上周，Holos Social 悄然关闭了基于 ActivityPub 构建的 Fediverse 搜索引擎 Holos Discover。它在获取用户同意方面付出了巨大努力：它只索引开启了“可被索引（indexable）”标记的账号的公开贴文，以可见关注者的身份出现，实时处理贴文的删除和编辑，并且排除了锁贴（手动批准关注）或简介带有 #nobot 标签的账号。在当前的 Fediverse 中，这已经是在构建尊重寻找共识的搜索引擎方面所能做到的极限了。
社区成员指出，在许多实例中，“可被索引”标记是默认开启的，这意味着大量带有该标记的账号从未做出过允许被索引的明确选择。这个本应表达“此人同意被搜索”信号的标记，往往传达的是“此人的站点管理员没有修改默认设置”，而在协议层面，这两种选项之间没有任何区别。
Fediverse 上的搜索和索引项目往往以同样的方式落幕：从早期的全文索引尝试，到 2023 年 Searchtodon 对个人时间线搜索的谨慎实验，再到今年早些时候 FediOnFire 基于中继的 firehose（数据全量分发）展示。并非所有的抵制都是毫无根据的：Maven 曾在没有通知的情况下导入了超过一百万条 Fediverse 贴文，并对它们进行了 AI 情感分析，这与 Holos 正在构建的愿景相去甚远。但社区的反应却很少去区分那些蓄意违背用户同意的项目和那些试图尊重用户同意的项目。Bridgy Fed 通过转向“选择加入”模式在类似的周期中幸存了下来，但这只是个例外。当下反对搜索的规范是在社区爆发强烈抗议的时期确立的——这些抗议有时甚至演变为了有组织的骚扰。随着人们似乎已基本翻篇，这类抗议的强度有所减弱。例如，2023 年初 Searchtodon 遭到了强烈的抵制，而我在 2025 年秋季明确指出的一个能够实现同样效果的离线优先客户端，却没有遭到任何抵制。尽管如此，对被抵制的预期仍然作为一种内化的谨慎态度而存在。
社区敏锐地指出，“可被索引”标记并不能可靠地代表个人同意。Helen Nissenbaum 关于“语境完整性”的研究表明，隐私不在于保密，而在于恰当的信息流动：在 Mastodon 上发帖带有一种隐性规范，即谁会看到该贴文以及他们为什么会看到；违反这种规范就是侵犯隐私，即使该贴文在技术上是公开的。Daniel Solove 和 Woodrow Hartzog 也提出了类似的法律观点，他们表示，公开可用的数据仍然经常受到隐私法的保护，仅仅是可访问性并不能赋予任意下游使用数据的许可。
但在发现“可被索引”标记不可靠之后，唯一可用的应对措施就是将所有默认设置视为“不同意”，而这带来了一些重大的副作用。它剥夺了这样一种可能性，即一位站点管理员可以合理地说：“我们的社区重视公共发现，因此我们启用了支持这一点的默认设置。”协议无法体现一个默认值是管理员刻意设置的，还是出于惯性保留的。因此，社区规范将它们一视同仁；在实践中，这意味着一个表示“我们社区主张公共发现”的站点管理员，与一个从未看过设置页面的管理员受到完全相同的对待。导致的结果是，在这个对 Fediverse 站点的认知框架里，它只包含了个人选择，而“社区进行集体决定从而可被发现”并非一个可用的选项。
对于一个本应促进跨社区治理多样性的网络来说，这是一个奇怪的结果。Mastodon 本周发布了一篇博客文章，执行董事 Felix Hlatky 在其中表示，其使命是“通过繁荣的在线社区连接世界”。但当前这种用于发送数据处理同意信号的结构只能识别个人，却没有任何机制让社区去传达任何信号。
将默认设置等同于“不同意”的这种思考框架，也带有某种居高临下的意味。如果我们认真对待“站点是拥有治理权的社区”这一观念，那么为公共发现配置其站点的管理员，就是在代表其社区做出治理决策，而不是“没有注意到一个复选框”。将所有默认设置视为不同意，等同于拒绝承认该决策的合法性，这恰恰破坏了去中心化网络本应赋予的“社区层面能动性”。正如我在本周的另一篇文章中所辩述的那样，在这些网络中把社区置于何处是一个开放性问题，但如果架构只承认个人，这个问题就无法得到解答。
与此同时，大约有好几种在没有问责机制、也没有提供选择退出选项的情况下抓取 Fediverse 数据的方法，并且由于它们发生在暗处，它们实际上都得到了变相的纵容。当前的机制实际上所做的，是将数据收集行为推到视线之外——在这个暗处既不存在退出机制，也没有创造条件让负责任的工具能够在阳光下进行构建。与其说当前的系统真正保护了用户，不如说它更好地保护了社区对自身的理想化认知——即将其视作是一个极其重视“同意”原则的地方。
Mastodon 的 Fediverse 发现提供商项目，或称 Fediverse 辅助服务提供商（FASP），目前在 NGI Search 资金的赞助下，正在制定一个可插拔的搜索和发现服务规范，任何 Fediverse 站点都可以连接到该服务。它的目标是解决与 Holos 相同的问题，那就是提供可以被其他站点使用的发现基础设施。
FASP 规范明确表示，提供商将“仅摄取那些从一开始就选择加入到发现列表中的创作者的内容”，并将“尊重此设置”，这里指的正是 Holos 所依赖的相同的“可被索引”信号。该规范在其他方面设计得很优秀：它是去中心化的，允许站点在互相竞争的提供商之间进行选择；它以限制数据曝光的机制将内容 URI 与内容获取行为进行了分离，并要求带有签名的获取请求，以便站点能够识别并阻止特定的提供商。但问题在于，作为其基石的同意机制，正是社区已经明确表示过不信任的那一套。
如果 Holos 事件已经证明了“可被索引”标记的不充分（因为它无法保证个人的明确同意），那么 FASP 的隐私模型也存在同样的漏洞。这表明，缺乏搜索和发现功能是一个治理问题，而不是技术问题。Holos 及其构建搜索引擎的经验表明，“可被索引”标记是不够用的。我们正在构建用于“发现”的技术基础设施，但关于“同意”的治理基础设施，也就是那种能够将经过深思熟虑的社区选择与默认设置区分开来的机制，却根本没有任何讨论。