FAQ
Questions fréquentes
Ce que fait Trusted Codes, comment il te protège et où sont ses limites.
Premiers pas
Tu crées d'abord ton compte — lien par e-mail, Google ou Apple, aucun mot de passe à inventer. Ensuite tu installes l'application sur ton téléphone et tu ajoutes les gens que tu connais vraiment : famille, amis, collègues. Si tu peux, configure la première connexion ensemble, en personne. À partir de là, chacun de vous a un code pour l'autre, prêt dès qu'un appel ou un message te paraît bizarre.
Pour un code partagé, oui — il naît d'un secret que les deux appareils détiennent. Pour une vérification unique, non. Un code invité, ce sont trois mots que tu crées et que tu envoies ; l'autre personne les relit, sans rien installer. Et n'importe qui peut vérifier un code sur verify.trusted.codes — sans application, sans compte.
Oui. Après l'installation, il reste exactement un geste : ouvrir l'application et lire trois mots. Rien à retenir, rien à taper, aucun menu à chercher. Assieds-toi à côté de tes parents ou grands-parents pour la configuration elle-même — c'est cette partie qui vaut la peine d'être faite à deux.
Tes trois mots de récupération te ramènent. Tu te connectes sur le nouveau téléphone comme d'habitude, puis tu saisis les mots de récupération pour déverrouiller tes données. Tes connexions reviennent à mesure que l'appareil de chaque contact se reconnecte et renvoie sa part — laisse-lui un peu de temps. Dis à tes contacts que le téléphone a disparu, pour qu'ils restent prudents jusqu'à ce que tu confirmes que tout est de nouveau sous ton contrôle.
Sécurité et confidentialité
Seulement jusqu'au changement du code — toutes les six heures sur un compte gratuit. Il faudrait en plus que cette personne soit déjà connectée à toi, ce que tu as approuvé toi-même, ou qu'elle te pousse à l'accepter comme nouveau contact : là, l'application affiche un avertissement de risque et t'impose une attente avant que tu puisses accepter. Des mots enregistrés font une attaque faible quand ils cessent de fonctionner en quelques heures.
Non. Le secret derrière tes codes est scellé sur ton appareil pour une clé que seuls tes propres appareils détiennent. Nous conservons l'enveloppe scellée et nous n'avons rien qui l'ouvre. Les codes eux-mêmes sont calculés sur ton téléphone et ne sont jamais envoyés. Quand tu vérifies le code de quelqu'un d'autre dans un navigateur, les mots que tu saisis arrivent bien chez nous pour être comparés à une empreinte stockée — mais tes propres codes restent sur ton appareil.
Celui qui emporte toute notre base obtient des enveloppes scellées sans clés, et des empreintes au lieu de codes. Tes clés privées vivent sur tes appareils et nulle part ailleurs. C'est précisément pour cela que c'est construit ainsi : une intrusion chez nous n'est pas une intrusion dans ta vérification.
Parce que nous ne faisons pas confiance au navigateur pour détenir tes clés d'identité, et nous ne livrerons pas une version de Trusted Codes plus faible que ce que le nom promet. Les extensions de navigateur, les domaines sosies et l'injection de scripts forment une classe d'attaques à distance qui n'existe tout simplement pas pour une application protégée par le système d'exploitation. Les clients qui détiennent des clés sont donc l'application mobile et l'application de bureau. Les pages web que nous exploitons — vérifier le code d'autrui, la facturation, l'administration — ne détiennent jamais de clé.
Ce sont deux problèmes différents. Celui qui entre dans ton compte ne peut toujours pas produire tes codes : les secrets sont scellés pour des clés que tes appareils détiennent, et installer un nouvel appareil exige tes mots de récupération. Celui qui tient ton téléphone déverrouillé peut lire tes codes aussi longtemps qu'il le garde — comme pour tout moyen d'accès conservé sur un appareil. Les dégâts restent locaux : les secrets sont dans le stockage sécurisé du téléphone derrière la biométrie, il n'existe nulle part de réserve centrale de codes, et seules tes propres connexions sont touchées. Si cela arrive : fais verrouiller ou effacer le téléphone, et dis à tes contacts de se méfier des codes venant de toi jusqu'à ce que tu confirmes l'avoir récupéré.
