Serrure 1
Votre mot de passe
Celle de tous les jours. Quand vous changez de mot de passe, on rescelle cette enveloppe et rien d'autre : vos fichiers ne sont pas touchés, l'opération prend une seconde même avec trois téraoctets rangés.
Sécurité
Ce que nous voyons
de vos fichiers.
Et ce que nous n'en voyons pas. Vos fichiers sont chiffrés avant de quitter votre appareil. Nous n'avons pas vos clés.
Qui voit quoi
Nos serveurs ont besoin de sept informations pour fonctionner. Le contenu de vos fichiers n'en fait pas partie.
Ce que nos serveurs voient
- Le nombre d'objets que vous stockez, la taille chiffrée de chacun et leur volume total. Il faut bien compter pour facturer.
- Les dates de dépôt et de lecture, comme tout serveur qui répond à une requête, et la partie d'un fichier que vous lisez : un aperçu ne se confond pas avec un téléchargement complet.
- Une partie de la structure de vos dossiers, sans leurs noms. Pour que vos appareils se synchronisent, notre journal note, à chaque modification, quels dossiers elle touche et à quelle heure. Il relie ainsi un dossier créé à son parent, les deux dossiers d'un déplacement, et les morceaux d'un grand dossier, ce qui en laisse deviner le nombre d'éléments. Cette liste est gardée 180 jours au moins ; les dernières modifications restent tant que le compte existe.
- Votre adresse électronique, qui sert à vous identifier et à vous écrire.
- Votre adresse IP : complète dans les journaux techniques, sept jours au plus, et tronquée dans l'historique de vos sessions et de votre compte.
- Votre formule et son état de paiement. Les coordonnées bancaires, elles, vont chez Stripe et ne passent jamais par nos serveurs.
- Les enveloppes scellées de votre clé de compte, avec leurs sels, la clé publique qui vérifie votre connexion et l'empreinte d'une preuve tirée de vos douze mots.
Ce qu'ils ne voient pas
- Le contenu de vos fichiers.
- Leur nom, leur extension, leur type.
- Le nom de vos dossiers.
- Votre mot de passe et vos douze mots de récupération, qui ne quittent jamais votre appareil.
Les enveloppes, leurs sels et la clé publique permettraient à qui les volerait d'essayer des mots de passe sur ses propres machines, sans passer par nous. Chaque essai coûte 650 000 itérations de calcul : la recherche est lente, mais un mot de passe facile à deviner finirait par tomber. Vos douze mots, tirés au hasard sur 128 bits, sont hors de portée d'une telle recherche. Nous ne remettons l'enveloppe du mot de passe qu'après une connexion réussie, et celle des douze mots qu'à qui saisit le code envoyé à votre adresse.
Les clés, les formats, les paramètres exacts et notre modèle de menace sont détaillés dans notre livre blanc.
Le chemin d'un fichier
Les quatre premières étapes se passent sur votre appareil, dans votre navigateur ou dans nos applications. Aucun bloc ne le quitte en clair.
-
Il est découpé
Votre fichier est coupé en blocs d'un mébioctet. Un film de 4 Go en fait près de quatre mille.
-
Une clé est tirée pour lui seul
Votre appareil tire au hasard une clé qui ne sert qu'à ce fichier. Déposez deux fois le même fichier : vous obtenez deux clés, et deux versions chiffrées qui n'ont rien en commun.
-
Chaque bloc est chiffré
En AES-256-GCM. AES est décrit par une norme publique, la FIPS 197 du NIST, l'institut de normalisation des États-Unis ; le mode GCM vérifie en plus, à la lecture, que le bloc n'a pas été modifié. Chaque bloc reçoit son propre nonce, un numéro qui ne sert qu'une fois : aucun bloc n'est chiffré deux fois avec la même clé et le même nonce.
-
La clé du fichier est enfermée
Elle est scellée par votre clé de compte, qui ne quitte votre appareil que scellée elle aussi. La clé du fichier voyage donc avec le fichier, mais verrouillée.
-
Nos serveurs reçoivent des blocs opaques
Ils sont rangés sous des identifiants tirés au hasard, sans nom, extension ni dossier. Nous voyons combien ils pèsent, et rien de leur contenu.
Une clé, plusieurs serrures
Votre compte a une seule clé, tirée au hasard le jour de votre inscription. Elle est rangée dans plusieurs enveloppes, chacune fermée par une serrure différente : deux obligatoires, une par appareil que vous inscrivez, et deux facultatives à venir, éteintes par défaut. Ouvrez n'importe laquelle, vous trouvez la même clé.
