Le tue foto, le tue regole.
Fuori dal cloud, per sempre.

Un Raspberry Pi 5 (8 GB) con una scheda microSD per il sistema e due unità USB per l’archiviazione, in mirror, così che ognuna contenga una copia completa dei tuoi file: chiavette USB, SSD, dischi rigidi o schede microSD in lettori USB, va bene tutto. Collegale alle due porte USB blu del Pi (quelle veloci; così il dispositivo ti dice quale sostituire se una si guasta). Aggiungi un alimentatore e un dissipatore attivo: tutto materiale in commercio. Il Pi e due chiavette USB da 512 GB costano circa 310 €, circa 340 € in tutto per 512 GB di spazio protetto. Consulta il README per l’elenco esatto dei componenti consigliati. Può funzionare anche un Pi 5 da 4 GB, con l’etichettatura delle immagini e il riconoscimento facciale disattivati.

Sì, per un Raspberry Pi 5 con almeno 8 GB di RAM (uno da 4 GB funziona solo con “Etichettatura delle immagini” e “Riconoscimento facciale” disattivati in Impostazioni): vedi la scheda Immagine per Raspberry Pi 5 in alto. Scrivila sulla scheda, accendi il Pi e configuralo dal telefono: tocca “Configura un nuovo dispositivo” nell’app per iOS o Android, che trova il Pi tramite Bluetooth e ti guida nel resto. Per qualsiasi altra macchina Debian/Ubuntu, usa lo script di installazione.

Sì. Lo script di installazione funziona su qualsiasi macchina a 64 bit, Intel/AMD o ARM, con Ubuntu, Debian o un’altra distribuzione Linux basata su Debian: un vecchio PC o portatile, un mini PC o una scheda come un Orange Pi con un’immagine Debian o Ubuntu. Compila il software sulla macchina stessa, quindi ottieni la stessa app: backup delle foto, sincronizzazione delle cartelle, etichettatura delle immagini, riconoscimento facciale, amici, condivisione e aggiornamenti da Impostazioni. Dagli 8 GB di memoria, come il Raspberry Pi 5 per cui è stato progettato.

Alcune cose le ha solo il Raspberry Pi 5:

• L’immagine pronta e la configurazione dal telefono tramite Bluetooth. Altrove esegui un comando in un terminale, e la prima password inserita nel dispositivo diventa la sua password, quindi aprilo e scegline una subito.
• Sapere quale disco sostituire. Su un Pi l’avviso indica la porta USB in cui si trova il disco guasto; altrove dice “uno dei due dischi di archiviazione” e fornisce il nome di sistema e il numero di serie del disco.
• Le luci di stato, collegate ai pin del Pi stesso (vedi sotto).

Lo script può mettere in mirror due dischi anche su altre macchine, ma solo se glielo chiedi, perché li cancella entrambi. Se non trova dischi da mettere in mirror, si ferma e ti spiega come installare su un solo disco. Per dare alla macchina un indirizzo off-the.cloud, aggiungi prima il nome nella pagina del tuo account e copia nella macchina l’identità che mostra, prima di eseguire lo script.

Le luci sono facoltative: una per disco di archiviazione, verde quando va tutto bene e rossa quando richiede il tuo intervento. Ogni luce è un LED rosso e uno verde affiancati (oppure un unico LED bicolore a tre piedini), e ogni colore si collega a un pin del Raspberry Pi tramite un resistore da 330 Ω. Collegale con il Pi spento. Il dispositivo le accende da solo; non c’è niente da configurare.

Gli stessi collegamenti, a parole:

• Luce 1, rosso: pin 11 (GPIO17), tramite un resistore da 330 Ω, al piedino lungo del LED rosso.
• Luce 1, verde: pin 13 (GPIO27), tramite un resistore da 330 Ω, al piedino lungo del LED verde.
• Luce 1, entrambi i piedini corti: pin 9 (GND).
• Luce 2, rosso: pin 15 (GPIO22), tramite un resistore da 330 Ω, al piedino lungo del LED rosso.
• Luce 2, verde: pin 16 (GPIO23), tramite un resistore da 330 Ω, al piedino lungo del LED verde.
• Luce 2, entrambi i piedini corti: pin 14 (GND).

