Ce que Crypto protège. Et ce qu’il ne protège pas.

A1 · Quelqu’un qui écoute la ligne

Fournisseur d’accès, opérateur télécom, sonde posée sur un câble.

Il ne lit rien. Le contenu de vos messages est chiffré de bout en bout, et cela fonctionne dès aujourd’hui. Les messages voyagent dans des paquets tous de la même taille, ce qui masque leur longueur réelle. Ce qu’il voit encore : que vous vous connectez à un serveur Crypto, et à quels moments. Effacer cette trace demande un réseau de relais plus large, que nous n’avons pas encore (limite L1).

A2 · Le serveur qui garde vos messages en attente

Y compris s’il est saisi par la justice ou piraté.

Vos messages y patientent sous forme de blocs chiffrés de taille identique, rangés sous un identifiant qui ne dit rien de vous et qui change à chaque époque de l’annuaire. Sans la clé privée du destinataire, celui qui tient ce serveur ne peut pas les lire, et un tiers ne peut ni les relever ni les effacer à distance. Ce que l’hébergeur peut faire, en revanche : perdre ou détruire le courrier qu’il détient — cela se voit comme une non-livraison, pas comme une fuite. Ce qu’il voit malgré tout aujourd’hui : les adresses IP qui déposent et qui relèvent, donc qui échange avec qui. C’est la limite L1, la plus importante de cette page.

A3 · Quelques serveurs du réseau tenus par un adversaire

Des machines du réseau de mélange contrôlées par un attaquant.

Un serveur sait d’où arrive un paquet, où il repart et à quelle étape du trajet il se trouve — le numéro de saut voyage en clair —, mais il ne voit jamais les deux bouts à la fois. Depuis la version 2.3.0 (13 septembre 2026), chaque relais authentifie la partie de l’en-tête qui décrit les étapes suivantes : une marque qu’un serveur seul y glisserait pour reconnaître le paquet plus loin est détectée par le premier relais honnête qui le suit. Deux résidus restent consignés dans notre registre : les relais acceptent encore l’ancien format tant que l’option --strict-header-v3 n’est pas posée sur toute la flotte, et deux serveurs complices qui se suivent immédiatement dans un trajet conservent un canal de marquage que cette authentification ne peut pas fermer — ce qui ne relie jamais l’entrée à la sortie d’un même trajet. Deux serveurs d’un même trajet ne peuvent appartenir ni au même opérateur, ni au même bloc d’adresses ; mais l’étiquette d’opérateur est aujourd’hui déclarée par le relais lui-même et signée telle quelle par l’autorité, et c’est l’une des deux failles encore ouvertes de notre registre. L’admission d’un nouveau serveur exige déjà l’accord de deux autorités sur trois, sur trois hôtes distincts ; mais ces trois autorités appartiennent à la même personne, et l’inscription y est verrouillée par un jeton. Ces défenses sont écrites et testées. Elles ne produiront leur effet que le jour où le réseau comptera assez de serveurs indépendants pour construire un trajet.

A4 · Quelqu’un qui s’interpose et modifie

Interception, renvoi d’un ancien message, substitution de clés.

La liste officielle des serveurs est signée, mémorisée par votre application, et une version plus ancienne est refusée. Depuis la version 2.4.1 (15 septembre 2026), la clé de l’autorité qui la signe peut être remplacée sans nouveau binaire : l’autorité publie la chaîne de ses successeurs, chaque maillon signé à la fois par l’ancienne clé et par la nouvelle, et l’application avance en cliquet depuis une ancre qu’elle mémorise — une fois la nouvelle clé adoptée, une ancienne clé qui aurait fuité ne peut plus lui désigner de successeur. Ce que cela ne couvre pas : le tout premier contact, qui repose encore sur la clé inscrite dans l’application, sans certificat co-signé par plusieurs autorités. Aucune rotation n’a encore eu lieu en production. L’inscription d’un serveur est liée à l’échange complet qui l’a produite : impossible de la rejouer ailleurs. Les accès aux serveurs d’appel sont signés et vérifiés. Et si la clé d’un contact change, l’application vous le signale en affichant un nouveau numéro de sécurité, que vous pouvez comparer avec lui par un autre canal.

A5 · Vol ou saisie de votre appareil

Quelqu’un a le disque en main, hors session ouverte.

Tout ce que l’application garde sur le disque est chiffré. La clé est dérivée de votre mot de passe par une fonction volontairement lente et gourmande en mémoire, ce qui rend les essais en masse très coûteux. L’effacement détruit la base, les journaux, les copies de travail, la clé de récupération et l’identité réseau. Vos anciens messages restent illisibles même si votre clé actuelle est volée, et après une intrusion ponctuelle les échanges suivants redeviennent protégés. Tout cela suppose un appareil verrouillé ou éteint, et un mot de passe solide.

A6 · Une pression exercée sur l’éditeur

Injonction judiciaire, rachat, pression commerciale.

En version auto-hébergée, vous installez tout chez vous : l’annuaire, les relais, les boîtes aux lettres et les serveurs d’appel. Aucune donnée ne passe par nous, il n’y a donc rien à nous réclamer. Le code du réseau étant public, vous pouvez comparer ce que vos serveurs exécutent avec ce que nous publions ; l’application, elle, est propriétaire. Attention : si vous utilisez les serveurs que nous opérons plutôt que les vôtres, cette protection ne joue pas, et les limites L1 et L2 s’appliquent.

