Sécurité
Ce que nos serveurs ne peuvent pas voir.
« Zéro connaissance » n'est pas un slogan : c'est une contrainte que le code s'impose. La clé qui ouvre vos coffres est dérivée de votre phrase secrète, sur votre poste, et ne nous parvient jamais. Tout ce que nous détenons est illisible sans elle — pour nous comme pour quiconque nous volerait.
Ce que le serveur voit
- ✓Un identifiant de compte et une clé publique
- ✓Des blocs chiffrés, et leur numéro de version
- ✓Qui a le droit d'ouvrir quel coffre
- ✓L'heure de chaque requête, et sa signature
Ce qu'il ne voit jamais
- ✕Votre nom, vos coffres, vos mots de passe
- ✕Ce qu'il y a dans ces blocs
- ✕La clé qui l'ouvre
- ✕Votre phrase secrète, jamais transmise
La chaîne
Des algorithmes nommés, et leurs paramètres.
Rien ici n'est un choix maison. Chaque brique est un standard public, avec les réglages que nous utilisons vraiment dans l'application.
t = 3, m = 256 Mio, p = 4
Argon2id
Votre phrase secrète devient une clé sur votre poste. Un quart de gigaoctet de mémoire par essai : une attaque par force brute coûte plus qu'elle ne rapporte.
coffres
XChaCha20-Poly1305
Chaque coffre est chiffré et authentifié avant de quitter la machine. Un bloc modifié en route ne se déchiffre pas.
partage de clés
X25519
La clé d'un coffre partagé est scellée pour chaque membre avec sa clé publique. Retirer un membre, c'est ne plus lui sceller la suivante.
chaque requête
Ed25519
Chaque appel au serveur est signé par l'appareil. Un jeton volé ne suffit pas : il faudrait aussi la clé de l'appareil, qui ne quitte jamais son trousseau.
dérivation
HKDF-SHA-256
Les clés secondaires dérivent de la clé maîtresse sans jamais la révéler.
transport
TLS 1.3, certificat épinglé
L'application n'accepte que notre certificat. Une autorité compromise ne peut pas se faire passer pour nous.
Sur le poste, sur le serveur
Ce qui protège au quotidien.
Un nouveau poste doit être approuvé
Rattacher une machine demande l'accord d'un poste déjà enrôlé, avec une empreinte à comparer de vive voix. Un code intercepté ne suffit pas.
Chaque requête est signée
L'appareil signe chaque appel avec une clé qui ne quitte pas son trousseau (DPAPI sous Windows). Un jeton de session volé n'ouvre rien.
Le second facteur sur les gestes sensibles
Ouvrir un coffre partagé, inviter, révoquer : un code à usage unique est exigé. Pas pour lire ce que vous avez déjà ouvert ce matin.
Verrouillage automatique
Après inactivité, au verrouillage de la session Windows, à la mise en veille. Le cas le plus courant d'oubli est couvert.
Une clé de récupération, montrée une fois
Elle rouvre le compte si la phrase secrète est perdue. Nous ne pouvons pas la remplacer — c'est le prix de ne pas pouvoir vous lire.
Journal d'audit sur le serveur
Qui a ouvert quoi, quand, depuis quel appareil. Conservé un an, consultable par les administrateurs du compte.
Sauvegardes chiffrées, hors site
Un instantané cohérent chaque nuit, chiffré en AES-256-GCM, copié sur une seconde machine en France, et relu pour vérifier qu'il s'ouvre.
Certificat épinglé, TLS 1.3
L'application n'accepte que notre certificat pour parler au serveur. Une autorité compromise ne peut pas se faire passer pour nous.
Conformité
RGPD, ANSSI : ce qui est fait, et où ça se lit.
Sous-traitance (RGPD, article 28)
Pour vos coffres, STELIX DIGITAL SAS est sous-traitant : nous hébergeons des données que nous ne pouvons pas lire. Un accord de sous-traitance conforme à l'article 28 est joint à chaque contrat — objet, durée, instructions, mesures de sécurité, notification des violations, aide à l'exercice des droits, sort des données à la fin. Il est résumé sur la page Sous-traitance RGPD.
Hébergement
Serveurs et sauvegardes en France, chez SLBCLOUD (5 rue de la Planche, 22190 Plerin, France). Aucun transfert hors de l'Union européenne, aucun sous-traitant ultérieur sans vous en informer.
Cryptologie (LCEN, article 30)
Un logiciel qui chiffre fait l'objet d'une déclaration auprès de l'ANSSI avant sa mise sur le marché. Le dossier de STELIX VAULT — description des moyens, algorithmes, longueurs de clés — est constitué ; son dépôt auprès de l'ANSSI est en cours. Ce n'est pas une certification : c'est une obligation déclarative.
Ce que nous ne prétendons pas
Pas de certification SecNumCloud, pas d'audit tiers publié à ce jour. Nous sommes deux, le logiciel a un mois, et nous préférons écrire ce qui est vrai. Le code du chiffrement s'appuie exclusivement sur des bibliothèques publiques et auditées (@noble), jamais sur une implémentation maison.