为什么个人数字纪念馆需要密码才能访问？

——关于数字纪念馆访问权限与隐私保护的说明

有用户提出：

“为什么个人数字纪念馆不能设置为公开访问？为什么目前只有密码访问和仅自己访问两种方式？”

这是一个非常重要的问题。

我们理解，部分用户希望自己的纪念馆能够像普通网页一样，任何人打开网址都可以直接访问。

但是，在设计个人数字纪念馆的访问机制时，我们没有简单采用“公开访问”模式。

这并不是因为技术上无法实现。

恰恰相反：

公开访问在技术上并不困难。

我们暂时不提供完全公开访问，是基于对隐私、家庭记忆、纪念尊严、内容安全以及长期运行环境的综合考虑。

一、数字纪念馆不是普通个人主页

普通个人网站通常以：

公开展示、传播信息、获得访问

为主要目的。

而个人数字纪念馆所保存的内容并不相同。

其中可能包括：

逝者肖像；
家庭合影；
婚礼及家庭照片；
个人生活影像；
家庭视频；
语音及音频；
人生经历；
家庭成员留下的纪念文字；
家族关系；
家庭内部故事；
其他具有私人性质的资料。

这些内容虽然被数字化保存，但本质上仍然属于：

个人及家庭记忆。

因此，我们认为：

“能够访问”不应该天然等于“任何人都可以访问”。

二、我们首先需要保护的是家庭隐私

一张照片可能只是普通图片。

但一张家庭合影背后，可能包含：

家庭成员；
子女；
孙辈；
家庭住址线索；
亲属关系；
家庭生活信息；
其他不希望被陌生人看到的内容。

一段视频可能只是几十分钟的影像。

但其中可能包含一个家庭多年生活的真实记录。

因此，对于数字纪念馆而言：

隐私不是附加功能，而是基础设计原则。

我们不希望用户在创建纪念馆时，必须在：

“纪念亲人”

与

“把家庭资料公开给整个互联网”

之间做选择。

三、纪念不等于公开传播

我们理解，有些用户希望更多亲友能够看到纪念馆。

因此，永远怀念目前提供：

密码访问

这种方式。

用户可以将访问密码主动提供给：

家人；
亲属；
朋友；
同学；
同事；
其他希望共同纪念的人。

这样既可以让真正关心逝者的人参与，也可以避免纪念馆自动暴露在整个互联网环境中。

我们认为：

纪念可以被分享，但不一定需要被公开传播。

这两件事情并不是一回事。

四、为什么不采用“有网址就能直接打开”的方式？

如果个人纪念馆允许完全公开访问，那么任何获得网址的人，都可能直接查看其中的内容。

更进一步，如果页面能够被搜索引擎正常抓取，还可能产生：

搜索引擎收录；
图片搜索收录；
内容缓存；
网络转载；
第三方抓取；
未经授权的传播。

一旦家庭照片和视频进入开放互联网环境，后续传播就可能超出创建者的控制范围。

尤其是：

照片可以被下载、复制和再次传播。

视频可以被保存、转载和重新发布。

因此，我们在访问机制设计上，更倾向于：

让用户主动决定谁可以进入，而不是让互联网替用户决定谁可以看到。

五、还有一个经常被忽略的问题：机器骚扰

这是我们非常重要的一项考虑。

如果个人数字纪念馆完全公开，并允许任何人直接访问、互动甚至发布内容，那么它很容易成为自动化程序攻击和骚扰的目标。

互联网环境中存在大量自动化程序。

它们并不关心：

这里是一座纪念馆。

它们只会寻找：

“哪里可以发布内容？”

“哪里可以留下链接？”

“哪里可以发送广告？”

“哪里可以批量注册？”

如果纪念馆开放程度过高，就可能出现：

自动广告；
垃圾留言；
赌博广告；
色情广告；
虚假推广；
恶意链接；
垃圾机器人账号；
自动化批量骚扰。

六、我们尤其不希望出现这样的情况

想象一下：

一个家庭为亲人建立了一座纪念馆。

几年之后，家人再次进入。

原本应该看到的是：

一张熟悉的照片。

一段人生故事。

家人留下的纪念文字。

一段珍贵的视频。

但页面上却出现：

“低价贷款广告”

“游戏推广”

“不明链接”

“垃圾留言”

甚至大量与逝者毫无关系的商业信息。

这对于普通网站而言，也许只是一次垃圾信息事件。

但对于纪念馆而言，它带来的伤害完全不同。

因为：

被打扰的不只是一个网页，而是一段家庭记忆。

七、我们宁愿减少一点“公开性”，也不愿增加一点“骚扰风险”

这是永远怀念在产品设计上的一个重要取舍。

我们当然可以通过验证码、反垃圾系统、人工审核、机器识别等技术降低风险。

但任何技术防护都不是绝对的。

而且防护机制本身也意味着：

更多系统复杂度；
更多数据处理；
更多运营成本；
更多误判；
更多维护工作。

我们不希望为了追求：

“所有人都可以随时访问”

