Hubzilla KnowledgeDB

Berechtigungssystem von Hubzilla verstehen

Hubzilla verfügt über ein Berechtigungssystem, welches für Einsteiger zunächst unüberschaubar wirkt. Wenn man sich aber ein paar Grundprinzipien verdeutlicht, dann ist es letztlich doch verständlich und nachvollziehbar.

Identität = Kanal

Bei Hubzilla benötigt man einen Account bei einem Hub (Hubzilla-Instanz/Hubzilla-Server). Dieser Account ist aber, im Gegensatz zu den meisten anderen Fediverse-Diensten nicht die eigene Identität. Während man z.B. bei Mastodon mit seinem Account auch gleichzeitig die Fediverse-Identität, mit welcher man im Fediverse auftritt, erzeugt, bietet der Account bei Hubzilla lediglich die Berechtigung, sich bei dem entsprechenden Hub einzuloggen. Hat man einen Account neu registriert, verfügt man aber noch über keine Identität im Fediverse, man kann nicht am Fediverse teilnehmen.

Die Identität bei Hubzilla wird Kanal genannt. Verfügt man über einen Account bei einem Hub, so kann man einen solchen Kanal erstellen. Und mit dieser Identität, also dem Kanal kann man dann auch am Fediverse teilnehmen.

Eine Besonderheit von Hubzilla ist, dass man sich beliebig viele Kanäle erstellen kann. Man benötigt dafür jedoch lediglich den einen Account. Verschiedene Kanäle kann man nun für verschiedene Zwecke verwenden. So kann man eine "klassische" Fediverse-Identität als Kanal einrichten, wie man sie auch bei anderen Diensten nutzt. Man kann aber z.B. zusätzlich einen weiteren Kanal erstellen, der nicht so öffentlich ist, wie der "klassische" Kanal. Den kann man z.B. nutzen, um nur mit bestimmten Personen zu interagieren. Oder man wählt als Kanal, ein Community-Forum einrichten. Ein solcher Kanal verhält sich in etwa so, wie ein klassisches Forum und bietet eine Art Gemeinschaftsseite, auf welcher sich die Mitglieder (Verbindungen zum Kanal) austauschen können.

Die Möglichkeiten sind vielfältig. Für jeden Zweck kann man sich einen Kanal anlegen und damit eine weitere Identität.

Wichtig: Das Prinzip der Whitelist

Das Berechtigungssystem von Hubzilla beruht auf einer Art Whitelist-System. Grundsätzlich ist zunächst anderen Personen (Fediverse-Nutzer oder sogar reine Internet-Nutzer ohne Fediverse-Account) alles verboten.

Berechtigung und Zugriff

Was in diesem Artikel generell als "Berechtigung" bezeichnet ist, kann noch weiter unterschieden werden: Berechtigungs- und Zugriffssystem. Zugriffsberechtigungen, kurz Zugriff, regelt, auf welche Inhalte andere Personen zugreifen können, was sie zu sehen bekommen, sie beziehen sich also auf das Objekt/den Inhalt. Die Berechtigungen regeln, was andere in und mit unserem Kanal und unseren Inhalten tun können (also z.B. kommentieren, wiederholen, teilen, liken etc., ggf. auch bearbeiten, modifizieren oder sogar Inhalte hinzufügen) und was sie grundsätzlich sehen können.

Die erste Stufe des Berechtigungssystems: die Kanalrolle

Beim Anlegen eines Kanals muss man die sogenannte Kanalrolle auswählen. Man hat die Wahl zwischen "Öffentlich", "Persönlich", "Community Forum" und "Benutzerdefiniert".

Damit man mit seinem Kanal auch ,mit anderen Menschen interagieren kann, müssen diesen bestimmte Berechtigungen eingeräumt werden (es sei denn man will Hubzilla als wirklich vollkommen privaten Raum ohne jeglichen Kontakt zur Außenwelt nutzen... auch das ist möglich).

