Studio
Pourquoi Velum n'a pas de compte, et ce que cela change pour vos photos
Par l'équipe llcloud 5 min de lecture
Réponse rapide
Velum n'a pas de compte parce qu'un compte supposerait un serveur capable de réinitialiser votre coffre, et tout ce qui peut réinitialiser un coffre peut l'ouvrir. À la place, la clé vient du schéma que vous dessinez, et une phrase de récupération de 9 mots que vous notez est la seconde porte d'entrée. Vos photos ne nous parviennent jamais. Le prix est réel : si vous perdez à la fois le schéma et la phrase, personne ne peut ouvrir le coffre, nous non plus.
Presque toutes les applications demandent de s'inscrire. Pour un coffre photo, nous pensons que c'est le mauvais réglage par défaut. Velum n'a ni compte, ni inscription, ni serveur qui détienne vos photos ou vos clés. C'est un choix délibéré avec un vrai coût, et cet article explique les deux côtés.
Qu'aurait impliqué un compte ?
Un compte semble anodin. Il offre une réinitialisation de mot de passe, une synchronisation entre appareils et quelqu'un à qui écrire en cas de souci. Chacune de ces fonctions repose sur la même chose : un serveur qui peut décider que c'est bien vous et vous laisser revenir.
Pour un coffre, c'est le point faible. Un serveur qui peut réinitialiser votre coffre peut être amené à le réinitialiser pour quelqu'un d'autre. Quelqu'un qui a accès à votre messagerie peut demander une réinitialisation. Une fuite du serveur expose ce qu'il stockait. Une demande légale ne peut obtenir que des données qui existent. Et si le service fermait un jour, un compte lié à lui pourrait empêcher les gens d'accéder à leurs propres photos.
Nous ne voulions rien de tout cela. Nous nous sommes donc posé une autre question : quel est le strict minimum qui doit exister pour que vous, et vous seul, puissiez ouvrir votre coffre ?
Comment Velum fonctionne-t-il sans compte ?
Deux choses, toutes deux entre vos mains.
Votre schéma est la clé. Quand vous le dessinez, Velum l'étire avec Argon2id, une méthode conçue pour que chaque essai coûte du temps et de la mémoire, et combine le résultat avec une clé conservée dans le matériel sécurisé de votre téléphone. Ensemble, ils ouvrent la clé aléatoire propre à votre coffre. Comment Velum chiffre une photo détaille chaque étape. Rien de tout cela n'a besoin d'un serveur.
Neuf mots sont le chemin du retour. Quand vous créez un coffre, Velum affiche une phrase de récupération de 9 mots. Elle ouvre le coffre si vous oubliez votre schéma, et elle restaure aussi une sauvegarde sur un nouveau téléphone. Velum n'en garde jamais de copie et ne peut pas réafficher les mots, c'est pourquoi il vous demande de les noter sur papier, dans l'ordre, et pas dans une capture d'écran, une note ou un message. Chaque coffre supplémentaire a sa propre phrase.
La phrase couvre aussi une panne plus discrète. Si un téléphone perd un jour la clé matérielle que Velum conserve, le coffre s'ouvre toujours avec la phrase de récupération, ou avec votre schéma depuis une sauvegarde.
Si vous pensez que quelqu'un a vu votre phrase, Velum peut en créer une nouvelle. Les anciens mots cessent de fonctionner une fois que vous avez vérifié les nouveaux.
Que se passe-t-il si vous perdez les deux ?
Alors personne ne peut ouvrir ce coffre. Ni vous, ni un e-mail au support, ni nous.
Nous le disons clairement dans l'application et sur ce site, car c'est la conséquence honnête de la conception. Il n'y a pas de lien de réinitialisation à envoyer, car il n'y a pas de compte à réinitialiser. Il n'y a pas de clé maîtresse de secours, car nous n'en avons jamais eu. Une sauvegarde ne change rien, puisqu'elle s'ouvre avec le même schéma ou la même phrase.
Nous avons essayé de rendre la perte des deux improbable plutôt que de prétendre qu'elle est impossible :
- Velum affiche la phrase une seule fois, au moment où vous créez le coffre, et vous demande de confirmer que vous l'avez notée.
