Comment ça marche
Sécurité et détails techniques
Vue d'ensemble
CrypClip est un outil de chiffrement à connaissance nulle qui s'exécute entièrement dans votre navigateur. Lorsque vous chiffrez un message, les opérations cryptographiques ont lieu localement sur votre appareil. Votre message en clair et votre mot de passe ne quittent jamais votre ordinateur.
Le processus de chiffrement
Vous saisissez votre message
Tapez ou collez votre message dans la zone de texte. Ce message reste dans la mémoire de votre navigateur.
Vous choisissez un mot de passe
Saisissez un mot de passe robuste (8 caractères minimum). Ce mot de passe sert à dériver la clé de chiffrement.
OpenPGP.js chiffre localement
La bibliothèque OpenPGP.js crée un message chiffré selon le standard PGP, avec AES-256.
Vous partagez le résultat chiffré
Copiez le message chiffré ou utilisez le lien de partage. Seule une personne disposant du mot de passe peut le déchiffrer.
Détails techniques
Algorithme de chiffrement
AES-256 (Advanced Encryption Standard avec une clé de 256 bits). C'est le même standard que celui utilisé par les gouvernements et les institutions financières du monde entier.
Dérivation de clé
Votre mot de passe est traité par S2K itéré et salé (String-to-Key) avec SHA-256, comme le spécifie le standard OpenPGP (RFC 4880). Cela rend les attaques par force brute coûteuses en calcul.
Format du message
Les messages chiffrés utilisent le format standard PGP ASCII Armor, compatible avec les autres outils PGP comme GPG, Kleopatra et divers clients de messagerie.
Bibliothèque
OpenPGP.js v6 - Une implémentation JavaScript open source et auditée du standard OpenPGP. Le code source est public et peut être examiné.
Pourquoi CrypClip est sûr
Traitement 100 % côté client
Tout le chiffrement et le déchiffrement se fait dans votre navigateur, en JavaScript. Vos données non chiffrées n'atteignent jamais nos serveurs, parce qu'aucun serveur ne traite vos données.
Aucun stockage de données
CrypClip n'utilise ni base de données, ni cookies, ni stockage local pour enregistrer vos messages. La seule chose mémorisée est votre choix de langue. Lorsque vous fermez la page, votre message disparaît de la mémoire.
Ni statistiques ni pistage
Nous n'utilisons ni Google Analytics, ni Facebook Pixel, ni aucun autre script de pistage. Votre vie privée est absolue.
Les liens de partage utilisent le fragment d'URL
Lorsque vous générez un lien de partage, les données chiffrées sont placées après le symbole #. Votre navigateur n'envoie jamais cette partie à CrypClip, nous ne la recevons donc jamais. Notez que si vous collez ou envoyez le lien quelque part - une application de messagerie, un fournisseur d'e-mail, les boutons de partage - ce service reçoit bien les données chiffrées, mais pas votre mot de passe.
Bibliothèque open source
OpenPGP.js est open source et a été auditée par des chercheurs en sécurité. Vous pouvez examiner le code vous-même sur GitHub.
Content Security Policy
CrypClip utilise des en-têtes CSP stricts pour empêcher les attaques par script intersite (XSS) et l'exécution de code non autorisé.
Vérifiez par vous-même
Ne nous croyez pas sur parole. Voici comment vérifier que CrypClip fonctionne comme décrit :
1. Observez le trafic réseau
Ouvrez les outils de développement de votre navigateur (F12), allez dans l'onglet Réseau et chiffrez un message. Les seules requêtes que vous verrez sont de simples téléchargements des propres fichiers de script de CrypClip depuis www.crypclip.com : la bibliothèque de chiffrement et le générateur de codes QR sont chargés à la première utilisation. Rien n'est envoyé qui contienne votre message ou votre mot de passe.
2. Travaillez hors ligne
Chargez la page, laissez-lui un instant pour finir, puis coupez la connexion Internet. Le chiffrement et le déchiffrement continuent de fonctionner, parce que tout s'exécute localement.
3. Inspectez le code source
Affichez le code source de la page (Ctrl+U) ou examinez le JavaScript dans les outils de développement. Le code n'est pas obscurci et vous pouvez voir exactement ce qu'il fait.
4. Testez avec d'autres outils PGP
Chiffrez un message avec CrypClip, puis déchiffrez-le avec GPG en ligne de commande ou un autre outil PGP. Le résultat sera identique, preuve que nous utilisons un chiffrement standard.
Bonnes pratiques de sécurité
Utilisez des mots de passe robustes
Choisissez des mots de passe d'au moins 12 caractères mêlant majuscules, minuscules, chiffres et symboles.
Partagez les mots de passe en sécurité
N'envoyez jamais le mot de passe par le même canal que le message chiffré. Utilisez un autre moyen (par exemple un appel téléphonique ou une application de messagerie distincte).
Méfiez-vous de l'hameçonnage
Vérifiez toujours que vous êtes bien sur www.crypclip.com. Ajoutez le site à vos favoris pour éviter les attaques par typosquattage.
Utilisez des appareils personnels
Évitez les ordinateurs publics ou les appareils partagés pour les communications sensibles. L'historique et la mémoire de votre navigateur pourraient être consultés.
Questions fréquentes
Pouvez-vous déchiffrer mon message si j'oublie le mot de passe ?
Non. Nous n'avons accès ni à votre mot de passe ni à votre message d'origine. Si vous oubliez le mot de passe, les données chiffrées ne peuvent pas être récupérées. C'est voulu : c'est ce qui rend le chiffrement sûr.
Est-ce aussi sûr que GPG sur mon ordinateur ?
CrypClip utilise le même standard OpenPGP et le même chiffrement AES-256 que GPG. La principale différence est que les outils dans le navigateur ont une surface d'attaque légèrement plus grande (par exemple des extensions malveillantes). Pour la plupart des utilisateurs, CrypClip offre une excellente sécurité. Face à des menaces de niveau étatique, un logiciel de bureau dédié peut être préférable.
Pourquoi devrais-je faire confiance à CrypClip ?
Vous n'avez pas à nous faire confiance, c'est justement le but. La bibliothèque de chiffrement est open source et auditée. Vous pouvez vérifier nos affirmations en observant le trafic réseau, en travaillant hors ligne et en testant avec d'autres outils PGP. Nous avons conçu le système de sorte que, même si nous le voulions, nous ne pourrions pas accéder à vos données.
Qu'advient-il de mon message quand je ferme le navigateur ?
Il disparaît. CrypClip n'enregistre rien sur le disque ni sur aucun serveur. Le message n'existe que dans la mémoire de votre navigateur tant que la page est ouverte.
Les agences gouvernementales peuvent-elles déchiffrer mes messages ?
Le chiffrement AES-256 est considéré comme incassable avec la technologie actuelle. Les agences gouvernementales ne peuvent pas casser mathématiquement le chiffrement. Elles pourraient en revanche compromettre votre appareil, votre mot de passe ou l'appareil du destinataire. Le chiffrement protège les données en transit, pas contre des terminaux compromis.