Hubzilla stellt bei Kanalerstellung drei Kanalrollen mit einem Satz bestimmter Berechtigungen zur Auswahl:

1. Öffentlich: Diese Kanalrolle entspricht im Prinzip am ehesten dem "klassischen" Social-Network-Profil, wie man es von anderen Diensten kennt. Es ist ein weites Spektrum an Interaktionen möglich.
2. Persönlich: Auch diese Kanalrolle ist noch nahe am "klassischen" Social-Network-Profil dran. Es schränkt aber bestimmte persönliche Interaktionen zunächst ein (sie befinden sich quasi nicht auf der Whitelist).
3. Community Forum: Diese Kanalrolle stellt eine Besonderheit dar. Die Berechtigungen sind denen der Kanalrolle "Persönlich" recht ähnlich. Es wird aber zusätzlich die Fähigkeit aktiviert, sich wie ein Forum zu verhalten. Das bedeutet, dass Mitglieder (also Verbindungen) dieses Foren-Kanals unmittelbar in die "Wall" des Forums posten können, was dazu führt, dass ein solches Posting im Stream des Kanals landet und von allen anderen Mitgliedern (Verbindungen) gesehen werden kann und diese auch darüber benachrichtigt werden. Zusätzlich zur Kanalrolle "Persönlich" wird Nutzern hier das Recht eingeräumt, die Verbindungen des Kanals (also quasi die Mitgliederliste) anzuschauen.

Die vierte Auswahlmöglichkeit ist "Benutzerdefiniert". Hier kann man nach Kanalerstellung die Berechtigungen für jeden einzelnen Fall selbst festlegen. Die Einstellungen für die Berechtigungen findet man aber nicht bei den Kanal-Einstellungen, wo man die Kanalrolle auswählt, sondern bei den Privacy-Einstellungen. Hier gibt es dann einen zusätzlichen Button "Benutzerdefinierte Konfiguration der Channel Role", mit welchem man zum Editor für die Berechtigungen der Kanalrolle gelangt. Beim Aufruf dieses Editors wird man zunächst gewarnt: "Mit Vorsicht vorgehen - Das Ändern von erweiterten Konfigurationseinstellungen kann sich auf die Funktionalität und Sicherheit Ihrer Kanäle und der Ihrer Kontakte auswirken."

Entschließt man sich, das "Risiko" zu akzeptieren, klickt man auf den entsprechenden Button und gelangt nun endlich zu den Berechtigungseinstellungen für den Kanal.

Der Warnhinweis mag manchen ein wenig erschrecken. Es klingt auch fast schon bedrohlich. Aber wer diesen Artikel hier gelesen und verstanden hat, für den besteht kaum ein Risiko, sich einen "unbenutzbaren" Kanal zu erstellen. Außerdem kann man, wenn der Kanal nicht so funktioniert, wie erwartet, zur Not nachträglich die Kanalrolle wieder auf eine der drei voreingestellten Varianten umstellen und hat damit den entsprechend funktionierenden Kanal.

Hier nun die Berechtigungen der Kanalrollen:

Die hier aufgeführten Berechtigungen der drei voreingestellten Rollen können nicht geändert werden.

Bei den benutzerdefinierten Berechtigungen hat man im Editor die Möglichkeit zwischen

• Nur ich
• Nur die, denen Du es explizit erlaubst
• Angenommene Verbindungen
• Beliebige Verbindungen
• Jeder auf dieser Webseite
• Alle Hubzilla-Mitglieder
• Jeder authentifizierte
• Jeder im Internet

Die zweite Stufe des Berechtigungssystems: die Kontaktrollen

Die Kanalrollen gelten für jeden, der unseren Kanal besucht. Also auch für Gäste ohne Fediverse-Account und Nutzer anderer Fediverse-Dienste (aber auch für Hubzilla-Nutzer), mit denen wir nicht verbunden sind.

Und natürlich gelten sie für Nutzer, mit welchen wir verbunden sind.

Wir haben aber nun mit der zweiten Stufe des Berechtigungssystems, den Kontaktrollen, die Möglichkeit, bestimmten Verbindungen weitere Rechte einzuräumen.

Bitte hier auf die Formulierung achten: "weitere Rechte einzuräumen"!

