Qui non compri da Barattolo: compri da un'altra persona. Vi mettete d'accordo su un prezzo, gli euro viaggiano fra voi due col metodo che scegliete, e i sats restano bloccati in garanzia finché gli euro non sono arrivati davvero. Barattolo non tocca i tuoi euro, e i sats li tiene in garanzia: solo per farli arrivare a chi compra, o tornare a chi vende.

Come funziona, in cinque passi

1. Qualcuno pubblica un ordine. Dice se compra o vende sats, per quanti euro e con quali metodi di pagamento. L'ordine finisce nel libro degli ordini, che vedono tutti.
2. Tu lo prendi. Scegli con quale metodo vuoi pagare (o essere pagato) e l'ordine si riserva a te: da quel momento non lo può più prendere nessun altro.
3. Chi vende blocca i sats. Paga una richiesta particolare, che trattiene i sats invece di consegnarli: escono dal suo wallet ma non arrivano a nessuno. Da qui in poi sono in garanzia.
4. Chi compra manda gli euro. Col metodo scelto, al recapito che l'altra persona gli lascia qui dentro. Poi lo dice qui.
5. Chi vende libera i sats. Controlla di aver ricevuto gli euro e li libera: arrivano all'indirizzo Lightning indicato da chi compra all'inizio.

La garanzia: chi può muovere i sats

«In garanzia» non è un modo di dire. La richiesta di pagamento del terzo passo è speciale: si paga, ma non si incassa. I sats restano appesi a mezz'aria, e da lì possono prendere due strade sole — andare a chi compra, oppure tornare a chi vende. Una terza strada non esiste: nessuno può dirottarli altrove, nemmeno chi li sta tenendo.

E a tenerli è il coordinatore, che siamo noi: il programma si chiama Mostro, a farlo girare è Barattolo e il nodo è nostro — è lo stesso che tiene il libro degli ordini. Lo scriviamo invece di lasciartelo scoprire, perché non toglie niente a quello che c'è scritto qui sopra: le uniche due cose che il coordinatore fa coi sats sono consegnarli a chi compra o restituirli a chi vende. Non li tiene per sé e non li porta altrove.

Il prezzo, e perché le cifre ballano

Gli ordini si scrivono in euro — «vendo 50 € di sats» — e i sats si contano al cambio del momento. Il cambio si muove in continuazione, quindi finché l'ordine è nel libro la cifra in sats è una stima: la vedi col segno ≈ davanti, che è il modo onesto di dire «più o meno tanti».

La cifra esatta si fissa quando l'ordine viene preso, non un attimo prima. Da lì in poi non cambia più: quello che leggi nello scambio è quello che passa di mano.

Alcuni ordini portano un intervallo («da 20 a 100 €»): quelli li prendi scegliendo tu quanto, dentro la fascia.

Il premio e lo sconto

Chi pubblica può chiedere un po' più o un po' meno del mercato, fino a ±%. Sopra il mercato si chiama premio e conviene a chi vende; sotto si chiama sconto e conviene a chi compra. Nel conto dello scambio quella riga c'è sempre, col suo nome e la sua percentuale.

Il premio si applica prima della commissione: prima si calcola il controvalore col premio, poi la commissione morde su quello. È l'ordine in cui il conto mostra le righe, e non è impaginazione.

La commissione

Come si pagano gli euro

I metodi sono un elenco chiuso: . Chi pubblica sceglie quali accetta, chi prende ne sceglie uno.

Gli euro non passano da Barattolo. Viaggiano fra te e l'altra persona sul circuito che avete scelto, come se vi foste messi d'accordo per strada. Il recapito che serve — l'IBAN, il RevTag, il numero — ve lo scambiate qui dentro e cifrato: lo legge solo chi deve pagare.

Per questo la garanzia protegge i sats e non gli euro: se dici di aver pagato e non hai pagato, chi vende semplicemente non libera. E se hai pagato e non liberano, c'è la disputa.

Contanti al tabacchino, passo per passo

È il metodo per chi non vuole passare da una banca o da un'app: chi vende sats genera un ordine Amazon pagabile in contanti (da Mooney, in tabaccheria) e chi compra lo paga alla cassa del tabacchino. Il tabacchino incassa i contanti, l'ordine Amazon risulta pagato, e i sats si liberano.

1. Chi vende genera l'ordine Amazon, per l'importo dello scambio, scegliendo il pagamento in contanti. Amazon gli dà tre cose: il numero dell'ordine, l'importo e una scadenza, settantadue ore da quel momento.
2. Chi vende pubblica qui, con «Contanti al tabacchino» come unico metodo, e scrive i tre dati nel foglio. La scadenza dell'ordine Amazon diventa la scadenza dell'ordine: passata quella, sparisce dal libro da solo. L'importo è uno solo, niente intervallo.
3. Chi compra prende l'ordine, indica dove ricevere i sats, e chi vende li blocca in garanzia. A quel punto i tre dati gli arrivano qui dentro e cifrati, con un conto alla rovescia.
4. Chi compra va al tabacchino, dà il numero dell'ordine, paga in contanti e tiene lo scontrino: è la sua prova. Poi tocca «Ho inviato gli euro».
5. Chi vende controlla su Amazon che l'ordine risulti pagato, e libera i sats. Se non li libera, c'è la disputa, e lo scontrino è quel che guarda chi decide.

