Chiffré sur votre appareil — illisible pour nous
- Les mots de passe
- Les observations associées à chaque identifiant
- Le contenu des notes
- Le contenu des fichiers
- Les adresses de wallets
Ce que nous pouvons voir, et ce que nous ne pouvons pas voir
Un gestionnaire de mots de passe doit être vérifiable, pas rassurant. Voici donc le détail, sans arrondi.
Visible par le serveur — à savoir
- Le libellé de chaque fiche (« Compte Gandi »)
- Le nom d'utilisateur et l'adresse du site
- Le nom des fichiers et le titre des notes
- Votre adresse e-mail et vos groupes
Ces informations servent au classement et à la recherche. Nous travaillons à les chiffrer également : c'est prévu dans la prochaine évolution du format.
Les algorithmes employés
- Chiffrement
- AES-256 en mode CBC, avec un vecteur d'initialisation aléatoire pour chaque secret.
- Clé
- Dérivée de votre clé personnelle, 64 caractères tirés au hasard sur votre poste, par SHA-256.
- Partage de groupe
- Une clé par groupe. Les éléments partagés sont chiffrés avec cette clé, jamais avec la vôtre.
- Authentification
- Le serveur ne reçoit jamais votre clé, mais une valeur dérivée dont il ne stocke que l'empreinte.
- Transport
- HTTPS sur l'ensemble du site et de l'API.
Votre fichier de clé
À la création du compte, l'application vous demande d'enregistrer un fichier de récupération. Il contient votre clé personnelle et celles de vos groupes. Sans lui, vos données sont définitivement illisibles : nous n'en détenons aucune copie. Gardez-en une sauvegarde hors de votre ordinateur principal.
Ce qui va changer
Deux chantiers sont engagés : chiffrer aussi les libellés et les adresses, et passer à un chiffrement authentifié (AES-GCM) accompagné d'un échange de clés X25519 pour les partages. Cette page sera mise à jour à mesure, et nous dirons ce qui aura changé.