Mit den Kontaktrollen können wir Benutzern Möglichkeiten einräumen, die in der Kanalrolle nicht eingeräumt werden. Wir können aber Berechtigungen, die durch die Kanalrolle eingeräumt wurden, nicht wieder wegnehmen. Auch die Kontaktrollen sind eine Positivliste. Eine weitere Positivliste, welche die Positivliste der Kanalrolle ggf. ergänzt und erweitert.

Es gibt eine "Standard" Kontaktrolle, welche die Berechtigungen der vordefinierten Kanalrollen sinnvoll erweitert. Diese Standardrolle führt dazu, dass sich der Kanal tatsächlich wie ein "klassischer" Social-Network-Account verhält:

Diese Standardrolle wird allen neuen Kontakten als Default zugewiesen. Wenn wir unseren Kanal unter Privacy-Einstellungen nicht so konfiguriert haben, dass alle Kontaktanfragen automatisch genehmigt werden, können wir die Kontaktrolle aber auch direkt beim Genehmigen der Verbindung ändern (sofern es noch andere Kanalrollen gibt). Im Nachhinein lässt sich die Kontaktrolle einer jeden Verbindung ändern.

Mit der App "Contact Roles" können wir uns die Berechtigungen der Standard Kontaktrolle anschauen (die Standardrolle kann nicht verändert werden) und neue eigene Kontaktrollen anlegen.

Die Kanalrolle des eigenen Kanals hat, wie bereits erwähnt, oberste Priorität. Jede Kontaktrolle erbt die Berechtigungen, welche von der Kanalrolle vorgegeben wurden. Man kann diese Berechtigungen in der Kontaktrolle nicht wieder entziehen.Man kann lediglich weitere Berechtigungen hinzufügen.

In der App "Contact Roles" werden die geerbten Berechtigungen in rot angezeigt.

Die hier neu angelegten Kontaktrollen können neuen und bestehenden Kontakten nun zugewiesen werden. Wir können beim Erstellen einer Kontaktrolle auch festlegen, dass diese Rolle künftig neuen Kontakten als Standard zugewiesen wird. Das funktioniert natürlich nur für eine Rolle.

Die dritte Stufe des Berechtigungssystems: Berechtigungs-Einstellungen (Zugriff / Zugriffs-Berechtigung)

Während die Kanalrolle und die Kontaktrollen die grundsätzlichen Berechtigungen festlegen, bieten die Berechtigungs-Einstellungen für einzelne Inhalte die Möglichkeit, den Zugriff explizit festzulegen. Hier befinden wir uns in der Schicht des Zugriffs- (Zugriffsberechtigungs-) System. Mit diesem System wird grundsätzlich festgelegt, ob ein Nutzer unsere Inhalte sehen kann.

Die Berechtigungs-Einstellungen erreicht man über einen Button mit einem Vorhangschloss-Symbol im Zusammenhang mit dem jeweiligen Inhalt (Posting, Dateien und Dateiordner, Termine, Artikel, Webseiten etc.). Mit diesen Zugriffs-Berechtigungen kann man, zusätzlich von den eingeräumten Berechtigungen durch Kanalrollen und Kontaktrollen, festlegen, wer den Inhalt sehen kann.

Man hat die Wahl zwischen

• Öffentlich
• Nur ich
• Privacy Gruppen
• Benutzerdefinierte Auswahl

Mit der benutzerdefinierten Auswahl haben wir die Möglichkeit, jedem einzelnen Kontakt, jeder Benutzergruppe und jedem Gastzugang die Erlaubnis zu erteilen, den Inhalt zu sehen.

Mit den Einstellungen für die Zugriffs-Berechtigung kann man in gewisser Weise die Berechtigungen, die man mit den Kanal- und Kontaktrollen gewährt hat, außer Kraft setzen. Wählt man beiden Zugriffs-Berechtigungen "Öffentlich", so bleiben die Regeln für den Kanal und die für Kontakte unberührt und der Zugriff auf den Inhalt / das Objekt wird so gewährt, wie es diese Berechtigungen vorsehen.