Serrure 2
Vos douze mots
Pour le jour où vous oubliez votre mot de passe : avec un code reçu à l'adresse de votre compte, ils rouvrent votre coffre. Vous les recevez à l'inscription et les notez sur papier. Nous ne gardons pas les mots, seulement l'enveloppe qu'ils ouvrent et l'empreinte d'une preuve qui en est tirée, pour vérifier que c'est bien vous qui récupérez le coffre.
Une par appareil inscrit
La clé de votre appareil
L'application tire sa propre clé quand vous l'inscrivez, et la garde dans le magasin de clés de votre système : sur un Mac, le trousseau de macOS. Cette clé ouvre une enveloppe qui ne sert qu'à cet appareil. Retirez-le depuis votre coffre : l'enveloppe est effacée, et sa clé n'ouvre plus rien. Le détail est en section 05.
Serrure 3, facultative
En préparation
La clé de réouverture
Éteinte par défaut. Si vous l'allumez, nous pouvons rouvrir votre compte quand vous avez tout perdu, et donc lire vos fichiers. Le détail est en section 07.
Serrure 4, facultative
En préparation
Une clé d'accès ou un portefeuille
Éteinte par défaut. Votre empreinte, votre visage, une clé physique ou la signature de votre portefeuille ouvrent votre coffre. Le secret reste sur votre appareil : nous ne pouvons toujours pas ouvrir votre coffre.
Vos douze mots
Le code de récupération est une suite de douze mots français courants, tirés de la liste qu'utilisent les portefeuilles de cryptomonnaie. On recopie « jardin » sans faute. « 7fK2q9Xz », beaucoup moins.
Ces douze mots portent 128 bits d'information. Un ordinateur qui essaierait mille milliards de combinaisons par seconde mettrait, pour les parcourir toutes, près de huit cents millions de fois l'âge de l'univers.
S'y ajoutent quatre bits de contrôle : une faute de recopie se voit à la saisie, et votre coffre peut souvent vous dire quel mot cloche.
La saisie accepte les majuscules, les accents manquants, et l'abréviation à quatre lettres. Taper « debu » suffit pour « débutant ».
Si vous oubliez votre mot de passe
Vos douze mots et un code reçu à l'adresse de votre compte rouvrent votre coffre. Vous choisissez un nouveau mot de passe et recevez douze nouveaux mots ; vos fichiers ne bougent pas. S'il vous manque l'un des deux, personne ne peut le remplacer, nous non plus.
À l'ouverture du compte, imprimez le kit de récupération ou recopiez les mots à la main, et rangez la feuille chez vous, jamais avec votre mot de passe. Tous les trois mois, votre coffre vous propose de les retaper, pour vérifier que la feuille est toujours là et lisible.
Si vous quittez votre messagerie, changez d'abord l'adresse de votre compte, depuis votre coffre : rubrique Compte, puis Profil. Ce changement demande votre mot de passe et un code envoyé à chacune des deux adresses : une fois l'ancienne messagerie fermée, il est trop tard.
Vos appareils
Votre coffre s'ouvre dans un navigateur ou dans nos applications. Les deux chiffrent sur votre appareil. Ils ne gardent pas vos clés de la même façon.
Dans un navigateur
- Rien n'est inscrit. Vos clés vivent dans la mémoire de l'onglet, le temps de la session, et ne sont écrites dans aucun stockage du navigateur.
- Recharger ou fermer la page les efface. Votre mot de passe vous est alors redemandé.
- Sur un appareil sans application publiée, c'est le seul moyen d'ouvrir votre coffre. La page des applications dit lesquelles existent.
Avec l'application pour Mac
- Vous inscrivez votre Mac une fois, avec votre mot de passe. L'application tire alors une clé propre à ce Mac et la range dans le trousseau de macOS, celui de votre session. Nous ne la recevons jamais.
- Cette clé ouvre une enveloppe qui ne sert qu'à ce Mac. Il rouvre ensuite votre coffre sans vous redemander votre mot de passe. Il vous le redemande une fois si vous en changez depuis un autre appareil, ou si vous déconnectez tous vos appareils.
- Elle n'est pas scellée par la puce de sécurité du Mac (Secure Enclave) : elle est protégée comme les autres secrets de votre trousseau. Qui ouvre votre session macOS ouvre aussi votre coffre dans l'application : verrouillez votre Mac quand vous le quittez.
- Un courriel vous prévient de chaque appareil inscrit sur votre compte.
Avec l'application pour les Mac à processeur Intel, en version bêta
- La même application, la même garde. Elle est signée par JF Agency et notarisée par Apple, comme celle des puces Apple, et garde la clé de ce Mac dans le trousseau de macOS.
- Une image à part. Elle a son téléchargement et ses mises à jour : une application ne reçoit que celles de sa puce.