Se scade. Prima che qualcuno prenda l'ordine, sparisce dal libro e non è successo niente. Con i sats già in garanzia l'ordine Amazon non si può più pagare: la pagina dello scambio lo dice, ti avvisa sei ore prima e un'ora prima (anche su Telegram o Nostr, secondo le tue impostazioni) e mette in evidenza l'annullo d'accordo, con cui i sats tornano a chi li ha bloccati. Nessuno annulla da solo: se hai pagato in tempo, lo scontrino lo dimostra e chi vende libera.

Prendi un ordine col tabacchino solo se fai in tempo ad andarci: quando mancano meno di sei ore, il dettaglio te lo ricorda prima di prenderlo.

I tempi

• Se il tempo scade prima che i sats siano bloccati, la richiesta di pagamento si annulla e nessuno perde niente. Se a mancare è stato chi ha preso l'ordine, l'ordine torna nel libro per qualcun altro; se è stato chi l'ha pubblicato, si chiude.
• Quando invece i sats sono già in garanzia, nessun timer li sblocca da solo. Restano lì finché uno dei due si muove, o finché decide un moderatore.

Se qualcosa va storto

Prima di tutto: dai tempo all'altra persona. Quasi sempre è un bonifico che deve arrivare, o qualcuno che dorme.

Annullare d'accordo. Uno dei due propone di annullare, l'altro accetta, e i sats tornano a chi li aveva bloccati. Serve il sì di tutti e due: nessuno si tira indietro da solo dopo che l'altro si è mosso.

La disputa. Si apre quando i sats sono già in garanzia — prima non c'è niente da contendere. Da quel momento lo scambio si ferma: né tu né l'altra persona potete più muovere i sats, e a decidere chi li riceve è un moderatore del coordinatore, cioè di Barattolo: guardiamo le prove di tutti e due e scegliamo. Anche lì le strade restano due — i sats vanno a chi compra o tornano a chi vende — e lo diciamo adesso, invece di lasciartelo scoprire quel giorno.

Tieni le prove di quello che hai fatto: la ricevuta del bonifico, la schermata del pagamento. Sono quelle che guarda chi decide.

Uno scambio fermo sul passo sbagliato. Se la pagina non dice quello che è successo davvero, copia la diagnosi e mandacela: racconta cosa ha visto l'app in questa sessione. Non contiene chiavi, fatture né recapiti.

🩺 Copia la diagnosi dei tuoi scambi

Chi sei, qui dentro

• ✈️Se entri da Telegram, il tuo profilo di scambio lo ricaviamo dal tuo account: ti segue da solo fra telefono e computer, e non c'è niente da creare. Il prezzo lo diciamo per intero — il server di Barattolo lo sa ricavare: non lo facciamo e niente nel programma lo fa, ma potremmo.
• 🟣Se entri con una chiave Nostr tua e in passato l'hai resa il tuo profilo di scambio, quel profilo non lo può ricavare nessuno, noi compresi.
• 🎭Il tuo nome non c'è. Ogni scambio usa una chiave usa-e-getta, diversa ogni volta: nell'ordine pubblico si leggono l'importo e il metodo di pagamento, mai chi sei. Anche dentro l'app, di nomi non ne compaiono.
• 📖Gli ordini sono pubblici. Il libro vive fuori da qui e lo legge chiunque: è così che funziona uno scambio senza padrone. I recapiti e i vostri messaggi no: quelli sono cifrati, e passano solo fra voi due.

🔐 Il patto sui tuoi dati, per intero

Quando compri su Barattolo i tuoi sats non vanno subito al venditore: si fermano in un deposito di garanzia (in gergo escrow) che custodisce Barattolo. Il venditore sa che i soldi ci sono e spedisce tranquillo; tu sai che non si muovono finché l'oggetto non è arrivato davvero.

Cosa succede quando paghi

1. Paghi. Ricevi una invoice Lightning e la paghi col wallet che preferisci — si apre, si incolla o si inquadra il codice. Se hai collegato un wallet con NWC, «⚡ Compra subito» fa tutto in un tocco.
2. I sats si fermano. Appena il pagamento arriva, entrano nel deposito di garanzia. Il venditore riceve l'avviso e prepara l'oggetto: da quel momento sa di essere pagato, ma i sats non sono ancora suoi.
3. Il venditore consegna. Spedisce e segna il corriere, oppure vi mettete d'accordo per il ritiro in zona, oppure — se è un codice o un buono — te lo consegna qui dentro, mai in chat private.
4. Ricevi e confermi. Quando l'oggetto è arrivato ed è come promesso, lo confermi. Solo in quel momento i sats passano al venditore.

I tempi

• Dopo la consegna hai ore per controllare l'oggetto e confermare. I sats non partono da soli: se allo scadere non hai detto nulla ti mandiamo un promemoria, e se il silenzio continua interviene un moderatore.
• Lo stesso vale se non segni mai la ricezione: dopo giorni dalla spedizione ti scriviamo, ma il deposito resta fermo. Nessuno incassa mentre tu non hai confermato.
• Il codice online ha finestre più corte: ore da quando lo riveli, e ore se il venditore l'ha consegnato e tu non l'hai ancora aperto.
• La invoice del pagamento vive minuti. Se scade non è successo niente: si rifà, e il prezzo si riconverte al cambio del momento.

