaal geen identifier nodig, je krijgt gewoon een sleutel.

Ik wil Session graag leuker vinden dan ik doe. Het anonimiteitsverhaal is echt sterk. Maar ze hebben de encryptie aangepast op manieren waar cryptografen niet blij mee waren (ze lieten forward secrecy vallen, wat betekent dat één gelekte sleutel je oude berichten kan blootleggen), en het hele ding hangt vast aan een cryptotoken-ecosysteem, wat me altijd een beetje nerveus maakt.

Het project heeft het de laatste tijd ook zwaar gehad. Het begon in Australië, en nadat de Australische politie letterlijk bij een medewerker thuis op de stoep stond, verhuisde de stichting in 2024 naar Zwitserland. Eerder dit jaar kondigden ze vervolgens aan dat ze 90 dagen verwijderd waren van een volledige shutdown omdat het geld op was. Donaties redden het op het laatste moment (een flink deel kwam van Vitalik Buterin, van alle mensen), maar het draait nu op een skeletbezetting. Grappig genoeg was de dag dat deze post online gaat de geplande shutdown-datum. Ik ben blij dat het overleefd heeft, maar het laat het risico zien van deze kleinere, min of meer gecentraliseerde projecten: je messenger kan gewoon… ophouden. Tussen de verzwakte encryptie, het tokengedoe en het fundingdrama kan ik Session eerlijk gezegd niet meer aanraden. Als je dat niveau van anonimiteit nodig hebt, kijk dan naar SimpleX.

Briar

Briar is de extreme, en ik heb er veel respect voor. Helemaal geen servers. Berichten gaan peer-to-peer over Tor, en als het internet plat ligt kan het letterlijk syncen via Bluetooth of wifi tussen telefoons die bij elkaar in de buurt zijn. Dit is de messenger die je wilt tijdens een protest of een internetblackout.

De prijs van dat ontwerp is gemak. Beide mensen moeten in principe online zijn om berichten door te laten komen, er is geen echt multi-device-verhaal, het batterijverbruik is fors, en iOS-ondersteuning is er nog steeds niet (het team zegt dat iOS te dichtgetimmerd is voor de achtergrondprocessen die P2P nodig heeft, wat eerlijk gezegd meer zegt over Apple dan over Briar). Het wordt ontwikkeld door een kleine non-profit op subsidiegeld, en krijgt in 2026 nog steeds gestage updates, alleen langzaam. Briar probeert WhatsApp niet te vervangen, het is een gereedschap voor situaties waarin al het andere faalt. Goed om geïnstalleerd te hebben, niet iets voor dagelijks gebruik.

Wat ik stiekem zou willen dat bestond, is iets tussen Briar en Matrix in: een gefedereerd protocol met echte servers, maar waar de servers met elkaar praten over Tor of i2p. Je houdt het gemak van servers (offline bezorging, multi-device, je telefoon die niet de hele dag een Tor-node draait), maar de netwerklaag lekt niet wie met wie federeert. En als de hele stack over Tor liep, clients incluis, zouden veel van de metadataproblemen waar ik in het Matrix-stuk over klaagde geen groot probleem meer zijn: de server ziet nog steeds welke accounts met elkaar praten, maar kan het niet meer koppelen aan een IP-adres of een echte identiteit, omdat je via Tor verbindt en anoniem blijft. Hetzelfde tussen servers, dus federatie zou ook niets prijsgeven. Als bonus zou zo’n netwerk heel moeilijk te blokkeren zijn: geen vaste IP’s of domeinen om op een zwarte lijst te zetten, alleen onion services. Denk aan wat er met WhatsApp in Rusland gebeurde, dat soort landelijke blokkades werkt dan in feite niet meer. Matrix over onion services werkt half als je het forceert, maar niets is er van de grond af voor gebouwd. Als iemand zo’n project kent, stuur me een bericht, serieus.

Oké, de olifant. WhatsApp gebruikt daadwerkelijk het Signal-protocol voor encryptie, dus de berichtinhoud zelf is beschermd. Eerlijk is eerlijk, dat zijn miljarden mensen met end-to-end-encryptie die er nooit om hebben gevraagd.

Het probleem is alles rondom de berichten. WhatsApp is van Meta, en het hele verdienmodel van Meta is dingen over jou weten. Ze kunnen je berichten niet lezen, maar ze weten met wie je praat, wanneer, hoe vaak, vanaf waar, en ze koppelen dat allemaal aan het grootste advertentieprofiel op aarde. Encryptie van inhoud is niet hetzelfde als privacy. WhatsApp is daar het bewijs van.

