Clip đưa một trang web vào ghi chú với phần tóm tắt đã viết sẵn. Hôm nay nó mở cho mọi tài khoản Telli.sh

Có một loại lỗi rất riêng mà không bộ kiểm thử nào bắt được: tính năng chạy tốt, và không ai với tới nó.

Clip đã hoàn chỉnh nhiều tuần nay. Hộp thoại lưu qua POST /v1/clip , điền thẻ liên kết từ các thẻ meta công khai của trang, sinh một bản tóm tắt một dòng bằng AI, xóa bộ nhớ đệm danh sách ghi chú, và vốn đã phân biệt được giữa "đã lưu, nhưng hạn mức tóm tắt của bạn đã hết" với "cái này hỏng rồi". Tất cả, chạy đúng. Vậy mà trên PostHog, hai sự kiện nó báo về — clip_opened và clip_created — chưa từng chạy. Không phải hiếm khi chạy, mà là chưa lần nào. Bằng không.

Nguyên nhân nằm ở ba dòng mã phía giao diện. Nút trên thanh bên và hộp thoại đều bị khóa sau điều kiện user.is_master , còn cái nút thì đeo một huy hiệu màu hổ phách ghi Admin preview . Phía máy chủ chưa bao giờ kiểm tra is_master cả — nó áp hạn mức theo ngày cho từng gói, đó mới là chỗ đúng đắn để đặt giới hạn. Tính năng này không phải không ai dùng. Nó là thứ không ai chạm tới được.

Kể từ commit 64852ac ngày 5 tháng 9 năm 2026, điều kiện chỉ còn là "có ai đang đăng nhập không". Bài này là một thông báo sản phẩm, nên nó cố ý lấy sản phẩm làm trung tâm: đây là những gì Clip làm, nó tốn của bạn bao nhiêu, tiện ích trình duyệt gửi đi những gì, và nó cố tình không bao giờ đọc những gì.

TL;DR

• Clip đã mở cho mọi tài khoản đang đăng nhập. Nút trên thanh bên đã gỡ bỏ huy hiệu quản trị viên vào ngày 5 tháng 9 năm 2026.
• Giới hạn là hạn mức theo ngày, không phải một cánh cổng. Gói Free có 30 lượt lưu và 10 bản tóm tắt AI mỗi ngày theo UTC; Plus, Pro và Pro+ tăng dần từ đó. Con số chính xác nằm ở bảng bên dưới.
• Hết hạn mức tóm tắt không làm mất clip của bạn. Liên kết và phần dữ liệu mô tả của nó vẫn được lưu; chỉ riêng bản tóm tắt bị bỏ qua, và ứng dụng nói thẳng điều đó.
• Tiện ích trình duyệt lưu được đúng trang bạn đang mở. "Save to Telli.sh" nằm trong menu chuột phải trên mọi trang http(s), và mang theo bất cứ đoạn nào bạn đang bôi đen. Bản 1.18 đang chờ Chrome Web Store duyệt vào lúc bài này lên — chưa cài được đâu.
• Tiện ích xác thực bằng một mã thông báo chỉ có thể lưu clip. Nó không đọc được ghi chú của bạn, không đổi được tài khoản, không chạm tới thanh toán, cũng không tạo ra được mã thông báo khác. Bạn nhìn thấy phần bí mật đúng một lần, và bạn có thể thu hồi nó.
• Tiện ích chỉ đọc những gì trang web vốn đã bày ra cho bạn. Tiêu đề, liên kết canonical, các thẻ meta og: / twitter: công khai, và đoạn bạn bôi đen. Không phải phần thân bài viết. Không có gì rời khỏi trình duyệt nếu bạn không nhấp, và khi chưa lưu mã thông báo thì mục menu đó hoàn toàn không làm gì.

Clip thật ra làm gì với một URL

Mở Clip từ thanh bên, dán một URL, và hộp thoại gọi POST /v1/clip/metadata . Điểm cuối đó tải HTML của trang về rồi chỉ đọc các thẻ meta công khai của nó — og:title, og:description, og:image, og:site_name, article:author, article:published_time và <link rel="canonical"> . Tiêu đề, mô tả, tên trang và ảnh quay về đã điền sẵn. Nếu việc tải thất bại, hộp thoại nói ra điều đó và vẫn cho bạn lưu liên kết, với tên máy chủ đứng thay cho tên trang.

