Il n’y a presque rien à vous dire.

Ce qui reste sur votre téléphone

Tout ce qui compte. Votre identité, vos messages, vos contacts, vos médias et vos réglages vivent dans une base de données chiffrée sur votre appareil et ne sont jamais envoyés nulle part.

Votre identité, ce sont trois mots générés sur le téléphone la première fois que vous ouvrez l’appli. Rien n’est enregistré auprès de qui que ce soit. Si vous supprimez l’appli, cette identité disparaît.

Ce que nos serveurs peuvent voir

Kryfo fait tourner deux relais qui transportent les messages, chez deux hébergeurs différents, pour que les messages atteignent aussi un téléphone qui était hors ligne. Ce qu’ils voient dépend de la route que vous choisissez dans l’appli, et l’appli vous le dit avant que vous choisissiez.

• Privé. Par défaut. Les messages passent par Tor jusqu’à nos deux relais, chacun par son propre onion, et jusqu’à quelques relais Nostr publics. Aucun relais n’apprend votre adresse. Personne d’autre non plus.
• Rapide. Se passe de Tor pour aller plus vite. Il se connecte directement à nos deux relais, qui voient l’adresse depuis laquelle vous vous connectez tant que vous êtes connecté, et ne la notent pas. Chaque message part vers les deux, si bien que l’un peut s’arrêter sans que les messages s’arrêtent. Tant que le premier est arrêté, Rapide passe aussi par quelques relais Nostr publics, uniquement via Tor, si bien qu’ils ne voient jamais votre adresse.

Sur les deux routes, ce que transportent les relais est chiffré, et aucun relais ne peut lire un message. Chaque conversation a sa propre adresse de boîte aux lettres, qui n’est ni votre identité ni celle de quelqu’un d’autre. Les messages sont complétés jusqu’à l’une de cinq tailles, si bien qu’un relais voit à peu près la taille d’un message, pas sa longueur, même si le nombre de messages envoyés et leur moment restent visibles. Sur Rapide, chacun de nos relais voit quelles boîtes une adresse IP lit et écrit, et, quand les deux personnes d’une discussion utilisent Rapide, que deux adresses IP partagent une boîte. Les salons jetables, les codes d’appairage et l’adresse de votre invitation passent par Tor sur les deux routes. Avec un pseudo sur Rapide, notre relais pourrait tout de même relier le pseudo à votre adresse IP en comparant les heures des premiers messages d’une nouvelle discussion. Nos relais gardent les messages chiffrés pendant 14 jours pour qu’un téléphone hors ligne puisse rattraper son retard, puis les suppriment.

Nos relais n’écrivent pas de journaux de connexion sur le disque.

Demander des ponts au projet Tor est facultatif, et Kryfo ne le fait qu’une fois que vous avez dit oui. La demande ne passe pas par Tor, puisque Tor peut être bloqué là où vous êtes. Elle passe par un réseau de diffusion de contenu, donc votre fournisseur d’accès voit une connexion vers ce réseau, pas vers le projet Tor. Ce réseau et le projet Tor voient l’adresse depuis laquelle vous vous connectez, et le fait que quelqu’un a demandé des ponts. Rien sur vos discussions. Par ailleurs, une fois Tor connecté, Kryfo vérifie environ une fois par semaine si les ponts fournis avec lui ont changé. Cette vérification passe par Tor : elle ne montre donc votre adresse à personne, et elle n’a pas besoin de votre oui. Plus de détails dans Quand Tor est bloqué.

Pseudos

Si vous réservez un pseudo public, notre service de pseudos stocke ce nom, l’invitation vers laquelle il pointe, la courte description que vous avez écrite et la clé qui l’a réservé. Il ne stocke pas la date à laquelle il a été réservé. Si vous activez « Me montrer dans la recherche », il stocke aussi le nom que vous avez choisi pour la recherche et le fait que votre pseudo y figure. L’heure de votre dernière modification, et celle où vous avez activé ou désactivé la recherche pour la dernière fois, sont gardées environ 20 minutes pour refuser une modification rejouée, puis effacées. Il ne garde aucune trace de qui vous a cherché. Ce que vous tapez dans la recherche lui est envoyé pour trouver des pseudos, et n’est pas conservé.

Réserver un pseudo est facultatif, et désactivé tant que vous ne le faites pas, tout comme apparaître dans la recherche. Vous pouvez libérer le vôtre à tout moment. Son entrée est alors supprimée tout de suite. Le serveur garde une copie de sauvegarde par jour et supprime chaque copie au bout d'une semaine, si bien qu'après 8 jours il ne reste aucune copie d'un pseudo libéré.

Seuls apparaissent les pseudos dont le propriétaire a activé « Me montrer dans la recherche », à côté d’un nom s’il en a choisi un, et le désactiver vous en retire aussitôt. Tout ce que l’appli demande au service de pseudos et au service des badges passe par Tor sur chaque route, y compris sur Rapide, si bien qu’aucun des deux ne voit jamais votre adresse IP.

