Sécurité et vie privée

01 · EN BREF

Vos mots sont chiffrés avant de quitter votre appareil.

Matters utilise un chiffrement de bout en bout pour les contenus personnels partagés dans l’app. Le serveur conserve des enveloppes chiffrées et ne peut pas lire les textes protégés.

CONTENUS

Profils, Matters et réglages associés sont chiffrés pour vous et les proches choisis.

RÉACTIONS EMOJI

Chaque réaction est visible uniquement par la personne qui l’envoie et l’auteur du sujet. Les destinataires ne voient pas qui d’autre a reçu le sujet.

VOTRE MESSAGERIE

Matters ne propose pas de discussion par messages. Un clic ouvre le choix de messagerie avec le contexte du sujet prêt. Vous complétez et envoyez là-bas ; ce service applique ses propres règles de confidentialité et de sécurité.

VOTES PRIVÉS

Chaque choix reste privé ; les proches ne reçoivent que les totaux agrégés.

HISTORIQUE PRIVÉ

Les Matters archivés sont chiffrés uniquement pour leur propriétaire.

Le chiffrement protège le contenu, pas toute trace d’activité. Les relations entre comptes, les dates et les autres métadonnées décrites plus bas restent visibles par le service.

02 · CONTENUS CHIFFRÉS

Le chiffrement se fait sur l’appareil.

L’app chiffre le contenu avant son envoi et ne le déchiffre que sur les appareils autorisés. Supabase conserve le texte chiffré avec des valeurs neutres ; les règles de la base refusent les contenus protégés envoyés en clair.

Un proche reçoit l’accès grâce à une clé de cercle chiffrée individuellement. Retirer une personne fait tourner cette clé et rechiffre les contenus partagés actuels.

DÉTAILS TECHNIQUES

L’implémentation utilise TweetNaCl 1.0.3. Les contenus des cercles utilisent une clé de 32 octets avec XSalsa20-Poly1305 et un nouveau nonce de 24 octets à chaque écriture. Les clés de cercle sont distribuées avec X25519, et des signatures Ed25519 lient l’auteur et le contexte à chaque enveloppe.

03 · CLÉS ET APPAREILS

Les clés privées restent sur votre appareil.

L’identité de chiffrement est créée sur l’appareil et conservée dans le stockage sécurisé du système : le trousseau iOS avec la protection « accessible une fois l’appareil déverrouillé, sur cet appareil uniquement », et SecureStore adossé au Keystore sur Android.

La clé de récupération n’est jamais envoyée au serveur. Matters ne peut ni la réinitialiser ni récupérer vos contenus chiffrés sans elle. Le cache local chiffré est lié au compte et au projet.

NUMÉROS DE SÉCURITÉ

Les clés publiques sont mémorisées localement dès le premier contact. Si la clé d’un proche change ensuite, le partage s’arrête. Les numéros de sécurité peuvent être comparés par un canal de confiance.

04 · CE QUI RESTE VISIBLE

Le chiffrement de bout en bout ne masque pas toutes les métadonnées.

Le service peut encore voir les identifiants de compte, les clés publiques, les relations et appartenances aux cercles, les invitations, les dates, la taille et l’ordre des données, la langue, le fuseau horaire, certaines autorisations et les métadonnées réseau.

Les réactions emoji utilisent des identifiants opaques ; leur correspondance avec les emojis est conservée dans le sujet chiffré. Le service voit l’auteur, l’identifiant, les dates et les totaux, mais pas cette correspondance en clair. Les motifs et précisions d’un signalement sont lisibles par les personnes chargées de la modération lorsque vous décidez de les envoyer. Le contenu déchiffré n’est pas joint automatiquement.

Le serveur ne peut pas lire le contenu personnel chiffré, mais il a besoin de quelques informations structurelles pour le remettre aux bonnes personnes et faire fonctionner le service.

05 · CONTRÔLES D’ACCÈS

Le chiffrement est une couche, pas la seule.

Les règles d’accès ligne par ligne de la base limitent les données que chaque compte connecté peut demander. Les signatures détectent les contenus modifiés, et l’app refuse les mauvais contextes, les générations de clés inconnues et les données déchiffrées mal formées.

La clé publique de l’API identifie l’application : ce n’est pas une clé de chiffrement. Les clés privées et les codes de récupération ne sont jamais stockés dans Supabase.

06 · LIMITES

Dire clairement les limites fait partie de la sécurité.

Il s’agit d’un protocole d’enveloppes propre à Matters, construit avec des primitives cryptographiques établies. Il n’a pas encore fait l’objet d’un audit de sécurité indépendant et ce n’est pas une implémentation de Signal.

Le système actuel n’offre pas de ratchet, de confidentialité persistante, de protection après compromission, de transparence des clés, de détection d’un retour arrière du serveur ni de révocation appareil par appareil. Retirer un proche bloque les accès futurs après rotation, mais n’efface pas ce qu’il a déjà reçu.

Matters ne doit pas être considéré comme un outil adapté aux urgences ou aux secrets extrêmement sensibles. Un audit indépendant est nécessaire avant toute promesse de sécurité plus forte.

Privé par conception.Précis par choix.