Rồi bạn lưu, và Clip trở thành một ghi chú. Không phải tệp đính kèm, không phải một dấu trang trong danh sách riêng — mà là một ghi chú với note_type="clip" , nằm trong All Notes cùng mọi thứ khác, tìm kiếm được, xếp thư mục được, chia sẻ và xuất được bằng đúng bộ máy đó. URL nguồn và toàn bộ thẻ liên kết được giữ trong ngữ cảnh của ghi chú, nên nguồn gốc không bao giờ thất lạc phía sau bản tóm tắt.

Nếu có gì để tóm tắt — một đoạn mô tả, đoạn bạn bôi đen, một ghi chú bạn dán vào — thì một lượt tóm tắt tổng quát sẽ chạy và ghi một dòng tóm tắt lên ghi chú. Đó chính là dòng bạn thấy dưới tiêu đề trong danh sách.

Ba clip được lưu vào một tài khoản thật ngày 5 tháng 9 năm 2026, nằm trong All Notes ngay cạnh những ghi chú thông thường. Hai clip bài viết mang tiêu đề do AI đặt và một dòng tóm tắt. Trang chủ Hacker News không công bố thẻ meta mô tả và cũng không có đoạn nào được bôi đen, nên chẳng có gì để tóm tắt — nó giữ nguyên tiêu đề của chính mình và không có dòng tóm tắt. Khi Clip không có gì để làm việc cùng, nó im lặng chứ không bịa ra.

Chi tiết cuối cùng ấy chính là quy tắc thiết kế nằm dưới toàn bộ tính năng này, và nó đáng được nói thành một câu riêng: kết quả do AI tạo ra không bao giờ thay thế bản gốc . URL nguồn, phần dữ liệu mô tả của chính trang web và mọi đoạn chữ bạn cung cấp đều được giữ lại; bản tóm tắt là dữ liệu suy ra, xếp thêm lên trên. Nếu bản tóm tắt sai hoặc vô dụng, thứ bạn thật sự lưu vẫn còn nguyên ở đó.

Giới hạn là một hạn mức theo ngày, và đó là giới hạn duy nhất

Clip không có cổng chặn theo gói. Chỉ có một con số.

Giá trị mặc định lấy từ backend/config.py (CLIP_SCRAPE_DAILY_QUOTA_*, CLIP_SUMMARY_DAILY_QUOTA_*), đọc ngày 5 tháng 9 năm 2026.

Hai hạn mức chứ không phải một, và chúng hỏng theo hai kiểu khác nhau một cách có chủ ý. Hết lượt lưu thì việc lưu bị từ chối — máy chủ trả về 403 kèm mã có cấu trúc clip_scrape_quota_exceeded và ngày đặt lại. Hết hạn mức tóm tắt thì clip vẫn được lưu; chỉ riêng bước tóm tắt bị bỏ qua, và ứng dụng nói với bạn đúng như vậy: "Đã lưu clip. Hạn mức tóm tắt AI hôm nay đã dùng hết."

Sự bất đối xứng đó là cố ý. Lưu một liên kết thì rẻ, và đó mới là thứ bạn thật sự muốn; tóm tắt mới là phần đắt. Mất một trang bạn định giữ chỉ vì một mô hình ngôn ngữ bị giới hạn tần suất là một cuộc đổi chác phi lý, nên chúng tôi không bắt bạn đổi.

Bộ đếm chạy theo ngày dương lịch UTC thuần túy. Đúng 00:00 UTC, ngày của bạn được đặt lại — cùng một khoảnh khắc cho tất cả mọi người, không phải một khung 24 giờ trôi mà bạn phải ngồi tính.

"Save to Telli.sh" chỉ cách một cú chuột phải — khi 1.18 được duyệt

Hộp thoại trên web mặc định rằng bạn đã có URL trong khay nhớ tạm. Nhưng thường thì thứ bạn có là chính trang đang mở.

Telli.sh: Every Translator 1.18 bổ sung một mục vào menu ngữ cảnh, Save to Telli.sh , đăng ký cho cả ngữ cảnh page lẫn selection trên http://*/* và https://*/* — nghĩa là mọi trang web, không chỉ hơn 30 trang mà tiện ích dịch được. Nhấp chuột phải ở bất cứ đâu trong một bài viết là nó lưu. Bôi đen ba đoạn trước thì ba đoạn đó đi kèm, tối đa 2,000 ký tự.

