De waarschuwing waar iedereen langs klikt
Zet een toetsenbord aan en Android zegt zoiets als dat het alles wat je typt kan verzamelen, wachtwoorden en pasnummers inbegrepen.
Die waarschuwing verschijnt bij elk toetsenbord, ook bij het toetsenbord waarmee je telefoon geleverd werd. Het is geen beschuldiging aan het adres van de app die je aan het installeren bent. Android beschrijft wat het mechanisme voor invoermethodes mogelijk maakt, en het systeem kan niet weten wat een bepaald toetsenbord met die mogelijkheid doet.
Daarmee verschuift de vraag. Niet “is deze app gevaarlijk”, maar “wat zou deze app kunnen doen, en wat doet hij”.
Wat het systeem doorgeeft, en wat het achterhoudt
Is een toetsenbord actief, dan stuurt het systeem alle tekstinvoer erdoorheen. Het krijgt je aanslagen binnen, en het kan de tekst rond de cursor lezen in het veld dat je aan het bewerken bent. Zo weet de autocorrectie wat je aan het schrijven was, en zo werken woordsuggesties überhaupt.
Het krijgt ook te horen wat voor soort veld het is. Zo weet een toetsenbord dat het een cijferblok moet tonen bij een telefoonnummer, een indeling voor e-mailadressen bij een adresveld, en dat het zich in een wachtwoordveld anders hoort te gedragen.
Die toegang krijg je door het gekozen toetsenbord te zijn, en niet via een venster met een vraag. Er is geen apart recht om je typen te lezen, want je typen lezen is de hele functie.
Daarnaast blijft er een hoop buiten bereik, en juist daar laat de waarschuwing je te veel ruimte om iets te vermoeden. Een invoermethode ziet je scherm niet: hij krijgt tekstinvoer binnen en het veld dat bewerkt wordt, geen beeld van waar je naar kijkt. Hij draait niet zolang er geen tekstveld openstaat. Hij komt niet bij de gegevens van andere apps, bij je foto’s, je berichten of je bestanden, tenzij hij daar apart een recht voor heeft gevraagd en gekregen. En hij kan zichzelf niet stilletjes tot actief toetsenbord maken: Android eist twee bewuste stappen, aanzetten in de lijst met schermtoetsenborden en daarna kiezen.
De rechten die je in de app-informatie ziet
Los van dat mechanisme vraagt een toetsenbord-app gewone Android-rechten, en die lijst kun je zelf nalopen.
Internet. Wordt niet als vraag getoond, maar staat wel in de gegevens van de app. Dit is het recht dat het zwaarst weegt, want een toetsenbord zonder netwerktoegang kan niets versturen, hoeveel het ook kan zien. Er bestaan legitieme redenen voor: woordenboeken of spraakmodellen ophalen, vertalen, de geleerde woorden synchroniseren. Elk daarvan is gemak met een prijs.
Microfoon. Wordt gevraagd zodra je voor het eerst spraakinvoer gebruikt. Inspreken heeft hem nodig, typen niet, en weiger je hem, dan houd je een verder gewoon werkend toetsenbord over.
Opslag. Meestal voor de eigen bestanden van het toetsenbord en niet voor jouw documenten. Moderne Android-versies bakenen dit strak af.
Contacten. Sommige toetsenborden bieden aan om namen uit je adresboek te leren, zodat ze die niet meer verbeteren. Oprecht handig en oprecht een grote berg persoonlijke gegevens, dus het verdient een bewuste beslissing en geen ja uit gewoonte.
Trillen en meldingen. Cosmetisch. Niet het nadenken waard.
Play Store, andere winkel, of de code zelf
Een app uit de Play Store is langs de beoordeling van Google geweest. Die beoordeling werkt als zeef, zonder een garantie te zijn. Een app uit een andere winkel of een rechtstreekse download heeft die zeef niet gehad, en Android waarschuwt je bij het installeren uit onbekende bronnen. Bij een toetsenbord mag je die waarschuwing serieus nemen.
