Confidex
Vos mots de passe n'appartiennent qu'à vous.
Confidex garde vos mots de passe, codes, notes et fichiers dans un coffre que vous seul pouvez ouvrir. Le service qui le synchronise n'apprend jamais votre nom, votre e-mail ni votre mot de passe, et il ne peut pas lire une seule entrée.
- Sans inscription
Il n'y a aucun compte de notre côté à voler, hameçonner ou réinitialiser.
- Scellé sur votre appareil
Chiffré et signé avant que quoi que ce soit ne parte, si cela part un jour. La synchronisation est facultative.
- Gratuit et open source
Des applications GPL-3.0 et un serveur de synchronisation AGPL-3.0 que vous pouvez faire tourner vous-même.
Tout ce dont un identifiant a vraiment besoin, au même endroit.
Une fiche n'est pas un formulaire figé. Mettez un mot de passe à côté de son code à usage unique, de la note de récupération, de la carte avec laquelle vous payez et du fichier que l'on vous a envoyé par e-mail. Tout reste ensemble, et tout est chiffré ensemble.
- Identifiants et mots de passeAvec un générateur qui garde ses réglages sur votre appareil.
- Codes à usage uniqueCodes pour la connexion en deux étapes, générés sur votre appareil.
- Cartes bancairesNuméro, date d'expiration et code comme des champs chiffrés ordinaires.
- Notes et documentsEn clair, ou protégés pour rester cachés jusqu'à ce que vous le demandiez.
- Photos et fichiersScans, PDF et images, redimensionnés sur votre appareil avant d'être scellés.
- Réseaux Wi-FiUn code QR que vos invités peuvent scanner, construit à partir du mot de passe enregistré.
- Clés API et jetonsCachés jusqu'à ce que vous les révéliez, copiés en une action.
- Clés SSHAvec un agent natif qui vous demande avant chaque utilisation.
- Vos propres champsTout ce dont vous avez besoin d'autre. Rien n'est perdu quand vous modifiez.
- Historique completChaque modification est conservée. Ouvrez n'importe quelle version antérieure d'une fiche.
Emménager ne demande qu'un import.
Confidex importe depuis 1Password, Bitwarden, KeePass et CSV, et exporte vers eux en retour. Essayez-le avec vos vraies données, et repartez avec tout si vous changez d'avis.
- 1Password
- Bitwarden
- KeePass
- CSV
Bureau
De vraies applications natives pour Mac, Linux et Windows, écrites en Rust avec une interface accélérée par le GPU. Pas d'Electron, pas de Flutter, pas de vue web.
- macOS
- Linux
- Windows
Navigateur
Ouvrez app.confidex.me et commencez tout de suite. Après la première visite, cela fonctionne aussi hors ligne, et cela s'installe sur l'écran d'accueil d'un téléphone.
Ouvrir app.confidex.meHors ligne d'abord
Chaque appareil garde le coffre entier. Synchronisez quand vous voulez, par notre serveur ou le vôtre, ou jamais : gardez le coffre sur un seul appareil et sauvegardez-le dans un fichier. Si deux appareils sont en désaccord, vous voyez les deux versions et vous choisissez.
Deux clés ouvrent votre coffre. Personne d'autre que vous ne détient les deux.
Votre mot de passe et votre clé secrète ouvrent un petit verrou contenant les clés privées du coffre. Les fiches sont chiffrées séparément et chaque révision est signée. Le serveur de synchronisation vérifie les signatures sans recevoir aucun des deux secrets de déverrouillage ni exiger de compte.
-
Votre mot de passe
Vous vous en souvenez. Il n'est jamais stocké nulle part et jamais envoyé.
-
Votre clé secrète
Votre appareil la conserve. Sur un nouvel appareil, vous la saisissez une fois sous forme de code de transfert : 77 lettres et chiffres par groupes de sept.
-
Le verrou
Contient les clés du coffre et ne s'ouvre qu'avec les deux. Argon2id rend chaque essai de mot de passe lent à dessein : 64 MiB de mémoire et trois passes par tentative.
Une clé seule ne change rien. Une copie de tout ce qui se trouve sur le serveur ne peut même pas servir à deviner votre mot de passe, parce que le serveur ne détient jamais la clé secrète.
Vos appareils restent au pas grâce à un serveur qui ne peut pas regarder à l'intérieur.
Chaque modification quitte votre appareil scellée et signée. Le serveur fait passer des boîtes scellées entre vos appareils et vérifie la signature pour que personne d'autre ne puisse modifier votre coffre. Il ne peut ouvrir aucune boîte, et il fonctionne en HTTP simple aussi sûrement qu'en HTTPS.
Le serveur stocke et transmet. Seule une signature de votre propre clé laisse entrer une modification.
Verrouillez-le, et il disparaît de la mémoire.
Pendant que le coffre est ouvert, les clés et les fiches que vous consultez vivent en mémoire. Quand vous le verrouillez, Confidex les abandonne à cet instant. Rust libère la mémoire de façon déterministe, sans ramasse-miettes qui pourrait garder des secrets un peu plus longtemps. Les copies faites par le presse-papiers ou le système d'exploitation sont hors de cette garantie.
Aucun ramasse-miettes ne décide quand vos secrets quittent la mémoire. Le verrouillage le fait.
Que se passe-t-il si notre serveur est piraté ?
Activez ce que l'attaquant a réussi à obtenir.
Activez ce que l'attaquant détient. La réponse suit le modèle de menace de la documentation du projet.
- Oui. Les deux clés ensemble ouvrent le coffre.C'est le seul véritable moyen d'entrer. C'est aussi ainsi que vous ouvrez votre coffre sur un nouvel appareil, c'est pourquoi le mot de passe et le code de transfert ne doivent jamais être conservés ensemble.