Wählt man "Nur ich", dann gelten die vergebenen Berechtigungen für den Inhalt / das Objekt nicht mehr. Der Inhalt wird nur dem Kanalinhaber zur Verfügung gestellt. Der kann seine eigenen Inhalte ohnehin immer sehen.

Wählt man eine Privacy Gruppe oder einzelne Kontakte und Gruppen aus dem Bereich "Benutzerdefiniert", so werden die gewährten Berechtigungen der Kanalrollen und Kontaktrollen auch nicht mehr unmittelbar beachtet, sondern nur für die Kontakte und/oder Kontaktgruppen, denen wir den Zugriff auf das Objekt/den Inhalt gewähren. Man kann also Kontakten, denen man bestimmte Berechtigungen gewährt hat, denen man also die Fähigkeit gegeben hat, grundsätzlich z.B. Objekte / Inhalte zu sehen, mit den Zugriffs-Berechtigungen dieses Recht für ein bestimmtes Objekt /einen bestimmten Inhalt einräumen, während es allen anderen in diesem Einzelfall verwehrt wird. Wichtig dabei ist, sich zu verdeutlichen, dass mit diesem Mechanismus aber keine Zugriffs-Berechtigungen gewährt werden können, wenn diese über Kanalrolle oder Kontaktrolle nicht gewährt wurden. Ist z.B. in der Kanalrolle nicht erlaubt, Webseiten des Kanals zu sehen, und wird auch mittels einer Kontaktrolle dies nicht erlaubt, so kann man dem Kontakt auch mit den Berechtigungs-Einstellungen (Zugriff) nicht ermöglichen, die Webseite zu sehen.

Räumt man Nutzern, welche keinen Account auf dem eigenen Hub haben, sondern auf einem fremden Hubzilla-Hub, Rechte an Inhalten / Objekten ein, müssen sich diese am eigenen Hub authentifizieren. Am besten man sendet ihen den Link zum Inhalt unter Nutzung der Tags [zrl][/zrl] oder [zrl=][/zrl], weil sie damit automatisch authentifiziert werden. Näheres dazu im Artikel Authentifizierung.

Fediverse-Nutzer, die mit anderen Diensten im Fediverse unterwegs sind, können mit einer entsprechenden Zugriffs-Berechtigung Beiträge sehen, weil diese föderiert und an den Stream / die Timeline verteilt werden und so für den Adressaten sichtbar sind. Andere Inhalte / Objekte, wie z.B. Dateien oder Dateiordner, oder auch Artikel, Webseiten etc. werden nicht föderiert und verbleiben ausschließlich auf dem Hub des Eigentümers. Man kann nun z.B. einen Link auf solche einen Inhalt teilen. Damit erhält der Empfänger den Link in seiner Timeline. Ein Klick darauf führt dann aber zum Ausgangs-Hub. Ist das Objekt hinter dem Link aber zugriffsbeschränkt, kann er es nicht sehen, selbst wenn er als Berechtigter in den Zugriffs-Berechtigungen angegeben wurde. Das funktioniert nur innerhalb des Hubzilla-Netzwerks (Grid), weil sich nur ein Hubzilla-Kanal über eine "magische Authentifizierung" beim Ziel-Hub fern-anmeldet. Diese Fähigkeit ist eine Spezialität des Zot-Protokolls und steht bei ActivityPub nicht zur Verfügung. Um Nutzern anderer Dienste oder Nutzern ohne jeden Fediverse-Account solche Inhalte / Objekte zugänglich zu machen, muss man den Mechanismus des Gastzugangs verwenden.

Die Nutzung der Berechtigungs-Einstellungen ermöglicht auch das Versenden von Direktnachrichten. Wenn wir einen oder mehrere Kontakte auswählen, so wird ein Posting nur an diese Kontakte verteilt. Das Posting erscheint bei diesen auch im Filter für Direktnachrichten. Solche Beiträge können nicht weitergesagt oder geteilt werden. Kommentare, also Antworten auf diese Direktnachrichten werden ebenfalls wieder nur an diejenigen Kontakte verteilt, die im Ursprungs-Posting als Berechtigte angegeben wurden.

Die Auswahl einzelner Kontakte für solche Direktnachrichten kann auch unter Umgehung der Berechtigungs-Einstellung mittels privater Erwähnung erfolgen (@!<HANDLE>).

