Trois portes fermées par l’architecture.
Ce journal touche à ce qu’il y a de plus intime. La seule protection qui tienne est celle qu’on ne peut pas révoquer d’un changement de conditions : ce qui n’existe pas ne peut pas être exigé, vendu, piraté, ni cité en justice.
Ni nom, ni prénom, ni pseudo, ni photo, ni contact, ni date de naissance, ni lien vers un réseau. Un libellé libre que tu choisis, et rien d’autre. C’est ce qui rend l’article 9 du RGPD tenable en pratique.
Pas de recherche par personne, pas de mise en relation entre utilisateurs, aucun signal de réputation. Le doxxing et la diffamation demanderaient des fonctionnalités qu’on n’a pas construites.
Ton journal ne monte que chiffré, sous une clé que nous n’avons pas. Le service connaît l’adresse de ton compte, une empreinte tirée de ton mot de passe (jamais le mot de passe), tes sessions sans adresse IP ni navigateur, et des blocs chiffrés dont il voit le nombre, le palier de taille et le rythme des dépôts. Nos journaux d’accès gardent l’adresse IP complète de chaque requête. La liste d’attente garde ton adresse, ta langue et la date d’inscription ; un signalement de problème, ce que son formulaire annonce. Rien de ce que contient ton journal.
Comment, concrètement
Amure est une application web, sans store, sans publicité et sans rien qui te suive. Le compte ne sert qu’à te reconnaître et à garder tes données chiffrées : une adresse vérifiée et un mot de passe, jamais le contenu de ton journal.
- Chiffré de bout en bout
- Ton journal vit en ligne pour que tu le retrouves sur chaque appareil, et il n’y est jamais lisible. Tout est scellé sur ton appareil avant de partir. Personne d’autre que toi ne peut l’ouvrir - ni nous, ni notre hébergeur, ni qui nous le demanderait.
- Un mot de passe, deux branches
- Ton mot de passe passe par Argon2id sur ton appareil, puis se sépare en deux clés dont aucune ne permet de retrouver l’autre. La première part au serveur pour te reconnaître et n’ouvre rien ; la seconde ne quitte jamais ton appareil et ouvre la clé de tes données.
- Une clé de récupération
- Montrée une fois, à la création du compte, et jamais stockée : nous n’en gardons qu’une empreinte. Elle rouvre ton journal si tu oublies ton mot de passe, et tu peux en tirer une nouvelle, qui annule l’ancienne. Sans mot de passe ni clé de récupération, personne ne peut te rendre tes données : un service capable de le faire serait un service capable de les lire.
- Aucun modèle de langage
- Rien de ce que tu écris n’est envoyé à une IA, ni pour extraire des champs, ni pour reformuler. Les phrases affichées viennent de gabarits déterministes.
- Le serveur garde des blocs scellés
- Chaque donnée part en un bloc chiffré, rembourré à un palier de taille. Nous voyons combien il y en a, leur palier et le rythme des dépôts ; jamais leur type, leur contenu ni leur taille exacte.
- Une mesure d’audience anonyme, que tu peux couper
- L’application compte, avec Plausible hébergé chez nous et joint par notre propre serveur, le nom des écrans ouverts et quelques étapes du parcours. Rien d’autre : ni ce que tu écris, ni dates, ni nombre de données, ni identifiant de compte ou d’appareil, ni cookie, ni référent : notre serveur relaie l’événement sans eux. Plausible en déduit pays et type d’appareil, puis oublie ton adresse IP. Elle est active par défaut ; un geste dans les réglages la coupe, et plus rien ne part. Avant ta connexion, rien ne part non plus. Si ton navigateur demande à ne pas être suivi (Do Not Track, Global Privacy Control), elle ne part jamais.
Ce que la vitrine mesure
Ce site compte ses visites avec Plausible, un outil libre de mesure d’audience que nous hébergeons nous-mêmes. Sans cookie, sans identifiant qui te suive d’un jour à l’autre ou d’un site à l’autre, et jamais ce que tu tapes dans un formulaire : seule l’adresse de la page part. Un seul cookie, strictement fonctionnel : lang, posé seulement quand tu choisis une langue, qui ne garde que ce choix et qu’aucune mesure ne lit. L’application a sa propre mesure, plus étroite et que tu peux couper, décrite plus haut.
- Ce qui est compté
- La page vue et celle d’où tu arrives, le temps passé et la part de la page parcourue, les paramètres de campagne (utm) du lien suivi et la langue du site.
- Ce qui est reçu et déduit
- Plausible reçoit l’adresse de la page, la page précédente (référent), la largeur de l’écran, dont il tire le type d’appareil, et l’agent utilisateur, dont il tire le navigateur et le système. De l’adresse IP, qu’il ne garde pas, il tire le pays, la région et la ville. Ce sont des totaux, jamais une fiche par visiteur.
- Ce qui n’est jamais gardé
- Ni ton adresse IP, ni ton adresse e-mail, ni cookie : le seul que pose ce site, celui de la langue, est retiré par notre serveur avant le relais. Pour compter une visite une seule fois, Plausible tire de l’IP et de l’agent une empreinte salée qui change chaque jour, puis oublie l’une et l’autre.
- Où ça va
- Chez nous : les événements partent vers ce site, dont le serveur les relaie à notre propre instance de Plausible, que nous administrons. Il lui transmet ton adresse IP, dont elle tire le pays et un compte anonyme du jour, sans la garder. Rien n’est vendu ni partagé, et le script est servi par ce site, sans tiers.