Lo scambio P2P

Comprare e vendere bitcoin fra persone, coi sats fermi in garanzia finché non è tutto a posto.

Qui non compri da Barattolo: compri da un'altra persona. Vi mettete d'accordo su un prezzo, gli euro viaggiano fra voi due col metodo che scegliete, e i sats restano bloccati in garanzia finché gli euro non sono arrivati davvero. Barattolo non tocca i tuoi euro, e i sats li tiene in garanzia: solo per farli arrivare a chi compra, o tornare a chi vende.

Come funziona, in cinque passi

1. Qualcuno pubblica un ordine. Dice se compra o vende sats, per quanti euro e con quali metodi di pagamento. L'ordine finisce nel libro degli ordini, che vedono tutti.
2. Tu lo prendi. Scegli con quale metodo vuoi inviare gli euro (o riceverli) e l'ordine si riserva a te: da quel momento non lo può più prendere nessun altro.
3. Chi vende blocca i sats. Paga una richiesta particolare, che trattiene i sats invece di consegnarli: escono dal suo wallet ma non arrivano a nessuno. Da qui in poi sono in garanzia.
4. Chi compra manda gli euro. Col metodo scelto, al recapito che l'altra persona gli lascia qui dentro: finché non arriva il bottone resta spento, e appena arriva ti avvisiamo. Poi lo dice qui.
5. Chi vende libera i sats. Controlla di aver ricevuto gli euro e li libera: arrivano all'indirizzo Lightning indicato da chi compra.

La garanzia: chi può muovere i sats

«In garanzia» non è un modo di dire. La richiesta di pagamento del terzo passo è speciale: si paga, ma non si incassa. I sats restano appesi a mezz'aria, e da lì possono prendere due strade sole — andare a chi compra, oppure tornare a chi vende. Una terza strada non esiste: nessuno può dirottarli altrove, nemmeno chi li sta tenendo.

E a tenerli è il coordinatore, che siamo noi: il programma si chiama Mostro, a farlo girare è Barattolo e il nodo è nostro — è lo stesso che tiene il libro degli ordini. Lo scriviamo invece di lasciartelo scoprire, perché non toglie niente a quello che c'è scritto qui sopra: le uniche due cose che il coordinatore fa coi sats sono consegnarli a chi compra o restituirli a chi vende. Non li tiene per sé e non li porta altrove.

Il prezzo, e perché le cifre ballano

Gli ordini si scrivono in euro — «vendo 50 € di sats» — e i sats si contano al cambio del momento. Il cambio si muove in continuazione, quindi finché l'ordine è nel libro la cifra in sats è una stima: la vedi col segno ≈ davanti, che è il modo onesto di dire «più o meno tanti».

La cifra esatta si fissa quando l'ordine viene preso, non un attimo prima. Da lì in poi non cambia più: quello che leggi nello scambio è quello che passa di mano.

Alcuni ordini portano un intervallo («da 20 a 100 €»): quelli li prendi scegliendo tu quanto, dentro la fascia.

Il premio e lo sconto

Chi pubblica può chiedere un po' più o un po' meno del mercato, fino a ±%. Sopra il mercato si chiama premio e conviene a chi vende; sotto si chiama sconto e conviene a chi compra. Nel conto dello scambio quella riga c'è sempre, col suo nome e la sua percentuale.

Il premio si applica prima della commissione: prima si calcola il controvalore col premio, poi la commissione morde su quello. È l'ordine in cui il conto mostra le righe, e non è impaginazione.

La commissione

Come si pagano gli euro

I metodi sono un elenco chiuso: . Chi pubblica sceglie quali accetta, chi prende ne sceglie uno.

Gli euro non passano da Barattolo. Viaggiano fra te e l'altra persona sul circuito che avete scelto, come se vi foste messi d'accordo per strada. Il recapito che serve — l'IBAN, il RevTag, il numero — ve lo scambiate qui dentro e cifrato: lo legge solo chi deve pagare.

Per questo la garanzia protegge i sats e non gli euro: se dici di aver inviato gli euro e non l'hai fatto, chi vende semplicemente non libera. E se li hai inviati e non liberano, c'è la disputa.

Barattozon: il PayCode al tabacchino, passo per passo

È il metodo per chi non vuole passare da una banca o da un'app: chi vende sats fa un ordine Amazon da pagare in contanti nel punto vendita e chi compra lo paga alla cassa del tabacchino col PayCode. Il tabacchino incassa i contanti, l'ordine Amazon risulta pagato, e i sats si liberano. Nel libro il metodo si chiama ancora «Contanti al tabacchino»: è la parola che leggono anche le altre app.

Paghi in contanti alla cassa del tabacchino un ordine Amazon di chi vende: ricevi cifrati codice, importo e scadenza appena l'ordine è tuo, e paghi solo quando la pagina dice «Sats in garanzia». Non vedi nome, indirizzo né cosa ha comprato. Per pagare non serve alcun documento. Tieni lo scontrino in caso di disputa.

1. Chi vende fa l'ordine su Amazon scegliendo «paga in contanti nel punto vendita». Amazon gli manda una mail con tre cose: il PayCode (nove cifre, come 479-868-518), l'importo esatto coi centesimi e una scadenza, settantadue ore dal checkout. Vale fino a novecentonovantanove euro per ordine, senza commissione; per Barattozon un PayCode vale almeno venticinque euro. Non vale per Amazon Warehouse, contenuti digitali, oro, abbonamenti a Prime, buoni regalo e acquisti 1-Click: se la mail di Amazon non offre il pagamento in contanti, l'ordine non è pagabile con Barattozon.
2. Chi vende pubblica qui, con Barattozon come unico metodo, e il foglio lo porta per mano in quattro passi: il PayCode, l'importo, la scadenza (con un selettore di data e ora, fra un'ora e settantadue ore) e il premio, con lo stesso cursore degli altri ordini, da meno venti a più venti per cento, a numeri interi. Un PayCode vale almeno 25 €. Prima dei quattro passi si sceglie il tipo di prezzo, come per ogni ordine: a prezzo di mercato i sats si calcolano quando qualcuno prende l'ordine, col premio, sull'importo arrotondato per eccesso all'euro intero (25,47 € diventano 26: chi paga riceve sempre almeno il valore di quel che paga, e la differenza la mette chi pubblica); a prezzo fisso i sats nascono adesso, sui centesimi esatti e al cambio di oggi, e la convenienza per chi prende si muove col bitcoin. Il segno decide il verso: col premio positivo chi paga al tabacchino riceve meno sats del cambio pieno e la differenza resta a chi vende; col premio negativo ne riceve di più, e quella differenza la paga chi vende per la comodità. A zero passa il cambio pieno. Premio più basso = più conveniente per chi paga = più probabile che qualcuno lo prenda in tempo. Prima di pubblicare c'è il riepilogo, che a prezzo di mercato dice anche l'arrotondamento. Il cambio si fissa lì a prezzo fisso, alla presa a mercato; l'ordine resta nel libro fino a due ore prima della scadenza del PayCode (mai oltre settantadue ore): poi esce da solo.
3. Nel libro la card dice quanto conviene adesso, come negli altri ordini: «più conveniente» o «meno conveniente» per chi guarda, e dal dieci per cento il cartellino dell'affare. I sats sono fissi dalla pubblicazione e il bitcoin no, quindi la convenienza vera si muove col prezzo, e il numero la segue, senza limiti. Nel dettaglio trovi i due numeri uno accanto all'altro: il premio scelto da chi vende e quello al prezzo di adesso. Dopo la presa il conto si ferma al prezzo di quel momento: i sats che ricevi sono quelli scritti, al satoshi.
4. Chi compra prende l'ordine, indica dove ricevere i sats, e chi vende li blocca in garanzia. Il PayCode, l'importo e la scadenza gli arrivano qui dentro e cifrati appena l'ordine è suo, in un riquadro col tempo che resta: si paga solo quando la pagina dice «Sats in garanzia». Nel libro pubblico c'è solo l'importo: il PayCode non lo vede nessun altro, nemmeno Barattolo.
5. Chi compra va a pagare in un punto abilitato al PayCode: non tutte le tabaccherie lo sono. Si cercano sulla mappa di Amazon, che chiede un account Amazon (uno qualsiasi); chi non ce l'ha cerca per CAP su PuntoLis spuntando «Amazon Paga in Contanti», o scrive il suo CAP a chi vende, che lo cerca per lui. Alla cassa mostra il codice e dice «devo pagare un ordine Amazon in contanti con un PayCode»: non una ricarica, non un buono regalo, che non pagano l'ordine. Paga l'importo esatto, senza commissione, e controlla lo scontrino: pagamento dell'ordine, non «codice acquisto» o buono. Poi tiene lo scontrino, la sua prova, e torna qui a toccare «Ho pagato al tabacchino».
6. Chi vende controlla su Amazon che l'ordine risulti saldato, e sceglie fra due bottoni: «Risulta pagato: libera i sats» oppure «Non risulta pagato: apri una disputa». Ha ventiquattro ore a vista, e Barattolo glielo ricorda su Telegram dopo un'ora, sei ore e venti ore. Non esiste una conferma automatica: Amazon non parla con Barattolo, e i sats non si liberano da soli. Se chi vende non fa nulla, i sats restano in garanzia e chi ha pagato può aprire lui la disputa: decide un moderatore, e lo scontrino è quel che guarda.