Eine weitere Art Berechtigungssystem: Privacy Gruppen

Die App "Privacy Gruppen" ermöglicht es, Kontakte Privacy Gruppen zuzuweisen. Solche Gruppen sind also Sammlungen von Kontakten und dienen einserseits der Filterung des Streams, aber auch der einfachen Kommunikation, die auf bestimmte Kontakte beschränkt ist.

Mit der App kann man Privacy Gruppen erstellen. Man vergibt einen Namen für die Gruppe und legt fest, ob die Mitglieder der Gruppe für andere Kanäle sichtbar sind, ob standardmäßig in diese Gruppe gepostet werden soll und ob neue Kontakte standardmäßig dieser Gruppe zugeordnet werden sollen.

Haben wir eine solche Privacy Gruppe erstellt und rufen wir sie nun in der App "Privacy Gruppen" auf, werden die o.g. Einstellungen abermals gezeigt. Darunter finden wir zwei Spalten:

• Nicht in dieser Gruppe Hier werden alle Verbindungen angezeigt, die der Gruppe nicht zugewiesen wurden
• Gruppenmitglieder Hier werden alle Verbindungen aufgeführt, welche der Gruppe bereits zugeordnet wurden.

Durch Klicken auf eine der Verbindungen, wird diese in die andere Spalte verschoben. Damit Können wir also Kontakte einer Gruppe zuweisen und Kontakte aus einer Gruppe entfernen.

Es ist aber auch möglich in der App "Verbindungen" einen Kontakt zu bearbeiten und diesen dort einer Privacy Gruppe zuzuweisen.

Privacy Gruppen erfüllen zwei Grundlegende Aufgaben. Einmal dienen sie als Filter für den Stream. Das hat mit "Berechtigungen" nichts zu tun. Wählt man in der Stream-Ansicht in der Seitenleiste eine bestimmte Privacy Gruppe, so werden im Stream ausschließlich Inhalte der Gruppenmitglieder angezeigt.

Und dann dienen sie zusätzlich der Gruppen-Kommunikation in Form von Direktnachrichten.

Wählt man beim Verfassen eines eines Beitrags in den Berechtigungs-Einstellungen eine Privacy Gruppe, so wird das Posting ausschließlich an die Mitglieder der Gruppe verteilt.

Außerdem kann man in der App "Kontaktrollen" einer Privacy Gruppe eine bestimmte Kontaktrolle zuweisen. Das bedeutet, dass allen Gruppenmitgliedern die entsprechende Kontaktrolle zugewiesen wird. Allerdings erfolgt die Zuweisung nur n diesem Moment. Kontakte, welche der Gruppe später zugefügt werden, erben diese Zuweisung nicht, sondern behalten die Standard-Kontaktrolle.

Eine weitere Art Berechtigungssystem: Profile

Der Kanal, also unsere Identität im Fediverse verfügt über ein Standard-Profil. In diesem Profil können wir Details über uns selbst bekanntgeben. So ist es möglich, ein Profilfoto und ein Titelbild festzulegen, einen Kananamen festzulegen, Informationen zum Kanal selbst und zu anderen, teils persönlichen Verhältnissen bekanntzugeben.

Wir haben aber die Möglichkeit, mehrere Profile für einen Kanal anzulegen... mit unterschiedlichen Informationen und Daten. Und für jedes Profil können wir festlegen, welchen Kontakten es gezeigt wird.

Damit ist es möglich, verschiedenen Kontakten auch verschiedene Informationen über uns selbst preiszugeben und damit festzulegen, welche Informationen welcher Kontakt erhält.

Überlegungen zu den Berechtigungen - Was ist sinnvoll? Was ist nicht sinnvoll?

Wer Hubzilla einfach nur als Social-Media-System, wie eines von vielen anderen, nutzen möchte, der muss sich keine allzu großen Gedanken über das Berechtigungssystem machen. Er wählt einfach eine sinnvolle Kanalrolle (meist "Öffentlich") und damit ist die Sache erledigt. Direktnachrichten erledigt er über Tagging oder über die Berechtigungs-Einstellungen... das war es dann aber auch schon mit dem Berechtigungssystem.