- Une bêta. Nous l'avons essayée sous Rosetta, sur un Mac à puce Apple, et pas encore sur un vrai Mac Intel. Elle peut présenter des défauts. Vos fichiers y sont chiffrés comme ailleurs, avant de quitter l'appareil.
Avec l'application pour Linux, en version bêta
- La même inscription, une autre garde. L'application tire une clé propre à cet ordinateur et la range dans le service de secrets de votre session, GNOME Keyring ou KWallet. Nous ne la recevons jamais. Sans ce service, elle refuse de s'inscrire : aucun fichier ne le remplace.
- Un autre programme de votre session peut lire cette clé sans que rien ne vous le demande : sur un bureau Linux ordinaire, rien ne sépare les programmes d'un même compte. Un programme qui tourne sous votre compte peut donc ouvrir votre coffre. N'installez que ce à quoi vous faites confiance, et verrouillez votre session quand vous la quittez.
- Ni signature de code, ni notarisation. L'AppImage, le .deb et le .rpm n'en portent pas. Au premier téléchargement, seule l'empreinte SHA-256 affichée sur notre page permet de vérifier le fichier. Ensuite, l'AppImage n'installe une mise à jour que si elle porte la signature de notre clé de publication ; à partir de la 0.6.8, le .deb et le .rpm aussi, après le mot de passe d'un administrateur.
- Une bêta. Nous l'avons essayée sur des bureaux de test, sous Ubuntu, Debian et Fedora, pas encore sur de vrais ordinateurs ni sous Wayland. Elle peut présenter des défauts. Vos fichiers y sont chiffrés comme ailleurs, avant de quitter l'appareil.
Avec l'application pour Android, en version bêta
- La clé de ce téléphone, dans son magasin de clés. L'application tire une clé propre à ce téléphone et la scelle par le magasin de clés d'Android, dans une zone isolée du processeur, ou une puce à part si le téléphone en a une. Nous ne la recevons jamais. Un téléphone sans cette protection matérielle n'est pas refusé : l'écran le dit.
- Ce qui est en clair sur le téléphone. Une photo ou un fichier que vous ouvrez est déchiffré dans un dossier temporaire privé, effacé à sa fermeture. Ces dossiers sont dans le stockage que chiffre le code du téléphone, lisible dès son premier déverrouillage. Un fichier que vous ouvrez avec une autre application lui est remis en clair.
- « Libérer de la place » retire des photos du téléphone. L'application relit d'abord chaque photo dans votre coffre, à l'octet, puis Android la met à sa corbeille, trente jours. Cette relecture prouve que votre coffre rend ce contenu à cet instant, pas ce qui arrivera ensuite : commencez par quelques photos sans importance, et vérifiez qu'elles s'ouvrent ailleurs.
- Le contrôle de révocation des certificats est inactif, sauf si notre serveur joint cette information à sa réponse : un certificat révoqué passerait alors, sa chaîne restant vérifiée.
- Hors du Play Store. L'application se télécharge sur notre page, et Google Play Protect peut avertir. Comparez l'empreinte SHA-256 affichée à celle du fichier reçu. À partir de la version 0.1.5, elle se met à jour depuis ses réglages, avec la confirmation d'Android.
- Une bêta. Nous l'avons essayée sur un émulateur, jamais sur un vrai téléphone. Rien de ceci n'a donc été vu : la protection matérielle de la clé, le déverrouillage par empreinte ou par le visage, la mise en veille d'Android. Elle peut présenter des défauts. Vos fichiers y sont chiffrés comme ailleurs, avant de quitter l'appareil.
Avec l'application pour Windows, en version bêta
- La même inscription, une autre garde. L'application tire une clé propre à cet ordinateur et la range dans le Gestionnaire d'identifiants de Windows, sur cet ordinateur. Nous ne la recevons jamais. Sans réponse de ce service, elle refuse de s'inscrire : aucun fichier ne le remplace.
- Un autre programme de votre session peut lire cette clé sans que rien ne vous le demande. Un programme qui tourne sous votre compte peut aussi ouvrir l'inspecteur de la fenêtre de l'application, à son lancement suivant. Un programme hostile sous votre compte n'est donc pas écarté, et il peut ouvrir votre coffre. N'installez que ce à quoi vous faites confiance, et verrouillez votre session quand vous la quittez. Face au vol de l'ordinateur, ce sont BitLocker, ou le chiffrement de l'appareil, et le mot de passe de votre compte qui protègent.
- Ni signature de code, ni magasin de Microsoft. Windows vous prévient à l'ouverture. Au premier téléchargement, seule l'empreinte SHA-256 affichée sur notre page permet de vérifier le fichier. Là où Smart App Control est activé, Windows refuse cette version sans proposer de passer outre. Ensuite, l'application n'installe une mise à jour que si elle porte la signature de notre clé de publication, seul contrôle, sans retour en arrière.
