Sécurité

Comment les applications sont protégées, et comment signaler une faille.

Signaler une vulnérabilité

Si vous découvrez une faille, merci de ne pas la divulguer publiquement avant qu'une correction ait pu être étudiée.

Indiquez si possible l'application et sa version, la version d'Android, le modèle du téléphone, la description, les étapes pour reproduire et l'impact estimé. N'envoyez jamais de données personnelles réelles (mots de passe, messages, fichiers privés).

Le projet est maintenu bénévolement par une seule personne. L'éditeur s'efforce d'accuser réception sous 72 heures et de publier un correctif dans un délai raisonnable, sans délai garanti. Vous pouvez être crédité dans les notes de version si vous le souhaitez.

Une recherche de bonne foi, limitée à vos propres appareils et données, et sans atteinte à des tiers, ne fera l'objet d'aucune poursuite de la part de l'éditeur.

Versions prises en charge

Seule la dernière version publiée de chaque application reçoit des correctifs de sécurité.

Mesures techniques communes aux sept applications

  • APK signés ; les clés de signature ne sont conservées dans aucun dépôt de code.
  • Versions de production optimisées par R8, non débogables ; sauvegarde automatique d'Android désactivée.
  • Aucune télémétrie, aucun SDK publicitaire ou de mesure d'audience, aucun serveur Files Tech.
  • Aucune application n'accepte de trafic réseau en clair ; trois d'entre elles n'ont même pas la permission Internet.
  • Les applications qui gardent des données sensibles les chiffrent sur le téléphone, avec une clé tirée de votre secret ou gardée par l'Android Keystore.
  • Empreinte SHA-256 de chaque APK publiée dans les notes de version GitHub.

Le détail propre à chaque application (algorithmes, modèle de menace, limites connues) est dans le fichier SECURITY.md de son dépôt.

Vérifier un APK

Avant de l'installer, comparez l'empreinte SHA-256 du fichier à celle publiée dans les notes de version GitHub (voir la page de téléchargement) :

sha256sum nom-du-fichier.apk

Audits

Les applications font l'objet d'audits menés par l'éditeur, avant les publications : relectures de code, outils d'analyse automatique, relectures assistées par intelligence artificielle, et vérifications sur appareil. Ce ne sont pas des audits réalisés par un organisme indépendant, ni une certification. Les constats et leurs correctifs sont documentés dans les dépôts.