As chaves de API do Demozoo são razoáveis, desde que a memória da cena continue aberta

Uma porta trancada é sempre um muro? Quando o arquivo de toda uma subcultura pede que você faça login antes de consultá-lo, o instinto é torcer o nariz. Achamos que esse instinto merece uma segunda olhada, porque o problema aqui não é a fechadura. É quem está balançando a maçaneta.

O que mudou, em dois parágrafos

O Demozoo, que se descreve como o maior banco de dados de lançamentos, eventos, grupos e outras entidades da demoscene, anunciou em sua página de notícias que um "tráfego de bots insustentável" o obriga a fechar o acesso público sem autenticação à sua API. A partir de 1º de novembro, ou antes se os bots escalarem, as requisições precisarão levar uma chave de API.

O mecanismo é modesto. Segundo o pull request que o implementou, os usuários ganham um item "API" no menu da conta para configurar chaves, e o código inclui a revogação de chaves. A documentação traz dicas sobre limites de taxa aceitáveis e uma indicação do dump SQL público. Requisições feitas no navegador com login ativo continuam funcionando, e um endpoint de teste permite que os desenvolvedores verifiquem a configuração antes da virada.

Um arquivo de voluntários tem direito de se defender

Leia a linguagem desse pull request e dá para sentir o cansaço. O mantenedor culpa o tráfego de bots e, sem rodeios, os "AI bros". Nós suavizaríamos o tom, mas não o diagnóstico. O Demozoo nos parece um banco de dados comunitário, e não uma empresa com orçamento de infraestrutura, e quando scrapers automáticos martelam um endpoint, alguém paga: em dinheiro, em tempo ou em sono. Pedir uma chave identificável é, a nosso ver, a ferramenta mais barata e menos intrusiva: permite que os mantenedores vejam quem está chamando e revoguem os abusadores sem barrar todo mundo.

Também vale notar o que eles não fizeram. Não removeram a API nem esconderam os dados. A chave fica ligada a uma conta comum, e a documentação aponta para um dump SQL público, o que sugere que o acesso em massa continua sendo um caminho para quem precisa de tudo. Em nossa opinião, esse detalhe importa mais do que a chave em si.

O custo cai sobre as ferramentas pequenas, e é aí que a abertura é testada

Os primeiros a sentir isso provavelmente são os entusiastas, não as fazendas de bots. Veja o projeto comunitário livecode.demozoo.org. Seus mantenedores observaram em uma issue que o comando de atualização chama a API sempre que encontra um ID desconhecido de scener ou de party, e que cada contribuidor que o executar localmente precisaria da própria chave em um arquivo de configuração local. Se também quiserem que o deploy automatizado lide com arquivos de cache desatualizados, seria preciso guardar uma chave como segredo do repositório. Um pull request cobrindo a parte local foi aberto e mesclado em poucos dias.

É um imposto pequeno, e foi pago rápido. O Apple2TS, um projeto de emulador, também mesclou o suporte à autenticação por chave do Demozoo em 21 de outubro, antes do prazo. São ferramentas assim que tornam um arquivo de demos útil, e não apenas armazenado: emuladores que executam as produções, índices que as ligam a sessões de live coding. A adaptação rápida sugere que a comunidade está disposta a colaborar.

Mas boa vontade não é política. A documentação que temos não diz quais serão os termos de uso, se as chaves algum dia serão limitadas ou recusadas, nem como pesquisadores com trabalho legítimo em grande escala devem proceder. Não vamos especular. Vamos dizer o que gostaríamos de ver.

O que pediríamos ao Demozoo, e a todo mundo

Primeiro, as chaves devem continuar gratuitas e imediatas para qualquer pessoa com conta. No momento em que uma chave exigir justificativa ou aprovação, uma medida de segurança vira porteiro. Segundo, os termos devem estar escritos de forma clara: que taxa é aceitável, o que conta como abuso, o que acontece se alguém passar do limite. Terceiro, o dump SQL deve continuar público e atualizado, porque é a resposta honesta para quem quer tudo sem martelar um servidor em produção.

E o resto de nós também tem tarefa. Se você mantém uma ferramenta que acessa o Demozoo, atualize-a agora e teste com o endpoint de autenticação. Use o dump para trabalho em massa. Faça cache do que buscar. A memória coletiva da cena é um bem comum, e bens comuns sobrevivem quando os usuários tomam menos do que o máximo.

Nosso veredicto: parece uma resposta proporcional a uma ameaça real, e não uma cerca em volta da história da cena. Vamos julgar o Demozoo pelo que ele fizer a seguir. Se as chaves seguirem gratuitas e as regras claras, isso provavelmente será lembrado como nota de rodapé. Se não, seremos os primeiros a dizer.