- Oui. Les deux clés ensemble ouvrent le coffre.Ils peuvent récupérer les données scellées avec l'adresse publique et les ouvrir. Séparez le mot de passe et le code de transfert.
- Non, tant que votre mot de passe est fort.La clé secrète leur permet de récupérer le verrou et de tester des mots de passe hors ligne. Chaque tentative coûte 64 Mio de mémoire et trois passes d'Argon2id. Une longue phrase secrète reste hors de portée ; une courte non.
- Non. La clé secrète n'a jamais atteint le serveur.Un mot de passe connu ne peut même pas être testé sur la copie. Dériver la clé du verrou nécessite la clé secrète qui reste sur vos appareils.
- Non. Ils n'ont rien sur quoi l'utiliser.Sans la clé secrète, ils ne peuvent pas dériver la clé du verrou, et sans l'adresse du coffre, ils ne peuvent même pas récupérer les données scellées.
- Non. Il n'y a rien à deviner.Le serveur ne contient aucun mot de passe, aucun hachage de mot de passe et aucune clé secrète. Sans la clé secrète, aucune tentative ne peut être testée sur la copie.
Utilisez notre serveur de synchronisation, ou faites tourner le même vous-même.
Le serveur est petit parce qu'il n'a rien à protéger. Il stocke des boîtes scellées, tient un compteur par coffre et vérifie une signature avant d'accepter une modification. Faites-le tourner comme image Docker sur n'importe quelle machine, ou comme Cloudflare Worker sur l'offre gratuite, sans serveur à vous et sans rien à payer. Les nouveaux coffres utilisent sync.confidex.me ; dirigez-les vers votre copie avec un seul réglage.
- Fonctionne comme
- Une image Docker, un binaire natif ou un Cloudflare Worker sur l'offre gratuite.
- Index
- SQLite ou PostgreSQL en natif, D1 dans le Worker.
- Objets
- N'importe quel mélange de buckets compatibles S3, de simples répertoires et de dépôts Git. Les écritures vont vers tous ; les lectures se rabattent et vérifient les empreintes.
- Transport
- HTTP ou HTTPS, à votre choix. Les boîtes sont scellées et signées dans les deux cas.
- Comptes
- Aucun. Un coffre s'enregistre en téléversant son verrou signé. Seul le détenteur de la clé de signature peut le modifier ensuite.
- Pas du tout
- La synchronisation est facultative. Un coffre peut rester sur un seul appareil, sauvegardé dans un fichier ZIP local, et ne jamais toucher un réseau.
- Licence
- AGPL-3.0. Les modifications que vous faites tourner pour d'autres restent ouvertes.
Ce que Confidex ne protège pas.
La cryptographie défend les données au repos et en transit. Elle ne peut pas défendre un appareil déverrouillé, et elle ne peut pas tout cacher. Voici les limites que nous connaissons, énoncées clairement.
Un appareil déverrouillé et infecté
Pendant que le coffre est ouvert, les clés et les fiches que vous consultez sont en mémoire. Un logiciel malveillant qui s'exécute sur cet appareil peut les lire. Verrouillez quand vous vous éloignez.
Des formes, pas des contenus
Le serveur voit les identifiants de coffre et de fiche, quelle révision suit laquelle, les horodatages et les tailles des valeurs scellées. Les contenus, les noms, les types et les tags restent cachés ; les formes non.
Un mot de passe faible avec une clé secrète divulguée
Quelqu'un qui détient votre code de transfert peut essayer des mots de passe hors ligne. Argon2id fait coûter à chaque essai 64 MiB et trois passes, une longue phrase de passe tient donc. Une courte ne tient pas.
L'index de recherche local
Les titres, les adresses web, les tags et les notes non protégées sont indexés en clair sur votre appareil pour la recherche. L'index ne quitte jamais l'appareil, mais quiconque lit votre disque apprend ces libellés.
Pas de confidentialité persistante
Si le matériel privé du coffre est un jour exposé, les fiches scellées sous lui peuvent être lues. Changer le mot de passe ré-enveloppe le verrou ; cela ne rescelle pas les anciennes révisions.
Copies hors de l'application
L'effacement de la mémoire au verrouillage couvre ce que Confidex possède. Le presse-papiers, le navigateur et le système d'exploitation peuvent garder leurs propres copies.
La construction, pour ceux qui vérifient.
Des implémentations en Rust pur, sans liaison C. Chaque construction a des vecteurs de test fixes, et le format de stockage, le verrou, le chiffrement des fiches, les signatures et le protocole de synchronisation sont chacun spécifiés jusqu'au byte.
La page de cryptographie suit un coffre depuis son premier byte aléatoire jusqu'à une révision synchronisée, étape par étape : comment le matériel devient deux paires de clés, comment le verrou est scellé et ouvert, comment une révision est chiffrée, signée et nommée, et ce que le serveur vérifie.
- Créer un coffre32 bytes aléatoires, clé secrète X25519, paire de signature Ed25519, adresse UUIDv5, code de transfert de 77 symboles.
- Le verrouArgon2id 64 MiB, HKDF-SHA256 avec la clé secrète, XChaCha20-Poly1305 sur 33 bytes, 344 bytes en tout.
- Fiches et révisionsMessagePack, zlib une fois, HPKE mode base, Ed25519 sur les bytes exacts, identifiants de révision SHA-256.
- Le serveur de synchronisationSignature détachée du verrou, clé épinglée, bytes exacts, comparaison et avancement du curseur.
- Ce qui reste visibleIdentifiants, parents, epoch, tailles et horaires. Rien de lisible.