Se scade. Ci sono due scadenze, e vanno tenute distinte. Quella del libro cade almeno due ore prima di quella del PayCode: se nessuno ha preso l'ordine, esce dalla vetrina e a chi vende arriva un avviso — il PayCode vale ancora per poche ore, ma nessuno può più prenderlo; quando scade anche lui, l'ordine Amazon va rifatto e ripubblicato con un PayCode nuovo. Quella del PayCode conta quando i sats sono già in garanzia: la pagina dello scambio lo dice, ti avvisa sei ore prima e un'ora prima (anche su Telegram o Nostr, secondo le tue impostazioni) e mette in evidenza l'annullo d'accordo, con cui i sats tornano a chi li ha bloccati. Nessuno annulla da solo: se hai pagato in tempo, lo scontrino lo dimostra e chi vende libera.

Se ti danno un buono regalo. Alla cassa possono emettere per errore un buono regalo Amazon o una ricarica: l'ordine di chi vende non risulta pagato. Non toccare «Ho pagato al tabacchino»: scrivi a chi vende e decidete insieme.

Prendi un ordine Barattozon solo se fai in tempo ad andare al tabacchino: quando mancano meno di sei ore, il dettaglio te lo ricorda prima di prenderlo.

Contanti di persona

Il metodo «Contanti» è l'incontro a mano: chi compra sats porta le banconote, chi vende le conta e libera i sats lì, davanti a lui. Una banconota non lascia ricevuta, quindi le regole sono tre e valgono dall'inizio.

3. Il rilascio sul posto. A chi compra: Consegna i contanti solo quando chi vende preme «Libera i sats» davanti a te, e controlla che lo scambio risulti concluso prima di andare via. A chi vende: Conta i contanti davanti a chi ti paga, poi premi «Libera i sats» lì, davanti a lui: chi compra deve vedere lo scambio concluso prima di andare via. Mai prima di vedersi, mai dopo essersi salutati.
4. L'incontro. Vedetevi in un posto pubblico e di giorno — un bar, un incontro bitcoin —, contate le banconote insieme, e mai grosse cifre da soli.

🕒 L'appuntamento. Chi vende indica dove e quando vedervi: il giorno e l'ora con pochi tocchi, e il luogo come indirizzo vero — mentre lo scrive gli proponiamo indirizzi esistenti, o usa la sua posizione. Chi compra lo trova in cima alla pagina dello scambio, con «🧭 Apri nel navigatore». Se l'appuntamento cambia, l'altra persona riceve l'avviso.

📍 «Sono qui», la prova d'incontro. Quando arrivate, ognuno tocca «Sono qui» dal suo telefono, senza aspettare l'altro: si registrano l'ora esatta e, se il telefono la dà, la posizione, firmate con la chiave usa-e-getta dello scambio. È facoltativo, per la privacy, ma aiuta a risolvere le dispute. L'altra persona vede l'ora in cui l'hai segnato, mai la tua posizione; un moderatore, solo in caso di disputa, vede se eravate lì insieme, all'ora e vicino al luogo dell'appuntamento. Il GPS si può falsificare: la posizione è una conferma, non una prova assoluta.

In disputa, sul contanti. Se chi vende dice di non aver ricevuto i contanti e non c'è la prova d'incontro, in disputa si dà ragione a chi vende. Ma se chi compra ha segnato la presenza all'ora e vicino al luogo dell'appuntamento e chi vende no, la disputa non va in automatico a chi vende: decide il moderatore. Lo scriviamo adesso, prima dello scambio, e non il giorno della disputa.

I tempi

• Se il tempo scade prima che i sats siano bloccati, la richiesta di pagamento si annulla e nessuno perde niente. Se a mancare è stato chi ha preso l'ordine, l'ordine torna nel libro per qualcun altro; se è stato chi l'ha pubblicato, si chiude.
• Coi sats in garanzia avete circa quattro giorni. Se chi compra non ha ancora detto di aver pagato, allo scadere i sats tornano da soli a chi vende; se l'ha detto, si apre una disputa.

La chat dello scambio

Da quando l'ordine è preso a quando lo scambio finisce, nella sua pagina c'è una chat fra voi due: serve a mettervi d'accordo, a dirvi «fatto», a chiedere «ti è arrivato?». Oltre al testo puoi mandare foto (jpg, png, webp) e PDF fino a 20 MB, col 📎: partono cifrati dal tuo telefono, le foto senza la posizione e i PDF senza i dati nascosti (autore, programma, date), e se ne vanno con la chat. Il recapito per gli euro resta nel suo riquadro, così non si perde fra i messaggi.

È cifrata fra voi due. Ogni telefono fa nascere a caso una chiave apposta per quello scambio; Barattolo trasporta i messaggi già chiusi. A fine scambio la cancella: i telefoni buttano chiave e messaggi, il nostro server cancella le buste, e nei backup non ci sono mai entrate.

• Barattolo non ti scrive mai qui. Chi nella chat si presenta come «assistenza» è l'altra persona.
• Non uscire dallo scambio per pagare. I link nella chat non si aprono, e sotto un messaggio che ne porta uno, o che ti chiede di spostarti altrove, compare una riga rossa.
• Non mandare codici o chiavi. Per completare uno scambio non servono a nessuno.

Se cambi telefono o browser a metà scambio la chat ti segue, con tutti i messaggi: appena nasce, il telefono lascia sul nostro server una copia sigillata della chiave, chiusa con la chiave di quello scambio. La apre solo chi ha il tuo profilo di scambio, il server la riconsegna solo a te, e a fine scambio sparisce con il resto.

Chi la può aprire. La chat è cifrata fra voi due e Barattolo la trasporta. Se il tuo account è nato su Nostr, Barattolo non la può aprire. Se è nato con Telegram (anche se poi entri con Nostr), il tuo profilo di scambio lo ricava il server: per questo ritrovi scambio e chat su ogni dispositivo, e per questo Barattolo durante lo scambio potrebbe tecnicamente aprirla. Non lo fa. A fine scambio la chat si cancella, per tutti. Il moderatore la legge solo se una di voi due apre una disputa.

In una disputa il moderatore legge la chat solo se una di voi due la apre: è il telefono di chi apre la disputa a dargli la chiave, e glielo diciamo prima del tocco. Legge e non scrive al posto vostro; a disputa chiusa si cancella tutto, come a fine scambio.

Gli avvisi: cosa ti diciamo, e quando

Ad app aperta la pagina dello scambio si muove da sola: la richiesta da pagare, il foglio dove indicare i sats e il passo dopo compaiono appena arrivano — via Tor ci vogliono di solito dieci-venti secondi. Ad app chiusa ti avvisiamo su Telegram o su Nostr, secondo le tue impostazioni.

• Un avviso per ogni passo che ti riguarda, e dice quale: il tuo ordine è stato preso, c'è la garanzia da pagare, i sats sono in garanzia e tocca a te indicare dove riceverli, l'altra persona ha indicato dove ricevere i sats, dice di aver inviato gli euro, chiede di annullare, ha aperto una disputa, il pagamento dei sats non è passato. E alla fine: concluso (con quanto hai ricevuto o pagato, commissione compresa), annullato, tornato nel libro o scaduto.
• «Ti ha indicato dove inviare gli euro: tocca a te», quando chi vende ti lascia il recapito. Il recapito non è nell'avviso: lo leggi qui dentro, cifrato — e prima di inviare gli euro guarda che la pagina dica «Sats in garanzia». Col contanti di persona è «dove e quando vedervi», e se l'appuntamento cambia te lo diciamo.
• «Hai un nuovo messaggio nello scambio», quando l'altra persona ti scrive nella chat e non la stai guardando. Il testo non è nell'avviso: lo leggi qui dentro. Uno per ogni volta che c'è da leggere, non uno per messaggio.
• Niente, per un gesto che hai fatto tu: l'hai già davanti. L'avviso va a chi deve fare il passo dopo, o deve saperlo.

Da dove vengono. A raccontarci i passi è il coordinatore — che facciamo girare noi — nel momento in cui succedono. Ci dice quale ordine, quale passo, e fra quali due chiavi usa-e-getta; degli importi ci dice solo quelli della chiusura. Non ci manda fatture, recapiti né messaggi: quelli restano cifrati fra voi due, e non li vediamo. Se un suo avviso si perde per strada, i passi pubblici — preso, concluso, annullato, scaduto — li leggiamo dal libro, e te li diciamo un minuto dopo.

Gli avvisi si spengono tutti dal cassetto «🔔 Avvisi» del profilo. A scambio aperto conviene tenerli accesi: alcuni passi hanno i minuti contati, e l'avviso dice quanti.

Se qualcosa va storto

Prima di tutto: dai tempo all'altra persona, e scrivile nella chat dello scambio. Quasi sempre è un bonifico che deve arrivare, o qualcuno che dorme.

Annullare d'accordo. Uno dei due propone di annullare, l'altro accetta, e i sats tornano a chi li aveva bloccati. Serve il sì di tutti e due: nessuno si tira indietro da solo dopo che l'altro si è mosso.

