Sécurité
Dernière mise à jour : 14 octobre 2026
Tes entrées sont chiffrées sur ton appareil. Sans compte, ton journal reste sur cet appareil et rien n’en est envoyé chez nous. Avec un compte, tes entrées ne nous parviennent que chiffrées. La clé qui les ouvre est verrouillée par une phrase secrète que toi seul connais, et cette phrase secrète ne quitte jamais ton appareil. Nous stockons ce journal, mais nous ne pouvons pas le lire. Si tu perds ta phrase secrète, personne ne peut récupérer ces entrées, nous non plus.
PrivaLog n’est pas open source. Cette page est notre façon de documenter ce que fait le code. Elle décrit les apps iPhone, iPad et Mac et l’app web telles qu’elles fonctionnent aujourd’hui.
Quand tu commences un journal, l’app crée une clé du journal : un nombre aléatoire de 256 bits qui chiffre et déchiffre tes entrées. Les entrées sont chiffrées avec AES-256-GCM, une méthode de chiffrement très répandue. Elle détecte aussi les modifications : si une entrée chiffrée a été modifiée, l’app refuse de l’ouvrir au lieu d’afficher un texte altéré.
Si tu commences à écrire sans compte, il n’y a pas de phrase secrète. La clé du journal est conservée dans le trousseau de ton appareil, et le journal s’ouvre comme tu déverrouilles ton appareil : avec Face ID, Touch ID ou le code de ton appareil. C’est un verrou dans l’app, pas une seconde clé : quiconque peut déverrouiller ton appareil peut ouvrir le journal. Sur un appareil sans code, le journal ne se verrouille pas. Rien de ton journal ne nous est envoyé. La clé n’est pas liée à ce seul appareil : une sauvegarde chiffrée de ton iPhone ou de ton iPad, dans iCloud ou sur un ordinateur, contient donc ton journal et sa clé. Le niveau de protection de cette sauvegarde dépend d’Apple : une sauvegarde iCloud n’est chiffrée de bout en bout qu’avec la protection avancée des données. Nous n’en recevons jamais de copie.
Quand tu crées un compte, tu choisis une phrase secrète du journal d’au moins 8 caractères. L’app en tire une seconde clé avec Argon2id, une méthode conçue pour rendre chaque essai lent et gourmand en mémoire. Cette seconde clé verrouille ta clé du journal. Seule la clé du journal verrouillée nous est envoyée. Quand tu déverrouilles, ton appareil télécharge la clé verrouillée et fait tout le travail lui-même. Ta phrase secrète ne nous est jamais envoyée. Si tu écrivais déjà sans compte, ton journal garde la même clé : la phrase secrète la verrouille, et tes entrées rejoignent ton compte. Dès lors, la clé sur ton appareil n’est plus incluse dans les sauvegardes de l’appareil ; sur un nouvel appareil, tu utilises ta phrase secrète.
Tout ce que tu écris dans une entrée est chiffré ensemble : le titre, le texte, ton humeur, les tags, la marque de favori et les lieux, y compris leurs coordonnées. La date d’une entrée n’est pas chiffrée. Voir Ce que nos serveurs stockent.
Avec un compte, tu ouvres ton journal avec ta phrase secrète, ou avec Face ID ou Touch ID. Sur un appareil équipé de Face ID ou de Touch ID, cette option s’active dès que tu crées ta phrase secrète ou que tu fusionnes un journal avec ton compte, sauf si tu avais fait un autre choix auparavant. Tu peux la désactiver dans les Réglages. L’app enregistre alors la clé du journal, pas ta phrase secrète, dans le trousseau. Cette copie reste sur cet appareil, n’est pas incluse dans les sauvegardes et ne peut être lue qu’après la réussite de Face ID ou de Touch ID. Le code de l’appareil ne suffit pas : quelqu’un qui t’a vu le taper ne peut toujours pas ouvrir ton journal. Sur un appareil sans Face ID ni Touch ID, tu peux choisir à la place de déverrouiller avec le code de l’appareil. Le système vérifie ton visage ou ton empreinte ; PrivaLog ne les reçoit jamais. Si tu ajoutes ou retires un visage ou une empreinte, la clé enregistrée cesse de fonctionner et tu déverrouilles une fois avec ta phrase secrète.
Après le déverrouillage, la clé du journal reste dans la mémoire de l’app jusqu’à ce que le journal se verrouille. C’est le cas quand tu le verrouilles toi-même, te déconnectes ou fermes l’app, et quand PrivaLog est resté en arrière-plan pendant la durée choisie dans les Réglages : immédiatement, après 1, 5 ou 15 minutes, après une heure, ou jamais. Par défaut, c’est 1 minute sur iPhone et iPad, et 5 minutes sur Mac. Sur Mac, le journal se verrouille aussi dès que l’écran se verrouille ou se met en veille, sauf si tu as choisi « Jamais ». Quand l’app est en arrière-plan, son écran est masqué, donc le sélecteur d’apps n’affiche pas tes entrées. La déconnexion supprime la clé enregistrée du trousseau. Les copies chiffrées de tes entrées restent sur l’appareil, pour que tu ne perdes pas celles qui ne sont pas encore synchronisées.
