Jouw foto’s, jouw regels.
Off the cloud, voorgoed.

Een Raspberry Pi 5 (8 GB) met een microSD-kaart voor het systeem en twee USB-schijven voor de opslag, gespiegeld zodat elk ervan een volledige kopie van je bestanden bevat: USB-sticks, ssd’s, harde schijven of microSD-kaarten in USB-kaartlezers werken allemaal. Steek ze in de twee blauwe USB-poorten van de Pi (de snelle; het apparaat vertelt je dan welke je moet vervangen als er ooit een uitvalt). Voeg een voeding en een actieve koeler toe: allemaal standaardonderdelen. De Pi en twee USB-sticks van 512 GB kosten samen zo’n € 310, ongeveer € 340 in totaal voor 512 GB beschermde opslag. Zie de README voor de precieze lijst met aanbevolen onderdelen. Een Pi 5 met 4 GB kan ook werken, met beeldherkenning en gezichtsherkenning uitgeschakeld.

Ja, voor een Raspberry Pi 5 met minstens 8 GB RAM (een met 4 GB werkt alleen als Beeldherkenning en Gezichtsherkenning zijn uitgeschakeld in Instellingen): zie het tabblad Raspberry Pi 5-image bovenaan. Flash de image, zet de Pi aan en stel hem in vanaf je telefoon: tik op “Nieuw apparaat instellen” in de iOS- of Android-app, die de Pi via Bluetooth vindt en je door de rest leidt. Gebruik voor elke andere Debian/Ubuntu-machine het installatiescript.

Ja. Het installatiescript werkt op elke 64-bits machine, Intel/AMD of ARM, met Ubuntu, Debian of een andere op Debian gebaseerde Linux: een oude pc of laptop, een mini-pc of een bord zoals een Orange Pi met een Debian- of Ubuntu-image. Het bouwt de software op de machine zelf, dus je krijgt dezelfde app: reservekopieën van foto’s, mappen synchroniseren, beeldherkenning, gezichtsherkenning, vrienden, delen en updates via Instellingen. Geef de machine 8 GB geheugen, net als de Raspberry Pi 5 waarvoor het is ontworpen.

Een paar dingen heeft alleen de Raspberry Pi 5:

• De kant-en-klare image en de configuratie vanaf je telefoon via Bluetooth. Op andere hardware voer je één opdracht uit in een terminal, en het eerste wachtwoord dat op het apparaat wordt ingevoerd, wordt het wachtwoord ervan, dus open het meteen en kies er een.
• Weten welke schijf je moet vervangen. Op een Pi noemt de melding de USB-poort waarin de defecte schijf zit; op andere hardware staat er “een van de twee opslagschijven” en krijg je de systeemnaam en het serienummer van de schijf.
• De statuslampjes, die op de eigen pinnen van de Pi worden aangesloten (zie hieronder).

Het script kan ook op andere machines twee schijven spiegelen, maar alleen als je daarom vraagt, omdat het beide wist. Als het geen schijven vindt om te spiegelen, stopt het en vertelt het je hoe je op één schijf installeert. Wil je de machine een adres op off-the.cloud geven, voeg dan eerst de naam toe op je accountpagina en kopieer de identiteit die daar wordt getoond naar de machine voordat je het script uitvoert.

De lampjes zijn optioneel: één per opslagschijf, groen als alles in orde is en rood als de schijf je aandacht nodig heeft. Elk lampje is een rode led en een groene led naast elkaar (of één tweekleurige led met drie pootjes), en elke kleur wordt via een weerstand van 330 Ω aangesloten op één pin van de Raspberry Pi. Sluit ze aan terwijl de Pi uitstaat. Het apparaat bedient de lampjes zelf; er hoeft niets te worden ingesteld.

Dezelfde aansluitingen, in woorden:

• Lamp 1, rood: pin 11 (GPIO17), via een weerstand van 330 Ω, naar het lange pootje van de rode led.
• Lamp 1, groen: pin 13 (GPIO27), via een weerstand van 330 Ω, naar het lange pootje van de groene led.
• Lamp 1, beide korte pootjes: pin 9 (GND).
• Lamp 2, rood: pin 15 (GPIO22), via een weerstand van 330 Ω, naar het lange pootje van de rode led.
• Lamp 2, groen: pin 16 (GPIO23), via een weerstand van 330 Ω, naar het lange pootje van de groene led.
• Lamp 2, beide korte pootjes: pin 14 (GND).