而建立一整套越来越复杂的流量、防骚扰和内容审核体系。

这与数字纪念馆希望保持的：

安静、克制、长期

并不完全一致。

八、我们更重视“安静的访问”

数字纪念馆不是社交平台。

不需要：

热门；
推荐；
排行；
粉丝；
流量；
曝光；
互动竞争。

我们也不希望纪念馆变成一个需要不断管理陌生访客的地方。

我们更希望它是：

家人和亲友需要的时候，可以安静进入的地方。

所以目前我们采用：

方式一：密码访问

适合希望与家人、亲友共同纪念的用户。

用户主动将访问方式提供给希望进入的人。

方式二：仅自己访问

适合希望私人保存、整理人生资料和家庭记忆的用户。

纪念馆不对其他访问者开放。

九、为什么不能让用户自己选择“公开”？

这是很多用户最直接的问题。

我们的回答是：

技术上可以做到，但产品设计并不一定要提供所有技术上能够做到的能力。

永远怀念一直坚持一个原则：

产品能力越多，并不意味着产品价值越高。

对于数字纪念馆而言，有些功能越开放，承担的风险反而越大。

我们会优先考虑：

用户隐私；
家庭资料安全；
纪念内容的尊严；
长期访问稳定性；
防止机器骚扰；
数据治理；
长期维护成本。

在这些原则得到充分保障之前，我们不会为了满足“公开”这一单一需求而开放相应能力。

十、这并不是限制用户，而是保护用户的控制权

我们希望用户拥有的是：

“我决定谁可以看到。”

而不是：

“只要网址存在，任何人都可以看到。”

这两种模式看起来只差一个访问权限，实际上代表完全不同的理念。

前者强调：

用户控制。

后者强调：

互联网公开。

对于家庭性质非常强的数字纪念内容，我们认为：

用户控制应该优先于公开传播。

十一、未来会不会提供更多访问方式？

未来是否增加其他访问方式，需要根据实际使用情况、隐私保护能力、安全能力以及长期治理机制综合评估。

如果未来提供新的访问方式，我们也会优先考虑：

用户是否能够主动控制；
是否能够防止未经授权的访问；
是否能够降低机器骚扰；
是否能够保护家庭照片和视频；
是否能够长期稳定运行；
是否符合数字纪念项目的整体原则。

我们不会仅仅为了“方便访问”而牺牲隐私和纪念体验。

十二、我们为什么这样坚持？

因为我们始终认为：

数字纪念馆首先是一座纪念馆，其次才是一项互联网产品。

它保存的可能不是普通内容。

而是：

一个人的照片。

一段人生。

一个家庭的共同记忆。

一个孩子对父母的思念。

一个家庭多年以后仍然希望保留下来的故事。

这样的内容，值得被认真对待。

十三、我们希望数字纪念馆保持什么样的状态？

我们希望多年以后，当家人再次打开纪念馆时，看到的依然是：

熟悉的照片。

熟悉的文字。

熟悉的人生故事。

家人后来补充的新内容。

而不是：

广告。

垃圾信息。

陌生人的骚扰。

与逝者毫无关系的商业内容。

因此，我们宁愿让访问方式保持一定的克制，也不愿让数字纪念馆变成一个开放但不断受到打扰的互联网页面。

十四、我们的访问原则

目前，永远怀念个人数字纪念馆遵循以下原则：

01｜隐私优先

家庭照片、视频、人生故事等内容具有较强的私人属性，应得到充分尊重。

02｜用户控制

由纪念馆创建者决定谁可以访问，而不是由互联网默认决定。

03｜减少骚扰

尽可能减少自动程序、广告、垃圾信息及恶意访问对纪念馆的干扰。

04｜纪念优先

不为了追求访问量、传播量而牺牲纪念体验。

05｜长期稳定

访问机制需要考虑未来长期运行，而不仅仅是当前的技术实现。

06｜克制设计

不是所有互联网产品常见的功能，都适合数字纪念馆。

十五、我们真正想保护的是什么？

我们保护的并不仅仅是一个网址。

也不仅仅是一组照片。

我们真正希望保护的是：

一个家庭能够安静地记住一个人的权利。

当您多年以后重新进入纪念馆时，

希望那里仍然是那个人。

仍然是那个家庭。

仍然是那些值得保存的记忆。

而不是一个被互联网流量和商业信息侵入的页面。

十六、最后，我们想这样回答“为什么不能公开访问？”

如果您问：

“为什么我的纪念馆不能像普通网站一样公开？”

我们的回答是：

因为数字纪念馆不是普通网站。

它保存的内容具有明显的个人和家庭属性。

我们不希望因为追求公开传播，而让家庭照片、视频和人生资料进入不可控的互联网环境；

也不希望因为开放匿名访问，而让自动化程序有机会在多年以后把一座原本安静的纪念馆变成充满广告和垃圾信息的页面。

所以，目前永远怀念提供：