DMの内容が当事者以外にみえるケースですが、
まず、そのDMの発信元か配送先であることが必要です。
DMを送信した人のサーバと、宛先に指定した人のサーバ（複数）のデータベースに内容が記録されます。
無関係のサーバからはみえません。
それから、DMの当事者の誰かがこれを通報した場合、通報の宛先となったサーバの管理者およびモデレーターがこれを確認できるようになります。
（悪い改造がされていなければ）管理者やモデレーターはMastodonの操作を通じてDMをみることはできません。
ただし、データベースに直接アクセスできる人は、DMの内容を取り出して見ることができます。
これは主に管理者が該当しますが、技術担当が別にいる場合や、ホスティングで委任している場合もありますので、ケースバイケースです。
このほか、警察や軍など司法・国家機構からデータベースを明け渡すよう求められたり、クラッキングによりデータを盗まれるケースもあります。
こうした場合に、サーバ上に鍵が存在しない方法で暗号化されていれば内容は読めないのですが、平文で保存されておりそのまま読める状態になっています。
さきほどのDMの話とも関連しますが、
フォロワー限定の投稿を安心して運用するために、フォロワーはよく選んで下さい。
特に、FollowBotやGhost、素性の怪しいアカウントに注意してください。
FollowBotやGhostは、あなたをフォローして投稿を集めます。
この時、公開している投稿だけを収集するのであればまだいいのですが、フォロワー限定の投稿も一緒に収集しています。
一見するとBot自体は無害に見えるかもしれませんが、受け取ったサーバ側で悪用されることもあります。Botの所属サーバも判断材料です。
素性の怪しいアカウントは、身分を隠したストーカーかもしれませんし、保護者や学校の先生かもしれませんし、国家の捜査機関かもしれません。
FedibirdではBotフラグのついたアカウントはフォローリクエストになってワンクッション入りますが、Botが必ずBotフラグをつけているとは限りません。
全部公開で投稿するつもりの人はあまり気にする必要はないですが、肝心なときにフォロワー限定が機能しなくなることは留意しておきましょう。
@noellabo このDMの話し絡みなのですが、サーバー同士のやり取りって基本的に、SSLで暗号化されてたりしますか？(すいませんmastodonのソース読んでないです)
@hinketu_n もちろんサーバ間の経路は暗号化されています。
しかし、CloudflareなどCDNを間に挟んでいると、ここで一度解読されて内容がCloudflareのシステムで閲覧可能になります。
実際にはサーバからCloudflareまでの経路になっているということです。
@noellabo なるほど。Cloudflareってのがありましたね。ここが、まず大丈夫だけど、穴になりえる可能性あるって事ですね。
@noellabo @hinketu_n 経路は暗号化されてるけど、保存先はそうじゃないというワケですね？ご説明ありがとうございます。
@hinketu_n @leshn Cloudflareの場合は、本来のサーバを外部から秘匿するために代理で受け取って、それを転送する役割を果たしています。
しかしながら、世界中のトラフィックのかなりの割合がCloudflare経由になっているということもあり、Cloudflareを信任するしかない構造に対して、脱Cloudflareという話もあります。難しいところです。
また、セキュリティソフトなどがそうなのですが、内容をチェックするため、経路の間に割り込む仕組みになっているものがあります。
内容をチェックしてもらうために行うので正規の働きをしているのですが、ここに脆弱性が産まれます。
悪意のあるプログラムもこれと同じような動きをし、傍受したり書き換えたりします。
経路の暗号化は、どこからどこまで、という見極めが必要ということです。
それから、FediverseはMastodon以外の様々なタイプのサーバがあり、DMに相当するものをどう扱うかは未知数です。
Pleroma、Misskeyなどよく知られたサーバであれば期待通り扱ってくれることが期待できますが、
最悪の場合、管理者が任意に閲覧できるサーバであることも、誰でもみられる状態で受け取るサーバも考えられます。
先に悪い改造と申しましたが、見えるように改造されていた場合は、これを防げません。
従って、宛先に指定するサーバが信頼できるかどうかも考えなくてはなりません。
よく知った相手のサーバは多分大丈夫だろう、ぐらいの判断は可能かと思いますが、まぁ知らないサーバのことは判断できませんよね。
またこれは別の問題ですが、添付したデータ（画像や動画）はURLが漏洩すると誰でも参照できます。
また、オブジェクトストレージに保管していることが多いため、AWSだったりWasabiだったりに監視されることもあります。
また、添付データ（画像や動画）をモデレーション対象とするサーバもあります。
というわけで、
まあ最悪漏れてもいい内容までにしておきましょう。