En het wordt erger, niet beter. Dit jaar kreeg WhatsApp advertenties, en Meta AI zit nu ingebakken in de app. Alles wat je tegen de AI zegt wordt verwerkt op de servers van Meta, buiten de end-to-end-encryptie om, en hun nieuwe beleid zegt dat die AI-gesprekken meegaan in advertentietargeting, zonder opt-out. Dus de versleutelde messenger komt nu met een ingebouwd onversleuteld kanaal recht naar de advertentiemachine. Ze hebben eindelijk ook gebruikersnamen toegevoegd zodat je je telefoonnummer voor vreemden kunt verbergen, wat fijn is, denk ik. O, en Rusland heeft WhatsApp dit jaar volledig geblokkeerd, wat een goede herinnering is dat gecentraliseerde apps van de ene op de andere dag uit een heel land kunnen verdwijnen.

Als je familie erop zit en niet wil verhuizen, prima, dan zijn de berichten tussen mensen tenminste nog versleuteld. Praat alleen niet met de AI, en noem het geen private messenger.

SimpleX

SimpleX is het nieuwste project op deze lijst, en het kernidee is echt anders: er zijn helemaal geen gebruikersidentifiers. Geen telefoonnummer, geen gebruikersnaam, zelfs geen willekeurige sleutel die je chats aan elkaar knoopt. Elk gesprek loopt via een eigen paar eenrichtings-berichtenqueues op relayservers, en de twee richtingen van een chat hoeven niet eens dezelfde server te gebruiken. Vanuit het netwerk gezien bestaat “jouw account” simpelweg niet, dus er valt niets te correleren. Op papier is het het meest private ontwerp van allemaal.

De relays zijn het uitleggen waard, want het is een mooie middenweg: SimpleX draait standaardservers, maar dat zijn in feite domme brievenbussen die versleutelde queues vasthouden, en je kunt overstappen naar andermans relays of je eigen relay hosten zonder iets te verliezen, omdat je identiteit sowieso nooit op een server stond. Dat betekent ook dat contactontdekking anders werkt: je verbindt door buiten de app om een link of QR-code te delen, er is geen “vind vrienden via nummer” en dat komt er ook nooit, wat een feature of een dealbreaker is, afhankelijk van wie je het vraagt.

Het krijgt ook momentum: Trail of Bits heeft het cryptografische ontwerp beoordeeld, deze zomer staat er nog een security-assessment gepland, en de fundingsituatie ziet er gezonder uit dan bij de meeste (Jack Dorsey investeerde, en Vitalik Buterin doneerde ook aan hen, blijkbaar gaat hij gewoon rond om private messengers te financieren). Een Russische rechtbank legde ze een boete op omdat ze weigerden gebruikersdata te overhandigen, en hun transparantierapport zegt dat ze sowieso niets te overhandigen hadden, wat zo’n beetje de beste reclame is die een private messenger kan krijgen.

De nadelen zijn de keerzijde van het ontwerp. Het is jong, en de UX laat dat zien. Geen identifiers betekent dat overstappen naar een nieuwe telefoon of een apparaat toevoegen gepriegel is vergeleken met de rest. En grotere groepen of communities zijn eerlijk gezegd waar het in elkaar zakt: een “groep” is eigenlijk gewoon een stapel paarsgewijze verbindingen, elk bericht wordt apart naar elk lid uitgewaaierd, dus alles voorbij een klein vriendengroepje wordt traag en onbetrouwbaar. Als je Matrix-achtige publieke rooms en communities wilt, is SimpleX simpelweg het verkeerde gereedschap.

Nog iets dat me stoort aan het ontwerp. Standaard wordt het verkeer naar de queue van je gesprekspartner geproxyd via je eigen relayservers. Dat is bedoeld om je IP te verbergen voor onbekende servers, wat eerlijk is, maar het betekent dat jouw relay in beide richtingen meedoet: die weet wanneer je een bericht stuurt en wanneer je berichten ophaalt of ontvangt. Dat is precies het soort timing-metadata dat dit hele ontwerp zou moeten vermijden, alleen nu geconcentreerd bij je eigen relay. Ik had veel liever gezien dat ze een ingebouwde Tor-proxy hadden geleverd (of iets dergelijks), zodat je met elke queue direct en anoniem praat, in plaats van je activiteitspatroon door één server te routeren die alles mag meekijken. Je kunt de app zelf over Tor draaien, maar defaults zijn wat er echt toe doet.