Phản hồi đi theo huy hiệu trên thanh công cụ mà tiện ích vốn đã có: … trong lúc lưu, ✓ khi thành công, ! khi thất bại, mỗi trạng thái kèm một lời giải thích trong chú giải trên thanh công cụ. Các thông báo lỗi rất cụ thể, bởi lỗi từ máy chủ vốn đã cụ thể. 401 nghĩa là mã thông báo bị từ chối và bạn cần một mã mới. 403 nghĩa là một trong hai chuyện khác hẳn nhau, và tiện ích phân biệt chúng bằng cách tìm mã *_quota_exceeded trong phần thân phản hồi — hết hạn mức ("mai quay lại nhé") so với một mã thông báo không có quyền clip ("mã thông báo này không làm được việc đó"). Cùng một mã trạng thái, lời khuyên trái ngược.

Bản 1.18 đã được gửi lên Chrome Web Store ngày 5 tháng 9 năm 2026 và đang chờ duyệt. Bạn chưa cài được. Khi được duyệt, nó sẽ đến dưới dạng bản cập nhật tự động, và menu ngữ cảnh xuất hiện cùng với nó.

Một chiếc chìa khóa chỉ ghi: mã thông báo lưu được clip và không làm gì khác

Đây là phần chúng tôi để tâm nhất, vì đây chính là chỗ mà kiểu tích hợp này thường đi chệch.

Phiên bản lười biếng của việc "nối tiện ích với tài khoản của bạn" là bảo bạn dán mã phiên đăng nhập vào tiện ích. Mã đó mở ra tất cả: nó xóa được ghi chú, xuất được dữ liệu của bạn, chạm được vào thanh toán. Bạn sẽ trao đi thông tin đăng nhập đầy đủ của cả tài khoản để đổi lấy một nút đánh dấu trang, và nó sẽ nằm mãi trong bộ nhớ của tiện ích.

Nên Clip không dùng mã đó. Telli.sh cấp mã thông báo API có giới hạn phạm vi , dựng theo mô hình của Cloudflare: một mã thông báo mang theo một danh sách chính sách thay vì đứng thay cho chính bạn, và mỗi chính sách gồm một effect (allow hoặc deny , deny thắng), một tập resources , và một tập nhóm quyền. Hiện tại có đúng một nhóm, clip_write , mở ra thành các quyền clip:write và clip:metadata , và đúng một hình dạng tài nguyên, {"user": "self"} — dữ liệu của chính bạn, không gì khác.

Chúng tôi gọi nó là một chiếc chìa khóa chỉ ghi , bởi hình dạng của nó đúng là vậy: nó bỏ được thứ vào tài khoản bạn và không lấy được gì ra.

Bất biến an toàn khiến điều này thành thật nằm gọn trong một câu ở tài liệu thiết kế: mã thông báo API không bao giờ đi qua đường xác thực phiên . Cookie phiên và JWT truy cập được phân giải qua get_current_user_optional , thứ chạm tới mọi điểm cuối trong sản phẩm. Mã thông báo API chỉ được phân giải qua phụ thuộc require_permission(...) , và nếu quyền mà phụ thuộc đó đòi không nằm trong mã thông báo, câu trả lời là 403. Phá vỡ ranh giới ấy thì một mã thông báo có giới hạn lặng lẽ trở lại thành mã thông báo toàn tài khoản, và đó là lý do nó được ghi ra như quy tắc quan trọng nhất của thiết kế. Còn có một hệ quả phụ hữu ích: mã thông báo API là một chuỗi mờ, nên việc giải mã JWT luôn thất bại với nó. Nếu lỡ có mã nào lọt vào một nhánh mã xử lý phiên, nó sẽ xác thực ra thành không ai cả.

Chính API quản lý mã thông báo cũng đóng cửa với mã thông báo. Tạo, liệt kê và thu hồi đều đòi một phiên đăng nhập thật — một mã thông báo không tạo ra được mã thông báo khác.

Tạo một cái mất chừng mười lăm giây

Vào Cài đặt → Mã thông báo API. Trước khi bạn có cái nào, trang này nói thẳng về những gì thứ bạn sắp tạo có thể làm.