Bij een tweekleurige led gaat het gedeelde pootje (meestal het middelste) naar GND; het moet het type met een gedeelde negatieve pool zijn, een led met gemeenschappelijke kathode. Wat de lampjes betekenen:

• Beide groen: beide schijven werken en bevatten dezelfde bestanden.
• Eén rood, één groen: de schijf met het rode lampje werkt niet meer of is eruit gehaald. Je bestanden staan veilig op de andere: vervang de rode binnenkort.
• Eén knipperend rood, één groen: een nieuwe schijf wordt gevuld met een kopie van je bestanden. Haal de groene er niet uit voordat beide weer groen zijn.
• Beide rood: er draait geen spiegel: het apparaat is zonder twee schijven ingesteld, of geen van beide schijven werkt.
• Beide uit: het apparaat staat uit of start nog op.

Elk lampje volgt een van de twee schijven van de spiegel, niet een USB-poort, dus kijk naar de melding in de app om te weten welke schijf je eruit moet halen.

Eén apparaat is genoeg. Als eigenaar voeg je voor elke persoon een account toe in Instellingen › Gebruikers (in de webapp, de iPhone-app of de Android-app), en die persoon kiest de eerste keer bij het inloggen een eigen wachtwoord. Elk account heeft een eigen reservekopie van foto’s en een eigen bibliotheek, en de foto’s en bestanden ervan zijn versleuteld met het wachtwoord van die persoon, dus je kunt ze niet openen vanuit je eigen account. Iedereen deelt hetzelfde apparaat en de twee gespiegelde schijven; het scherm Gebruikers toont hoeveel ruimte elk account inneemt, en je kunt een account op elk moment pauzeren, of samen met de bestanden ervan verwijderen.

Er is geen vaste limiet op het aantal accounts, maar elk account draait een eigen kopie van de software van het apparaat en gebruikt geheugen, dus hoe meer accounts, hoe trager het apparaat wordt. We raden er maximaal vijf per apparaat aan.

Om het eigen account buitenshuis te gebruiken, heeft een gezinslid een eigen adres op off-the.cloud nodig, net als een apparaat. Je geeft er een als je het account toevoegt in de webapp: laat in Instellingen › Gebruikers Toegang tot de bridge aanvragen aangevinkt, en het gezinslid krijgt <gebruikersnaam>.off-the.cloud (als dat adres al bezet is, kies je een andere gebruikersnaam). Beslis dit bij het toevoegen van het account, want er is geen schakelaar om een bestaand account later een adres te geven. De iPhone- en Android-apps bieden dit nog niet: accounts die daar worden toegevoegd, werken alleen op je thuisnetwerk.

Het apparaat registreert deze adressen zelf, buiten je bridgeaccount om, dus ze tellen niet mee voor de vijf adressen ervan en staan niet op je accountpagina. Met zo’n adres bereikt een gezinslid het eigen account overal, en kunnen jullie vrienden worden in de privéfeed en daar foto’s delen.

Vervang de twee kaarten één voor één door grotere, terwijl het apparaat gewoon blijft draaien. Haal één kaart eruit en plaats een grotere, minstens zo groot als de kaart die je eruit hebt gehaald: het apparaat kopieert er zelf alles naartoe (alles wat al op de nieuwe kaart staat, wordt gewist). Je krijgt een melding dat een schijf niet meer werkt, wat hier de bedoeling is, en nog een, “Beide opslagschijven werken weer”, als het kopiëren klaar is; bij een grote kaart kan dat een paar uur duren. Doe pas daarna hetzelfde met de andere kaart. Zodra beide kaarten groter zijn, vergroot het apparaat de opslag zelf tot de grootte van de kleinste, binnen ongeveer tien minuten, zonder te stoppen. Je bestanden blijven de hele tijd beschikbaar, maar tijdens het kopiëren staan ze op maar één kaart, dus haal de tweede kaart er nooit uit voordat de eerste kopie klaar is.