Se qualcosa va storto

Finché i sats sono nel deposito puoi aprire una disputa dalla pagina del tuo ordine. Il deposito si congela e interviene un moderatore: legge le due versioni, guarda quello che avete (foto, tracking, messaggi) e decide. Le strade sono due — i sats tornano a te, spedizione compresa, oppure vanno al venditore. Quando l'oggetto va restituito, il rimborso parte dopo che è tornato indietro.

Aprire una disputa non è un'accusa: nella gran parte dei casi è un malinteso che si chiarisce in mezza giornata.

Dove il deposito non può proteggerti

Meglio dirlo prima che scoprirlo dopo.

• Di una prestazione non vediamo niente. Una lezione o una consulenza avvengono fuori di qui — in videochiamata, o di persona — e Barattolo non può sapere se ci sono state. Quello che possiamo guardare, se finite in disputa, sono le condizioni: l'appuntamento era stato concordato da tutti e due? Il collegamento era stato lasciato nell'ordine, e quando? Sono fatti che restano scritti qui dentro, ed è su quelli che un moderatore decide.
  Per questo i sats non si muovono da soli: nessun timer li sblocca, si sbloccano quando chi ha comprato conferma. Se non conferma, decide un moderatore.
• Un codice rivelato non torna indietro. Nessuno — nemmeno noi — può sapere se l'hai già riscattato. Per questo la finestra è di ore: provalo subito. Se non ci sono prove da nessuna delle due parti, la regola di default dà ragione a chi ha consegnato.
  Vale anche al contrario: se il codice non funziona, hai ore per aprire una disputa — e in quel momento i sats sono ancora fermi.
• Un posto su un abbonamento condiviso può sparire dopo. Il piano resta di chi te l'ha venduto: può toglierti il posto, e il fornitore può chiuderlo — quasi tutti chiedono che chi condivide viva sotto lo stesso tetto. È più scomodo di un codice: lì la domanda è «l'ho riscattato o no», qui l'accesso funzionava e poi ha smesso, e Barattolo non può verificare né l'una né l'altra cosa. Provalo subito: la finestra è quella del codice, ore. Dopo, i sats sono usciti.
• Nel ritiro a mano, il controllo è il tuo. Guarda e prova l'oggetto prima di confermare che l'hai ritirato: con la conferma i sats partono al venditore, e non tornano indietro.
• Un punto di ritiro di Barattolo è una persona, non un'azienda. Dietro un locker o una tabaccheria c'è un contratto con un corriere; dietro un punto nostro c'è qualcuno che si è offerto, e con noi non ha firmato niente. Quello che ti diamo è un fatto con una data: quando il punto riceve il pacco lo segna qui dentro, e quel momento resta scritto. Dal banco alla tua mano, invece, non c'è più niente che possiamo verificare — è lo stesso buco del ritiro a mano.
  Se il pacco non arriva, apri la disputa: i sats sono ancora fermi e decide un moderatore. Ma sappi cosa gli risulta: se il punto ha segnato di aver ricevuto il pacco, per noi chi ha spedito ha consegnato. E se un punto sbaglia, l'unica cosa che possiamo fare è toglierlo dalla mappa: non abbiamo un contratto da fargli valere. Vai a ritirare presto, e scegli un punto di cui ti fidi.
• Il pacco perso o rovinato è una cosa fra chi spedisce e il corriere. Barattolo garantisce la transazione: che il venditore non incassi senza aver consegnato e che tu non paghi senza ricevere. L'oggetto in viaggio no — se il corriere lo perde o lo rompe, il reclamo si apre con lui.
• Spedite sempre col tracciamento, e per le cose di valore con la copertura del corriere. Il tracciamento è la prova che l'oggetto è partito ed è arrivato, ed è la prima cosa che guarda un moderatore; la copertura di base, verso i punti di ritiro, è quasi sempre molto bassa.
• Il deposito garantisce l'oggetto promesso, non i gusti. «Non mi piace più» non è un difetto; un oggetto diverso da com'era descritto sì.

Il pagamento, in pratica

Su Barattolo si paga solo in bitcoin, sulla rete Lightning: trasferimenti immediati e con commissioni di rete quasi nulle, anche per pochi euro di valore. Il prezzo lo puoi leggere in sats o in euro con l'interruttore € / ₿ — quello che viaggia sono sempre sats.

Ti serve un wallet Lightning: ne esistono tanti, gratuiti, e ne basta uno. Al pagamento Barattolo ti mostra una invoice: la copi, o inquadri il codice, e il wallet fa il resto. Se colleghi il wallet con NWC (Nostr Wallet Connect) dal tuo Profilo, il bottone «⚡ Compra subito» paga senza passaggi, e nel P2P la fattura per ricevere i sats la fa il wallet da solo — la connessione resta solo sul tuo dispositivo, non arriva mai ai nostri server, e nel wallet puoi darle un tetto di spesa (o, per il solo P2P, il solo permesso di ricevere).

L'indirizzo per la spedizione

Se scegli la spedizione a casa, l'indirizzo lo scrivi al momento dell'acquisto e resta dentro l'ordine: lo vede solo il venditore, per stampare l'etichetta. Non lo pubblichiamo da nessuna parte, non lo usiamo per altro, e i moderatori non lo leggono — nemmeno per decidere una disputa: a loro risulta soltanto se l'hai indicato e quando.