En de funding is durfkapitaal, iets waar ik een half oog op zou houden; investeerders willen uiteindelijk iets terug. Toch is het van alles op deze lijst het project waar ik het nieuwsgierigst naar ben, en het is waar ik mensen tegenwoordig naartoe wijs als ze om echte anonimiteit vragen, in elk geval voor één-op-één-chats.

De korte versie

Als je alles hierboven hebt overgeslagen, hier is de tabel. Scores zijn uit 5, en ja, het is mijn persoonlijke oordeel, geen wetenschap:

	Encryptie	Anonimiteit	Metadata	Geen lock-in	Communities	Gebruiksgemak	Toekomst
Signal	5/5	2/5	4/5	1/5	3/5	5/5	4/5
Matrix	4/5	3/5	2/5	5/5	5/5	4/5	5/5
Threema	4/5	4/5	4/5	1/5	3/5	4/5	3/5
Session	2/5	5/5	4/5	3/5	3/5	4/5	2/5
Briar	4/5	5/5	5/5	5/5	1/5	2/5	4/5
WhatsApp	4/5	1/5	1/5	1/5	4/5	5/5	5/5
SimpleX	5/5	5/5	4/5	4/5	1/5	2/5	3/5

Een paar hiervan verdienen een voetnoot: de anonimiteit van Signal is een 2 vanwege het telefoonnummer, de encryptie van Session een 2 vanwege de ontbrekende forward secrecy, de encryptie van WhatsApp dekt alleen de berichtinhoud, en de 5/5 voor de toekomst van WhatsApp is geen compliment. De redenen voor al het andere staan hierboven in de tekst.

Dus wat moet je gebruiken?

Saai antwoord: het hangt af van je threat model.

Je wilt makkelijk en degelijk: Signal
Je wilt eigenaar zijn van je identiteit en deel uitmaken van een open netwerk: Matrix (ik ken een leuke server)
Je wilt communities en publieke rooms, het Discord-achtige spul: ook Matrix, niets anders komt in de buurt
Je wilt geen enkel telefoonnummer geven en vindt betalen geen probleem: Threema, maar houd in de gaten hoe de overname uitpakt
Je hebt echte anonimiteit nodig: SimpleX (niet Session, sorry)
Het internet staat in brand: Briar
Je familie weigert te verhuizen: WhatsApp, dan maar. Ik ben niet boos, alleen teleurgesteld.

Het echte punt is dat al deze opties beter zijn dan de standaard van alles via één gigantisch advertentiebedrijf doen. Kies er een, sleep wat vrienden mee, en het netwerkeffect-probleem wordt voor iedereen een beetje kleiner.

Zoals altijd: als je Matrix wilt proberen, weet je waar je me kunt vinden.

Chat Control is nog steeds niet dood (helaas)

Tue, 07 Jul 2026 00:00:00 +0000

Oké, vandaag een ander onderwerp. Als je in de EU woont en ook maar een beetje om privacy geeft, heb je vast weleens van Chat Control gehoord. Het is het EU-voorstel om berichtenapps privéberichten te laten scannen op materiaal van kindermisbruik. Klinkt redelijk als je het zo zegt, en dat is precies het probleem, want wat het in de praktijk betekent is het scannen van ieders berichten, de hele tijd, zonder enige verdenking. En dat kan niet met end-to-end versleutelde berichten zonder de versleuteling te breken. Er bestaat geen magische versie hiervan waarbij je chats privé blijven maar toch gescand worden. Elke cryptograaf die ernaar keek zei hetzelfde.

Deze wet is nu al jaren “bijna aangenomen”, en ik merk dat de meeste mensen met wie ik praat compleet het overzicht kwijt zijn over waar hij staat. Eerlijk gezegd raak ik het zelf soms ook kwijt. Dus hier is de huidige stand van zaken, op het moment dat ik dit schrijf.

Het goede nieuws

Er was dit voorjaar echt een overwinning. Op 26 maart stemde het Europees Parlement tegen het verlengen van “Chat Control 1.0”, de tijdelijke regel die aanbieders zoals Meta toestond om “vrijwillig” ieders berichten te scannen. De stemming was 307 tegen 306.

