大多数远程桌面应用，在你把自己的设备相互连接之前，都要先要你的邮箱。我们认为这是本末倒置。这就是 Remio 为什么被设计成对你一无所知——以及为什么这最终成了一项特色，而不是一种局限。
零账号产品背后的五条公理
在工程之前，先有立场。Remio 建立在五句话之上，每当有新功能诱惑我们去索要邮箱，我们都会回到这五句话。读一遍，这篇文章其余的部分不过是补充色彩。
如果用户看到的第一样东西是注册，这款产品就已经从他们身上拿走了东西。我们拒绝收这笔过路费。一个六位数字码，就足以授权一台设备进行一次会话——再多的，都是用户并没有要求的一种关系。
每一个用户数据库，都是一份未来的事故报告。存放你邮箱最安全的地方，是一个不存在的数据列。我们对待用户数据，就像谨慎的建筑工人对待含铅涂料——理论上有意思，在工地上却不受欢迎。
你的手机和 Mac 就在同一张桌子上。它们需要建立的信任，存在于那个房间里，而不是另一个大洲的数据中心里。Remio 的 PIN 码交换，是两台设备之间的一次握手，没有任何第三方见证。
Remio 关心的是：你所指向的这台机器，是不是你昨天配对的那一台。密码学密钥能证明这一点，姓名和邮箱永远做不到。授权设备，而忘掉人。
离开一款产品的正确方式，是把它拖进废纸篓，然后就结束了。没有控制台，没有“你确定吗？”的问卷，没有数据导出工单。如果卸载不能把你删掉，说明这款产品一开始就对你知道得太多。
没人问的那个问题
当你下载一款远程桌面应用，它要的第一样东西通常是你的邮箱。然后是密码。然后也许还要一个手机号用于双重验证。接着要你验证邮箱。然后你才能开始连接你的设备。
我们已经被这套流程驯化得太深，以至于没人停下来问一句：为什么？
这两台设备都归你所有。它们就摆在你面前。一台是你的电脑，另一台是你的手机。你想在手机上看到电脑的屏幕。这就是全部的交易。
为什么另一个国家的公司，需要知道你的姓名、你的邮箱和你的设备清单，才能做到这一点？
应用想要你邮箱的真正原因
让我们坦白说说，大多数应用为什么要求账号：这不是为了你的安全——而是为了它们的商业模式。
邮箱地址是用户档案的基础。用户档案使得追踪使用情况成为可能。追踪使用情况使得定向推销成为可能。推销带来收入。账号不是一项功能——它是一个漏斗。
在某些应用中，账号确实有正当的理由。如果你需要云同步、团队管理或跨设备的持久化，用户身份是有意义的。但对于连接同一张桌上的两台设备来说，账号就是多余的负担——对你，也对你的隐私。
账号不是一项功能，它是一个漏斗。一旦你看清了这一点，就再也无法视而不见——也不会再把它当作打开一个应用的必要代价。
PIN 配对是怎么工作的
Remio 用一个六位数字码来配对。没有邮箱，没有密码，没有账号。
流程很简单。在电脑上安装 Remio，它会显示一个 PIN 码。在手机上输入那个 PIN 码，就连上了。整个过程大约一分钟。
PIN 码是一个可以随时更换的六位数字码。设备配对之后，它们会借助第一次握手时交换的密码学密钥互相记住。PIN 码本身从不存储在我们的服务器上。
这不仅更简单——而且比邮箱加密码的认证方式更安全。没有可能在数据泄露中被泄漏的密码，没有可以被钓鱼的账号，没有让攻击者盯上的凭据数据库。你无法入侵一个不存在的账号。
其他应用对你知道什么。Remio 知道什么。
解释一种理念最清楚的方式，是把它与另一种做法并排摆放。下面是一款典型的商业远程桌面产品，为了把一次会话呈现在你的屏幕上所收集的信息——以及 Remio 为完成同样的工作所收集的信息。
- 全名和邮箱地址
- 经过验证的手机号
- 你配对过的每一台设备
- 每一次连接，带时间戳和 IP
- 由这些 IP 推断出的地理位置
- 操作系统、硬件型号、应用版本
- 与你的身份绑定的崩溃报告
- 点击流分析和功能使用情况
- 营销归因 Cookie
- 支付档案和账单地址
其中任何一行被攻破，都会泄露其余所有。
什么都不知道。
你的设备 ID 保存在你的设备上。你可以随时更换配对码。配对密钥从不会到达我们的基础设施。你不必创建任何账号——使用情况和崩溃统计数据用来保证应用正常运作，但它们绝不包含你屏幕上的任何一帧。
即使我们的服务器被攻破，泄露的也只是我们本来就读不懂的加密流量。
没有用户档案，没有广告 SDK，没有数据经纪人，没有营销像素。确实存在的使用情况和崩溃统计数据，是为了让 Remio 保持正常运作——你的屏幕内容绝不会被记录或检查。
靠架构建立信任，而不是靠政策
关于隐私政策，有一个令人不安的事实：它们存在的目的是说明数据收集，而不是阻止数据收集。一条写着“我们收集使用数据以改进服务”的政策，给了公司几乎可以追踪任何东西的法律掩护。
我们采取了不同的做法：让数据收集在架构上成为不可能。
只要有可能，Remio 就让你的设备直接连接。你的屏幕数据不会经过我们的服务器。我们没有运营能检视你流量的中继基础设施。连接采用端到端加密，密钥只在你的设备上。
当无法直连时——严格的网络、企业防火墙——连接会回退到加密中继。中继看到的只是加密后的字节。它无法解密你的屏幕、你的输入或你的音频。它在设计上就是一根“哑管道”。
我们并不要你相信我们的隐私政策。我们要你相信这套架构。代码看不见的东西，代码就无法收集。
不知情的商业逻辑
有人问我们：“没有用户账号，你们怎么赚钱？没有邮箱，你们怎么做营销？没有每位用户的档案，你们怎么知道什么有效？”
问得好。我们的回答是：
- 你的数据从来都不是收入模式。Remio 免费，Remio Pro 是可选订阅——没有广告，不卖数据。人们推荐它，是因为软件好，而不是因为我们用一套滴灌式邮件把他们引了进来。
- 营销靠口碑和像这篇文章这样的内容。人们会分享自己喜爱的工具。不需要邮件列表。
- 我们从使用情况和崩溃统计中了解什么有效——哪些功能被使用、连接在哪里失败、什么会崩溃。它们绝不包含你的屏幕。使用 Remio 的人们留下的评价和消息，告诉我们其余的一切。
这比 SaaS 的惯例更难吗？当然。大多数打法都假设你有一个可以用来营销的用户邮箱数据库。我们没有。我们接受了这一取舍，因为我们相信这是正确的选择。
对未来的一次押注
我们认为，“把你的邮箱给我们才能使用我们的产品”的时代正在终结。用户累了。他们受够了垃圾邮件，受够了数据泄露，受够了发现自己“匿名”的数据被卖给一个他们从没听说过的广告网络。
下一代优秀的软件，将靠产品来竞争，而不是靠数据。它们会通过不索要自己不需要的信息来赢得信任。
Remio 不想要你的邮箱。我们不想要你的名字。我们不想要你的使用习惯。我们只想帮你在手机上看到你的电脑——并在你使用的时候，识趣地让开。
这不是局限。这就是整个设计。