De twee gespiegelde schijven bewaren al twee kopieën van alles, maar ze zitten in hetzelfde apparaat: ze beschermen je tegen het uitvallen van één schijf, niet tegen diefstal, brand, het uitvallen van beide schijven of een per ongeluk verwijderd bestand. Voor een kopie die je ergens anders bewaart, kun je een van de schijven rouleren:

1. Haal een van de twee schijven eruit terwijl het apparaat aanstaat en er niets wordt geüpload. Het apparaat gaat door met de andere, en je krijgt een melding dat een schijf niet meer werkt; dat is hier de bedoeling.
2. Plaats op die plek een reserveschijf die minstens zo groot is als de schijf die je eruit hebt gehaald. Het apparaat wist die en kopieert er zelf alles naartoe. Als het klaar is, krijg je nog een melding, “Beide opslagschijven werken weer”; dat kan een paar uur duren.
3. Bewaar de schijf die je eruit hebt gehaald op een veilige plek, uit de buurt van het apparaat. Om je kopie later bij te werken, doe je hetzelfde nog een keer: de schijf die eruit gaat, is je nieuwe kopie, en de schijf die erin gaat, wordt gewist en opnieuw gevuld.

Tot een kopie klaar is, staan je bestanden op maar één schijf, dus haal de andere schijf er nooit eerder uit. Zolang er een schijf ontbreekt, gebruikt het apparaat elke schijf die je aansluit en die groot genoeg is als vervanging, en wist die, dus sluit in de tussentijd geen andere schijven aan.

De schijf die je bewaart, is een volledige kopie van het apparaat zoals het was toen je hem eruit haalde: je bestanden, de database, de instellingen en het adres. Een computer kan hem niet rechtstreeks lezen. Om hem terug te zetten, stel je een Raspberry Pi in met de image, sluit je die schijf aan en kies je “Dit apparaat herstellen” in de configuratie: alles komt terug zoals het was, en zodra je een tweede schijf toevoegt, vult het apparaat die weer. Je hebt het wachtwoord van het apparaat nodig zoals het was toen de schijf eruit ging, want de bestanden erop zijn ermee versleuteld. Gebruik hem alleen in plaats van het oorspronkelijke apparaat, nooit tegelijk, want dan zouden beide op hetzelfde adres reageren. De bestanden erop zijn versleuteld, maar hun namen, tags en je berichten niet, dus bewaar hem net zo veilig als het apparaat zelf.

Je telefoons en computers bewaren ook hun eigen kopieën: de apps kopiëren je foto’s en mappen naar het apparaat, ze verplaatsen ze niet. Wil je een kopie van iets op het apparaat op een computer bewaren, selecteer het dan in Bestanden in de webapp en kies “ZIP downloaden”, of voeg een van de mappen van het apparaat toe aan de Mac-, Windows- of Linux-app. Dat is synchroniseren, geen reservekopie, dus een bestand dat aan de ene kant wordt verwijderd, wordt ook aan de andere kant verwijderd.

Het spijt ons: nee. Het wachtwoord van je apparaat is het enige dat de sleutel ontgrendelt waarmee je bestanden zijn versleuteld. Het apparaat bewaart het niet, wij ook niet, en er is geen reset en geen achterdeur: zonder het wachtwoord kan niemand de foto’s, video’s en bestanden openen die ermee zijn opgeslagen, jij niet, niemand anders op het apparaat niet en wij ook niet. Zo blijven ze veilig als het apparaat ooit wordt gestolen.

Wat je kunt doen:

• Is een van je apps nog ingelogd? Dan kan die nog alles openen, omdat de app het wachtwoord bewaart. Log er niet uit, en gebruik de app om te kopiëren wat je nodig hebt voordat je verdergaat.
• Zoek je originelen op. De apps kopiëren foto’s en mappen naar het apparaat zonder ze te verwijderen, dus het meeste van wat erop staat, staat misschien nog op je telefoons en computers.
• Begin opnieuw. Flash een nieuwe kaart en stel het apparaat opnieuw in, kies “Opnieuw beginnen” (hiermee worden beide schijven gewist), kies een nieuw wachtwoord en laat je apps opnieuw een reservekopie van alles maken.
• Is een gezinslid het eigen wachtwoord vergeten? Ook de eigenaar kan het niet opnieuw instellen. De enige manier is het account te verwijderen, waarbij de bestanden ervan worden verwijderd, en het opnieuw aan te maken.

Het wachtwoord van je account op off-the.cloud is een ander wachtwoord: als je dat vergeet, stuurt de accountpagina je een e-mail met een link om het opnieuw in te stellen, en je apparaat en bestanden blijven onaangetast. Om dit allemaal te voorkomen, bewaar je het wachtwoord van je apparaat in een wachtwoordbeheerder, of schrijf je het op en bewaar je het op een veilige plek. Je kunt het altijd wijzigen in Instellingen, zolang je het huidige kent, en je bestanden blijven zoals ze zijn.

