De veiligste manier om een bestand te versturen

Wie een offerte, een contract of een dossier verstuurt via WeTransfer, Dropbox of een bijlage in Gmail geeft daarmee de controle uit handen. Je weet niet waar het bestand fysiek staat, hoe lang het bewaard blijft, of het geopend is, en door wie. Voor een vakantiefoto maakt dat niets uit. Voor een personeelsdossier, een medisch verslag of een concept-overeenkomst wel.

Daar komt bij dat vrijwel alle grote spelers Amerikaans zijn. Sinds het Privacy Shield sneuvelde en de discussie over de CLOUD Act oplaaide is “waar staat mijn data en wie kan erbij” voor Nederlandse bedrijven, advocaten, zorgpartijen en overheden geen theoretische vraag meer maar een inkoopeis.

Voordat er een regel code stond lagen er vier principes vast, en elke latere beslissing is daaraan getoetst. Een paar populaire functies hebben het niet overleefd.

Dataminimalisatie is bij Codocs een ontwerpprincipe, geen paragraaf in de voorwaarden. Registratie vraagt om een e-mailadres. Meer niet: een voornaam mag, de rest niet. Geen bedrijfsnaam, geen telefoonnummer, geen “hoe hoorde je over ons”. Elk veld dat we niet uitvragen is een veld dat niet kan lekken, niet bewaard hoeft te worden en niet in een verwerkingsregister hoeft.

Elke deling is tijdelijk, tenzij. De standaard in de meeste diensten is dat een bestand eeuwig blijft staan tot iemand het weggooit. Hier is dat omgedraaid: een link verloopt, en daarna wordt het bestand verwijderd, tenzij je expliciet aanvinkt dat je het wilt bewaren. Dat is één vinkje, maar het verandert wie het werk moet doen. Opruimen is de taak van het systeem geworden.

Alles wat er gebeurt is zichtbaar. Uploaden, downloaden, delen, intrekken, inloggen: elke gebeurtenis komt in een logboek met tijdstip, IP-adres en user agent. Dat logboek is er omdat het de belofte waarmaakt: “je houdt de controle” is leeg zonder een scherm dat laat zien wat er gebeurd is.

En geen advertenties, geen doorverkoop, gewoon een abonnement. Cookieloze statistieken, geen trackers. Minder spannend dan een groeimodel op data, en het enige model dat niet in tegenspraak is met de rest van het verhaal.

Dit is de belangrijkste ontwerpbeslissing in het product, en meteen de meest contra-intuïtieve voor een beveiligingsdienst. Een wachtwoord op een link en een verloopdatum zijn de dingen waar dit product zijn bestaansrecht aan ontleent. Ze staan niet prominent in beeld. Ze zitten achter één klik, onder de geavanceerde opties.

De redenering: de veilige route moet ook de makkelijkste zijn. Elk bestand is al versleuteld, elke link verloopt al na zeven dagen, elke link is al in te trekken. Wie niets aanraakt krijgt dus al de veilige uitkomst. De uitklapper is er voor wie méér wil. Iemand die bij élke verzending een wachtwoordveld voor zijn neus krijgt gaat dat veld op den duur negeren, of erger: “dezelfde als vorige keer” invullen.

Die velden zijn uitgegrijsd tot er een bestand ligt. Ze verdwijnen niet en ze zijn niet klikbaar; ze zijn zichtbaar aanwezig en inactief. Zo vertelt het scherm de volgorde (eerst het bestand, dan de opties) zonder er een foutmelding of een uitlegzin voor nodig te hebben.

Hetzelfde principe zit in de teksten. Onder de bewaaroptie staat niet wat het vinkje betekent, maar wat er gaat gebeuren in de stand waarin het nú staat: het bestand wordt verwijderd nadat de link verloopt. Je hoeft niet te redeneren over een instelling, je leest een gevolg. En verder: “Bestand versturen” in plaats van “Verzenden”, “Link verloopt na” in plaats van “TTL”, “Met mij gedeeld” in plaats van “Inbox”.

Het eerlijkste onderdeel van deze case. Het product kan op dit moment op twee manieren hetzelfde doen, met verschillende mogelijkheden en een verschillend uiterlijk. Versturen is de nieuwe, uitgewerkte route: sleepvlak, meerdere ontvangers, bericht, wachtwoord, verloopdatum, bewaaroptie. Delen vanuit de bestandslijst is de oorspronkelijke route: een aparte pagina met twee velden.

Zo ontstaat dat. De bestandslijst kwam eerst, met delen als actie op een rij. Later bleek de dominante behoefte niet “iets dat ik bewaar delen” maar “iets versturen dat ik verder niet wil bewaren”, en daar is het verstuurscherm voor gebouwd. De oude route bleef staan omdat hij werkte.

Dat is klassieke productschuld: twee wegen naar dezelfde bestemming, waarvan er één stiller is en minder kan, en de gebruiker heeft geen enkele manier om te weten welke de goede is. De oplossing is de oude route laten verdwijnen: delen in het rijmenu hoort hetzelfde paneel te openen als versturen, met het bestand al ingevuld.