La disputa. Si apre quando i sats sono già in garanzia — prima non c'è niente da contendere. Da quel momento lo scambio si ferma: né tu né l'altra persona potete più muovere i sats, e a decidere chi li riceve è un moderatore del coordinatore, cioè di Barattolo: guardiamo le prove di tutti e due e scegliamo. Anche lì le strade restano due — i sats vanno a chi compra o tornano a chi vende — e lo diciamo adesso, invece di lasciartelo scoprire quel giorno.

Tieni le prove di quello che hai fatto: la ricevuta del bonifico, la schermata del pagamento. Sono quelle che guarda chi decide.

Uno scambio fermo sul passo sbagliato. Se la pagina non dice quello che è successo davvero, copia la diagnosi e mandacela: racconta cosa ha visto l'app in questa sessione. Non contiene chiavi, fatture né recapiti.

Chi sei, qui dentro

• ✈️Se il tuo account è nato con Telegram (anche se poi entri con Nostr), il tuo profilo di scambio lo ricaviamo dal tuo account: ti segue da solo fra telefono e computer, e non c'è niente da creare. Il prezzo lo diciamo per intero — il server di Barattolo lo sa ricavare: non lo facciamo e niente nel programma lo fa, ma potremmo.
• 🟣Se il tuo account è nato su Nostr, o se in passato hai reso il tuo profilo di scambio una chiave Nostr tua, quel profilo non lo può ricavare nessuno, noi compresi.
• 🎭Il tuo nome non c'è. Ogni scambio usa una chiave usa-e-getta, diversa ogni volta: nell'ordine pubblico si leggono l'importo e il metodo di pagamento, mai chi sei. Anche dentro l'app, di nomi non ne compaiono.
• 📖Gli ordini sono pubblici. Il libro vive fuori da qui e lo legge chiunque: è così che funziona uno scambio senza padrone. I recapiti e la chat no: sono cifrati fra voi due, e Barattolo non li legge.

Barattolo⚡

Il pagamento protetto

Come fa un mercatino fra sconosciuti a essere sicuro per tutti e due.

Quando compri su Barattolo i tuoi sats non vanno subito al venditore: si fermano in un deposito di garanzia (in gergo escrow) che custodisce Barattolo. Il venditore sa che i soldi ci sono e spedisce tranquillo; tu sai che non si muovono finché l'oggetto non è arrivato davvero.

Cosa succede quando paghi

1. Paghi. Ricevi una invoice Lightning e la paghi col wallet che preferisci — si apre, si incolla o si inquadra il codice. Se hai collegato un wallet con NWC, «⚡ Compra subito» fa tutto in un tocco.
2. I sats si fermano. Appena il pagamento arriva, entrano nel deposito di garanzia. Il venditore riceve l'avviso e prepara l'oggetto: da quel momento sa di essere pagato, ma i sats non sono ancora suoi.
3. Il venditore consegna. Spedisce e segna il corriere, oppure vi mettete d'accordo per il ritiro in zona, oppure — se è un codice o un buono — te lo consegna qui dentro, mai in chat private.
4. Ricevi e confermi. Quando l'oggetto è arrivato ed è come promesso, lo confermi. Solo in quel momento i sats passano al venditore.

Se sei tu a vendere: i sats ti arrivano da soli sul tuo Lightning address — lo imposti una volta nel Profilo, non scade mai, e lo usiamo al momento del pagamento. Se non ne hai uno, quando chi compra conferma ti avvisiamo e in quel momento incolli una fattura nell'ordine. Prima no: una fattura Lightning scade, da un'ora a pochi giorni, e arriverebbe scaduta.

I tempi

• Dopo la consegna hai ore per controllare l'oggetto e confermare. I sats non partono da soli: se allo scadere non hai detto nulla ti mandiamo un promemoria, e se il silenzio continua interviene un moderatore.
• Lo stesso vale se non segni mai la ricezione: dopo giorni dalla spedizione ti scriviamo, ma il deposito resta fermo. Nessuno incassa mentre tu non hai confermato.
• Il codice online ha finestre più corte: ore da quando lo riveli, e ore se il venditore l'ha consegnato e tu non l'hai ancora aperto.
• La invoice del pagamento vive minuti. Se scade non è successo niente: si rifà, e il prezzo si riconverte al cambio del momento.

Se qualcosa va storto

Finché i sats sono nel deposito puoi aprire una disputa dalla pagina del tuo ordine. Il deposito si congela e interviene un moderatore: legge le due versioni, guarda quello che avete (foto, tracking, messaggi) e decide. Le strade sono tre — i sats tornano a te, spedizione compresa; vanno al venditore; oppure tornano a te meno le spese di spedizione, che restano al venditore: è il caso del pacco tornato indietro per un indirizzo sbagliato. Quando l'oggetto va restituito, il rimborso parte dopo che è tornato indietro.

Aprire una disputa non è un'accusa: nella gran parte dei casi è un malinteso che si chiarisce in mezza giornata.

Dove il deposito non può proteggerti

Meglio dirlo prima che scoprirlo dopo.

• Di una prestazione non vediamo niente. Una lezione o una consulenza avvengono fuori di qui — in videochiamata, o di persona — e Barattolo non può sapere se ci sono state. Quello che possiamo guardare, se finite in disputa, sono le condizioni: l'appuntamento era stato concordato da tutti e due? Il collegamento era stato lasciato nell'ordine, e quando? Sono fatti che restano scritti qui dentro, ed è su quelli che un moderatore decide.
  Per questo i sats non si muovono da soli: nessun timer li sblocca, si sbloccano quando chi ha comprato conferma. Se non conferma, decide un moderatore.
• Un codice rivelato non torna indietro. Nessuno — nemmeno noi — può sapere se l'hai già riscattato. Per questo la finestra è di ore: provalo subito. Se non ci sono prove da nessuna delle due parti, la regola di default dà ragione a chi ha consegnato.
  Vale anche al contrario: se il codice non funziona, hai ore per aprire una disputa — e in quel momento i sats sono ancora fermi.
• Un posto su un abbonamento condiviso può sparire dopo. Il piano resta di chi te l'ha venduto: può toglierti il posto, e il fornitore può chiuderlo — quasi tutti chiedono che chi condivide viva sotto lo stesso tetto. È più scomodo di un codice: lì la domanda è «l'ho riscattato o no», qui l'accesso funzionava e poi ha smesso, e Barattolo non può verificare né l'una né l'altra cosa. Provalo subito: la finestra è quella del codice, ore. Dopo, i sats sono usciti.
• Nel ritiro a mano, il controllo è il tuo. Guarda e prova l'oggetto prima di confermare che l'hai ritirato: con la conferma i sats partono al venditore, e non tornano indietro.
• Un punto di ritiro di Barattolo è una persona, non un'azienda. Dietro un locker o una tabaccheria c'è un contratto con un corriere; dietro un punto nostro c'è qualcuno che si è offerto, e con noi non ha firmato niente. Quello che ti diamo è un fatto con una data: quando il punto riceve il pacco lo segna qui dentro, e quel momento resta scritto. Dal banco alla tua mano, invece, non c'è più niente che possiamo verificare — è lo stesso buco del ritiro a mano.
  Se il pacco non arriva, apri la disputa: i sats sono ancora fermi e decide un moderatore. Ma sappi cosa gli risulta: se il punto ha segnato di aver ricevuto il pacco, per noi chi ha spedito ha consegnato. E se un punto sbaglia, l'unica cosa che possiamo fare è toglierlo dalla mappa: non abbiamo un contratto da fargli valere. Vai a ritirare presto, e scegli un punto di cui ti fidi.
• Il pacco perso o rovinato è una cosa fra chi spedisce e il corriere. Barattolo garantisce la transazione: che il venditore non incassi senza aver consegnato e che tu non paghi senza ricevere. L'oggetto in viaggio no — se il corriere lo perde o lo rompe, il reclamo si apre con lui.
• Spedite sempre col tracciamento, e per le cose di valore con la copertura del corriere. Il tracciamento è la prova che l'oggetto è partito ed è arrivato, ed è la prima cosa che guarda un moderatore; la copertura di base, verso i punti di ritiro, è quasi sempre molto bassa.
• Il deposito garantisce l'oggetto promesso, non i gusti. «Non mi piace più» non è un difetto; un oggetto diverso da com'era descritto sì.
• Un indirizzo sbagliato lo paga chi l'ha scritto. Se l'indirizzo che hai indicato è sbagliato e il pacco torna indietro, le spese di spedizione restano a tuo carico. Per questo prima di pagare ti chiediamo di ricontrollarlo, e di confermarlo con una spunta.

Cosa non si può vendere

Su Barattolo non si vendono:

• armi
• droghe
• servizi sessuali
• refurtiva
• contraffazioni
• documenti
• dati personali
• farmaci
• animali protetti

Ogni annuncio passa dalla moderazione, anche quando lo modifichi: se qualcosa non convince, resta in attesa di un moderatore.

Il pagamento, in pratica

Su Barattolo si paga solo in bitcoin, sulla rete Lightning: trasferimenti immediati e con commissioni di rete quasi nulle, anche per pochi euro di valore. Il prezzo lo puoi leggere in sats o in euro con l'interruttore € / ₿ — quello che viaggia sono sempre sats.