- L'accès d'une IA. Une IA peut aussi s'en servir, avec un jeton que vous créez. Le texte d'un PDF et la réduction d'une image se font dans un processus cloisonné : il n'atteint ni vos fichiers, ni le réseau, ni vos autres programmes. Cette cloison laisse lisibles les dossiers du système et ne filtre pas les appels au noyau.
- Microsoft. Si le composant WebView2 manque, l'installeur le télécharge depuis Microsoft, qui le met ensuite à jour, hors de notre application.
- Une bêta. Nous l'avons essayée sous Windows Server 2025, pas encore sous Windows 10 ni Windows 11, ni face à Smart App Control. Elle peut présenter des défauts. Vos fichiers y sont chiffrés comme ailleurs, avant de quitter l'appareil.
Avec l'application pour iPhone, en version bêta
- La clé de cet iPhone, scellée par sa puce de sécurité. L'application tire une clé propre à cet iPhone et la scelle par une seconde clé, créée dans le Secure Enclave, la puce de sécurité de l'iPhone, et qui n'en sort jamais. Le résultat est rangé dans le trousseau de l'iPhone, sans synchronisation vers vos autres appareils. Nous ne la recevons jamais. Elle ne demande pas Face ID : elle s'ouvre dès le premier déverrouillage de l'iPhone.
- Ce qui est en clair sur l'iPhone. Une photo en plein écran ou un fichier que vous ouvrez est déchiffré dans un dossier temporaire de l'application, illisible iPhone verrouillé, effacé à sa fermeture. Les vignettes ne restent qu'en mémoire. Un fichier que vous partagez vers une autre application lui est remis en clair.
- Le coffre dans l'app Fichiers d'Apple, si vous le demandez. L'iPhone inscrit alors un second appareil, « Fichiers de cet iPhone », avec sa propre clé, scellée de la même façon. Un fichier que vous y ouvrez est déchiffré, et iOS en garde une copie en clair tant qu'il en a l'usage.
- Les noms dans la recherche de l'iPhone, si vous le demandez. Les noms de vos dossiers et de vos fichiers sont remis à la recherche d'iOS, qui les garde en clair sur cet iPhone. Jamais le contenu d'un fichier ni une vignette. Éteindre ce réglage les retire.
- « Libérer de la place » retire des photos de l'iPhone. L'application relit d'abord chaque photo dans votre coffre, en entier, puis iOS la met dans « Supprimés récemment », trente jours. Si Photos iCloud est activé, elle quitte aussi iCloud et vos autres appareils Apple. Une photo retouchée ou une Live Photo reste sur l'iPhone. Cette relecture prouve que votre coffre rend ce contenu à cet instant, pas ce qui arrivera ensuite : commencez par quelques photos sans importance, et vérifiez qu'elles s'ouvrent ailleurs.
- Une vidéo se regarde sans être téléchargée en entier. Chaque morceau est déchiffré et vérifié à sa place, mais l'empreinte du fichier entier n'est pas contrôlée dans ce mode.
- Le verrouillage par Face ID, si vous le demandez, verrouille l'écran de l'application. Aucune clé n'en dépend, et le coffre montré dans l'app Fichiers n'est pas concerné.
- Par TestFlight, l'application d'essai d'Apple. Elle est signée par notre équipe, puis par Apple, et ses mises à jour passent par TestFlight : elle n'a pas de mécanisme de mise à jour à elle. Une version reste installable quatre-vingt-dix jours.
- Une bêta. Nous l'avons essayée dans le simulateur d'Apple, jamais sur un vrai iPhone. Rien de ceci n'a donc été vu sur un iPhone : le scellement par le Secure Enclave, Face ID, la vraie photothèque, le réseau mobile, l'envoi des photos en arrière-plan, l'app Fichiers sur un appareil. Elle peut présenter des défauts. Vos fichiers y sont chiffrés comme ailleurs, avant de quitter l'appareil.
Retirer un appareil
- Depuis votre coffre, rubrique Compte, puis Appareils. L'enveloppe de l'appareil est effacée de nos serveurs tout de suite : sa clé n'ouvre plus rien, et un courriel vous le confirme.
- Entrer par vos douze mots retire tous vos appareils, d'un coup.
- Ce qui est déjà sur l'appareil y reste. Les fichiers de ses dossiers synchronisés, et ceux que vous avez téléchargés, sont en clair sur son disque, comme vos autres fichiers. Si vous le demandez en le retirant, l'application efface ses dossiers synchronisés quand cet appareil se connecte de nouveau ; tant qu'il reste hors ligne, ils restent sur lui.
