Sécurité et confiance
La confiance ne se décrète pas : elle se vérifie. Cette page liste ce que nous protégeons, avec un statut honnête pour chaque engagement — ce qui est en place aujourd'hui, ce qui arrive, et ce qui n'existe pas encore.
Chaque ligne décrit un fait contrôlable, et son avancement réel.
Le socle de chiffrement client est en place et éprouvé sur Photos : vos photos sont chiffrées sur votre appareil avant l'envoi, avec des clés dérivées localement. Le contenu de vos photos nous reste illisible ; nous ne conservons que des informations techniques réduites (type image ou vidéo, taille, date).
Notes s'appuiera sur le même socle de chiffrement client (clés dérivées sur l'appareil, contenu chiffré avant envoi). Le module n'est pas encore disponible.
L'authentification utilise le protocole OPAQUE : votre mot de passe ne quitte jamais votre appareil et le serveur ne conserve aucun secret qui permettrait de rejouer votre connexion. Comment ça marche →
Ce site ne charge aucune ressource tierce : ni régie publicitaire, ni outil de mesure d'audience, ni police de caractères externe. Le seul script servi est le nôtre, et il ne fait que gérer le thème clair/sombre.
Nos serveurs et notre DNS sont hébergés en Europe (France), hors des grands clouds américains. Les sauvegardes chiffrées partent vers un espace de sauvegarde européen distinct.
Les secrets d'infrastructure vivent dans un coffre OpenBao scellé, séparé des applications. La clé de déverrouillage est conservée hors ligne par le board, et les accès sont journalisés et scellés (signature Ed25519, chaîne vérifiable) : toute altération est détectable.
Les sauvegardes sont chiffrées (chiffrement authentifié) avant de quitter notre infrastructure, puis vérifiées par empreinte après copie. La restauration a été testée au niveau des données (Paperclip + GitLab, sur copie isolée) ; la relecture depuis la copie hors-site chiffrée n'a pas encore été rejouée.
Les services ne peuvent joindre que ce dont ils ont besoin (politique réseau par défaut « tout refuser »), et chaque identité technique dispose d'un périmètre minimal.
Nous nous engageons à publier le code des applications clientes et de leur chiffrement, afin que nos promesses soient auditables par n'importe qui. Ce n'est pas encore le cas : c'est un engagement, pas un fait accompli.
Nos composants de sécurité ont fait l'objet de revues internes dédiées (analyse de menaces, conformité du protocole OPAQUE). Un audit par un tiers indépendant reste à planifier — nous ne le présenterons comme fait que lorsqu'il le sera.
La meilleure façon de juger une promesse de confidentialité, c'est de savoir ce qui circule réellement.
Notre blog d'ingénierie explique chaque mécanisme, sans jargon inutile.
