Application journal intime avec code ou chiffrée : ce que protège chacun, et ce qu'il faut vérifier

Presque toutes les applications de journal intime se disent privées. Pour certaines, cela signifie qu'il y a un code. Pour d'autres, que les données sont chiffrées sur leurs serveurs. Quelques-unes veulent dire que personne d'autre que vous ne peut lire ce que vous écrivez, pas même l'entreprise. Ce sont trois promesses très différentes, et la fiche de la boutique dit rarement laquelle vous obtenez.

Ce guide explique la différence avec des mots simples, ce que le chiffrement ne couvre généralement pas, et ce qu'il faut demander avant de confier à une application les parties de votre vie que vous n'avez jamais racontées à personne.

Niveau 1 : un code ou Face ID sur l'application

Un verrouillage d'application demande un code ou votre visage avant d'afficher quoi que ce soit. C'est utile : cela empêche un conjoint, un enfant ou un collègue qui prend votre téléphone déverrouillé de faire défiler vos entrées.

C'est tout. Les données elles-mêmes ne changent pas. Si l'application en garde une copie dans le cloud, cette copie est exactement aussi lisible qu'avant que vous ne mettiez le code. Un verrou d'application est un rideau, pas un coffre-fort.

Niveau 2 : le chiffrement « en transit » et « au repos »

La plupart des services sérieux chiffrent les données pendant leur trajet vers le serveur (le cadenas de votre navigateur, TLS) et sur les disques du serveur. Cela vous protège de quelqu'un qui écouterait sur un Wi-Fi public, et du vol d'un disque dur.

Mais c'est le service qui détient les clés. Son logiciel doit lire vos entrées pour les afficher sur un nouveau téléphone, il peut donc les lire dans d'autres situations aussi : un technicien du support aux accès trop larges, un compte administrateur piraté, une réquisition judiciaire. « Nous chiffrons vos données » est souvent vrai, et signifie quand même que l'entreprise pourrait les lire si elle le voulait ou y était obligée.

Niveau 3 : le chiffrement sur votre appareil, avec votre clé

Le modèle le plus solide chiffre vos mots sur votre téléphone, avec une clé dérivée d'un mot de passe que vous seul connaissez, avant tout envoi. Le serveur stocke un texte brouillé qu'il ne peut pas lire. Quand le système est conçu pour que les données ne soient lisibles que de votre côté, on parle de chiffrement de bout en bout : selon les termes de l'Electronic Frontier Foundation, l'information est transformée en message secret par son expéditeur et « décodée uniquement par son destinataire final ». Dans un journal intime, ces deux personnes, c'est vous.

Cette protection a un prix, et une application honnête vous le dit d'emblée : si vous oubliez le mot de passe et n'avez pas de clé de récupération, personne ne peut récupérer vos entrées. Ni le support, ni les développeurs. Les services qui font cela sérieusement le disent clairement : la FAQ sur le chiffrement de Day One indique que si la clé est perdue, le journal chiffré « ne peut pas être déchiffré », et Apple prévient que si vous activez sa protection avancée des données et perdez l'accès à votre compte, elle « ne disposera pas des clés de chiffrement pour vous aider à le récupérer ». Ce n'est pas un défaut. C'est ce que « nous ne pouvons pas le lire » veut réellement dire, et c'est pour cela que les bonnes applications vous donnent une clé de récupération ou une sauvegarde de la clé, et que vous devez la conserver.

Ce que le chiffrement laisse généralement visible

Même avec un chiffrement solide, « tout est chiffré » est rarement vrai au pied de la lettre. Renseignez-vous sur :

• Les titres et les dates. Beaucoup d'applications les laissent lisibles pour que la chronologie et la recherche fonctionnent sans votre mot de passe.
• Les photos, vidéos et notes vocales. Les fichiers volumineux sont souvent stockés autrement que le texte, et pas toujours chiffrés de la même façon.
• Les étiquettes, humeurs et lieux. Ce sont de petits champs, mais ensemble ils peuvent en dire long.
• Les métadonnées. Quand vous écrivez, à quelle fréquence, combien. Le chiffrement cache le contenu, pas le fait qu'un contenu existe. Le guide de l'EFF le dit simplement : le chiffrement de bout en bout « ne protège pas vos métadonnées ».
• Les notifications. Un rappel qui affiche le titre d'une entrée sur l'écran verrouillé le montre à quiconque jette un œil à votre téléphone. En général, vous pouvez masquer l'aperçu des notifications dans les réglages du téléphone.

Rien de tout cela ne rend une application mauvaise. Mais cela rend suspecte une promesse vague. Une application digne de confiance sait vous dire exactement quels champs sont chiffrés et lesquels ne le sont pas.

Si l'application a de l'IA

Les fonctions d'IA d'un journal fonctionnent en envoyant vos mots à un modèle de langage, qui tourne presque toujours sur les serveurs de quelqu'un d'autre. Un texte chiffré ne peut pas être analysé : ce qui part vers l'IA, c'est donc la version lisible. Ce n'est pas forcément un problème, mais vous devriez savoir :

• L'IA est-elle facultative, et quelque chose est-il envoyé avant votre accord ?
• Le modèle de quelle entreprise reçoit le texte ?
• Cette entreprise peut-elle utiliser votre texte pour entraîner ses modèles ? (Pour beaucoup d'API d'IA, cela dépend de la formule : payante ou non pour le développeur.)
• Chaque fonction d'IA peut-elle être désactivée séparément, et qu'advient-il des entrées verrouillées ?