L'accès d'une IA
Aucune IA n'a accès à vos fichiers chez nous. Nous ne les analysons pas, et ne nous en servons pas pour entraîner un modèle : c'est écrit à l'article 22.2 de nos conditions générales. Une exception à la lecture : si l'on nous signale un lien de partage complet, nous pouvons ouvrir le fichier qu'il vise, pour examiner le signalement, comme le prévoit l'article 21.3. La vôtre, si vous le décidez, depuis votre ordinateur.
Depuis la version 0.6.0 de l'application pour Mac, sortie le 7 octobre 2026, vous pouvez donner à une IA de votre choix, comme Claude, un jeton qui lui permet de se servir de votre coffre par l'application ouverte sur votre ordinateur.
- L'application déchiffre pour l'IA, sur votre ordinateur. Vos clés ne la quittent pas, et rien de nouveau ne parvient à nos serveurs : ni le jeton, ni le nom de l'outil, ni ce qu'il lit.
- Ce que l'IA lit part en clair chez son éditeur, Anthropic pour Claude, sous ses propres conditions. Là-bas, notre chiffrement ne protège plus ces fichiers.
- Vous choisissez ses droits : lecture seule par défaut, un dossier ou tout le coffre, une durée. Aucun jeton ne supprime définitivement un fichier, et chaque lien de partage qu'une IA demande attend votre accord.
- Vous retirez un jeton d'un geste. Le journal de ce que font vos jetons reste sur votre ordinateur, trente jours, et ne nous est jamais envoyé.
La clé de réouverture, en option
En préparation
C'est la seule pièce du système où nous gardons de quoi ouvrir votre compte. Elle n'est pas encore proposée, mais ses règles sont déjà fixées.
Par défaut, si vous oubliez votre mot de passe et qu'il vous manque vos douze mots ou l'accès à l'adresse électronique de votre compte, personne ne peut rien pour vous. Certains acceptent ce risque. Pour les autres, il y aura la clé de réouverture. Elle sera éteinte par défaut, et vous seul pourrez l'activer, en confirmant par votre mot de passe.
En l'activant, vous nous confiez une troisième enveloppe de votre clé de compte, fermée par une serrure qui nous appartient. Nous pouvons alors rouvrir votre compte, donc lire vos fichiers, et y être contraints par une décision de justice. Nous vous le répéterons au moment de l'activation.
Où elle est rangée
- L'enveloppe est sur nos serveurs. C'est votre clé de compte, scellée pour notre clé de réouverture : sans cette clé, elle ne s'ouvre pas.
- Notre clé est coupée en deux moitiés. La première est un secret rangé chez notre hébergeur. La seconde est imprimée sur papier et gardée hors ligne, dans un coffre physique : elle n'est sur aucun serveur, et n'apparaît dans aucun code source.
- Aucune moitié ne suffit seule. Il faut réunir les deux pour ouvrir quoi que ce soit.
Ce que nous mettons en place
- Deux moitiés, deux lieux. La moitié gardée chez notre hébergeur ne sert à rien sans celle qui est sur papier.
- Un code envoyé à l'adresse de votre compte. C'est un facteur de plus : sans lui, la demande s'arrête là.
- Vingt-quatre heures de délai. Entre la demande et la réouverture, un courriel avec un lien qui arrête tout part à votre adresse, et une alerte s'affiche sur les appareils où votre coffre est ouvert. Si quelqu'un a pris la main sur votre messagerie, il lit aussi ce courriel : c'est l'alerte sur vos appareils qui vous préviendra.
- Une intervention manuelle. Au moment de la réouverture, l'un de nous saisit à la main la moitié sur papier. Cette moitié n'est enregistrée sur aucun ordinateur.
- La moitié sur papier n'est saisie que sur notre page d'administration, jamais dans votre navigateur ni dans celui d'un autre abonné.
- Votre clé de compte n'arrive qu'à votre navigateur. Quand nous rouvrons votre coffre, notre serveur scelle aussitôt votre clé de compte pour le navigateur où vous avez fait la demande. La personne qui intervient chez nous ne la voit pas, et ce qui est remis à votre navigateur, lui seul peut l'ouvrir.
- Chaque étape est inscrite et signalée. La demande, son annulation, la réouverture et le retrait de la clé apparaissent dans l'historique de votre compte, et vous recevez un courriel à chaque fois.
- Vous pouvez la retirer à tout moment. L'enveloppe est alors supprimée tout de suite, et la date du retrait inscrite dans votre compte. Nous n'en gardons aucune copie.
- Seuls les comptes qui l'ont activée sont concernés. Un compte resté sur le réglage par défaut n'a pas d'enveloppe de réouverture : nous n'avons rien pour l'ouvrir.
