Come funziona davvero HIY.
Questa pagina descrive nel dettaglio architettura, crittografia e infrastruttura di HIY — ogni affermazione è verificata contro il codice reale dell'app e del relay. Per la versione breve e divertente, vai alla homepage.
"HIY" si pronuncia come "hi" (ciao, in inglese) — un occhiolino a hi/ciao.
Tre principi, nessun compromesso
HIY usa la potenza di calcolo e lo spazio di archiviazione degli smartphone delle sue utenti e dei suoi utenti — l'infrastruttura server è ridotta al minimo invece di crescere in un data center centrale.
Peer-to-peer prima di tutto
Post, immagini e interazioni vengono scambiati cifrati direttamente tra i dispositivi. Relay leggeri aiutano solo nella consegna quando i destinatari sono offline — nessun data center di una multinazionale che raccoglie o possiede i tuoi dati.
Scudo IA on-device
Il rilevamento di contenuti generati dall'IA, spam automatizzato e deepfake avviene al 100 % localmente sul dispositivo del destinatario — nulla lascia il tuo telefono per il controllo.
Identità reale
I contenuti vengono firmati crittograficamente tramite l'hardware (Android Keystore) al momento della creazione. Piena sovranità sui dati, nessun account falso.
Stesso Wi-Fi resta sullo stesso Wi-Fi.
Scegli "Locale" come portata, e il tuo post lascia il dispositivo solo tramite una connessione diretta sulla rete locale — non tocca mai internet, mai un server relay. I dispositivi sulla stessa Wi-Fi si trovano da soli, senza server e senza abbinamento manuale. Una conversazione sullo stesso Wi-Fi resta tecnicamente esattamente dove avviene.
Niente like. Nessuna classifica centralizzata.
Quello che vedi lo decidi tu — con filtri di rilevanza locali e una portata di risonanza che imposti per ogni post.
Altri social devono selezionare, altrimenti il feed trabocca — e quella selezione è l'algoritmo. Su HIY non trabocca nulla. Ogni post porta un budget di portata e si spegne quando è esaurito. Funziona allo stesso modo con mille persone o con un milione: il feed non si allunga, si popola solo più densamente. Non c'è nessuna classifica — non per rinuncia, ma perché non ne serve una.
5 filtri di rilevanza locali
Nel feed "Tutti" decidi tu cosa attenuare — puramente locale, nulla viene mai contato o salvato da nessuna parte.
Portata di risonanza invece del pulsante mi piace
Decidi tu, per ogni post, a quanti dispositivi arriva al massimo nel feed "Tutti". Nessun algoritmo decide questo, solo un numero che scegli tu.
I tuoi amici ricevono sempre il post — qualunque livello tu scelga.
Stesso Wi-Fi: come un post continua il suo viaggio, dispositivo per dispositivo
Nella mesh locale, ogni hop aumenta il contatore di 1. Raggiunto il budget scelto, l'inoltro attivo si ferma: nessun algoritmo, nessuna classifica, solo un contatore che tiene il conto.
Preset "Media" = reachBudget 8. Tra gli amici dell'autore o dell'autrice il contatore scende addirittura di 1 a ogni hop (uno sconto di 2 sul costo di 1 per hop) invece di salire — il viaggio va sensibilmente più lontano grazie a loro, mai contato, mai segnalato. Il post resta comunque disponibile a chiunque lo stia leggendo in quel momento — solo l'inoltro attivo si ferma al budget. Questo vale per il percorso mesh locale.
Tramite il relay — per praticamente tutta la consegna
Qui conta non chi inoltra, ma quanti dispositivi ricevono il post. Il livello scelto stabilisce a quanti dispositivi arriva il tuo post nel feed "Tutti":
I rapporti (Piccola : Media : Grande) restano fissi, il numero assoluto cresce con la rete — piccolo con mille utenti, proporzionalmente più grande con un milione. I tuoi amici ricevono sempre il post, qualunque livello tu scelga. E: solo "Tutti" ha un limite — "Amici", "Locale" e "Solo io" sono indirizzati, non trasmessi, e arrivano a tutti i destinatari previsti, senza limiti.