Trois mots tirés d'une liste de 2048 donnent environ 8,6 milliards de combinaisons. Avec 100 connexions, la probabilité que deux coïncident en même temps est inférieure à 0,001 %. Si cela arrive, la recherche d'un code te montre tous les résultats au lieu de deviner, et la vérification publique refuse un code ambigu plutôt que de nommer la mauvaise personne. Rien n'est cassé — tu choisis le bon nom.
Les codes suivent des fenêtres de temps fixes : les deux téléphones ont donc besoin d'à peu près la même heure, qu'ils prennent normalement sur le réseau. L'application vérifie aussi la fenêtre précédente, pour qu'un code lu juste après le changement corresponde encore. Une horloge très fausse fera diverger les codes ; laisser le téléphone régler l'heure automatiquement règle le problème.
Pas aujourd'hui. Ce qu'un grand ordinateur quantique menacerait un jour, c'est l'échange de clés qui scelle tes secrets — et les machines capables de le faire n'existent pas ; les estimations parlent d'une décennie ou plus. Nous suivons les standards post-quantiques et nous changerons avant que cela compte. Transformer un secret en trois mots ne dépend pas de ce genre de mathématiques, donc cette moitié n'est pas concernée.
Limites et réponses honnêtes
Ce que Trusted Codes ne peut pas faire compte autant que ce qu'il peut faire.
Il prouve que quelqu'un est bien la même personne que celle que tu as ajoutée avant. Il ne te dit pas si cette personne était honnête sur son identité le jour où tu l'as ajoutée. Ajoute un escroc qui se fait passer pour ta banque, et la vérification passera au prochain appel du même escroc. C'est pour cela qu'on ajoute des gens qu'on connaît, et en personne quand c'est possible.
Le système ne peut pas le détecter. Un code prouve qui parle ; il ne prouve pas que la personne parle librement. Pour tout ce qui est grave, convenez à l'avance d'un second signal avec les gens qui comptent — une phrase qui veut dire stop, ou la règle qu'aucun argent ne part avant un rappel sur un numéro que tu avais déjà.
S'il passe aussi le verrou biométrique, il peut lire le code et se faire passer pour ton ami. Un code est une vérification, pas la seule. Pour tout ce qui est coûteux ou irréversible, ajoutes-en une deuxième : rappeler sur un numéro que tu as déjà, demander une vidéo, ou utiliser une phrase convenue plus tôt entre vous.
Oui. Dès que l'application détient les secrets de tes connexions, les codes sont calculés sur le téléphone — mode avion, aucun réseau, un sous-sol, cela ne change rien. Les listes de mots sont embarquées dans l'application. Deux choses demandent une connexion : ajouter une nouvelle connexion, et la première arrivée du secret d'un nouveau contact. En attendant, ce contact-là affiche qu'il attend la synchronisation au lieu d'afficher un code.
Tarifs
Oui, et il reste gratuit. Un compte gratuit te donne 10 connexions à toi, jusqu'à 12 personnes dans chacune, et 10 codes à usage unique par mois — de quoi couvrir une famille et les gens autour. Chacun a son propre compte gratuit, il n'y a donc rien à partager ni à diviser. Nous ne mettrons pas la protection contre l'usurpation derrière un prix.
Oui, et tu peux la démarrer toi-même sans nous parler. Business commence à 30 € par mois pour 10 personnes maximum, avec 14 jours d'essai, et ajoute l'application de bureau, les connexions et codes invités illimités, les Beacons pour le personnel qui appelle des clients, les messages scellés pour les fichiers et les instructions, et un portail Business et une API. Les organisations plus grandes peuvent faire tourner tout le service sur leur propre serveur.
Il ne faut pas des millions de connexions — c'est à cela que servent les Beacons. Les connexions sont pour des gens qui se connaissent déjà. Pour les appels sortants, un membre du personnel active un Beacon pour la durée de l'appel, et le client vérifie les trois mots sur verify.trusted.codes, sans application, sans compte et sans appairage préalable. Un Beacon est une session en cours et non un badge permanent : un code ne vaut que pendant l'appel, et retirer son siège à quelqu'un arrête la vérification de son Beacon. Le coût suit donc le personnel qui appelle les clients, pas la taille du portefeuille clients. Une banque qui doit garder ses propres données peut faire tourner le service de vérification sur son serveur, fédéré avec le reste du réseau.
Prêt à protéger ce qui compte ?
Installé en deux minutes. Gratuit pour un usage personnel.