Ti serve un wallet Lightning: ne esistono tanti, gratuiti, e ne basta uno. Al pagamento Barattolo ti mostra una invoice: la copi, o inquadri il codice, e il wallet fa il resto. Se colleghi il wallet con NWC (Nostr Wallet Connect) dal tuo Profilo, il bottone «⚡ Compra subito» paga senza passaggi, e nel P2P la fattura per ricevere i sats la fa il wallet da solo — la connessione resta solo sul tuo dispositivo, non arriva mai ai nostri server, e nel wallet puoi darle un tetto di spesa (o, per il solo P2P, il solo permesso di ricevere).

L'indirizzo per la spedizione

Se scegli la spedizione a un indirizzo — casa, ufficio, un amico o un negozio che accetta il pacco per te — lo scrivi al momento dell'acquisto e resta dentro l'ordine: lo vede solo il venditore, per stampare l'etichetta. Non lo pubblichiamo da nessuna parte, non lo usiamo per altro, e i moderatori non lo leggono — nemmeno per decidere una disputa: a loro risulta soltanto se l'hai indicato, quando, e che l'hai confermato.

E non lo conserviamo: lo trasportiamo. Nel database è cifrato, e appena confermi di aver ricevuto l'oggetto viene cancellato — da quel momento l'affare è chiuso e quello che succede fra te e il venditore non ci riguarda più. Se invece l'ordine si chiude senza la tua conferma — un rimborso, una disputa decisa da un moderatore — sparisce entro giorni. Finché l'ordine è aperto resta, perché è lì che serve: se un affare non si chiude mai, l'indirizzo lo aspetta.

La strada che ne chiede di meno è il punto di ritiro: lì un indirizzo tuo non c'è proprio — al banco basta il nome del destinatario, che sceglie il venditore. Puoi lasciare la tua email, se vuoi che il codice di ritiro te lo mandi il corriere invece del venditore: è facoltativa, non è mai una condizione per comprare, e sparisce con l'ordine.

Dove stanno i sats, e per quanto

I sats restano bloccati in un conto Lightning della piattaforma per il tempo dell'affare, e non un minuto di più: dal pagamento alla conferma. Non è un conto tuo, non è un investimento, non li mettiamo a rendere da nessuna parte. Quando l'affare si chiude, escono — al venditore o a te.

Se Barattolo sparisse

Oggi il mercatino gira su un server solo, con un database solo. Non è ridondato in altre nazioni: se lo spegnessero, Barattolo si fermerebbe. Meglio dirlo prima che chiederlo.

Quello che non si ferma con lui:

• ⚡I sats. Il deposito non vive qui dentro: sta su un nodo Lightning nostro, separato dal server, e la sua seed è custodita offline. Il gestionale che lo comanda è ospitato da terzi; il nodo e la seed no.
• 🟣Gli annunci. Vanno su Nostr (NIP-99) ed esistono sui relay indipendentemente da noi. Se hai una chiave Nostr tua, provata, l'annuncio esce sul tuo account — a firmarlo è il tuo browser, la chiave non passa mai di qui — e resta tuo anche se Barattolo non c'è più. Se non ce l'hai lo firma la nostra: resta leggibile in piazza, ma a governarlo siamo noi. La chiave si collega dal Profilo, ed è il motivo per cui abbiamo scelto Nostr dal primo giorno.
• 📖Il codice. È la cosa più facile da rimettere in piedi altrove.
• 💾Lo storico degli ordini e la reputazione che ci avete costruito. Vivono in un posto solo, ma sono salvati ogni giorno, con copie cifrate anche fuori dal server.

L'app Android: controlla che sia nostra

Barattolo si installa anche come app per Android, da Zapstore o dalle release su GitHub (con Obtainium si aggiorna da sola). Dentro non c'è niente di diverso dal sito: è una finestra su barattolo.store.

Per essere sicuro che quella che hai sia proprio la nostra, e non una copia che le somiglia, controllala con AppVerifier: incolla queste due righe, il nome tecnico dell'app e l'impronta del certificato con cui la firmiamo. Se non combaciano, non aprirla e scrivici.

store.barattolo.app
2F:3F:5E:68:94:AB:A0:B8:E4:39:B7:28:9D:55:50:D5:0E:22:37:15:F3:A8:E6:4F:2C:49:38:BC:D5:A2:C2:3C

Barattolo⚡

I tuoi dati

Cosa sappiamo di te, per quanto tempo, e chi lo legge.

La risposta corta è: pochissimo. Per stare su Barattolo non ci lasci un'email, non scegli una password, non ci dai un numero di telefono. Entri con Telegram o con una chiave Nostr, e tutto il resto sono le cose che servono a fare un affare — quasi tutte le scrivi tu, quando servono, e alcune le cancelliamo da soli appena l'affare è finito.

Chi sei, per noi

Se entri da Telegram riceviamo quello che Telegram dà a tutte le sue Mini App: un numero identificativo, il tuo nome e lo username se ce l'hai. Se hai una foto profilo ne teniamo una copia nostra, piccola — mai un link ai file di Telegram, che portano dentro il token del bot e scadono. Se la tua foto è nascosta ai non-contatti, resta l'iniziale: quello è il tuo modo di dire no, e vale.

Se entri da Nostr riceviamo la tua chiave pubblica, e basta. La chiave privata non ce l'abbiamo mai: quando serve una firma la fa il tuo browser, o il tuo bunker, e quello che arriva qui è già firmato.

Password non ne abbiamo perché non esistono: la porta la apre Telegram, oppure una firma tua. Non c'è niente da rubarci che ti apra l'account.

Cosa nasce mentre usi il mercatino

• I tuoi annunci: sono pubblici per definizione — è il loro mestiere.
• I tuoi ordini: cosa hai comprato o venduto, quanto, quando, e come è andata.
• Il tuo Lightning address, se lo imposti per incassare da solo: è un nome@dominio, come una mail, e ce l'abbiamo in chiaro — è lì che ti mandiamo i sats quando un affare si chiude, quindi dobbiamo poterlo leggere. Non esce da nessuna parte: non lo vede chi compra, non lo vedono i moderatori.
• La fattura che incolli per incassare, se l'address non lo usi: si incolla solo al momento dell'incasso — nel Profilo non se ne salva nessuna, perché una fattura scade e vale per un pagamento solo — e resta scritta in quell'ordine, come ricevuta di dove sono andati i sats.
• La tua reputazione: voti ricevuti, distintivi, il livello, e gli XP, che contano il commercio — quanto hai comprato e venduto, più una piccola parte di quello delle persone che hai invitato, da quando quelle che commerciano sono almeno tre.
• Gli inviti: il tuo codice e, se sei arrivato con un invito, chi ti ha invitato. A chi ti ha invitato non diciamo mai chi sei: vede quante persone ha portato, e i punti che gli hanno fruttato tutte insieme gli arrivano — nel cassetto, nel suo totale, nel livello e in classifica — solo quando quelle che commerciano sono almeno tre: prima restano da parte, e lui vede soltanto che ci sono, senza la cifra. Un limite onesto: se ha invitato soltanto te, la riga «punti in attesa» gli dice che hai cominciato a commerciare — non quanto.
• La tua posizione in classifica, se ci entri: lì di te si vedono nome, foto, titolo, media dei voti, da quante persone, quanti affari e il punteggio. Il punteggio mette insieme la media e il commercio, quindi da lì si può ricavare quanto hai commerciato — è una scelta presa sapendolo, perché senza quel numero l'ordine della lista non si legge. Gli XP in chiaro invece non escono mai, e nemmeno il tuo identificativo. Se non vuoi comparire, nel Profilo («Livello e titolo») c'è Non mostrarmi in classifica: il tuo livello resta sul profilo, perché a chi scambia con te serve per fidarsi. E se la tua reputazione la pubblichiamo su Nostr (vedi sotto), smettiamo e chiediamo ai relay di ritirarla.
• Il tuo barattolo, cioè gli annunci che hai messo da parte. Di questi si vede quanti l'hanno salvato, mai chi: nemmeno chi vende sa che sei stato tu — a meno che tu non condivida il barattolo col suo link, che è un gesto tuo: la voce qui sotto dice cosa comporta.
• I tuoi avvisi di ricerca, se ne crei: cosa cerchi, dove, entro che prezzo.
• Gli avvisi del mercatino, se li accendi (sono spenti di serie): le categorie e il prezzo massimo che hai scelto per «🛒 Avvisami dei nuovi annunci», e i venditori che segui — che non lo sanno: nessuno vede chi lo segue, né quanti. E per ogni annuncio di cui ti abbiamo avvisato, il suo numero accanto al tuo, per non avvisarti due volte: se ne va da solo dopo un mese.
• Il tuo carrello, se ne componi uno: quali oggetti e quanti, di un venditore solo, così lo ritrovi quando rientri. Dentro non c'è l'indirizzo né la consegna — quelli nascono nella cassa — e chi vende non lo vede.

Il barattolo condiviso

Il barattolo resta privato finché non decidi tu: dal Profilo puoi creare un link che mostra la lista delle cose che hai messo da parte. È come pubblicare una lista di desideri — chi apre il link vede cosa ti interessa comprare, anche un venditore con cui stai trattando se il link gli arriva. Va fatto sapendolo, e te lo diciamo lì, prima del tocco che crea il link.

La pagina del link non fa il tuo nome: niente nome, niente foto, niente negozio. Chi lo riceve da te sa di chi è, ma un link girato a terzi non lega la lista a una persona. E mostra una fotografia, non il barattolo vivo: quello che salvi dopo non si vede finché non la aggiorni tu, con un gesto.

