Chiffrement Zéro connaissance
Chaque transfert hébergé est chiffré sur votre appareil avant de partir. Le mode Zéro connaissance va un cran plus loin : la clé qui déverrouille vos fichiers n’atteint jamais nos serveurs. Contrairement au mode par défaut, nous sommes donc réellement incapables de les lire.
« Zéro connaissance » est une affirmation forte, il faut donc être précis sur ce qu’elle signifie ici. Pour lire vos fichiers, une seule chose est nécessaire : la clé de chiffrement. Zéro connaissance signifie que cette clé ne nous parvient jamais : nous n’en avons aucune connaissance. Sans la clé, les données chiffrées que nous stockons ne sont que du bruit sur un disque.
Cette précision vaut dans les deux sens. Chaque transfert hébergé est chiffré sur votre appareil avec AES-256-GCM, quel que soit le mode, mais seul le mode Zéro connaissance garde la clé entièrement hors de nos serveurs. C’est donc le seul mode dans lequel nous ne pouvons réellement pas déchiffrer vos fichiers, et le seul que nous décrivons ainsi.
Les deux modes de clé, côte à côte
Les deux modes chiffrent vos fichiers sur votre appareil, avec la même robustesse. La seule différence tient au sort de la clé qui les déverrouille.
| Ce que nous comparons | Séquestre côté serveur (par défaut) | Zéro connaissance (payant) |
|---|---|---|
| Où les fichiers sont chiffrés | Sur votre appareil, avant l’envoi | Sur votre appareil, avant l’envoi |
| Ce que nous stockons | Les données chiffrées et la clé, protégée par une clé de chiffrement gérée dans le cloud | Uniquement les données chiffrées : jamais de clé |
| Où se trouve la clé | En séquestre sur nos serveurs, protégée par une clé gérée dans le cloud | Uniquement dans le fragment « # » du lien de partage |
| Transferify peut-il déchiffrer vos fichiers ? | Techniquement oui : nous pouvons déballer la clé | Non : nous ne recevons jamais la clé |
| Si vous perdez le lien | Toujours récupérable : nous détenons la clé | Perdu pour de bon : nous ne pouvons rien faire |
| Disponibilité | Tous les plans, y compris gratuit | Plans qui incluent l’option |
Où se trouve la clé, et pourquoi le « # » du lien compte
Une clé de fichier Transferify est une clé AES de 256 bits aléatoire, générée dans votre navigateur. En mode Zéro connaissance, elle parvient à votre destinataire dans le fragment du lien, la partie située après le symbole « # », par exemple transferify.eu/download/abc123#k=…
Là est toute l’astuce. Selon une règle que tous les navigateurs respectent, le fragment n’est jamais envoyé au serveur : il reste dans le navigateur et ne sert que sur la page elle-même. Quand votre destinataire ouvre le lien, la clé est donc lue localement pour déchiffrer le téléchargement, et nos serveurs voient la requête sans la partie « # ». Nous ne la recevons tout simplement jamais.
Cela signifie aussi que le lien est la clé. Toute personne à qui vous donnez le lien complet peut ouvrir les fichiers : partagez-le par un canal de confiance. Pour plus de sécurité, vous pouvez ajouter un mot de passe : la clé est alors protégée par votre mot de passe (PBKDF2, 600 000 itérations) avant d’entrer dans le lien, puis déverrouillée dans le navigateur de votre destinataire. Le mot de passe ne nous parvient pas non plus.
Comment vos fichiers sont chiffrés
Les fichiers sont chiffrés avec AES-256-GCM, un chiffrement authentifié standard utilisé sur tout le web moderne. Les gros fichiers sont découpés en blocs (8 Mio pour les transferts courants, davantage à mesure que le fichier grandit) ; chaque bloc est scellé et authentifié séparément, puis envoyé en flux directement vers le stockage, si bien que le chiffrement fonctionne même sur des fichiers bien plus gros que la mémoire de votre appareil.
Chaque bloc est lié à sa position exacte dans son transfert. Si notre stockage renvoyait un bloc altéré, réordonné ou échangé, le déchiffrement échouerait bruyamment au lieu de remettre à votre destinataire des données corrompues ou erronées. Les fichiers sont stockés dans l’UE, sur Cloudflare R2 dans un bucket limité à la juridiction de l’UE ou sur AWS S3 à Francfort, et restent chiffrés au repos.
Ce que fait le mode par défaut, et pourquoi il est honnête de le dire
Par défaut, et sur le plan gratuit, nous utilisons le séquestre côté serveur. Vos fichiers sont toujours chiffrés sur votre appareil, mais nous gardons la clé du fichier en séquestre, protégée par une clé de chiffrement gérée dans le cloud. Nous sommes donc techniquement en mesure de déchiffrer un fichier hébergé, par exemple pour le livrer ou pour répondre à une demande légale : nous ne prétendons pas y être aveugles.
L’avantage est la commodité : le lien de téléchargement est court, ne contient aucune clé, et un lien perdu reste récupérable puisque nous pouvons déballer de nouveau la clé. C’est le bon choix par défaut pour le partage courant. Ce n’est pas du zéro connaissance, et nous ne l’appelons pas ainsi.
Quand choisir Zéro connaissance
Activez le mode Zéro connaissance quand « faites-nous confiance » ne suffit pas, quand il faut pouvoir prouver que le fournisseur ne peut pas lire un fichier.
- Documents confidentiels : juridiques, financiers, médicaux, RH
- Identifiants, clés, ou tout ce que vous n’enverriez jamais en clair
- Travail soumis à une exigence stricte de confidentialité ou de conformité
- Chaque fois que vous préférez que la clé n’existe tout simplement jamais de notre côté
La contrepartie : nous ne pouvons pas vous aider à retrouver un lien perdu, car nous ne détenons rien à partir de quoi le récupérer. Gardez le lien en lieu sûr (et pensez à un mot de passe), et vos fichiers restent privés, même pour nous.
Vous ne savez pas lequel choisir ? Chaque transfert est chiffré dans les deux cas : commencez par le mode par défaut, et activez Zéro connaissance pour ceux qui comptent vraiment.