Si vous devez envoyer à quelqu'un un message que lui seul pourra lire — un mot de passe, une coordonnée bancaire, une référence de document, une note privée — vous pouvez le chiffrer dans votre navigateur en une trentaine de secondes. Sans compte, sans logiciel, et sans rien envoyer à un serveur. Cette page vous guide pas à pas, puis explique contre quoi le chiffrement vous protège réellement.
Chiffrer un message, étape par étape
-
Rédigez ou collez votre message
Ouvrez l'outil de chiffrement CrypClip et tapez votre message dans la zone de texte. Il ne quitte jamais la page — le texte reste dans la mémoire de votre navigateur et n'est transmis nulle part.
-
Choisissez un mot de passe
Prenez-en un d'au moins huit caractères. C'est la décision la plus importante de la page : le chiffrement n'est pas plus solide que le mot de passe qui le protège. Un mot de passe court ou devinable peut être attaqué hors ligne par quiconque obtient le texte chiffré. Consultez notre guide sur l'envoi sécurisé pour savoir comment en choisir un.
-
Cliquez sur Chiffrer
Votre message est remplacé par un bloc PGP — une suite de lettres et de chiffres entre
-----BEGIN PGP MESSAGE-----et-----END PGP MESSAGE-----. Ce bloc est la forme chiffrée. Sans le mot de passe, il ne veut rien dire. -
Envoyez-le
Vous pouvez copier le bloc PGP lui-même, ou utiliser le lien de partage, qui range ce même texte chiffré dans une URL après le symbole
#. Un code QR apparaît aussi, lorsque le message est assez court pour y tenir. -
Envoyez le mot de passe séparément
Pas dans le même e-mail. Pas dans la même conversation. Tout l'intérêt est que quelqu'un qui intercepte le message n'en obtienne pas aussi la clé — ce qui arrive si les deux voyagent ensemble.
Comment l'autre personne le lit
Si vous avez envoyé le lien de partage, elle l'ouvre et le message est déjà chargé — il ne lui reste qu'à saisir le mot de passe. Si vous avez envoyé le bloc PGP brut, elle le colle dans le même outil et saisit le mot de passe.
Elle n'a pas besoin de compte, ni de CrypClip en particulier. Le résultat est de l'OpenPGP standard, il s'ouvre donc aussi dans GnuPG, Kleopatra ou n'importe quel autre outil PGP. Cette interopérabilité est voulue : vous ne dépendez pas de la survie de ce site.
Contre quoi cela protège réellement
Il vaut la peine d'être précis, parce que « chiffré » est employé à tort et à travers.
Cela protège contre
Quiconque lit le message en transit ou au repos sans le mot de passe. Cela inclut le fournisseur d'e-mail qui le stocke, la plateforme de messagerie qui le relaie, une personne qui lit une boîte partagée, et un attaquant qui pirate plus tard le service où il se trouvait. Pour tous ceux-là, le message est un bloc opaque.
Cela ne protège pas contre
Un appareil compromis à l'une des deux extrémités. S'il y a un enregistreur de frappe sur votre machine ou la sienne, le chiffrement ne change rien — le message est en clair avant d'être chiffré et après avoir été déchiffré. Cela n'empêche pas non plus qu'un mot de passe faible soit deviné, et cela ne cache pas le fait que vous avez envoyé quelque chose.
Le chiffrement protège les données en transit et au repos. Il ne protège pas les terminaux. Tout outil qui prétend le contraire en promet trop.
Pourquoi faire cela dans un navigateur ?
Parce que l'alternative — demander à quelqu'un d'installer GnuPG, de générer une paire de clés et d'échanger des clés publiques — est un véritable obstacle quand vous devez envoyer une chose, une fois, à une personne. La plupart des gens qui doivent partager un mot de passe en sécurité aujourd'hui ne vont pas d'abord se constituer un trousseau, et le résultat concret est que le mot de passe part en clair.
Un outil dans le navigateur est un compromis. Vous acceptez une surface d'attaque légèrement plus grande en échange de quelque chose que l'autre personne peut réellement utiliser. Que ce compromis vous convienne dépend de qui vous voulez tenir à l'écart du message — nous en parlons franchement dans CrypClip face à la ligne de commande GPG et dans l'explication technique.