Les contreparties
- En l'activant, Ouraya peut rouvrir votre compte, donc lire vos fichiers, et peut y être contraint par une décision de justice. Tant que cette clé n'existe pas, nous n'avons rien à remettre.
- Un piratage devient plus grave. Quelqu'un qui volerait à la fois les deux moitiés de notre clé et vos fichiers chiffrés pourrait lire leur contenu. Sans cette option, il n'obtiendrait que des blocs illisibles.
- La réouverture n'est pas instantanée. Quand vous la demandez, le délai de vingt-quatre heures s'applique, et la seconde moitié doit être saisie à la main : comptez jusqu'à huit jours.
- Pendant une réouverture, nos serveurs ont accès à la clé qui déchiffre vos fichiers. Quelques instants, le temps de l'opération. Nous ne la conservons pas.
- Le code et le délai sont des règles de procédure. Ils bloquent une demande qui passe par nous. Quelqu'un qui détiendrait déjà les deux moitiés de notre clé pourrait s'en passer, car aucune de ces règles n'est cryptographique. Sur ordre d'une autorité, nous pouvons être tenus de nous en passer.
Perdre ses clés sans tout perdre
Votre mot de passe et vos douze mots sont obligatoires, et ne se retirent pas. Deux options facultatives, éteintes par défaut, pourront s'y ajouter. Vous seul pourrez les activer.
Une serrure que vous possédez déjà
En préparation
Une clé d'accès (Touch ID, Face ID, Windows Hello, une clé YubiKey, selon votre appareil et votre navigateur) ou un portefeuille de cryptomonnaie installé dans votre navigateur (MetaMask, Trust Wallet, un Ledger piloté par MetaMask) peut ouvrir votre coffre. Pour une clé d'accès, le secret vient de l'extension PRF de WebAuthn, la norme des clés d'accès ; pour un portefeuille, d'une signature. La clé qui ouvre cette serrure en est dérivée sur votre appareil, et rien ne le quitte. Rien n'est écrit sur une chaîne de blocs, et la signature ne coûte rien.
Cette serrure ne nous donne aucun accès à votre coffre, contrairement à la clé de réouverture. Elle n'est jamais la seule serrure d'un compte : un appareil perdu, une clé d'accès supprimée ou un portefeuille remplacé ferment cette porte sans prévenir, et vos douze mots restent le seul chemin qui ne dépend d'aucun appareil. Avec un portefeuille, il faut aussi un code envoyé à l'adresse de votre compte.
Pas de NFT : un NFT est visible de tous, il ne peut donc pas servir de secret.
| Moyen | Qui détient quoi | Qui peut ouvrir | La contrepartie |
|---|---|---|---|
| Vos douze motsobligatoires | Vous, sur papier. Nous n'en avons aucune copie. | Qui a la feuille et reçoit le code envoyé à l'adresse de votre compte. Pas Ouraya. | La feuille perdue, ou l'accès à votre adresse, en même temps que votre mot de passe : sans autre serrure, vos fichiers deviennent illisibles pour de bon. |
| La clé de réouverturefacultative, en préparation | Nous : l'enveloppe et une moitié de notre clé sur nos serveurs, l'autre sur papier, hors ligne. | Ouraya, à votre demande, après un code envoyé à votre adresse et vingt-quatre heures de délai. | Ouraya peut lire vos fichiers, et peut y être contraint par une décision de justice. |
| Une clé d'accès ou un portefeuillefacultative, en préparation | Votre appareil ou votre portefeuille. Le secret ne le quitte jamais. | Vous, avec cet appareil ou ce portefeuille. Pas Ouraya. | La porte peut se fermer sans prévenir : appareil perdu, clé supprimée, portefeuille changé. |
Ce que nous ne pouvons pas vous promettre
Cinq limites à connaître avant de vous abonner.
Le code vient de chez nous
À chaque visite, nos serveurs envoient à votre navigateur le programme qui chiffre vos fichiers. Vous devez donc lui faire confiance, comme avec tout chiffrement dans un navigateur. L'application pour Mac, signée par JF Agency et notarisée par Apple, n'est pas rechargée à chaque visite : son code ne change qu'à une mise à jour, vérifiée avant d'être installée, et vous pouvez couper ces mises à jour dans ses réglages.
Tout perdre est possible
Mot de passe oublié, et douze mots ou accès à l'adresse de votre compte perdus, sans clé de réouverture ni autre serrure : vos fichiers deviennent illisibles pour de bon. Aucune procédure d'exception, et notre service client ne connaît pas d'astuce.