La revoca è un tocco e il link muore subito: la pagina si rilegge dai nostri dati a ogni apertura, non c'è una copia che sopravviva. Tre limiti onesti, però: chi aveva la pagina già aperta la vede finché non ricarica; l'anteprima del link che Telegram o WhatsApp tengono in cache può durare qualche giorno, ma mostra solo il titolo generico — la lista, in quell'anteprima, non c'è mai entrata; e uno screenshot resta, come per ogni cosa pubblicata. Se un domani ricondividi, il link sarà nuovo: quello vecchio resta morto.

Quello che chiediamo solo quando serve

Cinque cose non ce le dai per stare qui: te le chiediamo nel momento esatto in cui servono a un affare, e vivono dentro quell'ordine — tranne una, che puoi scegliere di tenerti.

• L'indirizzo di spedizione, se scegli la spedizione a un indirizzo. Lo vede solo chi ti vende, per stampare l'etichetta. Ricontrollalo prima di pagare: se è sbagliato e il pacco torna indietro, le spese di spedizione restano a tuo carico.
• Il punto di ritiro che scegli, se preferisci quella strada — lì un indirizzo tuo non c'è proprio. Questo, se vuoi, puoi anche tenertelo nel profilo per non riscriverlo ogni volta: è l'unica delle cinque che si può salvare, e la ragione è che un punto di ritiro è un luogo pubblico — un locker, una tabaccheria — mentre casa tua no. Lo salvi con un tocco quando compri, mai da solo, e lo togli quando vuoi.
  Un punto di Barattolo è un luogo pubblico anche lui, ma con una differenza che vale la pena sapere: dietro il banco c'è una persona, che vede il pacco, legge il nome sull'etichetta e ti vede in faccia quando passi. Un locker non fa niente di tutto questo. Quello che il punto non sa è cosa c'è nel pacco e chi te l'ha venduto: da noi riceve un codice e basta.
• Il codice di un buono o di un prodotto digitale, che chi vende consegna qui dentro invece che in chat.
• La tua email, se scegli il punto di ritiro e vuoi che il codice del locker te lo mandi direttamente il corriere. È facoltativa: senza, il codice arriva a chi vende, che te lo passa qui dentro. La legge solo chi ti vende, per stampare l'etichetta, e sparisce con l'ordine come l'indirizzo. Il numero di telefono non te lo chiediamo mai, nemmeno qui.
• La nota che scrivi a chi vende, se la scrivi: la taglia, il numero, la variante. È facoltativa, e a differenza dell'indirizzo e dell'email resta nell'ordine — non la cancelliamo, perché è parte di quello che vi siete detti. Scrivici quello che serve per prepararti l'oggetto, non il tuo recapito: per quello ci sono i campi qui sopra.

L'indirizzo lo trasportiamo, non lo conserviamo. Appena confermi di aver ricevuto l'oggetto viene cancellato, senza aspettare nessuna scadenza: da quel momento l'affare è chiuso e quello che succede fra te e chi vende non ci riguarda più. Se l'ordine si chiude senza quella conferma — un rimborso, una disputa decisa da un moderatore — sparisce entro giorni.

Ma se l'ordine non si chiude mai, il tuo indirizzo resta lì. Non c'è nessun timer che lo cancelli comunque, ed è una scelta: finché un affare è aperto quell'indirizzo è l'unica cosa che permette a chi vende di spedirti il pacco, e cancellarlo vorrebbe dire chiudere l'affare al posto tuo. Non è un caso raro — un venditore che sparisce, un pacco che non parte — ed è la coda che finisce sotto gli occhi di un moderatore. Fino ad allora l'indirizzo aspetta insieme all'ordine.

Se vuoi che sparisca, la strada è chiudere l'affare: confermare la ricezione, o aprire una disputa.

Cosa vuol dire «cifrato»

Vuol dire al riparo da un database rubato, non da noi. L'indirizzo di spedizione, il codice di ritiro della busta e il contenuto di un buono digitale non stanno in chiaro: sono cifrati, e la chiave non è dentro il database. Se qualcuno ne rubasse una copia — un backup, il file del database — quelle tre cose resterebbero illeggibili.

La chiave però sta sullo stesso server che ti risponde, perché è lì che serve per mostrare l'indirizzo a chi vende quando apre l'ordine. Quindi finché quel dato è lì, il server lo può leggere — e chi amministra il server anche. Non lo facciamo e non abbiamo nessuno strumento che lo faccia; nei log restano le impronte e mai i contenuti, e i messaggi d'errore sono scritti apposta per non contenere un CAP. Ma è una promessa nostra, non una garanzia della matematica.

L'unica garanzia vera è che il dato duri poco. È per questo che l'indirizzo si cancella da solo, invece di restare lì «tanto è cifrato».

Per quanto teniamo le cose

• L'indirizzo di spedizione: fino alla tua conferma, o giorni dalla chiusura senza conferma. Qui sopra c'è la storia per intero.
• L'email per il corriere: la stessa cosa, e con la stessa scopa — sparisce insieme all'indirizzo, alle stesse condizioni.
• La sessione del browser, se entri dal web: giorni, poi si rientra. Nel database non c'è il tuo accesso ma solo la sua impronta.
• L'accesso da dentro Telegram vale ore: dopo, riaprendo l'app, se ne fa uno nuovo.
• La memoria di quali avvisi ti abbiamo già mandato: giorni, così lo stesso annuncio non ti risuona addosso.
• Il carrello: giorni dall'ultima volta che lo tocchi, poi se ne va da solo. Prima, se lo svuoti tu o se paghi un ordine dello stesso venditore.
• La fattura di un pagamento vive minuti. Se non la paghi, l'ordine non è mai esistito.
• I punti di ritiro che salvi: finché non li togli. Li trovi nel Profilo, in «📍 Punti di ritiro», con una ✕ accanto a ognuno.
• Il tuo Lightning address, se l'hai impostato: finché non lo togli. Sta nel Profilo, in «Incassi e pagamenti», col suo bottone.
• La nota che scrivi a chi vende: resta nell'ordine, come il resto di quello che vi siete detti. Finché il pacco non parte puoi cambiarla o toglierla dall'ordine stesso.
• Il codice sconto che usi: il suo nome resta scritto nell'ordine — è la ricevuta dello sconto che hai avuto, per te e per chi vende.

Tutto il resto non ha una scadenza, e non è una dimenticanza: annunci, ordini, voti e reputazione sono la memoria degli affari fatti, e servono a te quanto a chi commercia con te — una recensione che sparisce dopo un anno non è una recensione. Un ordine concluso puoi nasconderlo dalla tua lista quando non vuoi più vederlo: sparisce dalla vista, la riga resta.

Chi legge cosa

• Chiunque, anche senza entrare: i tuoi annunci, il tuo nome e username, la tua chiave Nostr se l'hai dichiarata, il tuo negozio, i voti e i distintivi. Il numero identificativo di Telegram non esce mai.
• Chi compra e chi vende, dentro il loro ordine: quello che serve a portarlo a termine, l'indirizzo e il codice compresi.
• I moderatori, quando si apre una disputa: vedi qui sotto.
• Noi, nei limiti scritti qui sopra: il server può leggere quello che ha, finché ce l'ha.

Cosa vede un moderatore

Il tuo indirizzo non lo legge. Quando si apre una disputa un moderatore guarda l'ordine per decidere, e del tuo indirizzo non vede niente nemmeno lì: gli risulta soltanto se l'hai indicato e quando, mai una riga di quello che hai scritto. Lo stesso vale per il nome e il codice di ritiro della busta e per il documento del corriere: quelli li leggono solo chi compra e chi vende.

La tua email per il corriere non la legge. Vale la stessa regola dell'indirizzo, per la stessa ragione: gli risulta soltanto se l'avevi lasciata e quando, che è quello che gli serve per capire da dove doveva arrivare il codice. Il valore no.

Il contenuto di un buono o di un codice digitale invece sì. Se apri una disputa su un acquisto digitale, il moderatore lo legge. Non c'è modo di decidere quella lite senza guardarlo — è l'oggetto stesso del contendere, e chi la apre di solito dice proprio che quel codice non funziona.

E la nota che hai scritto a chi vende, sì. Se una disputa dice «avevo chiesto la taglia L», quella nota è la lite: senza leggerla non c'è modo di decidere. Vale la regola di sopra al contrario — un moderatore che apre un ordine la legge, in disputa o quando lo cerca per numero. È anche il motivo per cui il campo dice, mentre lo scrivi, di non usarlo per il tuo recapito.

Fuori dalle dispute quel contenuto non lo legge nessuno tranne te e chi te l'ha venduto. Se non vuoi che lo veda nessun altro, la strada è non aprire la disputa.