- La saisie est indulgente. Quatre lettres de chaque mot suffisent, et un mot mal tapé ou échangé est repéré avec un message clair plutôt qu'un échec vague.
- Les mauvais schémas coûtent une attente qui s'allonge après cinq essais, donc un faux mouvement ne vous bloque pas pour de bon.
Notre conseil est simple. Notez la phrase sur papier, gardez-la loin du téléphone, et traitez-la comme un double de clé de maison.
Comment cela garde-t-il vos photos loin de nous ?
Vos photos sont chiffrées sur votre téléphone avant d'être stockées, et elles y restent. Elles ne passent jamais par un serveur à nous, parce qu'il n'y a pas de serveur à nous par où elles passeraient.
Les sauvegardes suivent la même règle. La sauvegarde gratuite va vers un dossier de votre choix, comme votre téléphone, une carte mémoire ou une clé USB. La sauvegarde Google Drive de Pro va dans un espace d'application masqué de votre propre Google Drive que seul Velum peut lire. Dans les deux cas, ce qui est copié est déjà chiffré, donc la sauvegarde contient des données qui ne signifient rien sans votre schéma ou votre phrase. Notre guide pour sauvegarder ses photos privées présente les options, et transférer ses photos privées vers un nouveau téléphone montre la restauration.
Comme nos autres applications, Velum envoie des comptages d'usage anonymes et des rapports de plantage pour que les problèmes soient repérés. Ces événements ne portent aucune photo, aucun nom de fichier et rien qui compte ou distingue les coffres. Il n'y a pas non plus de publicité. Nous avons expliqué pourquoi nos applications n'ont pas de publicité et comment le studio se finance autrement.
Pas de compte, est-ce vraiment mieux qu'un e-mail de réinitialisation ?
Pour un coffre, oui. Un e-mail de réinitialisation signifie que quelqu'un d'autre détient une porte d'entrée : l'entreprise, et toute personne qui accède à votre messagerie. Avec Velum, vous détenez les seules clés, et les neuf mots sur papier sont ce qui rend cela sûr. Les options intégrées comme Dossier sécurisé de Samsung reposent sur une réinitialisation par compte, exactement la porte que nous avons choisi de ne pas construire. Cacher des photos sur Android montre comment elles se comparent.
Si vous voulez de l'aide pour créer une phrase secrète solide pour autre chose, notre générateur de phrases secrètes fonctionne dans votre navigateur sans rien envoyer nulle part.
Sources
Questions
Pourquoi Velum n'a-t-il pas de compte ?
Parce qu'un compte a besoin d'un serveur, et qu'un serveur capable de vous laisser revenir peut aussi laisser entrer quelqu'un d'autre. La clé de Velum vient de votre schéma et ne vit que sur votre téléphone, avec une phrase de récupération de 9 mots comme seconde porte. Il n'y a pas de mot de passe à réinitialiser, pas d'e-mail à pirater et aucune copie de vos photos de notre côté.
Que se passe-t-il si je perds mon schéma et ma phrase de récupération ?
Alors personne ne peut ouvrir ce coffre, nous non plus. Il n'y a pas d'e-mail de réinitialisation ni d'astuce du support, car nous ne détenons aucune clé. Une sauvegarde n'aide pas non plus, puisqu'elle s'ouvre avec le même schéma ou la même phrase. C'est pourquoi Velum vous demande de noter les neuf mots sur papier, dans l'ordre, à la création du coffre.
Les développeurs de llcloud peuvent-ils voir mes photos ?
Non. Les photos sont chiffrées sur votre téléphone avant d'être stockées, et ne passent jamais par nos serveurs. La sauvegarde Google Drive de Pro va dans un espace d'application masqué de votre propre Drive, déjà chiffrée. Les comptages d'usage anonymes que Velum envoie ne portent aucune photo, aucun nom de fichier et rien qui diffère d'un coffre à l'autre.
Et si quelqu'un voit ma phrase de récupération ?
Créez-en une nouvelle. Velum peut générer une nouvelle phrase de 9 mots pour un coffre, et les anciens mots cessent de fonctionner une fois que vous avez vérifié les nouveaux. Chaque coffre supplémentaire a sa propre phrase, donc une phrase vue par quelqu'un n'ouvre que le coffre auquel elle appartient.
