Разработчики, работающие в MAX: чтение переписок доступно прямо из админки

Пообщался с несколькими источниками внутри мессенджера Max. Благодарен за то, что пишете, моя личка всегда открыта. Вот что мне показалось интересным.

0. По закону Яровой MAX определённое время должен хранить все переписки и звонки. Чужие переписки доступны прямо через админку со специальными разрешениями. Доступны все диалоги пользователя, прикреплённые файлы, аудио и видеосообщения. Не нужно получать разрешение для доступа к переписке через суд. Вася в погонах, зайдя под корпоративным VPN, просто открывает админку и шарит по любым аккаунтам.

Представьте, какой простор для злоупотреблений это открывает.

1. Встроенный модуль для слежки за VPN. О нём писали на Хабре. Но там не было подробностей, как это устроено изнутри.

Этот модуль начался с идеи затрекать такую метрику: как доступность конкурентов влияет на количество сессий в MAX. Можно было собирать её обезличенно. Но мне показали код, и в моделях для хранения данных прямо указан UserID. Метрика не является анонимной. VPN пока не запрещён, но кто знает, куда зайдут запреты. В любой момент, если понадобится список тех, кто использует VPN, в ход пойдёт в том числе собранная MAX’ом аналитика.

2. В MAX доступ к медиа-файлам из переписок пользователей доступен кому угодно по прямой ссылке. Об этом также писали на Хабре. Когда пользователь кидает картинку в Max, бэкенд кладёт её в файловое хранилище и генерирует уникальную ссылку из 76 символов. Ссылка торчит в интернет без авторизации. Любой, у кого есть эти 76 символов, может её открыть. Это распространённый подход хранения картинок, его главное преимущество — скорость. Но одно дело, когда этот подход используют для хранения какой-нибудь карточки товара из маркетплейса, а другое дело — личная переписка. Ни один мессенджер не использует такой подход, но внутри MAX уверены, что он оптимальный.

Именно из-за этой особенности пользователи сообщали, что им приходят чужие кружки.

3. На одной из встреч CEO MAX заявил, что они успешно накрутили отзывы в сторах. При общей ненависти к мессенджеру оценки в AppStore — 4.2, а в Google Play — 3.8. Кстати, в RuStore закупать ботов не надо, магазин сам поставит такую оценку, какую надо. Похоже на фейковые оценки Кинопоиска российским фильмам.

4. MAX — это форк мессенджера ТамТам. В коде до сих пор встречаются коммиты из 2008 года. Проект собирали наспех, удаляя часть кода из старой кодовой базы, отчасти из-за этого в MAX всплывают баги.

5. В VK сложилась культура, где часть решений ультимативно спускается сверху. VK управляет человек, главная заслуга которого — быть сыном крутого папы. Идейных сотрудников, которым нравились бы блокировки, мало, но VK платит чуть выше рынка, поэтому можно и потерпеть.