Cosa esce da qui

• ✈️Telegram. Gli avvisi te li mandiamo col bot, quindi Telegram vede che ti abbiamo scritto e cosa c'è nel messaggio. Per questo gli avvisi su indirizzo, busta e codici sono scritti vuoti apposta: dicono «apri l'ordine», mai il contenuto. E i bottoni per scrivere alla controparte ti portano fuori, in una chat di Telegram: quella conversazione è vostra e di Telegram, non nostra — non la leggiamo, non ce l'abbiamo, e in una disputa non possiamo usarla.
• 🟣Nostr. Gli annunci vanno sui relay, che in gran parte sono di altri — e uno è nostro, relay.barattolo.store: lì la copia degli annunci ce l'abbiamo anche noi, ma non è un privilegio, perché quella copia ce l'ha chiunque apra uno qualsiasi degli altri relay. Da noi leggere è aperto a tutti; scrivere no, e possono farlo solo Barattolo e chi ci ha dimostrato la propria chiave Nostr. Ritirare un annuncio manda anche la richiesta di cancellarlo, e i relay che la rispettano lo tolgono — ma nessuno può garantire che l'abbiano fatto tutti, il nostro compreso: nemmeno sul relay di casa possiamo promettere quello che sugli altri non possiamo. Se hai verificato la tua chiave, sui relay va anche la tua reputazione — livello, XP e affari conclusi — firmata da noi (è il kind 30382): con «Non mostrarmi in classifica» smettiamo di pubblicarla e chiediamo di ritirarla, con lo stesso limite degli annunci. Quello che finisce su Nostr non torna indietro. È il prezzo della piazza aperta, ed è la stessa proprietà che rende il tuo annuncio tuo anche il giorno che Barattolo non ci fosse più.
• ⚡Il nodo dei pagamenti. Quando paghi, la fattura porta il numero dell'annuncio e il suo titolo — mai chi sei.
• 🤖L'intelligenza artificiale che controlla gli annunci: le arriva il testo dell'annuncio — titolo e descrizione — e mai chi l'ha scritto. Quello che scrivi nella barra di ricerca non le arriva mai: la ricerca è un indice di casa, e la tua domanda non esce da qui.
• 💱Il cambio euro/bitcoin, che chiediamo noi una volta al minuto e non il tuo browser: così nessun terzo sa che stai guardando un prezzo.

Il profilo di scambio P2P

Per scambiare sats in euro con altre persone lo scambio passa da un coordinatore (il programma si chiama Mostro, e a farlo girare è Barattolo, sul nostro nodo), e per riconoscerti lì serve un profilo di scambio. Nasce e funziona da solo: dentro l'app non c'è niente da creare né da gestire. Qui sotto diciamo per intero da dove viene e chi lo può ricavare, perché dipende da dove è nato il tuo account, non da come entri.

Se il tuo account è nato con Telegram (anche se poi entri con Nostr), il profilo lo ricaviamo noi dal tuo account: così è lo stesso dal bot, dal sito e dall'app, e torna da solo su un telefono nuovo senza che tu debba salvare niente. Il prezzo lo diciamo per intero: quel profilo il server di Barattolo lo sa ricavare, quindi in linea di principio potrebbe firmare uno scambio al posto tuo. Non lo facciamo, e non c'è niente nel programma che lo faccia — ma potremmo, e questo è l'unico posto di Barattolo in cui possiamo dirlo di un tuo segreto. Per ricavarlo servono due cose insieme, una nella configurazione del server e una nel database: chi si portasse via una sola delle due non ricaverebbe nulla.

Se il tuo account è nato su Nostr, il profilo non lo può ricavare nessuno tranne te, noi compresi, ed è lo stesso ovunque perché ce l'hai tu. Vale anche se in passato hai reso il tuo profilo di scambio una chiave Nostr che è tua, dovunque sia nato l'account: resta così, e questa strada resta nel patto anche se oggi non ha più un gesto dentro l'app.

Per fartelo ritrovare su ogni dispositivo, il tuo browser ne mette una copia cifrata sui relay Nostr — i tuoi, quelli pubblici che usa Barattolo e il nostro: la apre solo la tua chiave, noi no, e sul nostro server non ce n'è nessuna. Il prezzo lo diciamo per intero: chi legge quei relay vede che la copia esiste ed è tua, non cosa contiene. «Dimentica il profilo» la toglie anche da lì: la sostituisce con una vuota e chiede ai relay di cancellarla. Non possiamo garantire che tutti obbediscano: su un relay che non lo fa può restare la copia vecchia, sempre cifrata, e resta visibile che una copia c'è stata.

Negli altri casi — un profilo nato nel browser prima che arrivasse quello del conto — il profilo vive sul dispositivo e non lo può ricavare nessuno. Dentro Telegram ne salviamo una copia nel cloud del tuo account Telegram, così sopravvive alla cache svuotata e ti segue fra telefono e computer: chi ha il tuo account Telegram ce l'ha anche lui — è già così per tutto Barattolo — e Telegram potrebbe leggerlo, che è il prezzo. Il codice segreto serve a portare il profilo fuori da Barattolo, in un altro programma che parla con lo stesso coordinatore.

In tutti e tre i casi il server conosce la parte pubblica del profilo e le chiavi usa-e-getta di ogni scambio, per poterti avvisare quando c'è una novità, e da settembre 2026 anche a che numero di scambio sei arrivato: serve a non riusare due volte la stessa chiave usa-e-getta quando apri Barattolo da un dispositivo nuovo, ed è un dato che dai conti che teneva già si sarebbe comunque ricavato. Dal foglio qui sotto il codice segreto lo vedi e lo copi, e il profilo lo dimentichi; dimenticandolo si cancella anche la parte pubblica che il server teneva.

Dal 16 settembre 2026 il server annota anche quali ordini pubblichi e quali prendi, per avvisarti con i numeri quando lo scambio si muove (preso, concluso, annullato, tornato in vetrina): sono i passaggi pubblici del libro, e la cifratura dei messaggi non si tocca. Dal 12 ottobre 2026 chi scambia da Barattolo è riconosciuto dall'altra persona con qualunque modo di entrare — Telegram, nsec, bunker o estensione: la presa si annota, chi ha pubblicato vede il suo profilo e le due parti possono recensirsi. Il collegamento fra la chiave dello scambio e l'account lo sa solo il server, e lo mostra solo all'altra parte di quello scambio: mai in pubblico, mai sui relay. Non c'è un interruttore: chi vuole restare anonimo entra con una chiave Nostr nuova, che per l'altra persona è un'altra persona. Gli scambi di prima del 12 ottobre 2026 restano come erano (dal 17 settembre al 12 ottobre chi entrava da Nostr era anonimo di serie, e quella promessa resta valida sul passato). Riconosciuto dall'altra persona, e dal server: come per tutti, il coordinatore ci dice fra quali due account è lo scambio (è la cronaca dei quaranta giorni, più sotto), e dal 10 ottobre 2026 l'esito dello scambio si scrive sul suo account — completato, o non completato se ha preso e non ha fatto il primo passo — col numero dell'ordine, per circa quattrocento giorni. Gli avvisi si spengono tutti dal cassetto «🔔 Avvisi» del profilo.

Dal 9 ottobre 2026, se accendi «🔔 Avvisami dei nuovi ordini P2P» (spento di serie), il server conserva le tue preferenze — quali tipi di ordine e da quale convenienza in su — e, per ogni ordine di cui ti ha avvisato, il suo numero accanto al tuo: serve a non avvisarti due volte dello stesso, e se ne va da solo dopo la finestra del libro. Chi ha pubblicato quegli ordini non lo sa. «Dimentica il profilo» porta via anche quelle righe.

Dal 18 settembre 2026 gli avvisi sugli scambi nascono dal coordinatore, che facciamo girare noi: a ogni passo di uno scambio dice al server di Barattolo quale ordine, quale passo, fra quali due chiavi usa-e-getta, e chi dei due ha fatto il gesto — e da lì il server avvisa l'altra persona, con una frase che dice cosa è successo. Il prezzo lo diciamo per intero: il server ora sa a che punto è ogni scambio, e per chi usa Barattolo sa fra quali due account (le chiavi usa-e-getta le conosceva già). Non riceve gli importi, tranne i tre della chiusura — quanto valeva lo scambio, quanto è andato a chi compra e quanto ha bloccato chi vende, che servono alla frase «scambio concluso» — e non riceve mai fatture, recapiti né messaggi: quelli restano cifrati fra voi due. Questa cronaca si cancella da sola dopo quaranta giorni, e subito se dimentichi il profilo. Con questo è sparito l'avviso generico «Novità in un tuo scambio», e con lui due cose che esistevano solo per farlo funzionare: il server non guarda più sui relay le buste cifrate che il coordinatore ti manda, e il tuo telefono non gli dice più «sto facendo un gesto». Una cosa il telefono continua a dirla, solo se vendi: «ho indicato all'altra persona dove ricevere gli euro», col numero dell'ordine — serve ad avvisarla che tocca a lei, perché quel passo il coordinatore non lo vede. Il recapito non passa da noi: l'IBAN, il RevTag o il numero viaggiano cifrati fra i vostri due telefoni, e nell'avviso non ci sono. I recapiti sono cifrati fra voi due. Se il tuo account è nato su Nostr, Barattolo non li può aprire. Se è nato con Telegram (anche se poi entri con Nostr), il tuo profilo di scambio lo ricava il server: per questo Barattolo potrebbe tecnicamente aprirli. Non lo fa. E dallo stesso giorno il recapito che hai ricordato non parte più da solo: lo trovi già scritto, e parte quando lo invii tu.

