Le chiavi API di Demozoo sono ragionevoli, purché la memoria della scena resti aperta

Una porta chiusa è sempre un muro? Quando l'archivio di un'intera sottocultura ti chiede di accedere prima di consultarlo, l'istinto è di irrigidirsi. Pensiamo che quell'istinto meriti una seconda occhiata, perché qui il problema non è la serratura. È chi sta scuotendo la maniglia.

Cosa cambia, in due paragrafi

Demozoo, che si descrive come il più grande database di release, eventi, gruppi e altre entità della demoscene, ha annunciato sulla sua pagina delle novità che un "traffico di bot insostenibile" lo costringe a chiudere l'accesso pubblico non autenticato alla sua API. Dal 1 novembre, o prima se i bot peggiorano la situazione, le richieste dovranno includere una chiave API.

Il meccanismo è semplice. Secondo la pull request che lo ha implementato, gli utenti trovano una voce "API" nel menu dell'account per configurare le chiavi, e il codice prevede la revoca delle chiavi. La documentazione contiene consigli su limiti di frequenza accettabili e un rimando al dump SQL pubblico. Le richieste fatte dal browser con l'accesso effettuato continuano a funzionare, e un endpoint di prova permette agli sviluppatori di verificare la propria configurazione prima del passaggio.

Un archivio di volontari ha il diritto di difendersi

Leggendo il linguaggio di quella pull request si sente la stanchezza. Il maintainer incolpa il traffico dei bot e, senza giri di parole, gli "AI bros". Noi ammorbidiremmo il tono, ma non la diagnosi. Demozoo ci sembra un database comunitario più che un'azienda con un budget per l'infrastruttura, e quando gli scraper automatici martellano un endpoint, qualcuno paga: in denaro, in tempo o in sonno. Chiedere una chiave identificabile è, a nostro avviso, lo strumento più economico e meno invasivo: permette ai maintainer di vedere chi chiama e di revocare l'accesso a chi abusa senza chiudere fuori tutti.

Vale la pena notare anche ciò che non hanno fatto. Non hanno eliminato l'API né nascosto i dati. La chiave è legata a un normale account e la documentazione rimanda a un dump SQL pubblico, il che suggerisce che l'accesso in blocco resti una strada per chi ha bisogno di tutto. Secondo noi, questo dettaglio conta più della chiave in sé.

Il costo ricade sugli strumenti piccoli, ed è lì che si mette alla prova l'apertura

I primi a sentirlo sono probabilmente gli appassionati, non le bot farm. Prendi il progetto comunitario livecode.demozoo.org. I suoi maintainer hanno segnalato in una issue che il comando di aggiornamento chiama l'API ogni volta che incontra un ID sconosciuto di scener o di party, e che i collaboratori che lo eseguono in locale avrebbero bisogno ciascuno di una propria chiave in un file di configurazione locale. Se vogliono anche che il deployment automatico gestisca file di cache obsoleti, servirebbe salvare una chiave anche come secret del repository. Una pull request che copriva la parte locale è stata aperta e integrata nel giro di un paio di giorni.

È una piccola tassa, ed è stata pagata in fretta. Anche Apple2TS, un progetto di emulatore, ha integrato il supporto all'autenticazione con chiave di Demozoo il 21 ottobre, prima della scadenza. Sono strumenti come questi a rendere utile un archivio di demo, e non solo conservato: emulatori che avviano le produzioni, indici che le collegano alle sessioni di live coding. La rapidità di adattamento suggerisce che la comunità è disposta a collaborare.

Ma la buona volontà non è una politica. La documentazione di cui disponiamo non dice quali saranno i termini d'uso, se le chiavi verranno mai limitate o rifiutate, né come dovranno procedere i ricercatori che svolgono lavoro legittimo su larga scala. Non faremo ipotesi. Diremo però cosa vorremmo.

Cosa chiederemmo a Demozoo, e a tutti gli altri

Primo, le chiavi dovrebbero restare gratuite e immediate per chiunque abbia un account. Nel momento in cui una chiave richiede una giustificazione o un'approvazione, una misura di sicurezza diventa un buttafuori. Secondo, i termini dovrebbero essere scritti chiaramente: quale frequenza va bene, cosa conta come abuso, cosa succede se si supera il limite. Terzo, il dump SQL dovrebbe restare pubblico e aggiornato, perché è la risposta onesta per chi vuole tutto senza martellare un server in produzione.

E anche noi altri abbiamo un compito. Se mantieni uno strumento che usa Demozoo, aggiornalo subito e provalo con l'endpoint di autenticazione. Usa il dump per il lavoro in blocco. Metti in cache ciò che scarichi. La memoria collettiva della scena è un bene comune, e i beni comuni sopravvivono quando gli utenti prendono meno del massimo.

Il nostro verdetto: sembra una risposta proporzionata a una minaccia reale, non una recinzione attorno alla storia della scena. Giudichiamo Demozoo da ciò che farà dopo. Se le chiavi resteranno gratuite e le regole chiare, probabilmente verrà ricordato come una nota a piè di pagina. Altrimenti, saremo i primi a dirlo.