Con un LED bicolore, il piedino comune (di solito quello centrale) va a GND; deve essere del tipo con il piedino negativo in comune, detto a catodo comune. Cosa indicano le luci:

• Entrambe verdi: entrambi i dischi funzionano e contengono gli stessi file.
• Una rossa, una verde: il disco con la luce rossa ha smesso di funzionare o è stato tolto. I tuoi file sono al sicuro sull’altro: sostituisci presto quello con la luce rossa.
• Una rossa lampeggiante, una verde: un nuovo disco viene riempito con una copia dei tuoi file. Non togliere quello con la luce verde finché entrambe non tornano verdi.
• Entrambe rosse: nessun mirror è attivo: il dispositivo è stato configurato senza due dischi, oppure nessuno dei due dischi funziona.
• Entrambe spente: il dispositivo è spento o si sta ancora avviando.

Ogni luce segue uno dei due dischi del mirror, non una porta USB, quindi controlla l’avviso nell’app per sapere quale disco togliere.

Basta un solo dispositivo. Dal tuo account principale aggiungi un account per ogni persona in Impostazioni › Utenti (nell’app web, nell’app per iPhone o nell’app per Android), e ognuno sceglie la propria password al primo accesso. Ogni account ha il proprio backup delle foto e la propria libreria, e le sue foto e i suoi file sono crittografati con la password di quella persona, quindi non puoi aprirli dal tuo account. Tutti condividono lo stesso dispositivo e i suoi due dischi in mirror; la schermata Utenti mostra quanto spazio occupa ogni account, e puoi sospendere un account, o rimuoverlo insieme ai suoi file, in qualsiasi momento.

Non c’è un limite fisso al numero di account, ma ognuno esegue la propria copia del software del dispositivo e occupa memoria, quindi più sono e più il dispositivo rallenta. Consigliamo non più di cinque per dispositivo.

Per usare il proprio account fuori casa, un familiare ha bisogno di un indirizzo off-the.cloud tutto suo, proprio come un dispositivo. Glielo dai quando aggiungi il suo account nell’app web: in Impostazioni › Utenti, lascia selezionato Richiedi l’accesso al bridge, e otterrà <nome utente>.off-the.cloud (se quell’indirizzo è già in uso, scegli un altro nome utente). Decidilo quando aggiungi l’account, perché non c’è un’opzione per dare un indirizzo a un account esistente in seguito. Le app per iPhone e Android non lo offrono ancora: gli account aggiunti lì funzionano solo sulla tua rete domestica.

Il dispositivo registra questi indirizzi da solo, fuori dal tuo account del bridge, quindi non contano tra i suoi cinque indirizzi e non compaiono nella pagina del tuo account. Con un indirizzo, un familiare raggiunge il proprio account da qualsiasi luogo, e potete diventare amici nel feed privato e condividere lì le foto.

Sostituisci le due schede con altre più grandi, una alla volta, mentre il dispositivo continua a funzionare. Togli una scheda e inseriscine una più grande, almeno quanto quella che hai tolto: il dispositivo ci copia tutto da solo (qualsiasi cosa ci fosse già sulla nuova scheda viene cancellata). Ricevi un avviso che un disco ha smesso di funzionare, che in questo caso è normale, e un altro, “Entrambi i dischi di archiviazione funzionano di nuovo”, quando la copia è finita; con una scheda grande può richiedere qualche ora. Solo allora fai lo stesso con l’altra scheda. Quando entrambe le schede sono più grandi, il dispositivo estende da solo lo spazio di archiviazione fino alla dimensione della più piccola, entro una decina di minuti, senza fermarsi. I tuoi file restano disponibili per tutto il tempo, ma mentre è in corso una copia si trovano su una sola scheda, quindi non togliere mai la seconda scheda prima che la prima copia sia terminata.