Ja: zet de map op “Alleen uploaden”, met het slotje naast de map in Bestanden (in de webapp, de iPhone-app of de Android-app). Vanaf dan kan er niets in die map worden verwijderd, niet vanaf een telefoon, een computer of het web, en als een bestand opnieuw wordt geüpload onder dezelfde naam, bewaart het apparaat ook de oudere versie, zodat een bewerking je origineel nooit overschrijft. De synchronisatie-apps voor Mac en Windows/Linux doen dit zelf voor een map waarvan je een reservekopie wilt maken. Je kunt de optie met hetzelfde slotje weer uitschakelen; de versies die tot dan zijn bewaard, blijven bestaan.

Je apparaat staat achter je thuisrouter, dus internet kan het niet zelf bereiken. De bridge is onze tussenschakel op off-the.cloud: die geeft je apparaat een adres zoals casa.off-the.cloud en geeft verbindingen van je apps en van de apparaten van je vrienden aan je apparaat door. Je hebt de bridge nodig om je apparaat buitenshuis te bereiken, voor vrienden en berichten, voor deellinks die overal werken en voor pushmeldingen op je telefoon. Thuis heb je de bridge niet nodig: bestanden, reservekopieën van foto’s vanaf je telefoons en computers, de galerij, tags en personen werken allemaal via je eigen netwerk.

Om de bridge te gebruiken, maak je een account aan; de configuratie van het apparaat vraagt erom, maar je kunt die stap ook overslaan en later verbinding maken via Instellingen. Zonder de bridge kun je je apparaat buitenshuis nog steeds bereiken met Tailscale Funnel of met een eigen bridge (zie de volgende vraag).

Ja. Heel Off The Cloud is gratis opensourcesoftware onder de licentie GNU AGPL: het apparaat, de apps en de bridge. Voor thuisgebruik kost het niets, behalve je hardware.

De bridge is het enige betaalde onderdeel, en die is optioneel. Je account is de eerste twee jaar gratis; daarna kost het € 9,99 + btw per jaar, inclusief maximaal vijf adressen op off-the.cloud, en we sturen je een e-mail voordat de gratis periode afloopt. Elk adres boven die vijf kost € 2 per jaar: via je accountpagina registreer je er maximaal vijf, dus wil je er meer, neem dan contact met ons op via info@off-the.cloud of via het formulier hieronder. Als je stopt met betalen, worden je adressen vrijgegeven en blijft je apparaat thuis werken.

Om je apparaat buitenshuis te bereiken zonder de bridge:

• Tailscale Funnel, ingebouwd (Instellingen › Tailscale Funnel), publiceert je apparaat op een eigen adres op ts.net. Je hebt een Tailscale-account nodig, Tailscale beperkt hoeveel verkeer er doorheen kan, en vrienden, berichten en gezinsaccounts werken daar niet: het is geschikt voor een apparaat dat je als je eigen privéopslag gebruikt.
• Een eigen bridge: de bridge is ook open source, dus je kunt hem op je eigen server en domein draaien. Je vrienden moeten dan dezelfde bridge gebruiken.
• Je eigen VPN naar je thuisnetwerk: de apps bereiken het apparaat dan alsof je thuis bent.

Thuis is het meestal veel sneller. De apps voor iPhone, Android, Mac en Windows/Linux maken via je eigen wifi of netwerk rechtstreeks verbinding met je apparaat, dus reservekopieën, grote uploads en video’s gaan op de snelheid van je lokale netwerk. Een clouddienst moet elk bestand door de internetverbinding van je huis duwen, waarvan de uploadsnelheid vaak maar een fractie is van die van je wifi. Buitenshuis gaan de apps zoals gewoonlijk via de bridge. De thuisverbinding is versleuteld en wordt gecontroleerd met de eigen sleutel van je apparaat, dus er wordt nooit iets naar een machine gestuurd die zich als jouw apparaat voordoet.

Je bestanden worden versleuteld opgeslagen met een sleutel die alleen je wachtwoord ontgrendelt, en het wachtwoord zelf wordt nooit op het apparaat bewaard. Foto’s en video’s die je plaatst, en de berichten die je vrienden met je delen, zijn de uitzondering: die worden onversleuteld bewaard, zodat de apparaten van je vrienden ze op elk moment kunnen ophalen. Bestandsnamen en tags blijven ook leesbaar, zodat zoeken werkt. Er wordt niets verkocht, niets gebruikt om AI-modellen te trainen en niets getoond aan iemand met wie je het niet hebt willen delen. De volgende twee vragen leggen uit wat de bridge en andere diensten zien, en waar je foto’s worden geanalyseerd.