État actuel du déploiement. Le réseau de mélange, celui qui doit rendre impossible de savoir qui écrit à qui, ne route pas encore. Il lui faut des relais tenus par des opérateurs indépendants les uns des autres, un différent à chaque étape du trajet, donc au moins trois : la sélection d’un trajet refuse, par construction, deux relais qu’elle ne peut pas prouver appartenir à des personnes différentes. Aujourd’hui, tous les relais sont exploités par une seule personne, l’auteur du projet. L’annuaire est signé par trois autorités distinctes, dont deux doivent s’accorder pour admettre un relais — mais ces trois autorités lui appartiennent aussi. Le quorum arrête une clé d’autorité fuitée ou compromise seule ; il n’arrête pas un opérateur unique qui déclare ses propres relais aux trois. Ce n’est pas une question de nombre de machines ni de plages d’adresses : c’est une question de personnes différentes, et nous n’en avons qu’une. En attendant, vos messages passent par une boîte aux lettres, et celui qui exploite ce serveur peut voir quelles adresses IP échangent, et à quel moment. L’application l’affiche telle quelle, avec la mention « Boîte aux lettres seule ». Le contenu, lui, reste chiffré de bout en bout et illisible pour cet opérateur. Cette protection ne se mettra en place qu’à mesure que des relais indépendants rejoindront le réseau.

Limite permanente. La voix ne passe pas par le réseau de mélange et n’y passera pas : elle supporte mal le moindre retard. Un appel transite par un serveur relais, le nôtre par défaut, le vôtre si vous l’hébergez. Ce relais cache votre adresse IP à votre correspondant, mais celui qui l’exploite connaît les deux adresses, l’heure et la durée de l’appel. C’est le modèle des autres messageries chiffrées. La conversation elle-même reste chiffrée de bout en bout : ce qui n’est pas protégé, c’est le fait que vous vous soyez parlé.

Logiciel espion, enregistreur de frappe, capture d’écran, accès administrateur : sur une machine compromise, ce qui s’affiche et ce qui se tape sont lisibles avant même d’être chiffrés. Aucune messagerie ne corrige cela. Le fait que vos anciens messages restent protégés limite les dégâts dans le temps, il ne les annule pas. La sécurité des postes reste votre périmètre.

Capture d’écran, transfert, témoignage : le destinataire légitime d’un message peut toujours le diffuser. Aucun protocole ne rattrape une confiance mal placée. Ce qu’il peut prouver, en revanche, dépend du cas. Un message direct est déniable : son authenticité repose sur une clé que vous partagez tous les deux, si bien que votre correspondant sait que vous l’avez écrit mais ne peut le démontrer à un tiers — il aurait pu le fabriquer lui-même. Un message de groupe ne l’est pas : il porte votre signature, nécessaire pour qu’un membre ne puisse pas se faire passer pour un autre, et cette signature vous reste opposable. Si la déniabilité compte pour vous, écrivez en direct, pas dans un canal. Nous préférons le dire ici que vous le laisser découvrir devant un tribunal.

Le jour où le réseau routera, une menace restera : si un même acteur contrôle l’entrée, la sortie et assez d’étapes intermédiaires, il peut recouper les horaires et deviner qui parle à qui. Les règles de diversité rendent ce contrôle coûteux ; seul un grand nombre de relais tenus par des gens différents le rend improbable. L’anonymat croît avec la taille du réseau : un déploiement minuscule protège moins qu’un réseau fédéré.

Observer très longtemps quelqu’un dont les habitudes sont singulières finit par livrer des indices, même sans lire un seul message : on élimine peu à peu les autres explications possibles. Le trafic de couverture, ces faux messages émis en permanence pour noyer les vrais, rend ce travail beaucoup plus coûteux. Il ne le rend pas impossible. Nous préférons l’écrire ici que vous le laisser découvrir.

Agendas partagés, réservations de salle, courriels en parallèle, badges d’accès : si la réunion est visible ailleurs, son secret ne dépend plus de nous. Notre périmètre s’arrête aux messages et aux appels transportés par le réseau Gotham.

Un adversaire peut enregistrer aujourd’hui du trafic chiffré en espérant le déchiffrer dans dix ans, quand les ordinateurs quantiques existeront. Le contenu de vos messages est protégé contre cela par une couche de chiffrement supplémentaire (ML-KEM-768, combinée à X25519), négociée à l’ouverture de chaque session. Depuis la version 2.3.0 (13 septembre 2026), cette couche est verrouillée : le lien d’invitation est signé en entier par la clé d’identité de celui qui l’émet, paramètre post-quantique compris, et le répondeur impose sa propre annonce — un intermédiaire qui retirerait cette couche de la négociation fait échouer l’échange au lieu de le déclasser en silence. Ce qui reste hors de cette protection : le transport, qui repose sur la cryptographie classique à chaque saut entre relais. Elle couvre ce que vous dites, pas le chemin que le paquet emprunte. Et l’application n’affiche pas encore, dans une conversation, si cette couche est active.

Chaque surface exposée est bornée : mémoire plafonnée, débit limité, rejet des messages déjà vus, et le moindre plantage accessible est traité comme un défaut à corriger. Un attaquant disposant d’une puissance réseau écrasante peut malgré tout rendre le service indisponible. Il ne peut pas pour autant lire quoi que ce soit.

État actuel. Les versions macOS et Windows ne portent pas encore de signature d’éditeur. Votre système affiche donc un avertissement au premier lancement, et il ne peut pas vous confirmer que le fichier vient bien de nous. En attendant que ce soit corrigé, ne téléchargez l’application que depuis nos pages officielles.

Nous publions nos limites parce que vous les trouveriez de toute façon.

Votre équipe sécurité auditera ce produit avant de l’acheter, c’est son travail. Ce document lui fait gagner du temps. L’audit contradictoire et le code source du réseau font le reste.