Trang mã thông báo API tại /settings/tokens trước khi có mã nào tồn tại, chụp ngày 5 tháng 9 năm 2026. Dòng nói về phạm vi nằm ngay trên biểu mẫu chứ không bị chôn trong một bài trợ giúp: "Một mã thông báo chỉ có thể lưu clip. Nó không đọc được ghi chú của bạn, không đổi được tài khoản của bạn, cũng không chạm tới chi tiết thanh toán của bạn." Chỉ có một quyền được đưa ra, bởi một quyền là tất cả những gì đang tồn tại.

Đặt tên, tích Lưu clip , rồi tạo. Toàn bộ phần bí mật hiện ra một lần, trong một bảng nói rõ điều đó bằng chữ đỏ.

Bảng bí mật dùng một lần. Mã thông báo trong ảnh chụp này đã bị che, và tài khoản sở hữu nó đã bị xóa. Một mã thông báo có dạng tsh_<12-character prefix>_<43-character secret> — 256 bit ngẫu nhiên theo base64url. Chỉ phần tiền tố được lưu ở dạng văn bản thuần, làm khóa tra cứu; phần bí mật được lưu dưới dạng băm bcrypt và không thể khôi phục, kể cả bởi chúng tôi lẫn bởi bạn. Đóng bảng này lại là nó đi luôn.

Sau đó danh sách chỉ hiện phần tiền tố, không gì hơn. Chừng đó là đủ để phân biệt hai mã thông báo, và vô dụng với bất cứ ai lấy trộm ảnh chụp màn hình.

Vẫn mã thông báo đó sau khi bảng bí mật được đóng: tiền tố, phạm vi, thời điểm tạo, thời điểm dùng cuối, và Thu hồi. last_used_at được ghi nhiều nhất mỗi giờ một lần chứ không phải theo từng yêu cầu, nên nó cho bạn biết đại khái khi nào mã thông báo còn hoạt động mà không biến mỗi lần clip thành thêm một lượt ghi cơ sở dữ liệu. Thu hồi sẽ đặt revoked_at — tức thì, vĩnh viễn, và không phải là xóa cứng, nên dấu vết về những gì từng tồn tại vẫn còn.

Nối tiện ích với tài khoản: năm bước

1. Đăng nhập tại telli.sh và mở Cài đặt → Mã thông báo API (/settings/tokens).
2. Nhập một cái tên mà sau này bạn còn nhận ra — "Browser extension" là chữ gợi ý sẵn không phải ngẫu nhiên — tích Lưu clip , rồi bấm Tạo mã thông báo .
3. Bấm Sao chép mã thông báo trong lúc bảng dùng một lần còn mở. Không có lần thứ hai; nếu làm mất, hãy thu hồi mã đó và tạo cái khác.
4. Mở trang cài đặt của tiện ích, tìm mục Telli.sh Clip , dán mã thông báo vào ô Telli.sh Clip token , rồi bấm Kết nối .
5. Nhấp chuột phải lên bất cứ trang web nào và chọn Save to Telli.sh . Huy hiệu trên thanh công cụ nháy ✓ và clip đã nằm trong All Notes.

Tiện ích sau bước 4, chụp ngày 5 tháng 9 năm 2026. Dòng trạng thái chỉ hiện phần tiền tố — tiện ích hiển thị đúng thứ mà danh sách mã thông báo hiển thị. Dòng chú thích nói thẳng về cách lưu trữ: "Nó chỉ được lưu trên thiết bị này, và việc lưu clip vẫn tắt cho tới khi bạn thêm một mã thông báo." Không có mã thông báo thì không có clip; mục menu vẫn ở đó nhưng không làm gì.

Tiện ích đọc chính xác những gì

Lời cam kết về quyền riêng tư thì rẻ. Đây là hành vi của mã nguồn, phiên bản duy nhất đáng tính.

Khi bạn bấm Save to Telli.sh , tiện ích tiêm một hàm duy nhất vào trang và đọc tám trường: og:title hoặc twitter:title , lùi về document.title ; og:description , twitter:description hoặc description ; liên kết canonical; og:image hoặc twitter:image ; og:site_name hoặc application-name ; article:author hoặc author ; article:published_time ; và window.getSelection() .