Wat de app technisch kan zodra hij je actieve toetsenbord is, verandert door geen van beide routes. Het rechtenmodel is gelijk. Het verschil zit in wie er als eerste naar gekeken heeft, en in hoe updates bij je binnenkomen.
Bij toetsenborden die open source zijn ligt de rekensom anders, want de code is te lezen, en dat is een sterkere vorm van nagaan dan welke winkel ook biedt. Daar hoort wel een voorwaarde bij: iemand moet het doen. Het antwoord op de vraag welk toetsenbord het veiligst is hangt er dus van af of jij persoonlijk iets gaat lezen, of iemand vertrouwt die dat al gedaan heeft.
Waarom LocalType vraagt wat het vraagt
De microfoon, gevraagd zodra je de toets voor het eerst gebruikt, en alleen in gebruik terwijl je aan het inspreken bent. Zonder dat recht typt het toetsenbord gewoon door.
Internet, voor precies één doel: het spraakmodel ophalen dat je kiest. Dat model zet je stem om in tekst, het is tussen de 60 en 539 MB afhankelijk van welke maat je neemt, en het is te groot om in de app mee te leveren. Zodra het op je telefoon staat, vraagt geen enkel onderdeel van het product nog om het netwerk. Zet je telefoon in vliegtuigstand en spreek een zin in; we hebben liever dat je het zo nakijkt dan dat je ons op ons woord gelooft.
Opslag op je telefoon, voor het model zelf, je instellingen en de woorden die je zelf toevoegt.
Verder staat er niets op de lijst. Er is geen recht op contacten, dus je adresboek wordt niet gelezen. Er is geen account, dus er hangt niets aan een identiteit. Er zit geen reclame in het product en geen tracking erbinnen, dus er wordt niets verzameld om te versturen, ook al was er ergens om het naartoe te sturen.
Het modelbestand staat in de eigen opslag van de app, die alleen de app kan lezen. Er wordt geen archief van je opnames bewaard, en de gegevens van de app blijven met opzet buiten de back-up van Android. In wachtwoordvelden zet de spraakinvoer zichzelf uit, en het toetsenbord leert ook niet van wat je daar tikt.
Waar we niet omheen komen: LocalType leest de woorden rond je cursor. Dat moet ook, want zo werken de autocorrectie en de woordsuggesties, en elk toetsenbord dat het tegendeel beweert doet die dingen niet of vertelt je niet de waarheid. Wij houden die woorden op je telefoon. Woorden die je zelf toevoegt blijven daar en gaan als context mee naar het spraakmodel, zodat je eigen namen er goed uit komen. Er wordt niets geüpload, want er is geen dienst aan de andere kant. Die bewering is smaller dan “wij kunnen je typen niet zien”, en je kunt haar zelf nakijken.
Zelf nakijken, in vijf minuten
Open de instellingen van Android, zoek de app op in de lijst met geïnstalleerde applicaties, en kijk naar twee dingen: welke rechten hij gekregen heeft, en of internettoegang er überhaupt bij staat. Dat tweede vind je bij de gegevens van de app en niet bij de vragen die je onderweg hebt beantwoord, dus je ziet het alleen als je er gericht naar zoekt.
Gebruik het toetsenbord daarna een dag met het netwerk uit. Alles wat ophoudt te werken had een verbinding nodig. Alles wat doorgaat had die nooit nodig. De woordsuggesties, de autocorrectie en het inspreken zijn de drie onderdelen waar het verschil het snelst zichtbaar wordt.
Op Android 12 en nieuwer hoort daar een derde controle bij die niets kost. Zodra een app de microfoon aanzet, verschijnt er rechtsboven in de statusbalk een stipje. Kijk daar tijdens het inspreken naar, en kijk er nog een keer naar terwijl je alleen aan het typen bent. Staat het er dan nog steeds, dan luistert er iets mee dat daar geen reden voor heeft.
Die twee controles gaan over wat een app doet. Bedoelingen laten zich niet nakijken, gedrag wel. Voor een toetsenbord loopt het uit op één vraag: heeft het internet nodig, en waarvoor.