Live dal feed "Tutti"
Solo ciò che è già pubblico: i post visibili a „Tutti". I post „Amici" sono cifrati end-to-end e non compaiono mai qui — come ovunque al di fuori della tua cerchia di amici.
Solo „Tutti" — mai Amici, Locale o Solo io
Un commento. Breve e sentito.
Ogni post ha diritto a un commento — da 2 a 60 caratteri, non di più. La scarsità cambia il tono: se ne hai uno solo, pensi se ti serve davvero. Con HIY+ sono tre commenti invece di uno, e restano pochi.
Il motivo: un unico commento breve costringe a scegliere cosa vale davvero la pena dire — coerente con il resto di HIY: niente like, nessuna classifica centralizzata, nessun incentivo a scrivere all'infinito.
Chat privata, livello WhatsApp — senza la multinazionale dietro
Oltre al feed aperto, ci sono chat 1:1 con i tuoi amici — cifrate end-to-end con gli stessi elementi crittografici usati da Signal e WhatsApp: scambio di chiavi X25519 e AES-256-GCM.
Cifrato end-to-end
Ogni messaggio diretto viene sigillato con una chiave di contenuto sempre nuova e impacchettato singolarmente per la destinataria — lo stesso meccanismo dei post "Solo amici". Nessun gestore del relay può leggerlo.
Consegna istantanea via push
I nuovi messaggi arrivano tramite notifica push, anche se HIY non è aperta — niente attesa per il prossimo avvio dell'app.
Conferma di lettura
Vedi se il tuo messaggio è arrivato ed è stato letto — come in qualsiasi messenger moderno.
Identico su Android e iOS
Stessa crittografia, stesso comportamento su entrambe le piattaforme — basta un codice HIY per chattare tra piattaforme diverse.
Più spazio per chi ne vuole di più
HIY resta gratuito e senza pubblicità nella versione base. HIY+ è un upgrade opzionale — nessuna funzione essenziale è dietro un paywall.
Tre commenti invece di uno
Normalmente ogni post ha diritto a un commento. Con HIY+ sono tre — più spazio per te, senza cambiare il principio: resta comunque breve e sentito.
Portata di risonanza alta
Il preset "Grande" della portata di risonanza è riservato a HIY+ — se vuoi che un post viaggi sensibilmente più lontano, è una scelta deliberata, non una regola automatica per tutti.
Una moderazione che non nasconde nulla
Nessuna cancellazione silenziosa, nessun blocco a scatola chiusa — e la tua cerchia di amici si forma solo se entrambe le parti sono d'accordo.
Segnalare senza cancellare
Un post non sparisce mai per poche segnalazioni casuali. Le segnalazioni di amici veri e confermati reciprocamente contano subito per intero; quelle di sconosciuti solo dopo un periodo di attesa e con meno peso — e più un post si è già diffuso (hop, commenti), più ce ne vogliono. Solo allora viene sostituito da una di otto battute casuali — ad es. "Poof! 🎩✨ E se n'è andato." Ogni post nascosto conta come uno strike per l'autore o l'autrice; a partire da tre strike segue un blocco dal pubblicare/commentare (la lettura resta possibile), con durata che raddoppia ogni volta: 1, 2, 4, 8, 16 giorni.
Amicizia solo reciproca
Un codice amico non dà mai accesso automatico — invia solo una richiesta. Si diventa amici solo quando entrambe le parti accettano.
Segnalazioni firmate, avviso onesto
Le segnalazioni sono firmate crittograficamente come i post e possono essere ricondotte a una vera identità del dispositivo. Se in seguito compare un'identità diversa con lo stesso nome, HIY mostra un avviso visibile invece di considerarla silenziosamente la stessa persona.
Senza account confermato non entra nulla in rete
Post, commenti e richieste di amicizia richiedono tutti un account confermato tramite ortino.AUTH. Questa è la vera difesa contro i bot — non un filtro che intercetta lo spam a posteriori, ma una condizione d'ingresso che vale prima.