Eén stem. Laat dat even bezinken.

Hoe dan ook, die tijdelijke verordening verliep vervolgens op 3 april. Dus op dit moment is er, voor het eerst in jaren, helemaal geen wettelijke basis voor het massaal scannen van privéberichten in de EU. Dat is gebeurd omdat een heleboel gewone mensen er herrie over maakten. Het werkte.

Het slechte nieuws

En dit is het deel dat nu echt urgent is: ze proberen Chat Control 1.0 terug te brengen. Het Parlement stemde om het te laten sterven, het verliep, en nu hebben EU-ambassadeurs erop aangedrongen om het gewoon alsnog te verlengen, en Europarlementariërs worden gevraagd te stemmen over het terugdraaien van hun eigen besluit van maart. Lees dat nog eens. Het Parlement zei nee, hoe krap de marge ook was, en het antwoord daarop is blijkbaar “stem opnieuw tot je ja zegt”. Dat is de stemming om nu in de gaten te houden, en daarom is de druk juist nu weer belangrijk en niet op een vaag moment in de toekomst.

En op de achtergrond wordt er nog steeds onderhandeld over de permanente versie, Chat Control 2.0 (officieel de CSA-verordening), tussen het Parlement, de Raad en de Commissie. Dat gevecht is hetzelfde als altijd. Het standpunt van het Parlement is eigenlijk prima: alleen specifieke verdachten scannen, en alleen met een gerechtelijk bevel. Gewoon normaal politiewerk, eigenlijk. De Raad wil dat iedereen zonder verdenking gescand wordt. Hun nieuwste truc is om het scannen “op eigen initiatief” van de aanbieders te noemen, zodat op papier niemand gedwongen wordt om te scannen, knipoog knipoog. Zelfs de juridische dienst van de Raad zelf keek daar in juni naar en zei nee, dit is nog steeds het algemeen scannen van privécommunicatie. En dat is precies het ding waarvan de EU-rechters blijven zeggen dat het niet verenigbaar is met de grondrechten.

Er zou op 29 juni een laatste onderhandelingsronde over 2.0 plaatsvinden, en die klapte, precies op deze kwestie van scannen zonder verdenking. Dus ook daar nog geen akkoord. De gesprekken gaan nu verder onder het Ierse voorzitterschap, en Ierland is helaas een van de landen die voor het scannen pleiten.

Dit is het patroon met Chat Control. Het wordt afgewezen, het komt terug onder een nieuwe naam. Het wordt geblokkeerd, het komt terug onder het volgende voorzitterschap. Het verloopt, en ze proberen het achteraf alsnog te verlengen. De mensen die het doordrukken hoeven maar één keer te winnen. Wij moeten elke keer opnieuw winnen. Die asymmetrie baart me nog de meeste zorgen, meer dan welke specifieke versie van de tekst dan ook.

Waarom ik erom geef

Nou, ik draai een Matrix-server. Als een scanverplichting zoals deze wordt aangenomen, wat moet ik dan precies doen? De versleuteling voor mijn gebruikers breken, of ermee stoppen? De grote bedrijven kunnen compliance-mensen inhuren en scaninfrastructuur bouwen. Signal heeft tenminste het gewicht om te zeggen “dan verlaten we de markt” en daar de krantenkoppen mee te halen. Een kleine homeserver zoals de mijne sterft gewoon in stilte, of ik word gedwongen mijn server te verhuizen naar een plek met betere privacywetgeving.

En zelfs als je zelf niks draait: zodra de infrastructuur bestaat om alles te scannen, is “het is alleen voor CSAM” gewoon een belofte. Zulke beloftes hebben een geschiedenis. Eerst is het dit, dan is het terrorisme, dan auteursrecht, en dan alles waar de regering van de dag geen zin in heeft. Surveillancebevoegdheden krimpen nooit vanzelf.

