Ce n'est pas du zéro-connaissance
Beaucoup de coffres-forts numériques annoncent que même leur éditeur ne peut pas lire les données de ses utilisateurs. Nous ne le disons pas, parce que ce ne serait pas vrai.
Pour que votre tiers de confiance puisse ouvrir votre coffre le jour venu, il faut que notre serveur soit capable de lui envoyer un mot de passe de secours lisible. Il faut donc que notre serveur soit capable de le déchiffrer. C'est le dispositif de transmission lui-même qui l'impose ; aucune astuce technique ne permet d'y échapper. Le même mécanisme est employé lorsque vous demandez à réinitialiser votre mot de passe.
Dit sans détour : une personne qui disposerait à la fois d'une copie de notre base de données et de notre clé de chiffrement serveur pourrait reconstituer le contenu d'un coffre.
Ce que nous faisons pour que cela n'arrive pas :
- cette clé n'est jamais écrite dans un journal, et n'est jamais stockée au même endroit que les sauvegardes de la base ;
- les mots de passe de secours sont conservés dans un coffre serveur chiffré en AES-256-GCM, avec rotation de clé ;
- notre outil d'administration n'affiche aucun contenu de coffre : ni aperçu, ni extrait, ni bouton « révéler ». Il n'existe pas de fonction pour cela, pas même désactivée ;
- chaque action d'un administrateur sur un compte est inscrite dans un journal immuable, avant d'être exécutée, et conservée cinq ans.
Une précision, pour ne rien laisser de flou : désactiver le déverrouillage automatique empêche toute transmission, mais ne change rien à ce qui précède. Le mot de passe de secours existe dès votre inscription, puisqu'il sert aussi à la réinitialisation de votre mot de passe.
Nous ne disons pas « personne d'autre que vous ne peut lire vos données »
La formulation exacte est celle-ci : en fonctionnement normal, personne ne lit vos données. Ni nos administrateurs, ni notre back-office, qui ne sait pas les afficher. Mais « personne ne le fait » n'est pas « personne ne le peut ». Nous ne confondrons pas les deux, et nous vous invitons à vous méfier de tout service qui les confond.
Il n'y a pas de double authentification
Pas de code à six chiffres, pas d'application d'authentification.
Ce qui existe, et qui protège le réglage le plus lourd de conséquences : toute modification du tiers de confiance, du délai ou du déverrouillage automatique est mise en attente et doit être confirmée depuis votre boîte mail, par un lien valable dix minutes. Tant que vous n'avez pas cliqué, l'ancien réglage reste en place. C'est une protection réelle, mais ce n'est pas une double authentification, et nous ne l'appellerons pas ainsi.
Le préavis tient à un seul e-mail
Deux jours avant l'échéance, nous vous envoyons un message pour vous prévenir. C'est le seul avertissement : il n'y a ni notification dans l'application, ni SMS, ni second rappel.
S'il atterrit dans vos indésirables, si l'adresse de votre compte n'est plus relevée, ou si vous êtes simplement absent ces deux jours-là, rien d'autre ne vous alertera — et la transmission aura lieu à la date prévue.
La seule chose à surveiller reste donc la date affichée sur votre tableau de bord. Choisissez un délai qui vous laisse de la marge, et repoussez-le sans attendre le dernier jour.
Le contenu de votre coffre vit sur nos serveurs, pas sur votre machine
Sur votre ordinateur, SafeTale ne conserve que vos préférences : thème, langue, quelques réglages d'affichage. Aucun contenu de coffre. C'est ce qui permet à votre tiers de confiance d'y accéder depuis un autre PC, et ce qui protège vos données si votre machine est perdue, volée ou détruite.
C'est aussi ce qui rend votre coffre dépendant de notre service, et il n'existe pas encore de fonction d'export. Conseil que nous nous appliquerions à nous-mêmes : ne faites pas de SafeTale l'unique copie de ce qui est vital.
Ce n'est pas un testament
Un texte rédigé dans le journal de SafeTale n'a aucune valeur testamentaire. En droit français, un testament olographe doit être écrit en entier, daté et signé de votre main (article 970 du Code civil).
SafeTale sert à transmettre des accès, des codes, des explications, des mots. Pas à organiser une succession. Pour cela, voyez un notaire. Les deux sont complémentaires ; ils ne se remplacent pas.
Nous ne vendons pas de garantie de fonctionnement
SafeTale est gratuit. Nous sauvegardons, nous supervisons, et nous recevons une alerte lorsqu'une transmission échoue. Mais il n'y a derrière ce service ni contrat de niveau de service, ni engagement de disponibilité, ni astreinte. Nous ne vous vendons pas de garantie, parce que nous ne vous vendons rien.
Le code n'a pas été audité par un tiers, et il n'est pas public
Aucun cabinet extérieur n'a audité SafeTale, et il ne porte aucune certification.
Ce que nous pouvons montrer à la place : 190 tests de contrat sur le serveur ; des vecteurs de chiffrement croisés qui verrouillent ensemble l'implémentation Windows et l'implémentation serveur, si bien qu'une divergence de l'une fait échouer les tests de l'autre ; et un refus par défaut de toute origine réseau non déclarée. C'est vérifiable dans les faits. Ce n'est pas un audit, et nous ne le présenterons pas comme tel.
SafeTale ne fonctionne que sur Windows, et n'accepte qu'un seul tiers de confiance
Pas d'application mobile, pas d'accès depuis un navigateur. La rubrique « Téléphone » sert à ranger les codes de votre téléphone, pas à ouvrir SafeTale depuis lui. Conséquence pratique : repousser votre délai demande un PC Windows.
Vous ne pouvez désigner qu'une seule personne, et il n'y a pas de second destinataire de secours. Si, le jour venu, son adresse n'existe plus, l'e-mail part dans le vide et personne d'autre n'est prévenu à sa place. Nous sommes alertés de l'échec et pouvons relancer l'envoi, mais nous ne pouvons pas deviner un autre destinataire.
Enfin, ce mot de passe de secours est transmis par e-mail : sa confidentialité dépend donc aussi de la boîte mail de votre tiers de confiance. Nous avons choisi ce compromis pour une raison précise : le jour où ce message arrive, la personne qui le reçoit n'a ni le temps ni la tête à installer un dispositif compliqué.
