Une app de couple peut-elle lire vos écrits ? Souvent, oui

Le constat de départ est simple : la plupart des applications peuvent lire ce que vous y saisissez. Non pas parce que quelqu'un passe sa journée à le lire, mais parce que les données arrivent sur un serveur sous une forme accessible à l'éditeur.

C'est l'architecture par défaut de presque tous les logiciels. Il convient de la comprendre plutôt que de s'en alarmer, car elle détermine tout ce qu'il est possible de faire par la suite.

Ce que signifie réellement « pouvoir lire »

Cela ne veut pas dire qu'un employé parcourt vos écrits. Les entreprises sérieuses restreignent et enregistrent les accès internes.

Cela veut dire que la capacité technique existe. Et c'est cette capacité qui compte, car c'est elle qui peut être :

exigée par un tribunal, exploitée par un pirate qui s'introduit dans le système, vendue ou transférée lors d'un rachat d'entreprise, discrètement réutilisée lors d'une mise à jour de la politique de confidentialité, ou utilisée pour entraîner un modèle d'intelligence artificielle.

Aucune de ces situations ne nécessite de mauvaises intentions aujourd'hui. Elles exigent seulement que les données soient lisibles.

La question n'est pas de savoir si une entreprise lira vos données. Elle est de savoir si elle le pourrait, si les circonstances changeaient.

Le chiffrement en transit n'est pas la même chose

C'est la confusion la plus courante, et les entreprises ne cherchent pas toujours à la dissiper.

Presque tout le monde utilise le chiffrement en transit. Il protège les données durant leur trajet entre votre téléphone et le serveur, ce qui empêche une personne sur le même réseau wifi de café de les intercepter. C'est le strict minimum et cela ne dit rien de ce qui se passe à l'autre bout.

Le chiffrement au repos signifie que les données sont stockées sous forme chiffrée sur le serveur. C'est mieux, mais l'éditeur détient généralement la clé, ce qui signifie qu'il peut les déchiffrer chaque fois qu'il en a besoin.

Le chiffrement de bout en bout signifie que la clé existe uniquement sur les appareils. Le serveur conserve du matériel qu'il ne peut pas ouvrir. C'est la seule de ces trois méthodes où l'éditeur est véritablement dans l'impossibilité de lire le contenu.

Comment vérifier ce que fait votre application

Cherchez la mention précise « de bout en bout » plutôt que simplement « chiffré », qui est un terme employé de manière vague.

Recherchez une indication sur la détention des clés. Si l'entreprise détient ou gère les clés, elle peut lire le contenu.

Consultez la politique de confidentialité pour savoir ce qui se passe en cas de transfert de compte ou d'acquisition. La formule « Vos données peuvent être transférées dans le cadre d'une transaction commerciale » est standard : elle indique clairement que les données sont lisibles et transférables.

Vérifiez si le contenu est utilisé pour améliorer les services. Cette expression implique généralement un accès au contenu.

Et vérifiez l'exportation des données. Si vous pouvez demander une copie de tout et qu'elle revient lisible, l'entreprise pouvait la lire elle aussi.

Le compromis est réel

Le chiffrement de bout en bout n'est pas gratuit. Il rend plusieurs fonctionnalités ordinaires difficiles voire impossibles.

La recherche côté serveur dans votre historique. La récupération de mot de passe qui restaure votre contenu. L'accès web sans la clé. La modération de contenu. La sauvegarde côté serveur restaurable sur un nouvel appareil sans secret détenu par l'utilisateur.

Les entreprises qui choisissent un stockage lisible privilégient généralement ces fonctionnalités, et pour de nombreux produits, c'est un choix défendable. Pour un produit qui héberge ce que deux personnes se disent quand personne d'autre n'écoute, c'est un moins bon choix, d'où l'intérêt de le concevoir autrement.

Ce que fait Duoheart

Les questions, réponses, messages et appels sont chiffrés sur les appareils, avec une clé générée sur place qui n'est jamais envoyée à nos serveurs. Nous conservons du matériel que nous ne pouvons pas ouvrir.

Les conséquences sont visibles dans le produit et nous préférons les assumer ouvertement : le contenu ne peut pas être récupéré par nos soins si les deux appareils et la clé sont perdus, et il n'y a pas de recherche côté serveur dans votre historique.

Ce sont les coûts de ce choix. Nous pensons que ce sont les bons coûts pour cet usage précis.

Que faire de tout cela

Vous n'avez pas besoin de devenir un expert. Deux questions résument l'essentiel : qui détient la clé, et que prévoit la politique de confidentialité en cas de revente de l'entreprise ?

Si une application ne répond pas clairement à la première question, c'est déjà une réponse.