Ce qui est chez vous est en clair
Un fichier que vous téléchargez, ou que l'application synchronise dans un dossier de votre ordinateur, y est en clair, comme vos autres fichiers. Le chiffrement de bout en bout protège ce qui voyage et ce que nous stockons, pas votre disque.
Un lien partagé a voyagé
Quand vous désactivez un lien de partage, plus personne ne télécharge par ce lien. Les copies déjà faites par ceux qui l'avaient reçu restent chez eux.
Gardez une copie ailleurs
Vos fichiers sont stockés chez un seul hébergeur, qui annonce les garder sur au moins trois supports. Cela couvre une panne de matériel, pas une suppression par erreur, ni la fin de notre compte chez lui. Pour vos fichiers importants, un disque chez vous fait l'affaire.
Où sont vos données
Vos fichiers sont en Suisse. Leurs blocs chiffrés, ceux du coffre comme ceux de l'outil d'envoi, sont chez un seul hébergeur suisse, propriétaire de ses centres de données, qui annonce les garder sur au moins trois supports répartis dans deux centres de données. Notre contrat avec lui prévoit la Suisse. Il n'en voit que des blocs chiffrés, leur taille et leurs dates.
Nos serveurs et nos métadonnées sont chez Cloudflare, société américaine. Chaque requête passe par son centre de données le plus proche de vous, qui peut se trouver hors de l'Union européenne. Vos fichiers y transitent, chiffrés, entre votre appareil et la Suisse, sans y être conservés. Seule la clé d'un envoi dont vous nous laissez envoyer le lien par courriel y passe aussi. Y sont stockés :
- votre compte : votre adresse électronique, votre formule, l'état de vos paiements, et les enveloppes scellées de votre clé de compte ;
- vos sessions et vos appareils : dates, navigateur ou application, système, pays, adresse IP tronquée ;
- l'index et le journal de vos dossiers, chiffrés, sauf la liste des dossiers que touche chacune de vos modifications ;
- les compteurs de votre coffre et leur relevé quotidien, vos liens de partage et leurs compteurs ;
- nos journaux techniques, avec votre adresse IP complète, sept jours au plus ;
- pour l'outil d'envoi, le nom et l'adresse de l'expéditeur, et le journal d'identification, gardé un an pour les seules demandes des autorités ;
- le registre de vos factures, dans un espace de stockage limité à l'Union européenne. Les autres espaces ne le sont pas.
Vos clés n'y sont pas, seulement les enveloppes scellées qui les contiennent. La liste complète, avec les durées de conservation, est dans notre politique de confidentialité. Ce qui est en Suisse, et ce qui n'y est pas.
Illustration
État au 5 novembre 2026
- Le coffre, avec comptes et abonnement, est ouvert. Ses fichiers, chiffrés dans votre navigateur ou dans nos applications, sont stockés en Suisse.
- L'application pour Mac à puce Apple est signée par JF Agency et notarisée par Apple. Elle chiffre vos fichiers sur votre Mac avant de les envoyer, et garde la clé de ce Mac dans le trousseau de macOS. Depuis sa version 0.6.0, sortie le 7 octobre 2026, une IA peut se servir de votre coffre par elle, avec un jeton que vous créez.
- L'application pour les Mac à processeur Intel est en version bêta : signée et notarisée, elle a été essayée sous Rosetta, pas encore sur un vrai Mac Intel.
- L'application pour Linux (x86_64) est en version bêta : elle chiffre comme celle du Mac, sans signature de code, et garde sa clé dans le service de secrets de votre session. Une IA peut aussi s'en servir, avec un jeton que vous créez.
- L'application pour Android (Android 11 ou plus) est en version bêta, essayée sur un émulateur, jamais sur un vrai téléphone. Elle chiffre vos fichiers sur le téléphone avant de les envoyer, et garde sa clé dans le magasin de clés d'Android.
- L'application pour Windows (64 bits) est en version bêta : elle chiffre comme celle du Mac, sans signature de code, et garde sa clé dans le Gestionnaire d'identifiants. Une IA peut aussi s'en servir, avec un jeton que vous créez.
- L'application pour iPhone (iOS 18 ou plus) est en version bêta, par TestFlight, essayée dans le simulateur d'Apple, jamais sur un vrai iPhone. Elle chiffre vos fichiers sur l'iPhone avant de les envoyer, et scelle sa clé par le Secure Enclave. Il n'y a pas d'application pour iPad.
- Sur un appareil sans application publiée, votre coffre s'ouvre dans le navigateur. La page des applications dit lesquelles existent.
- La clé de réouverture et les clés d'accès ou portefeuilles ne sont pas encore proposées. Aucun compte n'en porte.