E non lo conserviamo: lo trasportiamo. Nel database è cifrato, e appena confermi di aver ricevuto l'oggetto viene cancellato — da quel momento l'affare è chiuso e quello che succede fra te e il venditore non ci riguarda più. Se invece l'ordine si chiude senza la tua conferma — un rimborso, una disputa decisa da un moderatore — sparisce entro giorni. Finché l'ordine è aperto resta, perché è lì che serve: se un affare non si chiude mai, l'indirizzo lo aspetta.

La strada che ne chiede di meno è il punto di ritiro: lì un indirizzo tuo non c'è proprio — al banco basta il nome del destinatario, che sceglie il venditore. Puoi lasciare la tua email, se vuoi che il codice di ritiro te lo mandi il corriere invece del venditore: è facoltativa, non è mai una condizione per comprare, e sparisce con l'ordine.

Dove stanno i sats, e per quanto

I sats restano bloccati in un conto Lightning della piattaforma per il tempo dell'affare, e non un minuto di più: dal pagamento alla conferma. Non è un conto tuo, non è un investimento, non li mettiamo a rendere da nessuna parte. Quando l'affare si chiude, escono — al venditore o a te.

Se Barattolo sparisse

Oggi il mercatino gira su un server solo, con un database solo. Non è ridondato in altre nazioni: se lo spegnessero, Barattolo si fermerebbe. Meglio dirlo prima che chiederlo.

Quello che non si ferma con lui:

• ⚡I sats. Il deposito non vive qui dentro: sta su un nodo Lightning nostro, separato dal server, e la sua seed è custodita offline. Il gestionale che lo comanda è ospitato da terzi; il nodo e la seed no.
• 🟣Gli annunci. Vanno su Nostr (NIP-99) ed esistono sui relay indipendentemente da noi. Se hai una chiave Nostr tua, provata, l'annuncio esce sul tuo account — a firmarlo è il tuo browser, la chiave non passa mai di qui — e resta tuo anche se Barattolo non c'è più. Se non ce l'hai lo firma la nostra: resta leggibile in piazza, ma a governarlo siamo noi. La chiave si collega dal Profilo, ed è il motivo per cui abbiamo scelto Nostr dal primo giorno.
• 📖Il codice. È la cosa più facile da rimettere in piedi altrove.
• 💾Lo storico degli ordini e la reputazione che ci avete costruito. Vivono in un posto solo, ma sono salvati ogni giorno, con copie cifrate anche fuori dal server.

🔗 Condividi questa pagina 🔐 E i tuoi dati?

La risposta corta è: pochissimo. Per stare su Barattolo non ci lasci un'email, non scegli una password, non ci dai un numero di telefono. Entri con Telegram o con una chiave Nostr, e tutto il resto sono le cose che servono a fare un affare — quasi tutte le scrivi tu, quando servono, e alcune le cancelliamo da soli appena l'affare è finito.

Chi sei, per noi

Se entri da Telegram riceviamo quello che Telegram dà a tutte le sue Mini App: un numero identificativo, il tuo nome e lo username se ce l'hai. Se hai una foto profilo ne teniamo una copia nostra, piccola — mai un link ai file di Telegram, che portano dentro il token del bot e scadono. Se la tua foto è nascosta ai non-contatti, resta l'iniziale: quello è il tuo modo di dire no, e vale.

Se entri da Nostr riceviamo la tua chiave pubblica, e basta. La chiave privata non ce l'abbiamo mai: quando serve una firma la fa il tuo browser, o il tuo bunker, e quello che arriva qui è già firmato.

Password non ne abbiamo perché non esistono: la porta la apre Telegram, oppure una firma tua. Non c'è niente da rubarci che ti apra l'account.

Cosa nasce mentre usi il mercatino

• I tuoi annunci: sono pubblici per definizione — è il loro mestiere.
• I tuoi ordini: cosa hai comprato o venduto, quanto, quando, e come è andata.
• Il tuo Lightning address, se lo imposti per incassare da solo: è un nome@dominio, come una mail, e ce l'abbiamo in chiaro — è lì che ti mandiamo i sats quando un affare si chiude, quindi dobbiamo poterlo leggere. Non esce da nessuna parte: non lo vede chi compra, non lo vedono i moderatori.
• La tua reputazione: voti ricevuti, distintivi, il livello, e gli XP, che contano una cosa sola — quanto hai comprato e venduto.
• La tua posizione in classifica, se ci entri: lì di te si vedono nome, foto, titolo, media dei voti, da quante persone, quanti affari e il punteggio. Il punteggio mette insieme la media e il commercio, quindi da lì si può ricavare quanto hai commerciato — è una scelta presa sapendolo, perché senza quel numero l'ordine della lista non si legge. Gli XP in chiaro invece non escono mai, e nemmeno il tuo identificativo.
• Il tuo barattolo, cioè gli annunci che hai messo da parte. Di questi si vede quanti l'hanno salvato, mai chi: nemmeno chi vende sa che sei stato tu — a meno che tu non condivida il barattolo col suo link, che è un gesto tuo: la voce qui sotto dice cosa comporta.
• I tuoi avvisi di ricerca, se ne crei: cosa cerchi, dove, entro che prezzo.

Il barattolo condiviso

Il barattolo resta privato finché non decidi tu: dal Profilo puoi creare un link che mostra la lista delle cose che hai messo da parte. È come pubblicare una lista di desideri — chi apre il link vede cosa ti interessa comprare, anche un venditore con cui stai trattando se il link gli arriva. Va fatto sapendolo, e te lo diciamo lì, prima del tocco che crea il link.