Dal 10 ottobre 2026, di ogni scambio chiuso — concluso o annullato — e di ogni ordine scaduto o ritirato senza essere preso, teniamo anche oltre i quaranta giorni i conti: il numero dell'ordine (che è pubblico), le date, come è finito, gli importi della chiusura, il metodo di pagamento e la cifra in euro del libro. Senza le persone: in quel registro non c'è il tuo account né una tua chiave, e chi ha scambiato con chi continua a cancellarsi come detto qui sopra. Il legame fra un ordine e te resta quello che il server annota già — quali ordini pubblichi e quali prendi — e «dimentica il profilo» lo cancella come sempre. Serve a sapere quanto lavora il servizio e quanto incassa di commissioni, e lo leggono solo gli amministratori di Barattolo.

Dal 10 ottobre 2026 teniamo, legato al tuo account, come sono finiti i tuoi scambi: una riga per ogni scambio completato — a tutte e due le parti — e una per ogni scambio non completato, che si conta a chi ha preso un ordine e non ha fatto in tempo il suo primo passo (bloccare la garanzia se vende, dire dove ricevere i sats se compra), tanto che l'ordine è tornato in vetrina. Mai a chi ha aspettato, mai a chi si ritira prima che lo scambio parta. Dal 12 ottobre 2026, dove il servizio di scambio dà a chi pubblica più tempo di chi prende, si conta anche a chi ha pubblicato un ordine e, quando glielo prendono, non risponde in tempo o annulla dopo la presa: una sola volta per ordine, e mai se la presa è arrivata mentre i suoi ordini erano in pausa o nella mezz'ora prima. Di ogni presa rimasta senza risposta teniamo comunque una riga, che serve al segno «⚡ Risponde in fretta»: compare accanto al nome di chi, negli ultimi 30 giorni, ha concluso almeno tre scambi pubblicati da lui con tre persone diverse rispondendo di solito entro dieci minuti, e sparisce alla prima presa lasciata senza risposta. Si conta come non completato anche lo scambio in cui la garanzia arriva a scadenza (circa quattro giorni) perché chi compra non ha mai segnato gli euro come inviati, pur avendo ricevuto il recapito a cui mandarli. Se un tuo tentativo ti ha scusato teniamo una riga anche per quello, perché la scusa vale una volta ogni 30 giorni. E se un moderatore, chiudendo una disputa, segna la colpa a chi l'ha persa, teniamo una riga «disputa persa»: compare come «⚖️ N dispute perse» negli stessi posti del contatore, per 90 giorni e già dalla prima; in quei 90 giorni chi pubblica con un filtro non ti accetta, e quello scambio non vale come completato a chi l'ha persa. Chi la perde lo viene a sapere subito, nel messaggio che chiude la disputa. Ogni riga dice il numero dell'ordine, quando, se compravi o vendevi e com'è finita: niente importi. A cosa serve: al contatore «⚠️ N non completati», che conta solo gli ultimi 90 giorni e compare dal secondo (il primo si tollera), e al filtro di chi pubblica — «solo chi ha almeno 1, 3 o 5 scambi P2P completati» —, che guarda quanti ne hai completati e se ne hai di non completati negli ultimi 30 giorni. Chi lo vede: il contatore, quando c'è, lo vede chi vede te — accanto al tuo nome sugli ordini che pubblichi, nella pagina dello scambio o dell'ordine per l'altra persona, e nella pagina del tuo negozio; quanti scambi hai completato, dal 10 ottobre 2026, lo vede anche chi vede te, negli stessi posti («✅ 12 scambi P2P completati», accanto alle stelline): è il numero che aiuta chi sta per scambiare a decidere di chi fidarsi. Quanti ne hai di non completati sotto la soglia della scritta resta tuo, e chi pubblica col filtro non riceve altri numeri: se puoi prendere quell'ordine lo decide il server, e lo dice a te. Un giorno dopo la chiusura di uno scambio, se non hai lasciato la recensione, ti arriva un solo promemoria. Per quanto: circa quattrocento giorni, poi ogni riga si cancella da sola. Vale anche se entri con una chiave Nostr e prendi senza farti riconoscere: all'altra persona continuiamo a non dire chi sei, ma l'esito si scrive sul tuo account come per tutti. Perché uno scambio in cui ci hai provato non ti venga contato, il telefono ci dice anche i tentativi — hai aperto o copiato la richiesta della garanzia, toccato «Apri nel wallet», mandato una fattura che il coordinatore ha accettato o rifiutato, o incollato una che il telefono ha scartato: il gesto, mai la fattura né il pagamento —, e quelli se ne vanno con la cronaca, dopo quaranta giorni. «Dimentica il profilo» cancella subito i tentativi ma non gli esiti: sono del tuo account, come le recensioni, e non è da lì che ci si toglie un contatore.

La pausa degli ordini, se la imposti, sta legata al tuo account: i giorni, le ore e il nome del tuo fuso orario (per esempio «Europe/Rome»), e niente altro. Serve a non far prendere i tuoi ordini dal libro di Barattolo nelle ore che hai scelto (restano visibili, in grigio), e a non contarti una presa arrivata mentre eri in pausa. Non esce da Barattolo, resta finché non la togli, e se ne va subito se dimentichi il profilo.

Il paracadute, se lo apri pubblicando un ordine, sta su quell'ordine: la soglia che hai scelto, il prezzo di BTC che avevamo in quel momento e, se si apre, quando e a che prezzo. Serve a togliere l'ordine dal libro di Barattolo se il prezzo si muove oltre la soglia; l'annullamento vero lo firma il tuo telefono, noi quella firma non la facciamo. Se dimentichi il profilo di scambio lo cancelliamo.

Se togli uno scambio chiuso con la ✕, il server ricorda il numero dell'ordine e quando l'hai tolto, così sparisce anche dagli altri tuoi dispositivi. Si cancella da solo dopo quaranta giorni, e subito se dimentichi il profilo.

Dal 17 settembre 2026, quando un ordine viene preso, le due parti si vedono: chi ha pubblicato e chi ha preso vedono il profilo l'uno dell'altra — lo stesso che sta già sotto ogni annuncio del mercatino: nome, foto, stelline, livello e titolo — e i bottoni per scriversi su Telegram o su Nostr, ma solo dove quei canali esistono davvero (la npub soltanto se ne hai dimostrato il possesso). Prima della presa non si vede niente, e non c'è nessun altro modo di chiederlo: a questa domanda il server risponde solo a una delle due parti di quello scambio. Il perché è che dall'altra parte c'è una persona a cui stai per mandare dei soldi veri, e un volto con una reputazione è quello che rende pesabile la fiducia — la stessa ragione per cui nel mercatino chi vende ha un nome. Te lo diciamo prima: nel foglio dove pubblichi e in quello dove prendi. Al posto dei campi dove prima ci si scriveva il proprio contatto a mano, che non erano verificati da nessuno.

Negli scambi l'altra persona vede il tuo profilo Barattolo: il nome e la foto che hai scelto, le recensioni, il livello, da quanto sei iscritto, gli scambi completati e non completati e, se li hai, il tuo @username Telegram e la tua chiave Nostr (npub), così potete scrivervi. Non vede mai il tuo numero di telefono, da dove ti colleghi, i tuoi recapiti né cosa hai comprato. Se vuoi scambiare senza profilo, entra con una chiave Nostr nuova. Vale con qualunque modo di entrare: anche chi entra con una chiave Nostr è riconosciuto dall'altra persona come tutti (dal 12 ottobre 2026) — chi ha pubblicato vede il suo profilo, e le due parti possono recensirsi. Una chiave Nostr nuova, per l'altra persona, è un'altra persona: non c'è un interruttore, e non c'è un modo di scambiare da Barattolo senza farsi vedere dall'altra parte. L'esito dello scambio si scrive sul suo account come per tutti — è il paragrafo qui sopra sugli esiti degli scambi —, e se arriva al contatore «⚠️ N non completati» quello compare dove compare lui: nella pagina del suo negozio e sugli ordini che pubblica. Gli scambi già presi prima del 12 ottobre restano come erano, e a cancellare il pregresso c'è «dimentica il profilo» — che toglie le prese annotate, non gli esiti. Chi entra con una chiave e pubblica, invece, si mostra — col profilo che ha qui, cioè il nome e la foto della sua chiave: è così da quando le card del libro hanno un volto, e il foglio dove si pubblica lo dice prima.