Je foto’s, video’s en bestanden blijven op je apparaat. Er wordt niets verkocht, niets gebruikt voor advertenties en niets gebruikt om AI te trainen, en geen van de apps bevat analysetools, advertenties of crashrapportage. Er zijn een paar diensten bij betrokken, en dit is wat elke dienst krijgt:

• De bridge (beheerd door ons, op servers van OVH in Frankrijk), als je die gebruikt: je account (e-mailadres, voornaam, achternaam en land), de namen van je apparaten (zoals casa.off-the.cloud), wanneer een app elk apparaat voor het laatst heeft bereikt, totalen van het verkeer per uur (nooit de inhoud) en, gedurende 90 dagen, het internetadres van mislukte pogingen om als jouw apparaat verbinding te maken. Verbindingen met de bridge zijn versleuteld, maar de bridge ontsleutelt ze en versleutelt ze opnieuw terwijl ze passeren, dus ze zijn niet end-to-end versleuteld; van wat er passeert, wordt niets opgeslagen. Een apparaat zonder de bridge neemt er alleen tijdens de configuratie contact mee op.
• Apple en Google bezorgen pushmeldingen op iPhones en Android-telefoons. Een pushmelding zegt alleen wie wat heeft gedaan (“Sanne vindt je bericht leuk”) of dat er iets met je apparaat is gebeurd (een schijf werkt niet meer, het is offline gegaan), nooit wat er in een bericht of reactie staat, en nooit een foto. De Android-app gebruikt hiervoor Firebase van Google en verder niets. Pushmeldingen in een browser gaan versleuteld via de pushdienst van de maker van je browser.
• Proton verstuurt onze e-mails (de bevestiging van je e-mailadres, het opnieuw instellen van je wachtwoord, de waarschuwing voordat een ongebruikt account wordt verwijderd) en bezorgt de logboeken van het apparaat die je ons wilt sturen.
• Inloggen met Apple of Google geeft ons, als je het gebruikt, je e-mailadres en naam door.
• GitHub levert de software van het apparaat en de updates; tijdens het installeren of bijwerken downloadt het apparaat ook bouwstenen van de spiegelserver van de programmeertaal Go, die door Google wordt beheerd, pakketten uit de repository’s van het besturingssysteem en van Tailscale en, de eerste keer, de AI-modellen van Hugging Face en GitHub. Zoals bij elke download zien deze diensten het internetadres van je huis.
• Kaarten: als je de details van een foto opent, komt de kaart van OpenStreetMap (webapp en Android) of Apple Maps (iPhone), die de getoonde plek te zien krijgen.
• Tailscale, alleen als je Tailscale Funnel inschakelt (de software is geïnstalleerd, maar staat tot dan uit).

Er is nog geen betaalprovider. De details staan in onze privacyverklaring.

Op je apparaat. Het model voor beeldherkenning en de modellen voor gezichten worden één keer gedownload, bij de installatie van de software, en draaien op de eigen processor van het apparaat; met meerdere gezinsaccounts doet het hoofdaccount dat voor iedereen. Er wordt geen enkele foto ergens heen gestuurd om te worden herkend, en plaatsnamen komen uit een lijst met steden die op het apparaat staat, dus ook de locaties van je foto’s worden nergens heen gestuurd.

Gezichtsherkenning staat uit tot je die inschakelt, tijdens de configuratie of in Instellingen, omdat gezichten gevoelige persoonsgegevens zijn. Ze kijkt naar de foto’s die worden toegevoegd terwijl ze aanstaat, en de gezichtsgegevens die ze bewaart, zijn net als je bestanden versleuteld met je wachtwoord; de namen die je aan personen geeft niet. Beeldherkenning staat vanaf het begin aan en kan worden uitgeschakeld in Instellingen.

Je foto’s verlaten het apparaat alleen als jij dat kiest: als je ze voor je vrienden plaatst, een deellink verstuurt of ze buitenshuis via de bridge in je apps opent.

Ja: het apparaat, de bridge en alle clients zijn open source op GitHub. Je kunt de code controleren, de bridge zelf hosten of je eigen image voor het apparaat bouwen vanuit de broncode.

Dat is helemaal optioneel. Gebruik OTC gewoon als NAS voor reservekopieën en bestandssynchronisatie als je alleen dat wilt; de sociale feed toont alleen inhoud van vrienden die je zelf uitdrukkelijk hebt geaccepteerd.