Hãy đọc lại danh sách đó để thấy cái gì vắng mặt. Không có document.body . Không có bước trích xuất phần chữ của bài viết, không có lượt xử lý readability, không có màn duyệt DOM. Bảy trong tám trường là dữ liệu mô tả mà chính trang công bố cho Google và cho phần xem trước trên mạng xã hội — dữ liệu được viết ra để người lạ đọc. Trường thứ tám là đoạn chữ do chính bạn bôi đen.

Còn bốn tính chất nữa được giữ đúng trong mã:

Không có gì được gửi đi nếu không có một cú nhấp. Hàm lấy dữ liệu mô tả chạy bên trong trình xử lý menu ngữ cảnh. Không có báo thức nền, không có móc chạy lúc tải trang, không có chế độ "thu thập trong lúc bạn lướt".

Không có mã thông báo thì hoàn toàn không có gì xảy ra. Trình xử lý kiểm tra mã thông báo Telli.sh đã lưu trước tiên và dừng ngay tại đó nếu không có, đồng thời hiện một huy hiệu nhắc bạn nối một mã vào. Trên bản cài mới, mục menu ấy trơ ra.

Cookie phiên của bạn không thể bị mượn. Tiện ích giữ quyền truy cập máy chủ cho telli.sh , điều mà bình thường có nghĩa là các lệnh fetch của nó tự động mang theo cookie đăng nhập của bạn — và cookie sẽ xác thực trước mã thông báo, mở ra quyền truy cập toàn tài khoản thay cho phạm vi chỉ-clip mà chúng tôi thiết kế. Vậy nên yêu cầu được gửi kèm credentials: 'omit' . Mã thông báo là thông tin xác thực duy nhất còn trong cuộc, và phạm vi bạn chọn đúng là phạm vi có hiệu lực. Chính tùy chọn nhỏ đó là thứ làm cho chiếc chìa khóa chỉ ghi thật sự chỉ ghi.

Ở nơi tiện ích không có quyền truy cập trang, nó gửi đi ít hơn chứ không nhiều hơn. Việc tiêm script cần quyền truy cập máy chủ, thứ mà tiện ích chỉ nắm cho những trang được khai báo trong manifest của nó. Ở mọi nơi khác, việc tiêm đơn giản là thất bại và clip lùi về chỉ còn cái URL; máy chủ khi đó điền thẻ liên kết từ các thẻ meta công khai của trang. Kiểu hỏng ở đây là "ít dữ liệu hơn", không bao giờ là "xin thêm quyền rộng hơn".

Và khi máy chủ đi tải một URL, nó tải như một người ghé thăm, không phải như một con bọ thu thập. Nó từ chối localhost , mọi máy chủ .local , và bất kỳ tên máy chủ nào phân giải ra địa chỉ IP riêng tư, loopback, link-local, multicast, dành riêng hoặc không xác định — phân giải rồi kiểm tra thật chứ không chỉ so khớp theo mẫu, nên một tên DNS công khai trỏ về 10.0.0.1 cũng bị từ chối. Nó theo tối đa 3 lần chuyển hướng và đọc tối đa 256 KB HTML. Nó không đăng nhập, không mang cookie của bạn, và không thử làm bất cứ điều gì mà một người khách chưa đăng nhập không làm được. Trang có tường phí và trang riêng tư vẫn nằm sau tường phí và vẫn riêng tư — thay vào đó, hãy lưu chính đoạn chữ bạn bôi đen từ chúng.

Một ghi chú cuối về đo đạc, vì bài này mở đầu bằng một câu chuyện phân tích. Clip tạo bởi tiện ích không bao giờ đi qua ứng dụng web, nên phía giao diện không thấy chúng; máy chủ báo clip_created thay cho những trường hợp đó. Sự kiện ấy mang theo ứng dụng nguồn, loại nguồn, có kèm đoạn bôi đen hay không, có sinh tóm tắt hay không, và gói dịch vụ. Nó không mang URL, không mang tiêu đề và không mang đoạn chữ bạn bôi đen — có bao nhiêu clip và đi qua đường nào, chứ không bao giờ là bên trong chúng có gì.