Wer ab und an einmal Inhalte nur für bestimmte Kontakte zugänglich machen möchte, kann das auch mit den Berechtigungs-Einstellungen verwirklichen.

Wer etwas weniger öffentliche Interaktion wünscht, wählt die Kanalrolle "Privat".

Wer aber grundsätzlich festlegen möchte, wer was im Kanal tun und sehen darf, der geht anders vor und wählt eine sehr private und damit eingeschränkte Kanalrolle. Hier bietet sich "Benutzerdefiniert" an. Bei den Einstellungen sollte man sich wirklich Gedanken darüber machen, was Freigaben bzw. Einschränkungen in der Praxis bewirken und welche Grundfunktionalität man möchte. Und dann erteilt man nur die Berechtigungen, die man auch wirklich in jedem Fall erteilen will.

Wir erinnern uns: Die Berechtigungen in Hubzilla folgen dem Prinzip einer Whitelist. Und die Kanalrollen haben die höchste Priorität. Was dort erlaubt ist, kann in der Kontaktrolle nicht wieder verboten werden.

Wichtig ist auch, sich vor Augen zu führen, dass die Kanalrollen wirklich für jeden(!) gelten. Also auch für Gäste ohne Fediverse-Account ("Jeder im Internet") und für Nutzer, zu denen wir keine Verbindung haben.

Mit diesen Funktionen kann man auch eine folgen/nicht folgen Funktionalität verwirklichen.

Wenn wir in der Kanalrolle festlegen, dass man uns keine Beiträge schicken kann und keine Kommentare zu unseren Beiträgen abgeben kann, dann könnten wir z.B. Kontaktrollen erstellen, welche es bestimmetn Kontakten dennoch erlaubt. Erhalten wir eine Verbindungsanfrage, möchten aber keine Beiträge von diesem Kontakt sehen, diesem aber trotzdem ermöglichen uns zu "folgen", also unsere Inhalte in seinen Stream zu erhalten, erzeugen wir eine Kontaktrolle, die ihm das senden von Beiträgen in unseren Stream und das Kommentieren unserer Beiträge weiterhin untersagt, es ihm aber ermöglicht unsere Beiträge und Kommentare zu sehen. Und wir erzeugen eine weitere Kontaktrolle, in welcher das Senden von Beiträgen in unseren Stream und das Abgeben von Kommentaren erlaubt. Diese Kontaktrolle weisen wir dann allen Kontakten zu, mit denen wir in beide Richtungen interagieren möchten.

Entsprechende Überlegungen machen wir uns auch zu anderen möglichen Interaktionen und erzeugen dafür passende Kontaktrollen, die wir dann den entsprechenden Kontakten zuweisen.

Damit ist es möglich, ganz genau zu definieren, was wir wem erlauben und wir können unseren Stream von unerwünschten Inhalten frei halten. Die Möglichkeiten sind wirklich vielfältig.

Wenn wir aus unterschiedlichen Gründen oder mit unterschiedlichen Interessen im Fediverse unterwegs sein wollen, bietet es sich an, mehrere Kanäle dafür anzulegen. Geht es uns aber nur darum, unterschiedlichen Nutzern unterschiedliche Informationen preiszugeben, so genügt es, für einen Kanal mehrere Profile anzulegen und entsprechend zuzuweisen. Dabei sollte man bedenken, dass - sofern man es mit der Kanalrolle nicht generell verbietet - jeder im Internet das Standardprofil sehen kann. Hier sollte man dann nur die wirklich notwendigen Informationen eintragen und für Freunde, Kollegen oder sonstige Kontakte Profile mit weitergehenden oder anderen Informationen anzulegen.

tl;dr

Das Berechtigungs-System von Hubzilla ist sehr feingranular und aufgrund seiner mehrschichtigen Form wirklich gut geeignet, zu bestimmen, wie man mit wem im Internet interagieren möchte. Es mag zunächst verwirrend erscheinen, ist aber, wenn man sich mit der Systematik ein wenig vertraut gemacht hat, gut zu verstehen.