La pagina del link non fa il tuo nome: niente nome, niente foto, niente negozio. Chi lo riceve da te sa di chi è, ma un link girato a terzi non lega la lista a una persona. E mostra una fotografia, non il barattolo vivo: quello che salvi dopo non si vede finché non la aggiorni tu, con un gesto.

La revoca è un tocco e il link muore subito: la pagina si rilegge dai nostri dati a ogni apertura, non c'è una copia che sopravviva. Tre limiti onesti, però: chi aveva la pagina già aperta la vede finché non ricarica; l'anteprima del link che Telegram o WhatsApp tengono in cache può durare qualche giorno, ma mostra solo il titolo generico — la lista, in quell'anteprima, non c'è mai entrata; e uno screenshot resta, come per ogni cosa pubblicata. Se un domani ricondividi, il link sarà nuovo: quello vecchio resta morto.

Quello che chiediamo solo quando serve

Cinque cose non ce le dai per stare qui: te le chiediamo nel momento esatto in cui servono a un affare, e vivono dentro quell'ordine — tranne una, che puoi scegliere di tenerti.

• L'indirizzo di casa, se scegli la spedizione a casa. Lo vede solo chi ti vende, per stampare l'etichetta.
• Il punto di ritiro che scegli, se preferisci quella strada — lì un indirizzo tuo non c'è proprio. Questo, se vuoi, puoi anche tenertelo nel profilo per non riscriverlo ogni volta: è l'unica delle cinque che si può salvare, e la ragione è che un punto di ritiro è un luogo pubblico — un locker, una tabaccheria — mentre casa tua no. Lo salvi con un tocco quando compri, mai da solo, e lo togli quando vuoi.
  Un punto di Barattolo è un luogo pubblico anche lui, ma con una differenza che vale la pena sapere: dietro il banco c'è una persona, che vede il pacco, legge il nome sull'etichetta e ti vede in faccia quando passi. Un locker non fa niente di tutto questo. Quello che il punto non sa è cosa c'è nel pacco e chi te l'ha venduto: da noi riceve un codice e basta.
• Il codice di un buono o di un prodotto digitale, che chi vende consegna qui dentro invece che in chat.
• La tua email, se scegli il punto di ritiro e vuoi che il codice del locker te lo mandi direttamente il corriere. È facoltativa: senza, il codice arriva a chi vende, che te lo passa qui dentro. La legge solo chi ti vende, per stampare l'etichetta, e sparisce con l'ordine come l'indirizzo. Il numero di telefono non te lo chiediamo mai, nemmeno qui.
• La nota che scrivi a chi vende, se la scrivi: la taglia, il numero, la variante. È facoltativa, e a differenza dell'indirizzo e dell'email resta nell'ordine — non la cancelliamo, perché è parte di quello che vi siete detti. Scrivici quello che serve per prepararti l'oggetto, non il tuo recapito: per quello ci sono i campi qui sopra.

L'indirizzo lo trasportiamo, non lo conserviamo. Appena confermi di aver ricevuto l'oggetto viene cancellato, senza aspettare nessuna scadenza: da quel momento l'affare è chiuso e quello che succede fra te e chi vende non ci riguarda più. Se l'ordine si chiude senza quella conferma — un rimborso, una disputa decisa da un moderatore — sparisce entro giorni.

Ma se l'ordine non si chiude mai, il tuo indirizzo resta lì. Non c'è nessun timer che lo cancelli comunque, ed è una scelta: finché un affare è aperto quell'indirizzo è l'unica cosa che permette a chi vende di spedirti il pacco, e cancellarlo vorrebbe dire chiudere l'affare al posto tuo. Non è un caso raro — un venditore che sparisce, un pacco che non parte — ed è la coda che finisce sotto gli occhi di un moderatore. Fino ad allora l'indirizzo aspetta insieme all'ordine.

Se vuoi che sparisca, la strada è chiudere l'affare: confermare la ricezione, o aprire una disputa.

Cosa vuol dire «cifrato»

Vuol dire al riparo da un database rubato, non da noi. L'indirizzo di casa, il codice di ritiro della busta e il contenuto di un buono digitale non stanno in chiaro: sono cifrati, e la chiave non è dentro il database. Se qualcuno ne rubasse una copia — un backup, il file del database — quelle tre cose resterebbero illeggibili.

La chiave però sta sullo stesso server che ti risponde, perché è lì che serve per mostrare l'indirizzo a chi vende quando apre l'ordine. Quindi finché quel dato è lì, il server lo può leggere — e chi amministra il server anche. Non lo facciamo e non abbiamo nessuno strumento che lo faccia; nei log restano le impronte e mai i contenuti, e i messaggi d'errore sono scritti apposta per non contenere un CAP. Ma è una promessa nostra, non una garanzia della matematica.

L'unica garanzia vera è che il dato duri poco. È per questo che l'indirizzo si cancella da solo, invece di restare lì «tanto è cifrato».