Chốt lại: một ứng dụng ghi chú chỉ giữ những gì bạn nói mới là nửa trí nhớ

Telli.sh khởi đầu như một chỗ dành cho phần việc được nói ra — ghi âm một cuộc họp, chép lại đúng thứ tiếng đã thật sự được nói, dịch nó, tóm tắt nó, giữ cả bốn lớp trong một ghi chú. Chừng đó bao phủ những gì bạn nói .

Nó không bao phủ những gì bạn đọc , vốn là phần lớn những gì bạn biết. Cái tab bạn để mở suốt ba ngày. Trang tài liệu mà một tháng nữa bạn sẽ cần lại. Chuỗi bình luận có chứa câu trả lời thật sự. Những thứ đó nằm trong một lịch sử trình duyệt bạn sẽ không bao giờ tìm kiếm và một thanh dấu trang bạn đã ngừng mở từ năm 2019.

Clip là nửa còn lại đang tới: cùng một ghi chú, cùng một ô tìm kiếm, cùng những thư mục, cùng cách xuất — chỉ khác là với tới bằng một cú chuột phải thay cho một chiếc micrô. Hướng đi là một cơ sở dữ liệu cá nhân duy nhất nơi lời của bạn và nguồn của bạn nằm cạnh nhau, và đây là bề mặt thu thập đầu tiên hướng thẳng vào web.

Cánh cổng đã biến mất. Giờ thì mấy cái bộ đếm đã có chỗ để đi.

---

Thử ngay: đăng nhập, mở Clip trên thanh bên, và dán URL của thứ bạn vẫn định giữ lại bấy lâu nay. Tài khoản miễn phí có 30 lượt lưu và 10 bản tóm tắt AI mỗi ngày. Khi tiện ích 1.18 qua được vòng duyệt của Chrome Web Store, đúng việc đó sẽ thành một cú chuột phải trên bất cứ trang nào bạn đang đọc.

Mở Telli.sh và lưu clip đầu tiên của bạn

Nguồn

• Kho mã Telli.sh, commit 64852ac , ngày 5 tháng 9 năm 2026 — "feat(clip): open Clip to every signed-in user", commit đã gỡ điều kiện is_master và huy hiệu Admin preview, đồng thời ghi lại rằng clip_created và clip_opened chưa từng chạy trên PostHog.
• Kho mã Telli.sh, backend/config.py — các giá trị mặc định CLIP_SCRAPE_DAILY_QUOTA_* và CLIP_SUMMARY_DAILY_QUOTA_* , đọc ngày 5 tháng 9 năm 2026.
• Kho mã Telli.sh, docs/SUPERAPP_BASELINE.md — nền tảng của Clip và các quy tắc an toàn: không vượt qua đăng nhập hay tường phí, không thu thập hàng loạt, chỉ tóm tắt phần chữ do người dùng cung cấp và dữ liệu mô tả công khai, cùng quy tắc rằng kết quả do AI tạo ra không bao giờ thay thế bản gốc.
• Kho mã Telli.sh, docs/design/API_TOKEN_RBAC_DESIGN.md — thiết kế mã thông báo có giới hạn phạm vi: cấu trúc chính sách, định dạng tsh_<prefix>_<secret> , cách lưu bằng bcrypt, và bất biến rằng mã thông báo API không bao giờ được phân giải qua đường xác thực phiên.
• Kho mã Telli.sh, extension/extension/background.js — readClipMetadataFromPage , collectClipMetadata và saveClip , ngày 5 tháng 9 năm 2026: tám trường dữ liệu mô tả, việc chỉ kích hoạt khi có cú nhấp, lối thoát sớm khi không có mã thông báo, và credentials: 'omit' .
• Telli.sh: Every Translator trên Chrome Web Store — trang niêm yết mà bản 1.18 được gửi lên; đang chờ duyệt tính đến ngày 5 tháng 9 năm 2026.
• Trang sản phẩm Telli.sh: Every Translator — các trang web được hỗ trợ, kiểu hiển thị, nhà cung cấp và các cam kết về quyền riêng tư, gom về một chỗ.
• Cửa sổ bật lên của tiện ích đã trả lời sai câu hỏi. Ở bản 1.16, nó vẽ chính trang bạn đang mở, ngày 4 tháng 9 năm 2026 — bản phát hành tiện ích trước đó, để xem trang cài đặt nơi ô nhập mã thông báo Clip đang nằm.