Die äußerste Grenze für unser "Ich" bei Hubzilla ist die Kanalrolle. Sie legt fest, was generell in Bezug auf den eigenen Kanal für andere erlaubt ist. Diese Erlaubnisse können grundsätzlich auch nicht in tieferen Schichten wieder weggenommen werden. Die in der Kanalrolle festgelegten Berechtigungen, etwas zu tun oder zu sehen, gelten für jeden, unabhängig mit welchem Status (Gast, Fediversenutzer...) er auf unseren Kanal stößt. Deshalb ist es wichtig, sich über die Kanalrollen für den eigenen Kanal Gedanken zu machen und genau zu überlegen, was man selbst völlig Fremden Internet-Nutzern zugestehen möchte.

Das Fediverse lebt von Interaktion und davon, Verbindungen einzugehen (bei anderen Diensten also "Follower" zu haben oder "gefolgt" zu werden). Hat man eine recht restriktive Kanalrolle erstellt oder gewählt, um völlig Fremden nicht zu viel Möglichkeiten zu erlauben, kann man nun mit der nächsten Grenze, den Kontaktrollen, Kontakten weitergehende Berechtigungen zuweisen. Diese ergänzen die Berechtigungen, welche von der Kanalrolle vorgegeben sind, können die Berechtigungen, welche durch die Kanalrolle erteilt werden, aber nicht zurücknehmen.

Jeder Kanal kann genau eine Kanalrolle haben, aber beliebig viele Kontaktrollen. Damit ist es möglich, verschiedenen Kontakten auch verschiedene Berechtigungen zu erteilen.

Unabhängig von den Kontaktrollen, kann man als Benutzer aber auch bei Erstellen von Inhalten (Postings, Bilder und Dateien, Termine im Kalender etc.) den Zugriff einschränken. Die Regeln der Kontaktrolle gelten zwar weiterhin, aber mit der Zugriffs-Berechtigungen können wir für einzelne Inhalte/Objekte den Zugriff auf ausgewählte Kontakte beschränken. Dafür nutzt man die Berechtigungs-Einstellungen für den Inhalt, mit denen man festlegen kann, wer genau Zugriff auf den Inhalt haben soll.

Jeder Kanal kann außerdem über mehrere Profile verfügen. Profile dienen dazu, Internet-Nutzern Informationen über den Kanal (durchaus auch persönliche Informationen) zur Verfügung zu stellen.

Hat man eine Kanalrolle gewählt oder erstellt, welche es jedem im Internet erlaubt, das Kanalprofil zu sehen, sollte man genau überlegen, wie viele Informationen man im Standard-Profil, über welches jeder Kanal verfügt, zur Verfügung stellen möchte. Hier sollte man "sparsam" sein, aber trotzdem genügend Informationen anbieten, um ggf. Interesse für den Kanal zu erregen, damit sich womöglich Fediverse-Nutzer mit dem eigenen Kanal verbinden (oder ihm "folgen").

Um nun bestimmten Kontakten weitergehende Informationen anzuzeigen, legt man dann weitere Profile mit unterschiedlichen Informationen an und weist diese den entsprechenden Kontakten zu. Damit können diese Kontakte dann die anderen, erweiterten Informationen einsehen. Informationen anderer Profile bleiben ihnen jedoch verborgen.

Um einerseits die Möglichkeit zu haben, den eigenen Stream nach Inhalten von bestimmten Nutzern zu filtern und andere Inhalte auszublenden, aber auch um eine auf bestimmte Verbindungen begrenzte Kommunikation zu ermöglichen, kann man sich Privacy Gruppen erstellen. Wählt man sie in der Stream-Ansicht im Filterbereich aus, so werden nur Inhalte angezeigt, welche von den in der Gruppe befindlichen Nutzern stammen. Legt man bei einem Posting oder dem Teilen von Daten (Bilder, Webseiten, Artikel etc.) mit den Berechtigungs-Einstellungen als Empfänger eine solche Privacy Gruppe fest, so bekommen auch nur die Mitglieder dieser Gruppe den Inhalt zu sehen.