Per quanto teniamo le cose

• L'indirizzo di casa: fino alla tua conferma, o giorni dalla chiusura senza conferma. Qui sopra c'è la storia per intero.
• L'email per il corriere: la stessa cosa, e con la stessa scopa — sparisce insieme all'indirizzo, alle stesse condizioni.
• La sessione del browser, se entri dal web: giorni, poi si rientra. Nel database non c'è il tuo accesso ma solo la sua impronta.
• L'accesso da dentro Telegram vale ore: dopo, riaprendo l'app, se ne fa uno nuovo.
• La memoria di quali avvisi ti abbiamo già mandato: giorni, così lo stesso annuncio non ti risuona addosso.
• La fattura di un pagamento vive minuti. Se non la paghi, l'ordine non è mai esistito.
• I punti di ritiro che salvi: finché non li togli. Li trovi nel Profilo, in «📍 Punti di ritiro», con una ✕ accanto a ognuno.
• Il tuo Lightning address, se l'hai impostato: finché non lo togli. Sta nel Profilo, in «⚡ Incassi e pagamenti», col suo bottone.
• La nota che scrivi a chi vende: resta nell'ordine, come il resto di quello che vi siete detti. Finché il pacco non parte puoi cambiarla o toglierla dall'ordine stesso.
• Il codice sconto che usi: il suo nome resta scritto nell'ordine — è la ricevuta dello sconto che hai avuto, per te e per chi vende.

Tutto il resto non ha una scadenza, e non è una dimenticanza: annunci, ordini, voti e reputazione sono la memoria degli affari fatti, e servono a te quanto a chi commercia con te — una recensione che sparisce dopo un anno non è una recensione. Un ordine concluso puoi nasconderlo dalla tua lista quando non vuoi più vederlo: sparisce dalla vista, la riga resta.

Chi legge cosa

• Chiunque, anche senza entrare: i tuoi annunci, il tuo nome e username, la tua chiave Nostr se l'hai dichiarata, il tuo negozio, i voti e i distintivi. Il numero identificativo di Telegram non esce mai.
• Chi compra e chi vende, dentro il loro ordine: quello che serve a portarlo a termine, l'indirizzo e il codice compresi.
• I moderatori, quando si apre una disputa: vedi qui sotto.
• Noi, nei limiti scritti qui sopra: il server può leggere quello che ha, finché ce l'ha.

Cosa vede un moderatore

Il tuo indirizzo non lo legge. Quando si apre una disputa un moderatore guarda l'ordine per decidere, e del tuo indirizzo non vede niente nemmeno lì: gli risulta soltanto se l'hai indicato e quando, mai una riga di quello che hai scritto. Lo stesso vale per il nome e il codice di ritiro della busta e per il documento del corriere: quelli li leggono solo chi compra e chi vende.

La tua email per il corriere non la legge. Vale la stessa regola dell'indirizzo, per la stessa ragione: gli risulta soltanto se l'avevi lasciata e quando, che è quello che gli serve per capire da dove doveva arrivare il codice. Il valore no.

Il contenuto di un buono o di un codice digitale invece sì. Se apri una disputa su un acquisto digitale, il moderatore lo legge. Non c'è modo di decidere quella lite senza guardarlo — è l'oggetto stesso del contendere, e chi la apre di solito dice proprio che quel codice non funziona.

E la nota che hai scritto a chi vende, sì. Se una disputa dice «avevo chiesto la taglia L», quella nota è la lite: senza leggerla non c'è modo di decidere. Vale la regola di sopra al contrario — un moderatore che apre un ordine la legge, in disputa o quando lo cerca per numero. È anche il motivo per cui il campo dice, mentre lo scrivi, di non usarlo per il tuo recapito.

Fuori dalle dispute quel contenuto non lo legge nessuno tranne te e chi te l'ha venduto. Se non vuoi che lo veda nessun altro, la strada è non aprire la disputa.

Cosa esce da qui

• ✈️Telegram. Gli avvisi te li mandiamo col bot, quindi Telegram vede che ti abbiamo scritto e cosa c'è nel messaggio. Per questo gli avvisi su indirizzo, busta e codici sono scritti vuoti apposta: dicono «apri l'ordine», mai il contenuto. E i bottoni per scrivere alla controparte ti portano fuori, in una chat di Telegram: quella conversazione è vostra e di Telegram, non nostra — non la leggiamo, non ce l'abbiamo, e in una disputa non possiamo usarla.
• 🟣Nostr. Gli annunci vanno sui relay, che in gran parte sono di altri — e uno è nostro, relay.barattolo.store: lì la copia degli annunci ce l'abbiamo anche noi, ma non è un privilegio, perché quella copia ce l'ha chiunque apra uno qualsiasi degli altri relay. Da noi leggere è aperto a tutti; scrivere no, e possono farlo solo Barattolo e chi ci ha dimostrato la propria chiave Nostr. Ritirare un annuncio manda anche la richiesta di cancellarlo, e i relay che la rispettano lo tolgono — ma nessuno può garantire che l'abbiano fatto tutti, il nostro compreso: nemmeno sul relay di casa possiamo promettere quello che sugli altri non possiamo. Quello che finisce su Nostr non torna indietro. È il prezzo della piazza aperta, ed è la stessa proprietà che rende il tuo annuncio tuo anche il giorno che Barattolo non ci fosse più.
• ⚡Il nodo dei pagamenti. Quando paghi, la fattura porta il numero dell'annuncio e il suo titolo — mai chi sei.
• 🤖L'intelligenza artificiale che controlla gli annunci: le arriva il testo dell'annuncio — titolo e descrizione — e mai chi l'ha scritto. Quello che scrivi nella barra di ricerca non le arriva mai: la ricerca è un indice di casa, e la tua domanda non esce da qui.
• 💱Il cambio euro/bitcoin, che chiediamo noi una volta al minuto e non il tuo browser: così nessun terzo sa che stai guardando un prezzo.