I due dischi in mirror conservano già due copie di tutto, ma si trovano entrambi nello stesso dispositivo: ti proteggono dal guasto di un disco, non da furti, incendi, dal guasto di entrambi i dischi o da un file eliminato per errore. Per avere una copia da tenere altrove, puoi alternare uno dei dischi:

1. Con il dispositivo acceso e senza caricamenti in corso, togli uno dei due dischi. Il dispositivo continua con l’altro e ricevi un avviso che un disco ha smesso di funzionare: in questo caso è normale.
2. Metti al suo posto un disco di scorta, grande almeno quanto quello che hai tolto. Il dispositivo lo cancella e ci copia tutto da solo. Al termine ricevi un altro avviso, “Entrambi i dischi di archiviazione funzionano di nuovo”; può richiedere qualche ora.
3. Conserva il disco che hai tolto in un posto sicuro, lontano dal dispositivo. Per aggiornare la copia in seguito, rifai la stessa cosa: il disco che togli è la tua nuova copia, e quello che inserisci viene cancellato e riempito di nuovo.

Finché una copia non è completata, i tuoi file sono su un solo disco, quindi non togliere mai l’altro disco prima di allora. Mentre manca un disco, il dispositivo prende come sostituto qualsiasi disco abbastanza grande che colleghi e lo cancella, quindi nel frattempo non collegare altre unità.

Il disco che conservi è una copia completa del dispositivo com’era quando lo hai tolto: i tuoi file, il suo database, le sue impostazioni e il suo indirizzo. Un computer non può leggerlo direttamente. Per ripristinarlo, configura un Raspberry Pi con l’immagine, collega quel disco e scegli “Recupera questo dispositivo” durante la configurazione: tutto torna com’era, e quando aggiungi un secondo disco il dispositivo lo riempie di nuovo. Ti serve la password del dispositivo com’era quando hai tolto il disco, perché i file al suo interno sono crittografati con quella. Usalo solo al posto del dispositivo originale, mai contemporaneamente, perché entrambi risponderebbero allo stesso indirizzo. I file al suo interno sono crittografati, ma i loro nomi, le etichette e i tuoi post no, quindi custodiscilo con la stessa cura del dispositivo.

Anche i tuoi telefoni e computer conservano le loro copie: le app copiano foto e cartelle sul dispositivo, non le spostano. Per tenere su un computer una copia di qualcosa che è sul dispositivo, selezionalo in File nell’app web e scegli “Scarica ZIP”, oppure aggiungi una delle cartelle del dispositivo all’app per Mac, Windows o Linux. Quella è una sincronizzazione, non un backup, quindi un file eliminato da una parte viene eliminato anche dall’altra.

Ci dispiace, no. La password del tuo dispositivo è l’unica cosa che sblocca la chiave con cui sono crittografati i tuoi file. Il dispositivo non la conserva, noi nemmeno, e non esiste alcun ripristino né alcuna backdoor: senza di essa, nessuno può aprire le foto, i video e i file protetti da quella password, né tu, né nessun altro sul dispositivo, né noi. È questo che li tiene al sicuro se il dispositivo dovesse essere rubato.

Cosa puoi fare:

• Una delle tue app ha ancora l’accesso? Allora può ancora aprire tutto, perché conserva la password. Non uscire da quell’app e usala per copiare ciò che ti serve prima di andare avanti.
• Cerca i tuoi originali. Le app copiano foto e cartelle sul dispositivo senza rimuoverle, quindi gran parte di ciò che contiene potrebbe essere ancora sui tuoi telefoni e computer.
• Ricomincia. Scrivi una nuova scheda e configura di nuovo il dispositivo scegliendo “Ricomincia da zero” (questo cancella entrambi i dischi), scegli una nuova password e lascia che le tue app rifacciano il backup di tutto.
• Un familiare ha dimenticato la sua? Nemmeno il proprietario può reimpostarla. L’unico modo è rimuovere il suo account, il che ne elimina i file, e crearlo di nuovo.

La password del tuo account off-the.cloud è un’altra: se la dimentichi, la pagina dell’account ti invia per email un link per reimpostarla, e il tuo dispositivo e i tuoi file non ne risentono. Per evitare tutto questo, conserva la password del dispositivo in un gestore di password, oppure scrivila e tienila in un posto sicuro. Puoi cambiarla in Impostazioni in qualsiasi momento, purché tu conosca quella attuale, e i tuoi file restano come sono.