I post rimossi non spariscono mai senza lasciare traccia: ogni rimozione viene registrata con data/ora e motivazione in un log di audit — ispirato all'obbligo di motivazione dell'art. 17 del Digital Services Act (DSA) dell'UE. Una procedura DSA completa (inclusa la notifica alla persona interessata e il diritto di reclamo) non c'è ancora, ma è un primo passo in questa direzione.
Protetto crittograficamente, non solo promesso
Ogni affermazione qui può essere verificata tecnicamente — offline, sul tuo dispositivo, senza dover fidarti di nessuno.
Post firmati via hardware
Ogni post, commento e segnalazione porta una firma ECDSA generata dall'Android Keystore (dove disponibile: il chip hardware StrongBox). La chiave di firma non lascia mai il tuo dispositivo — i destinatari verificano offline che nulla sia stato modificato in seguito.
Verifica dimostrata crittograficamente
Chi accede tramite ortino.AUTH con un'email confermata può vincolare il proprio dispositivo tramite proof-of-possession (standard aperto, RFC 7800). Nessun server di cui fidarsi — ogni dispositivo lo verifica da sé, offline, rispetto a una chiave pubblica.
Foto senza posizione
Le foto vengono automaticamente ricompresse prima della condivisione — questo rimuove completamente i metadati EXIF come le coordinate GPS e il modello della fotocamera. Un effetto collaterale volutamente verificato, non un caso.
Archiviazione cifrata
Il tuo database locale è cifrato con SQLCipher (AES-256) — la chiave stessa è, a sua volta, vincolata all'hardware nell'Android Keystore.
Irrobustito costantemente
Sottoposto a una revisione di sicurezza mirata prima della beta: furto d'identità al cambio di dispositivo/account, richieste di amicizia false, commenti privi di segnali di fiducia — tutto trovato e chiuso prima che utenti reali potessero mai incontrarlo.
Cifrato end-to-end tra amici
I post visibili "Solo amici" e i messaggi diretti sono cifrati end-to-end (X25519 + AES-256-GCM) — nessuno tranne i destinatari può leggerli, nemmeno chi gestisce un relay.
Due chiavi, due livelli di protezione
La chiave di firma vive nel chip di sicurezza (StrongBox o Secure Enclave) e non lo lascia mai. La chiave per la cifratura si trova invece nella memoria protetta — i chip semplicemente non sanno eseguire l'algoritmo necessario (X25519). Entrambe restano sul dispositivo, entrambe non lo lasciano mai — cambia solo il livello di protezione, e preferiamo scriverlo piuttosto che tacerlo.
Verifica locale dei contenuti (immagini)
Prima della condivisione, un modello puramente locale verifica le foto alla ricerca di nudità e violenza esplicita — con il SensitiveContentAnalysis di Apple su iOS, e un modello on-device integrato su Android. Nessuna foto lascia mai il tuo dispositivo per questo.
Filtro parole al momento della pubblicazione
Prima che un post venga inviato, il tuo dispositivo controlla il testo alla ricerca di insulti e minacce — in tutte le 5 lingue del sito. Un riscontro non blocca in silenzio: appare un avviso, e decidi tu se correggere o inviare comunque. Un filtro parole da solo non legge il contesto e può essere aggirato — è un pavimento, non un muro, che completa la segnalazione successiva senza sostituirla.
Perdere il telefono non vuol dire perdere tutto
Tre percorsi separati — e nessuno dà visibilità a chi gestisce il servizio.
Identità
Account, codice e amicizie dipendono da ortino.AUTH. Confermi un nuovo dispositivo via email — nessuna password separata, nessuna procedura di ripristino tutta nostra da costruire.
Lista amici
Salvata opzionalmente e cifrata sul relay, sbloccabile solo con il tuo PIN (PBKDF2-HMAC-SHA256, 600'000 round). Senza PIN, il backup non è leggibile nemmeno per noi.
