Notre modèle de sécurité
Égide est pensé contre un adversaire déterminé et techniquement avancé. Chaque décision découle d'un principe simple : nous ne devons jamais pouvoir vous trahir.
Aucun secret côté serveur
Votre téléphone signe cryptographiquement ses échanges avec une clé scellée dans son processeur sécurisé. Côté enrôlement, nos serveurs ne détiennent que des clés publiques : une fuite ne compromettrait ni votre appareil, ni votre identité.
Tout passe par Tor
Les mises à jour transitent par un service caché Tor embarqué dans l'application. Aucun domaine à surveiller, aucune adresse de destination lisible sur le réseau.
Paiement confidentiel par conception
Vous choisissez ce que votre achat révèle de vous. En Monero, aucun tiers n'intervient et nous ne demandons ni nom ni adresse électronique. Par carte bancaire, c'est plus simple, mais votre banque et notre prestataire voient l'achat. Comparer les deux
Ce que nous détenons, et ce que nous ne détenons pas
Sur nos serveurs
- L'empreinte obfusquée et dérivée des appareils déjà installés, qui fait tenir la règle « une installation par appareil » et ne désigne personne
- Les clés publiques des appareils enrôlés, inutilisables pour vous nuire
- Le crédit premium restant d'un appareil, désigné par un identifiant opaque et par lui seul
Nulle part chez nous
- Votre identité : aucun compte, aucune adresse électronique, aucun nom (aucun journal d'accès n'est tenu à ce jour, voir la politique de confidentialité)
- Votre programme d'effacement à distance, généré chez vous, jamais transmis
- Le contenu ou la position de votre téléphone
- Vos données bancaires : la recharge du premium passe par un service séparé ; en Monero, rien n'est confié à un tiers ; par carte, votre numéro et vos données bancaires restent chez le prestataire de paiement et n'atteignent jamais nos serveurs, qui n'apprennent que la confirmation du paiement, sans identité
Lisez ce que fait Égide, ne nous croyez pas sur parole
Une promesse de sécurité qu'on ne peut pas vérifier ne vaut rien. Nous publions donc la partie d'Égide qui répond à la seule question qui compte pour vous : qu'est-ce que cette application décide, qu'envoie-t-elle, et à qui ? Le dépôt contient le code, ses tests, et la documentation nécessaire pour l'exécuter vous-même.
Ce qui est publié
- Les règles qui décident d'un effacement : les seuils, les minuteries, ce qui les arme et ce qui les désarme.
- Le contrat réseau : chaque requête que l'application peut émettre, vers où, et ce qu'elle contient.
- La cryptographie de l'identité d'appareil, et la suite de tests qui verrouille l'ensemble de ces règles.
Ce qui ne l'est pas
- La façon dont l'effacement est réellement exécuté sur l'appareil.
- La façon dont Égide obtient et conserve ses pleins pouvoirs sur le téléphone.
- La façon dont il résiste aux tentatives de désinstallation et d'altération.
Ce partage n'est pas arbitraire : ce qui reste fermé sert au voleur, pas au lecteur. Publier comment on désarme un antivol reviendrait à livrer le mode d'emploi. Pour que le trou ne soit pas un angle mort, le dépôt déclare explicitement chaque opération que la partie fermée peut exécuter : vous savez donc ce qui existe, sans en recevoir la recette.
Vous n'êtes pas obligé·e de nous lire pour nous vérifier : vous pouvez observer, avec les outils de votre choix, chaque connexion qu'Égide ouvre, quand et vers où.
Vérifier le fichier que vous recevez
Le dépôt publie l'empreinte SHA-256 de chaque version. Calculez celle du fichier que vous avez reçu et comparez : si les deux coïncident, votre paquet est identique octet pour octet à celui que nous avons publié. Un téléchargement altéré, un fichier substitué ou un intermédiaire qui réécrit le transfert deviennent visibles. Cela ne prouve pas, en revanche, que le paquet a été compilé à partir du code publié : Égide n'est pas un build reproductible, et le dépôt le dit lui aussi plutôt que de vous laisser le découvrir.
Signaler une faille
Écrivez à support@endlesslock.com. Vous recevez un accusé de réception sous 72 heures, une évaluation motivée sous 14 jours, et un correctif ou l'explication écrite de son absence sous 90 jours. Si vous préférez ne pas être lisible en chemin, demandez d'abord une clé de chiffrement, sans rien dire de sensible dans ce premier message.
Et surtout : vous pouvez publier. Vous n'avez pas besoin de notre autorisation. Ce droit vient de la licence libre du dépôt, qui est irrévocable.
Ce que nous ne promettons pas
Pas d'« anonymat militaire », pas d'« incassable », pas de magie. Nous promettons une chose, vérifiable : une architecture où l'essentiel ne nous appartient pas, ni votre identité, ni la clé qui efface votre téléphone. Ce n'est pas un engagement contractuel, c'est une conséquence de la façon dont le produit est construit.