Sì: impostala in solo caricamento, con il lucchetto accanto alla cartella in File (nell’app web, nell’app per iPhone o nell’app per Android). Da quel momento nulla in quella cartella può essere eliminato, né da un telefono, né da un computer, né dal web, e quando un file viene caricato di nuovo con lo stesso nome il dispositivo conserva anche la versione precedente, così una modifica non sovrascrive mai l’originale. Le app di sincronizzazione per Mac e Windows/Linux lo fanno da sole per una cartella di cui scegli di fare il backup. Puoi toglierlo di nuovo dallo stesso lucchetto; le versioni conservate fino a quel momento restano.

Il tuo dispositivo si trova dietro il router di casa, quindi internet non può raggiungerlo da solo. Il bridge è il nostro servizio di inoltro su off-the.cloud: dà al tuo dispositivo un indirizzo come casa.off-the.cloud e gli inoltra le connessioni delle tue app e dei dispositivi dei tuoi amici. Ti serve per raggiungere il tuo dispositivo fuori casa, per amici e post, per link di condivisione che funzionano ovunque e per le notifiche sul telefono. A casa non ti serve: file, backup delle foto da telefoni e computer, galleria, etichette e persone funzionano tutti sulla tua rete.

Per usarlo, crea un account; la configurazione del dispositivo te lo chiede, e puoi anche saltare questo passaggio e unirti più tardi da Impostazioni. Senza il bridge, puoi comunque raggiungere il tuo dispositivo da fuori casa con Tailscale Funnel o con un bridge tutto tuo (vedi la domanda successiva).

Sì. Tutto Off The Cloud è software libero e open source con licenza GNU AGPL: il dispositivo, le app e il bridge. Usato a casa non costa nulla oltre all’hardware.

Il bridge è l’unica parte a pagamento, ed è facoltativo. Il tuo account è gratuito per i primi due anni; dopo costa 9,99 € + IVA all’anno, con un massimo di cinque indirizzi off-the.cloud inclusi, e ti scriviamo prima che finisca il periodo gratuito. Ogni indirizzo oltre questi cinque costa 2 € all’anno: la pagina del tuo account ne registra fino a cinque, quindi per averne di più scrivici a info@off-the.cloud o con il modulo qui sotto. Se smetti di pagare, i tuoi indirizzi vengono rilasciati e il tuo dispositivo continua a funzionare a casa.

Per raggiungere il tuo dispositivo da fuori casa senza il bridge:

• Tailscale Funnel, integrato (Impostazioni › Tailscale Funnel), pubblica il tuo dispositivo a un indirizzo tutto tuo su ts.net. Ti serve un account Tailscale, Tailscale limita la quantità di dati che possono passare, e amici, post e account di famiglia lì non funzionano: è adatto a un dispositivo usato come tuo archivio privato.
• Un bridge tutto tuo: anche il bridge è open source, quindi puoi eseguirlo sul tuo server e sul tuo dominio. In quel caso i tuoi amici devono usare lo stesso bridge.
• La tua VPN verso la rete domestica: le app raggiungono il dispositivo come se fossi a casa.

A casa di solito è molto più veloce. Le app per iPhone, Android, Mac e Windows/Linux si connettono direttamente al tuo dispositivo tramite il tuo Wi-Fi o la tua rete, quindi backup, grandi caricamenti e video viaggiano alla velocità della rete locale. Un servizio cloud deve far passare ogni file attraverso la connessione internet di casa, la cui velocità in upload è spesso una piccola frazione di quella del tuo Wi-Fi. Fuori casa, le app passano come sempre dal bridge. La connessione di casa è crittografata e verificata con la chiave del tuo dispositivo, quindi nulla viene mai inviato a una macchina che si spaccia per il tuo dispositivo.

I tuoi file sono crittografati quando sono archiviati, con una chiave che solo la tua password può sbloccare, e la password stessa non viene mai memorizzata sul dispositivo. Le foto e i video che pubblichi, e i post che i tuoi amici condividono con te, sono l’eccezione: vengono conservati non crittografati così che i dispositivi dei tuoi amici possano recuperarli in qualsiasi momento. Anche i nomi dei file e le etichette restano leggibili, perché la ricerca funzioni. Niente viene venduto, usato per addestrare modelli di IA o mostrato a qualcuno con cui non hai scelto di condividerlo. Le due domande successive spiegano cosa vedono il bridge e gli altri servizi, e dove vengono analizzate le tue foto.