Cronologia
Post e chat restano in locale sul dispositivo. Un export lo salvi tu stesso, dove preferisci — nessun backup cloud che gestiamo noi.
I tre percorsi sono volutamente separati: chi ripristina la tua lista amici non arriva così alla tua cronologia, e viceversa.
Anche l'esercizio è sorvegliato 24 ore su 24
I server relay di HIY e ortino.AUTH (il tuo login) girano sullo stesso server root svizzero — protetto in modo automatizzato, non solo quando sviluppiamo nuove funzionalità.
CrowdSec — rilevamento attacchi in tempo reale
Legge continuamente i log di accesso di tutti i siti e i log SSH, riconosce schemi di attacco noti — tentativi di forza bruta, firme di exploit noti — e blocca immediatamente l'indirizzo IP dell'attaccante tramite il firewall. Puramente basato su regole, nessuna IA, nessun ritardo.
Trivy — scansione quotidiana delle vulnerabilità
Ogni notte Trivy analizza tutte le immagini Docker in esecuzione alla ricerca di vulnerabilità di sicurezza (CVE) di recente scoperta — le falle vengono chiuse tempestivamente, prima che diventino un problema.
DB-Monitor — sorveglianza dei login
Un monitor dedicato conta i login falliti al database e lancia un allarme in caso di schemi insoliti — un ulteriore livello di protezione sotto il livello applicativo.
Report giornaliero, valutato localmente
Un modello IA self-hosted (Ollama) riassume ogni notte i dati grezzi di CrowdSec, Trivy e del DB-Monitor in un report leggibile — gira interamente sulla nostra infrastruttura, nessun dato grezzo va verso un provider cloud.
In sviluppo attivo
HIY viene costruito apertamente, passo dopo passo. Ecco a che punto siamo.
Motore P2P (testo, LAN)
Scoperta dei peer, inoltro gossip, feed live senza server.
Scudo testuale on-device
Rilevamento IA locale e spiegabile con un cursore di sensibilità regolabile.
ortino.AUTH
OAuth2 + PKCE, nomi e avatar reali, login automatico tramite keystore hardware.
Autoregolamentazione
Soglia di segnalazione ponderata per fiducia e dipendente dalla portata, battute di rimozione trasparenti invece di censura silenziosa, strike con durata del blocco che raddoppia.
Immagini nel feed
Allegare, comprimere, trasferimento P2P — end-to-end confermato.
Segnalazioni firmate e avviso di identità
Firma delle segnalazioni come per i post, più avviso in caso di cambio nome/identità.
iOS
Porting nativo SwiftUI, compatibile a livello di protocollo con il client Android — testato su dispositivi reali. Non ancora pubblicato ufficialmente.
Crittografia end-to-end per gli amici
I contenuti visibili "Solo amici" sono cifrati end-to-end (X25519 + AES-256-GCM, implementato in modo identico su Android e iOS) — così nessuno tranne i destinatari può leggerli, nemmeno chi gestisce un relay.
Limite di portata HIY+
Una portata di risonanza alta (preset "Grande") è riservata a HIY+ — evita il farming della portata senza limitare l'uso di base.
Verifica locale dei contenuti (nudità/violenza)
Un modello puramente locale verifica le foto prima della condivisione alla ricerca di nudità e violenza esplicita — tramite il SensitiveContentAnalysis di Apple su iOS, e un modello on-device integrato su Android.
Configurazione iniziale guidata
Un flusso di configurazione una tantum al primo avvio — lingua, backup della lista amici, profilo, breve spiegazione del feed — più una pagina di aiuto e FAQ direttamente nel menu, identica su Android e iOS.
Messaggi diretti
Chat private 1:1 con gli amici — cifrate end-to-end (X25519 + AES-256-GCM), consegna istantanea via push, conferma di lettura, identica su Android e iOS.
Domande? Cerca pure.
Tutto su login, pubblicazione, sicurezza e altro — consultabile qui. Per la versione breve e spiritosa: la chat sulla homepage.
Nessun risultato.