La recherche tourne sur ton appareil, dans des entrées déjà déchiffrées en mémoire. Aucun index de recherche n’est écrit sur le disque ni envoyé chez nous.
Cette partie concerne les comptes. Un journal sans compte n’atteint jamais nos serveurs. Nous utilisons Supabase pour les comptes et le stockage. Notre projet Supabase est hébergé dans l’UE, en Irlande. Chaque compte ne peut accéder qu’à ses propres lignes ; la base de données l’impose.
En résumé : nous voyons que tu as un compte, ton adresse e-mail, les jours où tu as écrit et à quel moment. Nous ne voyons pas ce que tu as écrit.
La sync cloud nécessite un essai actif ou Pro. Sans cela, les nouvelles entrées restent sur ton appareil et ne nous sont pas envoyées. Les entrées déjà synchronisées restent stockées, chiffrées, jusqu’à ce que tu les supprimes ou supprimes ton compte. La clé du journal verrouillée et le contrôle de déverrouillage sont stockés pour chaque compte.
Quand tu supprimes ton compte, ton compte, tes entrées, ta clé verrouillée et ton statut d’abonnement sont supprimés immédiatement de notre base de données. Des copies peuvent subsister pendant une durée limitée dans les sauvegardes de nos prestataires. Les données d’achat conservées par Apple et RevenueCat ne sont pas supprimées par cette action.
Avec un compte, PrivaLog utilise deux secrets distincts. Ils ont des rôles différents.
Ton mot de passe du compte est envoyé par une connexion chiffrée pour te connecter, comme sur n’importe quel site. Ta phrase secrète du journal n’est jamais envoyée. Utilise une valeur différente pour chacun.
Le lieu que tu choisis n’est stocké que dans l’entrée chiffrée. Les apps et l’app web connectée ne contiennent aucun code d’analyse ni de publicité.
Les copies hors ligne sont chiffrées de la même façon que les copies sur nos serveurs.
L’app web chiffre dans ton navigateur, avec la même méthode et les mêmes paramètres que les apps : AES-256-GCM via le Web Crypto intégré au navigateur, et Argon2id via une bibliothèque WebAssembly.
Il y a une différence importante. Une app de l’App Store est signée et vérifiée avant de t’arriver, et reste la même jusqu’à ce que tu la mettes à jour. L’app web est envoyée par notre serveur à chaque ouverture. Si ce serveur envoyait du code modifié, ce code pourrait lire ta phrase secrète pendant que tu la tapes. Quand tu utilises la version web, tu nous fais confiance, à nous et à notre hébergeur, à chaque visite.
Certaines mesures limitent ce risque, sans le supprimer. Le site n’est servi qu’en HTTPS. Une Content Security Policy ne permet aux pages de se connecter qu’à notre propre site et aux services cités plus haut, et de charger des images que depuis notre propre site. Elle autorise les scripts inline, dont le framework du site a besoin. Nous n’utilisons pas Subresource Integrity.
Après le déverrouillage, l’app web garde ta clé du journal dans le stockage du navigateur, sous une forme que la page peut utiliser mais ni lire ni copier. L’onglet peut l’utiliser jusqu’à ce que tu verrouilles le journal, te déconnectes ou fermes l’onglet. Il n’y a pas de délai de verrouillage automatique. La déconnexion supprime toutes les clés stockées, mais laisse les copies chiffrées de tes entrées dans le navigateur.
Si tu veux le modèle le plus solide, utilise l’app iPhone, iPad ou Mac.
Il n’y a ni réinitialisation ni récupération. Nous n’avons ni ta phrase secrète ni ta clé du journal, donc nous ne pouvons pas ouvrir ton journal pour toi, et personne d’autre non plus. C’est voulu : une porte d’entrée pour nous en serait aussi une pour d’autres. Sans la phrase secrète, tes entrées ne peuvent plus être lues. Tu peux supprimer ton compte et en créer un nouveau.
{"v":1,"user_id":…,"entry_id":…,"entry_date":…,"crypto_schema_version":…}Si tu trouves un problème de sécurité, écris à privacy@nextdevstudio.com. Indique les étapes pour le reproduire, et laisse-nous un délai raisonnable pour le corriger avant de publier des détails.
14 octobre 2026. Quand nous changeons le fonctionnement du chiffrement, du stockage ou des services externes, nous mettons cette page à jour. Voir aussi la politique de confidentialité.