Il profilo di scambio P2P

Per scambiare sats in euro con altre persone lo scambio passa da un coordinatore (il programma si chiama Mostro, e a farlo girare è Barattolo, sul nostro nodo), e per riconoscerti lì serve un profilo di scambio. Nasce e funziona da solo: dentro l'app non c'è niente da creare né da gestire. Qui sotto diciamo per intero da dove viene e chi lo può ricavare, perché dipende da come entri.

Se entri da Telegram, il profilo lo ricaviamo noi dal tuo account: così è lo stesso dal bot, dal sito e dall'app, e torna da solo su un telefono nuovo senza che tu debba salvare niente. Il prezzo lo diciamo per intero: quel profilo il server di Barattolo lo sa ricavare, quindi in linea di principio potrebbe firmare uno scambio al posto tuo. Non lo facciamo, e non c'è niente nel programma che lo faccia — ma potremmo, e questo è l'unico posto di Barattolo in cui possiamo dirlo di un tuo segreto. Per ricavarlo servono due cose insieme, una nella configurazione del server e una nel database: chi si portasse via una sola delle due non ricaverebbe nulla.

Se entri con una chiave Nostr che è tua e in passato l'hai resa il tuo profilo di scambio, resta così: non lo può ricavare nessuno tranne te, noi compresi, ed è lo stesso ovunque perché ce l'hai tu. Questa strada resta nel patto anche se oggi non ha più un gesto dentro l'app.

Negli altri casi — un profilo nato nel browser prima che arrivasse quello del conto — il profilo vive sul dispositivo e non lo può ricavare nessuno. Dentro Telegram ne salviamo una copia nel cloud del tuo account Telegram, così sopravvive alla cache svuotata e ti segue fra telefono e computer: chi ha il tuo account Telegram ce l'ha anche lui — è già così per tutto Barattolo — e Telegram potrebbe leggerlo, che è il prezzo. Il codice segreto serve a portare il profilo fuori da Barattolo, in un altro programma che parla con lo stesso coordinatore.

In tutti e tre i casi il server conosce la parte pubblica del profilo e le chiavi usa-e-getta di ogni scambio, per poterti avvisare quando c'è una novità, e da settembre 2026 anche a che numero di scambio sei arrivato: serve a non riusare due volte la stessa chiave usa-e-getta quando apri Barattolo da un dispositivo nuovo, ed è un dato che dai conti che teneva già si sarebbe comunque ricavato. Dal foglio qui sotto il codice segreto lo vedi e lo copi, e il profilo lo dimentichi; dimenticandolo si cancella anche la parte pubblica che il server teneva.

Dal 16 settembre 2026 il server annota anche quali ordini pubblichi e quali prendi, per avvisarti con i numeri quando lo scambio si muove (preso, concluso, annullato, tornato in vetrina): sono i passaggi pubblici del libro, e la cifratura dei messaggi non si tocca. Chi entra da Nostr non viene annotato quando prende un ordine — sulle prese riceve l'avviso generico — perché quell'ingresso esiste per chi non vuole lasciare tracce. Dal 17 settembre 2026 però può deciderlo lui: nel cassetto «🔔 Avvisi» c'è «Fatti riconoscere negli scambi», spento di serie — accendendolo la presa viene annotata, chi ha pubblicato vede il suo profilo e le due parti possono recensirsi. Gli avvisi si spengono tutti dal cassetto «🔔 Avvisi» del profilo.

Dal 17 settembre 2026, quando un ordine viene preso, le due parti si vedono: chi ha pubblicato e chi ha preso vedono il profilo l'uno dell'altra — lo stesso che sta già sotto ogni annuncio del mercatino: nome, foto, stelline, livello e titolo — e i bottoni per scriversi su Telegram o su Nostr, ma solo dove quei canali esistono davvero (la npub soltanto se ne hai dimostrato il possesso). Prima della presa non si vede niente, e non c'è nessun altro modo di chiederlo: a questa domanda il server risponde solo a una delle due parti di quello scambio. Il perché è che dall'altra parte c'è una persona a cui stai per mandare dei soldi veri, e un volto con una reputazione è quello che rende pesabile la fiducia — la stessa ragione per cui nel mercatino chi vende ha un nome. Te lo diciamo prima: nel foglio dove pubblichi e in quello dove prendi. Al posto dei campi dove prima ci si scriveva il proprio contatto a mano, che non erano verificati da nessuno.

Chi entra con una chiave Nostr resta anonimo quando prende: quella presa non viene annotata, chi ha pubblicato non saprà chi è, e nella pagina dello scambio legge che l'altra persona non si conosce. A meno che non lo decida lui: l'interruttore «Fatti riconoscere negli scambi» nel cassetto «🔔 Avvisi» — spento di serie — fa annotare la presa, mostra il suo profilo all'altra parte e apre le recensioni su quello scambio; lasciandolo spento resta invisibile, e su quegli scambi recensioni non ce ne sono. Vale da quando lo accende: gli scambi già presi restano come erano, e a cancellare il pregresso c'è «dimentica il profilo». Chi entra con una chiave e pubblica, invece, si mostra — col profilo che ha qui, cioè il nome e la foto della sua chiave: è così da quando le card del libro hanno un volto, e il foglio dove si pubblica lo dice prima.