Wat je echt kunt doen

De stemming in maart was 307 tegen 306. Zulke marges ontstaan niet zonder dat gewone mensen hun vertegenwoordigers lastigvallen, dus dit is niet zo’n situatie van “niks wat je doet maakt uit”. Concreet:

Neem contact op met je Europarlementariërs. De makkelijkste manier is fightchatcontrol.eu, zij hebben een tool die je vertegenwoordigers vindt en je helpt contact op te nemen, en ze houden ook de actuele status van alles bij. Kost vijf minuten. Een kort persoonlijk bericht is beter dan een copy-paste, maar een copy-paste is een stuk beter dan niks.
Als jouw regering aan de pro-scanning-kant staat (Denemarken, Ierland, Spanje, Frankrijk, Italië en nog een stel andere), schrijf hen dan ook aan. De ergste versies hiervan blijven uit de Raad komen, en de Raad is gewoon een verzameling nationale regeringen, en die geven om nationale kiezers.
Volg de mensen die dit echt bijhouden. Patrick Breyer documenteert al jaren elke wending van deze saga, en EDRi doet veel van het echte beleidswerk.
Gebruik versleutelde messengers, en krijg anderen er ook op. Niet omdat het de wet repareert, maar omdat hoe normaler versleuteling is, hoe moeilijker het politiek wordt om het te verbieden. Ik ben toevallig bezig met een hele post waarin ik de opties vergelijk, die komt morgen online.

Ik weet dat “schrijf je politicus aan” klinkt als het nutteloosste advies ter wereld. Maar dit specifieke gevecht is nu al meerdere keren gewonnen door precies dat. Eén stem in maart. Dat waren mensen die herrie maakten.

Ze gaan het opnieuw proberen, dat doen ze altijd. Dus blijf luid.

En zoals altijd: als je hierover wilt praten, weet je me te vinden.

Waarom ik met salix.host begin

Fri, 10 Apr 2026 00:00:00 +0000

Zo, eerste post. Het leek me goed om even uit te leggen wat dit hele ding is en waarom ik de moeite heb genomen om het op te zetten.

salix.host is een Matrix-homeserver. Als je Matrix niet kent, de korte versie: het is een chatnetwerk dat van niemand is, een beetje zoals e-mail maar dan voor berichten. Je kiest een server, maakt daar een account aan, en je kunt praten met iedereen op elke andere server. Geen enkel bedrijf in het midden dat de regels bepaalt of je berichten meeleest.

Maar waarom?

Eerlijk gezegd was ik het zat. Zat dat elke berichtenapp in handen is van een of ander bedrijf dat je gesprekken als product behandelt. Je bent op die platforms niet echt eigenaar van je account, je leent hem alleen totdat zij anders beslissen. Eén beleidswijziging, één ban zonder uitleg, en jaren aan contacten en geschiedenis zijn weg.

Het standaardantwoord is “draai gewoon je eigen server”. En ja, dat werkt, ik doe het zelf ook. Maar laten we eerlijk zijn, de meeste mensen gaan echt geen VPS huren en een Synapse-installatie onderhouden alleen maar om met hun vrienden te chatten. Dat is nogal wat gevraagd.

Dat is het gat dat salix.host probeert te vullen. Een simpele, generieke toegangspoort tot het Matrix-netwerk. Je krijgt hier een account, en je bent binnen. Je hoeft zelf niets te draaien, je hoeft niet te snappen hoe federatie onder de motorkap werkt. Het werkt gewoon, en je privacy krijg je erbij.

Wat deze server is (en niet is)

Hij is klein, en dat vind ik prima zo. Ik probeer niet het volgende grote platform te bouwen.
Hij wordt gerund door één persoon (ik) die er echt om geeft dat hij online blijft en netjes blijft.
Het is geen bedrijf. Er is geen groeidoel, geen advertenties, geen dataverkoop. Er is sowieso geen data om te verkopen, het meeste dat hier doorheen gaat is end-to-end versleuteld.

Ik ga niet doen alsof het perfect is. Een server met één beheerder betekent dat als er om 3 uur ’s nachts iets kapotgaat, het kapot blijft tot ik wakker word. Maar ik denk dat er waarde zit in kleine servers die door echte mensen worden gerund, in plaats van dat iedereen op dezelfde twee of drie gigantische servers duikt. Federatie werkt alleen als het netwerk ook echt verspreid is.

Wat komt er nog

Ik wil hier meer gaan schrijven. Niet alleen serveraankondigingen, maar ook posts over self-hosting, privacy, en eerlijk gezegd ook wat maatschappelijke dingen, want ik denk niet dat je over privacy kunt praten zonder het te hebben over waarom het voor mensen belangrijk is.

Wil je een account, of wil je gewoon even hoi zeggen, kom me dan opzoeken op Matrix. Dat is eigenlijk precies waar het om draait.