La discussion avec le développeur

À partir de Kryfo 0.5.0, la discussion « Marios · a créé Kryfo », en haut de votre liste de discussions, mène à la personne qui développe l’appli. La clé de Marios est intégrée à Kryfo, donc personne d’autre ne peut y répondre. Rien ne se connecte et rien n’est envoyé tant que vous n’avez pas écrit le premier message : pas de bonjour, pas de version de l’appli, pas de journaux.

Marios peut lire ce que vous y envoyez, et quand, et vous répondre comme n’importe quel contact. Vos trois mots partent avec ; le visage que vous avez choisi, votre adresse onion et votre éventuel badge de soutien, non. « Écrire anonymement » crée à la place un nouveau nom et de nouvelles clés pour cette seule discussion, qui restent sur votre téléphone, sont exclus des sauvegardes et ne servent nulle part ailleurs. Cela masque vos trois mots, mais ni votre style d’écriture, ni ce que vous y écrivez, ni l’adresse depuis laquelle vous vous connectez sur la route Rapide.

Les notes vocales d’une discussion anonyme passent toujours par le déguisement de la voix. Supprimer la discussion la supprime sur votre téléphone, et retire ce que vous avez envoyé du téléphone de Marios, de la même façon que l’on annule l’envoi d’un seul message. Si son téléphone ne peut pas être joint dans la demi-minute, l’appli vous indique combien de messages n’ont pas pu être retirés. Un message qu’il a déjà lu a été lu.

Aperçus de liens

Désactivés tant que vous ne les activez pas. Quand ils sont activés, votre propre téléphone récupère le titre via Tor et l’envoie dans le message chiffré. Le site vers lequel pointe votre lien voit une requête venue du réseau Tor, et rien d’autre. La personne qui reçoit le message ne touche jamais au lien.

Recherche de GIF

Désactivée tant que vous ne l’activez pas. Quand elle est activée, les mots que vous cherchez vont à notre serveur, qui interroge GIPHY ou Klipy pour vous. Les GIF reviennent aussi par notre serveur. Leur chemin dépend de votre route :

• Privé. Via Tor, sur un circuit à part. Notre serveur voit une requête venue du réseau Tor, jamais votre adresse.
• Rapide. Directement vers notre serveur, sans Tor, comme vos messages sur cette route. Notre serveur voit l’adresse depuis laquelle vous vous connectez et les mots recherchés, et n’écrit ni l’une ni les autres. Aucun relais public n’intervient.

Notre serveur ne garde aucune trace de ce qui a été cherché ni par qui, et ne transmet aucune adresse. GIPHY et Klipy voient seulement notre serveur qui demande, avec les mots cherchés et la langue de l’appli. Ils ne voient jamais votre adresse, votre téléphone, ni à qui vous envoyez un GIF. Le GIF que vous choisissez est envoyé dans le message chiffré, comme une photo.

Photos et fichiers

Les photos prises dans Kryfo perdent leur position, les détails de l’appareil et leurs horodatages avant toute autre chose, et elles n’apparaissent jamais dans votre galerie sauf si vous choisissez d’en enregistrer une copie. Les photos, vidéos, messages vocaux et fichiers plus gros qu’un message passent par notre service de fichiers dès que tout le monde dans la discussion a une version qui l’utilise. Votre téléphone scelle chaque fichier avec une clé à lui, et la clé ne voyage que dans le message chiffré, si bien que le service garde des octets qu’il ne peut pas ouvrir. Il est joint via Tor sur les deux routes et ne voit jamais votre adresse. Il connaît l’identifiant aléatoire d’un fichier, sa taille arrondie au-dessus, son nombre de destinataires, et quand il a été envoyé et récupéré. Un fichier est supprimé dès que tous les destinataires l’ont, et rien ne reste plus d’une semaine.

Notifications

Par défaut, Kryfo n’utilise aucun service de push. L’appli vérifie elle-même les messages, par la même route que celle où elle envoie, et personne hors de l’appli n’apprend qu’un message vous attend. Dans Notifications, vous pouvez choisir à la place l’un de deux autres moyens.

• Via une appli auxiliaire. Désactivé par défaut, et seulement sur Privé. Une appli auxiliaire UnifiedPush, comme ntfy, garde une seule connexion pour toutes vos applis, et notre relais frappe chez elle quand quelque chose arrive pour vous, avec une requête vide : ni expéditeur, ni nombre, ni contenu. Kryfo récupère ensuite via Tor comme toujours. Notre relais garde pour vous seize adresses sur le serveur de l’auxiliaire, pendant 30 jours au plus. Le serveur de l’auxiliaire voit l’adresse IP de votre téléphone, que vous utilisez Kryfo, et quand on y frappe, avec de faux coups mêlés aux vrais. Il n’apprend jamais ce que dit un message, qui l’a envoyé ni combien sont arrivés.
• Push Google. Uniquement dans la version Google Play, sur les téléphones avec les services Google Play. Rien de Google ne tourne avant que vous le choisissiez. Le choisir demande à Google un jeton pour ce téléphone. Notre relais le garde dans seize sceaux séparés qu’il ne peut ni ouvrir ni relier entre eux. Le service de push qui les ouvre tourne sur notre second serveur. Les deux serveurs ensemble pourraient relier les seize et voir le jeton, que Google peut associer à votre téléphone et à votre compte Google. En saisir un seul ne suffit pas, mais nous gérons les deux, donc nous le pourrions. Si cela compte pour vous, choisissez un autre moyen. Google voit que ce téléphone utilise Kryfo, quand il est réveillé, avec de faux réveils mêlés aux vrais, et l’adresse IP de votre téléphone, comme toujours pour les services Play. Il ne voit jamais qui a écrit, ce qui a été dit ni combien. Le service de push ne garde rien sur disque et ne journalise rien par téléphone, et les statistiques, l’identifiant publicitaire et les mesures de distribution de Firebase sont désactivés dans l’appli.