Captif ou libre : pouvez-vous partir ?

La vie privée, c'est aussi garder la main. Un journal que vous ne pouvez pas exporter est un journal que vous ne pourrez pas emporter le jour où l'entreprise change ses prix, ajoute des fonctions dont vous ne voulez pas, ou ferme. Vérifiez si l'export est gratuit, dans quel format, et si les photos et l'audio sont inclus ou seulement le texte.

Dix questions à poser à n'importe quelle application de journal intime

1. Y a-t-il un verrouillage de l'application, et que protège-t-il ?
2. Mon texte est-il chiffré sur mon appareil avant l'envoi, ou seulement sur le serveur ?
3. Qui détient la clé ? L'entreprise peut-elle lire mes entrées ?
4. Que se passe-t-il si j'oublie mon mot de passe ? Y a-t-il une clé de récupération ?
5. Quels champs ne sont pas chiffrés : titres, dates, humeurs, photos, audio ?
6. L'application a-t-elle de l'IA ? Faut-il l'activer soi-même ? Quel fournisseur reçoit mon texte ?
7. Mes entrées servent-elles à entraîner un modèle d'IA ?
8. Que montrent les notifications sur l'écran verrouillé ?
9. Puis-je tout exporter, médias compris, gratuitement ?
10. Puis-je supprimer mon compte et mes données depuis l'application ?

Les réponses de Lifeline

Puisque nous vous demandons d'exiger cela des applications, voici nos propres réponses, y compris les moins flatteuses.

• Verrouillage. Vous pouvez verrouiller n'importe quel souvenir avec un mot de passe principal. Ses mots (le texte, vos réflexions, les questions de l'IA et vos réponses) sont chiffrés sur votre téléphone en AES-256-GCM, avec une clé dérivée de votre mot de passe, avant d'atteindre notre serveur. Nous ne pouvons pas les lire. Une fois le mot de passe principal défini, vous pouvez aussi déverrouiller avec Face ID, une empreinte digitale ou le code de votre téléphone.
• Ce qui n'est pas chiffré. Le titre, la date, les émotions (y compris le mot que vous choisissez pour le ressenti), les photos, les vidéos, les notes vocales et leurs noms, ainsi que la chanson associée à un souvenir ne sont pas chiffrés. Les souvenirs que vous ne verrouillez pas sont protégés en transit et sur les serveurs de Google, comme dans la plupart des applications, mais ils ne sont pas chiffrés avec votre clé.
• Mot de passe oublié. Quand vous définissez le mot de passe, l'application vous donne une clé de récupération. Avec elle, vous pouvez choisir un nouveau mot de passe et tout conserver. Sans elle, les souvenirs verrouillés ne peuvent être ouverts par personne, nous compris.
• IA. Facultative. Rien n'est envoyé tant que vous n'avez pas donné votre accord, une seule fois. Ensuite, chaque fonction n'envoie que ce dont elle a besoin, via notre serveur, au modèle Gemini de Google. Un seul interrupteur désactive le tout, et des interrupteurs distincts existent pour les questions, pour les motifs du mois, et pour la Boussole de vie avec « Ce qui a suivi des moments semblables » (« Boussole et moments semblables » dans les réglages). Nous utilisons Gemini selon les conditions du service payant de Google, dans lesquelles Google n'utilise pas les requêtes ni les réponses pour améliorer ses produits ; il conserve des journaux pendant une durée limitée, pour prévenir les abus et pour des raisons légales. Les fonctions en arrière-plan n'envoient jamais le texte d'un souvenir verrouillé ; les questions sur un souvenir verrouillé ne partent qu'après votre confirmation. L'application comporte un écran « Ce que voit l'IA » qui décrit ce que chaque fonction envoie.
• Notifications. Les rappels « Ce jour-là » et le widget de l'écran d'accueil affichent le titre d'un souvenir, mais jamais celui d'un souvenir verrouillé. Si même cela est trop pour votre écran verrouillé, désactivez le rappel ou masquez les aperçus dans les réglages du téléphone.
• Statistiques d'utilisation. Comme la plupart des applications, Lifeline utilise Firebase Analytics et Crashlytics de Google pour compter l'usage des fonctions et recevoir les rapports de plantage. Ils ne contiennent pas le texte de vos souvenirs. Nous utilisons aussi App Events de Meta pour savoir lesquelles de nos publicités mènent à des installations et à des achats : il reçoit des événements comme l'inscription, le début d'un essai ou l'achat de Premium, jamais rien de ce que vous écrivez. Sur iPhone, cela n'a lieu que si vous autorisez l'application à vous suivre.
• Export et suppression. L'export est gratuit : un ZIP avec chaque souvenir en texte, plus vos photos, vidéos et notes vocales. Les souvenirs verrouillés y sont inclus une fois votre mot de passe saisi et, dans le ZIP, ils ne sont plus chiffrés : gardez donc le fichier en lieu sûr. Votre compte et vos données peuvent être supprimés depuis l'application ; nos sauvegardes sont effacées sous 30 jours.

Quelle que soit l'application que vous choisissez, l'habitude qui vous protège le plus est sans éclat : un verrouillage solide sur le téléphone lui-même, et votre clé de récupération notée en lieu sûr, ailleurs que sur ce même téléphone.

Lifeline pour iPhone et iPad · Lifeline pour Android