Dal 12 ottobre 2026, dentro ogni scambio preso c'è una chat. La chat è cifrata fra voi due e Barattolo la trasporta. Se il tuo account è nato su Nostr, Barattolo non la può aprire. Se è nato con Telegram (anche se poi entri con Nostr), il tuo profilo di scambio lo ricava il server: per questo ritrovi scambio e chat su ogni dispositivo, e per questo Barattolo durante lo scambio potrebbe tecnicamente aprirla. Non lo fa. A fine scambio la chat si cancella, per tutti. Il moderatore la legge solo se una di voi due apre una disputa. Per intero. Ogni telefono fa nascere a caso una chiave usa-e-getta per quello scambio: non si ricalcola da niente. Perché tu ritrovi la chat se cambi telefono o browser, o se la memoria del browser si svuota, il telefono ne lascia sul nostro server una copia sigillata, chiusa con la chiave di quello scambio: la apre solo chi ha il tuo profilo di scambio, e il server la riconsegna solo a te — mai all'altra persona, mai a un moderatore. È qui la differenza, e conta dove è nato l'account, non come entri: il profilo di scambio di un account nato su Nostr lo ha solo lui; quello di un account nato con Telegram lo ricava il nostro server dall'account — anche quando poi entri con una chiave Nostr collegata —, ed è per questo che torna da solo su ogni dispositivo. I messaggi arrivano al nostro server già chiusi. Di ognuno il server vede su quale scambio, chi dei due l'ha spedito, a che ora, quanto pesa e fin dove l'altra persona ha ritirato: gli serve per consegnarlo e per avvisare. Il testo no. Lo stesso per le foto e i PDF che vi mandate (dal 16 ottobre 2026): partono cifrati dal telefono, con una chiave a caso che viaggia dentro il messaggio; del file il server vede solo quanto pesa, e lo cancella con la chat. Le foto partono ridisegnate, senza la posizione né gli altri dati della fotocamera; i PDF riscritti senza autore, programma, date e identificativo. L'avviso «hai un nuovo messaggio» non porta il testo. A scambio finito — concluso, annullato, o quando chi vende ha liberato i sats — i due telefoni buttano chiave e messaggi e il server cancella le buste, le copie sigillate e quegli orari: stanno in un archivio a parte che non entra nei backup, e nel registro del server non resta una riga per messaggio, solo quella di un avviso partito. Se una di voi due apre una disputa, il suo telefono chiude la chiave di lettura in una busta per i moderatori — lo legge scritto prima di confermare —; la apre solo il moderatore che prende la disputa, che legge e non può scrivere al posto vostro, e a disputa chiusa si cancella tutto allo stesso modo. Quello che non possiamo cancellare: quel che l'altra persona ha copiato o fotografato dal suo schermo.

Le conversazioni fuori da Barattolo non sono nostre: se vi scrivete su Telegram o su Nostr quella chat è vostra e di chi la trasporta — non la leggiamo, non ce l'abbiamo, e in una disputa non possiamo usarla. A decidere sono i fatti dello scambio: chi ha bloccato i sats, chi ha detto di aver mandato gli euro, chi li ha liberati.

Dal 10 ottobre 2026, negli scambi in contanti di persona, ci sono «📍 Sono qui» e l'appuntamento. «Sono qui» lo tocchi tu, se e quando vuoi: il server riceve una nota firmata con la tua chiave usa-e-getta, con l'ora e — solo se il telefono la dà — la posizione (il telefono te la chiede, e si può dire di no); se la dai, ne ricaviamo subito la distanza dall'altra persona e dal luogo dell'appuntamento. L'appuntamento lo scrive chi vende nel recapito, che viaggia cifrato fra voi due: al server arrivano solo l'ora e le coordinate del punto, se l'indirizzo è stato riconosciuto — mai il testo. Mentre chi vende scrive l'indirizzo, i suggerimenti li chiediamo noi a Photon, che usa i dati di OpenStreetMap, mandando solo il testo cercato: né chi sei né dove sei; «Usa la mia posizione» non esce dal nostro server. Chi legge: l'altra persona vede l'ora delle tue presenze, mai la tua posizione; un moderatore vede il confronto se si apre una disputa. Posizioni e testi cercati non li scriviamo nei registri del server. Per quanto: le posizioni e il punto restano solo finché una disputa sui contanti è possibile — si cancellano quando i sats vengono liberati o lo scambio si chiude (annullato, scaduto, tornato nel libro), e in ogni caso entro quindici giorni; restano le ore e le distanze, che se ne vanno con la cronaca dopo quaranta giorni. Con «dimentica il profilo» se ne vanno anche le tue presenze e i tuoi appuntamenti; su uno scambio ancora aperto resta solo l'ora, perché l'altra persona l'ha già vista. Il GPS si può falsificare: per noi è una conferma, non una prova assoluta.

Gli ordini di scambio sono pubblici per come è fatto il coordinatore: vivono sui relay e li legge chiunque, e da settembre 2026 una copia sta anche sul nostro relay — serve a far vedere il libro degli scambi anche quando i relay del coordinatore non rispondono. Non c'è scritto chi sei: un ordine porta l'importo, il metodo di pagamento e una chiave usa-e-getta, diversa a ogni scambio. Dei messaggi che il coordinatore ti manda durante lo scambio — buste cifrate, che si aprono solo dal tuo telefono — sul nostro relay non teniamo copia: per un giorno, fra il 17 e il 18 settembre 2026, l'abbiamo tenuta per avvisarti più in fretta, e da quando gli avvisi li racconta il coordinatore non serve più. Le conversazioni fra te e l'altra persona invece non passano di lì: sono cifrate e viaggiano sui relay del coordinatore, e sul nostro non ne teniamo copia.

Se ti colleghi da Tor

Barattolo si raggiunge anche da un indirizzo .onion, cioè da dentro la rete Tor. Quello che cambia è da dove risulta che ti colleghi: il nostro server non vede il tuo indirizzo IP e non lo scrive da nessuna parte, chi ti fornisce la connessione non sa che stai su Barattolo, e fra il tuo browser e noi non c'è nessun altro. Le foto, le pagine e tutto il resto restano dentro il tunnel.

Di là la pagina non porta lo script di Telegram: fuori non protegge nessuno — sei già su barattolo.store — ma da Tor sarebbe la contraddizione più grossa, perché sarebbe la prima richiesta a uscire col tuo indirizzo vero. Per la stessa ragione lì non c'è il bottone «Entra con Telegram» (funziona solo sul dominio normale) e si entra con una chiave Nostr.

Fin dove arriva, detto per intero: Tor nasconde da dove ti colleghi, non quello che scrivi. L'indirizzo di consegna, il punto di ritiro e l'email per il corriere li legge chi ti spedisce — è così su Tor e fuori, e non è una cosa che si perde scegliendo Tor: quella parte non è mai stata una questione di rete. Restano fuori dal tunnel anche i relay Nostr quando entri, il tuo wallet Lightning quando paga (parla per conto suo con la rete), e i collegamenti che portano altrove — la chat di Telegram, il profilo Nostr, il sito del corriere: sono link a case d'altri, e li apri tu quando li tocchi.

Cosa non facciamo

• Nessun tracciamento. Niente analytics, niente pixel, niente cookie di terzi: nella pagina non c'è nessuno oltre a noi. Da agosto 2026 nemmeno i caratteri — prima li chiedevamo a Google, e a ogni apertura il tuo indirizzo IP arrivava a Google. Adesso stanno qui.
• Un cookie solo, e serve a tenerti dentro se entri dal browser: contiene un numero casuale, e nel database c'è soltanto la sua impronta.
• Non vendiamo niente a nessuno e non ti profiliamo. Non c'è pubblicità, quindi non c'è nessuno a cui rivenderti.
• Non chiediamo email, password o numero di telefono per iscriverti. Un'email puoi lasciarla quando compri, o dopo dall'ordine, se vuoi il codice del locker dal corriere; un numero puoi scriverlo nell'indirizzo di spedizione, se vuoi che il corriere ti chiami: sono facoltativi tutti e due e spariscono con l'ordine. Un campo per il telefono, da solo, in Barattolo non esiste.
• La connessione al tuo wallet non passa da qui. Se lo colleghi, resta sul tuo dispositivo e non arriva mai ai nostri server. Il Lightning address è un'altra cosa e ce l'abbiamo, se lo imposti: qui sopra c'è cos'è e per quanto.

Una cosa che facciamo e va detta: il server, come ogni server del mondo, vede l'indirizzo IP di chi si collega mentre gli risponde. Finisce nel registro tecnico della macchina — non nel database, non in un profilo, e non lo incrociamo con niente.

Quello che resta sul tuo telefono

Alcune cose non arrivano mai qui: vivono nel tuo browser e se ne vanno se lo ripulisci. Sono il tema chiaro o scuro, la valuta con cui leggi i prezzi, e — le due che contano — la connessione al tuo wallet e la sessione con il tuo firmatario Nostr.

Due piccole cose invece le teniamo nel tuo profilo, perché ti seguano su ogni dispositivo: la dimensione del testo che hai scelto e quali avvisi hai già visto o chiuso — il giro di benvenuto, i «Non ora» dei suggerimenti, il cartello del giorno, e se hai acceso o spento gli effetti ridotti. Sono solo il nome dell'avviso e il momento in cui l'hai visto: servono a non mostrartelo di nuovo, anche dove il browser non ricorda niente fra un'apertura e l'altra. Dentro Telegram una copia sta anche nello spazio che Telegram riserva all'app per il tuo account.

Cosa puoi fare adesso

• Togliere la chiave Nostr dal profilo, o cambiarla.
• Scegliere quale foto mostrare, o non mostrarne nessuna.
• Scegliere dove ricevere gli avvisi, o spegnerli.
• Mettere in pausa o cancellare i tuoi avvisi di ricerca.
• Spegnere gli avvisi dei nuovi annunci, e smettere di seguire un venditore.
• Togliere un punto di ritiro che avevi salvato.
• Chiudere il negozio per ferie, e nascondere gli ordini conclusi.
• Scaricare i tuoi affari in un file, dal Profilo.

Chi contattare

Per qualsiasi cosa riguardi i tuoi dati — sapere cosa abbiamo, farlo correggere, farlo cancellare — scrivici in privato su Telegram. Risponde una persona, e le leggiamo tutte.