- L'outil d'envoi offert chiffre vos fichiers, leurs noms et votre message dans votre navigateur, avant de les envoyer. Ils sont stockés en Suisse et supprimés à la date que vous choisissez, trente jours au plus, sauf un envoi signalé, gardé plus longtemps le temps d'examiner le signalement. La clé est dans le lien, et nos serveurs ne l'enregistrent pas. Si vous nous demandez d'envoyer le lien par courriel, il passe, clé comprise, par nos serveurs et par notre messagerie, et l'avis de non-remise qui nous revient quand une adresse le refuse peut en contenir une copie. Les fichiers déposés avec la version précédente de l'outil, non chiffrés, restent sur nos serveurs jusqu'à leur suppression, trente jours après le dépôt.
Quand le fonctionnement change, nous mettons cette date à jour.
Ce que la Suisse protège, et ce qu'elle ne protège pas
Stocker vos fichiers en Suisse décide du lieu où sont gardés leurs blocs chiffrés. Cela ne place ni notre société, ni vos métadonnées sous le droit suisse.
Ce que la Suisse protège
- Le lieu de vos fichiers. Leurs blocs chiffrés sont gardés en Suisse, chez un hébergeur suisse, sur au moins trois supports dans deux centres de données, selon lui.
- Un cadre reconnu par l'Union européenne. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne pour la protection des données personnelles.
- Ce que cet hébergeur peut remettre. Une demande qui lui serait adressée n'obtiendrait que ce qu'il détient : des blocs chiffrés, leur taille et leurs dates, sous un identifiant de compte qui ne contient ni votre nom ni votre adresse.
Ce qu'elle ne protège pas
- Ce que nous détenons. Ouraya Cloud est édité par JF Agency, société française : le droit français s'applique à nous, réquisitions des autorités françaises comprises. Nous pouvons être tenus de remettre les données de votre compte, et les blocs chiffrés de vos fichiers, que nous lisons en Suisse pour vous les servir. Pas vos clés : nous ne les avons pas.
- Vos métadonnées. Elles sont chez Cloudflare, société américaine, pas en Suisse : le pays où sont gardés vos fichiers ne change rien pour elles.
- Le programme qui chiffre. Dans votre navigateur, il vient de nos serveurs à chaque visite : c'est la première de nos limites, et le pays de stockage n'y change rien.
Le contenu de vos fichiers est protégé par le chiffrement, pas par le droit d'un pays : ni notre hébergeur suisse, ni Cloudflare, ni nous n'avons vos clés. Ce que nous pouvons être tenus de remettre est écrit à l'article 6.7 de nos conditions générales.
Une déclaration, pas une évaluation
La loi française encadre la fourniture des moyens de chiffrement (loi n° 2004-575 du 21 juin 2004, article 30). Nous avons déclaré Ouraya Cloud à l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, le 30 septembre 2026, puis l'application pour Mac, par un complément envoyé le 6 octobre 2026. L'application pour les Mac à processeur Intel, par un complément envoyé le 31 octobre 2026. L'application pour Linux, par un complément envoyé le 31 octobre 2026. L'application pour Android, par un complément envoyé le 31 octobre 2026. L'application pour Windows, par un complément envoyé le 1er novembre 2026. L'application pour iPhone, par un complément envoyé le 1er novembre 2026. C'est une formalité administrative : elle ne vaut ni évaluation, ni certification, ni agrément de notre service par l'ANSSI. Aucun audit indépendant de notre chiffrement n'est publié à ce jour.
Les mots que nous n'employons pas
Chacun de ces mots est invérifiable, ou promet quelque chose que nous ne pourrions pas tenir le jour où ça compte.
- « le cloud le plus sécurisé du monde » et tout superlatif du même genre. Personne ne peut le prouver, nous non plus.
- « inviolable », « sécurité militaire ». Ces mots ne décrivent rien de précis.
- « sauvegarde », « vos données sont à l'abri ». Ces mots transformeraient notre obligation de moyens en obligation de résultat. Nous stockons vos fichiers ; en garder une copie ailleurs vous revient.
- « 99,9 % de disponibilité », tant que nous ne l'aurons pas mesuré et publié.
- « en cas de problème, contactez-nous » au sujet d'un mot de passe perdu. Sans vos douze mots et l'accès à l'adresse de votre compte, nous ne pourrions rien faire, et vous l'apprendriez au pire moment.
Si vous trouvez l'un de ces mots quelque part sur ce site, écrivez-nous : c'est un oubli, et nous le corrigerons.
Vous avez trouvé une faille
Écrivez-nous à securite@ouraya.org. Nous accusons réception sous deux jours ouvrés, puis nous vous disons ce que nous comptons faire. Si vous le souhaitez, nous citerons votre nom.
Nous n'avons pas encore de programme de récompense.