Le conversazioni fuori da Barattolo non sono nostre: se vi scrivete su Telegram o su Nostr quella chat è vostra e di chi la trasporta — non la leggiamo, non ce l'abbiamo, e in una disputa non possiamo usarla. A decidere sono i fatti dello scambio: chi ha bloccato i sats, chi ha detto di aver mandato gli euro, chi li ha liberati.

👤 Il tuo profilo di scambio

Gli ordini di scambio sono pubblici per come è fatto il coordinatore: vivono sui relay e li legge chiunque, e da settembre 2026 una copia sta anche sul nostro relay — serve a far vedere il libro degli scambi anche quando i relay del coordinatore non rispondono. Non c'è scritto chi sei: un ordine porta l'importo, il metodo di pagamento e una chiave usa-e-getta, diversa a ogni scambio. Sul nostro relay sta anche una copia dei messaggi che il coordinatore ti manda durante lo scambio: serve ad avvisarti subito quando tocca a te. Sono buste cifrate, le stesse che stanno già sui relay pubblici — si vede che una chiave usa-e-getta ha ricevuto un messaggio e quando, mai cosa dice: la chiave per aprirle sta solo nel tuo telefono. Le conversazioni fra te e l'altra persona invece non passano di lì: sono cifrate e viaggiano sui relay del coordinatore, e sul nostro non ne teniamo copia.

Se ti colleghi da Tor

Barattolo si raggiunge anche da un indirizzo .onion, cioè da dentro la rete Tor. Quello che cambia è da dove risulta che ti colleghi: il nostro server non vede il tuo indirizzo IP e non lo scrive da nessuna parte, chi ti fornisce la connessione non sa che stai su Barattolo, e fra il tuo browser e noi non c'è nessun altro. Le foto, le pagine e tutto il resto restano dentro il tunnel.

Di là la pagina non porta lo script di Telegram: fuori non protegge nessuno — sei già su barattolo.store — ma da Tor sarebbe la contraddizione più grossa, perché sarebbe la prima richiesta a uscire col tuo indirizzo vero. Per la stessa ragione lì non c'è il bottone «Entra con Telegram» (funziona solo sul dominio normale) e si entra con una chiave Nostr.

Fin dove arriva, detto per intero: Tor nasconde da dove ti colleghi, non quello che scrivi. L'indirizzo di consegna, il punto di ritiro e l'email per il corriere li legge chi ti spedisce — è così su Tor e fuori, e non è una cosa che si perde scegliendo Tor: quella parte non è mai stata una questione di rete. Restano fuori dal tunnel anche i relay Nostr quando entri, il tuo wallet Lightning quando paga (parla per conto suo con la rete), e i collegamenti che portano altrove — la chat di Telegram, il profilo Nostr, il sito del corriere: sono link a case d'altri, e li apri tu quando li tocchi.

L'indirizzo è — per aprirlo serve il Tor Browser.

Cosa non facciamo

• Nessun tracciamento. Niente analytics, niente pixel, niente cookie di terzi: nella pagina non c'è nessuno oltre a noi. Da agosto 2026 nemmeno i caratteri — prima li chiedevamo a Google, e a ogni apertura il tuo indirizzo IP arrivava a Google. Adesso stanno qui.
• Un cookie solo, e serve a tenerti dentro se entri dal browser: contiene un numero casuale, e nel database c'è soltanto la sua impronta.
• Non vendiamo niente a nessuno e non ti profiliamo. Non c'è pubblicità, quindi non c'è nessuno a cui rivenderti.
• Non chiediamo email, password o numero di telefono per iscriverti. Un'email puoi lasciarla quando compri, o dopo dall'ordine, se vuoi il codice del locker dal corriere; un numero puoi scriverlo nell'indirizzo di spedizione, se vuoi che il corriere ti chiami: sono facoltativi tutti e due e spariscono con l'ordine. Un campo per il telefono, da solo, in Barattolo non esiste.
• La connessione al tuo wallet non passa da qui. Se lo colleghi, resta sul tuo dispositivo e non arriva mai ai nostri server. Il Lightning address è un'altra cosa e ce l'abbiamo, se lo imposti: qui sopra c'è cos'è e per quanto.

Una cosa che facciamo e va detta: il server, come ogni server del mondo, vede l'indirizzo IP di chi si collega mentre gli risponde. Finisce nel registro tecnico della macchina — non nel database, non in un profilo, e non lo incrociamo con niente.

Quello che resta sul tuo telefono

Alcune cose non arrivano mai qui: vivono nel tuo browser e se ne vanno se lo ripulisci. Sono il tema chiaro o scuro, la valuta con cui leggi i prezzi, la dimensione del testo, quali suggerimenti hai già visto, e — le due che contano — la connessione al tuo wallet e la sessione con il tuo firmatario Nostr.

Cosa puoi fare adesso

• Togliere la chiave Nostr dal profilo, o cambiarla.
• Scegliere quale foto mostrare, o non mostrarne nessuna.
• Scegliere dove ricevere gli avvisi, o spegnerli.
• Mettere in pausa o cancellare i tuoi avvisi di ricerca.
• Togliere un punto di ritiro che avevi salvato.
• Chiudere il negozio per ferie, e nascondere gli ordini conclusi.
• Scaricare i tuoi affari in un file, dal Profilo.

Chi contattare

Per qualsiasi cosa riguardi i tuoi dati — sapere cosa abbiamo, farlo correggere, farlo cancellare — scrivici in privato su Telegram. Risponde una persona, e le leggiamo tutte.

💬 Scrivici per i tuoi dati 🔗 Condividi questa pagina