Sauvegardes

Une sauvegarde est un fichier sur votre téléphone, chiffré avec une phrase secrète que vous seul connaissez. Elle ne nous est jamais envoyée. À partir de Kryfo 0.5.1, elle contient aussi vos paramètres de confidentialité : bloquer les captures, déguisement de la voix, aperçus masqués, bouclier anti-arnaque, présentations, la façon dont vous recevez les messages, le thème et la langue que vous avez choisis. Elle ne contient jamais de code PIN.

Dons

Si vous faites un don, le paiement a lieu sur une blockchain publique, qui échappe à notre contrôle et à cette politique. Nous ne demandons ni votre nom ni votre adresse, et un don n’est pas relié à votre identité Kryfo, sauf si vous choisissez de les relier.

Les pourboires de la version Google Play sont payés via Google Play. Google traite le paiement, et nous ne voyons jamais les données de votre carte ni votre nom. Les rapports de ventes de Google nous montrent, pour chaque pourboire, le numéro de commande, le montant, la date et le pays, et pour certains pays la région, la ville ou le code postal.

Ce site web

Pas de cookies, pas de statistiques d’audience, pas de scripts tiers, et aucune police chargée depuis ailleurs. Le serveur n’enregistre pas les visiteurs.

Enfants

Kryfo ne s’adresse pas aux enfants. Vous trouverez plus de détails sur la façon dont sa conception limite les contacts venant d’inconnus dans notre note sur la protection de l’enfance.

Supprimer vos données

Il y a très peu à supprimer, et vous pouvez en supprimer la plus grande partie vous-même, tout de suite.

• Sur votre téléphone. Supprimer une discussion la supprime. « Effacer Kryfo de ce téléphone », sous Zone de danger dans Paramètres, supprime tout ce que Kryfo conserve sur ce téléphone. Désinstaller l’appli fait de même.
• Votre pseudo. Ouvrez votre pseudo dans l’appli et choisissez « Supprimer ce pseudo ». L’entrée est supprimée tout de suite, et les copies quotidiennes du serveur disparaissent sous 8 jours.
• La discussion avec le développeur. La supprimer retire du téléphone de Marios ce que vous avez envoyé. Pour tout ce qui n’a pas pu être retiré, ou tout ce que vous avez envoyé par e-mail, écrivez à gnosiworks@proton.me. C’est alors supprimé, et vous recevez une courte confirmation.
• Messages envoyés à d’autres. Ils sont sur leurs téléphones, pas sur les nôtres. Annulez l’envoi d’un message dans la discussion, et il disparaît aussi de leur téléphone.
• Relais et fichiers. Nos relais gardent les messages chiffrés pendant 14 jours, pour qu’un téléphone hors ligne puisse encore les recevoir, puis les suppriment d’eux-mêmes. Quelques relais Nostr publics en gardent aussi des copies, chacune marquée pour être supprimée après 14 jours. Aucun relais ne peut les lire. Les gros fichiers de notre service de fichiers sont supprimés dès que tous les destinataires les ont, au bout d’une semaine au plus.
• Dons. Un paiement sur une blockchain publique ne peut être supprimé par personne.

Demandes de données

Si l’on nous demande de remettre des données d’utilisateurs, il n’y a presque rien à remettre. Nous ne détenons aucune liste de contacts, aucun numéro de téléphone, aucune adresse e-mail et aucun registre de comptes, parce que rien de tout cela n’est collecté, et aucun contenu de message hormis ce que les gens envoient à la discussion avec le développeur. La seule exception est le push Google : ce que nos deux serveurs ensemble pourraient relier, comme décrit sous Notifications.

Modifications

Si cette politique change, la date en haut de page change avec elle, et les versions précédentes restent dans l’historique git de ce site.

Responsable

Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Allemagne. Tous les détails figurent dans les mentions légales.

Questions

Écrivez à gnosiworks@proton.me, ou ouvrez un ticket sur github.com/GnosiWorks/Kryfo.

Dans Paramètres, « Signaler un problème » vous permet de nous écrire depuis l’appli. « Écrire dans Kryfo » l’envoie à la discussion avec le développeur, décrite plus haut. « Envoyer un e-mail » ouvre votre propre appli de messagerie, et l’e-mail passe ensuite par votre fournisseur de messagerie et le nôtre (Proton), comme tout e-mail.