Le tue foto, i tuoi video e i tuoi file restano sul tuo dispositivo. Niente viene venduto, usato per la pubblicità o per addestrare l’IA, e nessuna delle app contiene strumenti di analisi, pubblicità o segnalazione degli arresti anomali. Sono coinvolti alcuni servizi, ed ecco cosa riceve ciascuno:

• Il bridge (gestito da noi, su server OVH in Francia), se lo usi: il tuo account (email, nome, cognome e paese), i nomi dei tuoi dispositivi (come casa.off-the.cloud), quando un’app ha raggiunto per l’ultima volta ciascun dispositivo, i totali orari del traffico (mai il contenuto) e, per 90 giorni, l’indirizzo internet dei tentativi falliti di connettersi come tuo dispositivo. Le connessioni verso il bridge sono crittografate, ma il bridge le decrittografa e le crittografa di nuovo mentre passano, quindi non sono crittografate end-to-end; nulla di ciò che passa viene conservato. Un dispositivo senza il bridge lo contatta solo durante la configurazione.
• Apple e Google consegnano le notifiche a iPhone e telefoni Android. Una notifica dice solo chi ha fatto cosa (“A Giulia piace il tuo post”) o che è successo qualcosa al tuo dispositivo (un disco ha smesso di funzionare, è andato offline), mai cosa dice un post o un commento, e mai una foto. L’app per Android usa Firebase di Google per questo e per nient’altro. Le notifiche in un browser passano, crittografate, dal servizio push del produttore del browser.
• Proton invia le nostre email (conferma della tua email, reimpostazione della password, l’avviso prima che un account inutilizzato venga rimosso) e consegna i log del dispositivo che scegli di inviarci.
• L’accesso con Apple o Google, se lo usi, ci comunica la tua email e il tuo nome.
• GitHub fornisce il software del dispositivo e i suoi aggiornamenti; durante l’installazione o l’aggiornamento, il dispositivo scarica anche componenti dal mirror del linguaggio Go, gestito da Google, pacchetti dai repository del suo sistema operativo e di Tailscale e, la prima volta, i suoi modelli di IA da Hugging Face e GitHub. Come qualsiasi download, questi servizi vedono l’indirizzo internet di casa tua.
• Mappe: quando apri i dettagli di una foto, la sua mappa proviene da OpenStreetMap (app web e Android) o da Apple Maps (iPhone), che vedono il luogo mostrato.
• Tailscale, solo se attivi Tailscale Funnel (il suo software è installato, ma resta disattivato fino ad allora).

Non c’è ancora alcun fornitore di pagamenti. I dettagli sono nella nostra informativa sulla privacy.

Sul tuo dispositivo. Il modello di etichettatura e i modelli per i volti vengono scaricati una volta sola, durante l’installazione del software, e girano sul processore del dispositivo; con più account di famiglia, quello principale li esegue per tutti. Nessuna foto viene inviata altrove per essere etichettata o riconosciuta, e i nomi dei luoghi provengono da un elenco di città memorizzato sul dispositivo, quindi nemmeno le posizioni delle tue foto vengono inviate altrove.

Il riconoscimento facciale è disattivato finché non lo attivi tu, durante la configurazione o in Impostazioni, perché i volti sono dati personali sensibili. Analizza le foto aggiunte mentre è attivo, e i dati dei volti che conserva sono crittografati con la tua password, come i tuoi file; i nomi che dai alle persone no. L’etichettatura è attiva fin dall’inizio e si può disattivare in Impostazioni.

Le tue foto escono dal dispositivo solo quando lo scegli tu: quando le pubblichi per i tuoi amici, invii un link di condivisione o le apri dalle tue app fuori casa, tramite il bridge.

Sì: il dispositivo, il bridge e tutti i client sono open source su GitHub. Puoi esaminare il codice, ospitare tu stesso il bridge o creare la tua immagine del dispositivo dai sorgenti.

È del tutto facoltativa. Usa OTC solo come NAS per backup e sincronizzazione dei file, se è tutto ciò che vuoi: il feed social mostra solo contenuti degli amici che hai accettato esplicitamente.