Sécurité
La sécurité n'est pas une promesse.
C'est une architecture.
La plupart des services vous demandent de leur faire confiance. Flambeau est construit pour que vous n'ayez pas besoin de nous croire sur parole : ce que vous nous confiez est chiffré avant de nous parvenir, et nous ne détenons aucune clé.
Ce que nous ne pouvons pas faire
En sécurité, ce qu'un service ne peut pas faire compte plus que ce qu'il promet de ne pas faire.
Lire vos capsules
Le contenu est chiffré sur votre appareil avant tout envoi. Nos serveurs ne reçoivent et ne stockent que des données illisibles. Même sous la contrainte — piratage, réquisition, employé malveillant — il n'y a rien à lire.
Retrouver une phrase de remise
Par défaut, la phrase de remise n'est jamais transmise à nos serveurs : nous ne pouvons ni la retrouver, ni la réinitialiser — c'est cette limite assumée qui rend la promesse crédible. Une exception existe, et elle vous appartient : l'option « remise garantie », désactivée par défaut, que vous pouvez choisir destinataire par destinataire en connaissant exactement son contrepartie.
Remettre une capsule à quelqu'un d'autre
Chaque capsule est chiffrée vers une seule personne, mathématiquement. Même remise au mauvais destinataire, elle resterait indéchiffrable sans la phrase de remise de la bonne personne.
Comment c'est construit
Pour celles et ceux qui veulent le détail — sans jargon inutile, sans rien cacher.
Chiffrement du contenu
AES-256-GCM, une clé aléatoire par capsule, enveloppée vers la clé publique RSA-OAEP 2048 du destinataire. La clé privée du destinataire est elle-même scellée par sa phrase de remise (dérivation PBKDF2-SHA256, 600 000 itérations). Tout repose sur la Web Crypto API native du navigateur — zéro bibliothèque tierce dans le cœur cryptographique.
Liens et jetons
Chaque lien (connexion, vérification de vie, remise) porte un jeton aléatoire de 256 bits, à usage unique quand il doit l'être, avec expiration. La base ne stocke que des empreintes salées : un vol de base de données ne donne aucun lien valide.
Transport et navigateur
HTTPS partout avec HSTS, Content-Security-Policy stricte, protection contre le clickjacking. Aucun traceur, aucun script publicitaire, aucune analytique tierce — rien d'autre que le nécessaire ne s'exécute sur nos pages.
Déclenchement prudent
Avant toute remise : une vérification, puis plusieurs relances espacées, sur des semaines. Se connecter suffit à prouver sa présence. Et en cas de doute technique, le système est conçu pour ne PAS remettre : une remise en retard se rattrape, une remise à tort ne se rattrape pas.
Données hébergées en Europe
La base de données est hébergée à Francfort (Allemagne) et nos traitements s'exécutent dans la même région. Le détail — et ce que nous conservons — est décrit dans notre politique de confidentialité.
Et si Flambeau disparaissait ?
La question honnête de tout service qui doit durer des décennies. Notre réponse est structurelle, pas une promesse.
À tout moment, depuis votre coffre, vous exportez l'ensemble de vos capsules dans un fichier HTML unique et autonome. Ce fichier embarque son propre outil de déchiffrement : vos proches l'ouvrent avec un simple navigateur, hors ligne, sans compte et sans Flambeau — aujourd'hui comme dans vingt ans. Si le service venait à fermer, vos capsules resteraient parfaitement lisibles.
Ce fichier est chiffré : celui qui le trouve ne peut rien lire sans la phrase de remise. C'est l'équivalent des lettres rangées dans un tiroir — en plus sûr, parce qu'illisible pour un tiers, et duplicable (clé USB, notaire, cloud personnel).
Le veilleur qui détecte votre absence, lui, dépend du service en fonctionnement : c'est une commodité, pas le socle. Le socle, c'est le chiffrement côté navigateur et l'export — deux choses qui ne reposent sur la survie de personne. Vous ne pariez jamais vos derniers mots sur nous seuls.
Nos limites, dites franchement
Un service qui prétend n'avoir aucune limite ment. Voici les nôtres.
- —Les métadonnées de vos capsules (titre, type, nom et email du destinataire, dates) ne sont pas chiffrées : c'est ce qui permet de vous les présenter dans votre coffre et d'assurer la remise. Ne mettez rien de sensible dans un titre.
- —Votre boîte email est la clé de votre compte : elle reçoit les liens de connexion. Protégez-la (mot de passe fort, double authentification chez votre fournisseur).
- —La phrase de remise est votre responsabilité partagée avec votre destinataire. Perdue par les deux, la capsule est définitivement illisible — par conception.
- —Flambeau est un service jeune. Le code évolue, et nous documentons honnêtement ce qui reste à durcir plutôt que de prétendre à la perfection.