Ce qui sort de cette page
Une promesse se vérifie. Voici ce que la page envoie, ce qu'elle n'envoie pas, et les trois façons de le contrôler vous-même.
Ce qui ne sort jamais
- Le formulaire déposé, et tout ce que vous tapez dedans.
- Les données du coffre, qui ne quittent pas votre appareil, et qui y sont chiffrées.
- Le numéro du formulaire que vous remplissez : il dirait votre démarche, donc votre situation.
Ce qui sort : le compteur
Après un enregistrement, la page envoie une requête sans corps : POST /compte?f=formulaire&p=1. Une famille (formulaire pour le catalogue, libre pour un formulaire que vous avez déposé) et un nombre. Rien d'autre, jamais le numéro du Cerfa ni son nom.
Le serveur répond 204 et n'écrit dans son journal que la date, la famille et le nombre : ni adresse IP, ni page d'origine, ni navigateur. Un navigateur qui refuse le suivi (Do Not Track, Global Privacy Control) n'envoie rien, et l'échec de l'envoi est muet.
Le paquet installé sur un réseau interne est construit sans compteur.
Le coffre, quand il existera
La clef vient de votre phrase de passe (PBKDF2-SHA-256, 600 000 tours, sel tiré au sort), le contenu est chiffré par AES-GCM 256, et l'en-tête du fichier est authentifié avec le contenu : personne ne peut abaisser la protection d'un coffre existant.
Il n'y a pas de récupération. Sans la phrase, le coffre ne se rouvre pas, et nous n'y pouvons rien : c'est la contrepartie de l'absence de serveur.
Un navigateur peut effacer le stockage d'un site qu'on ne visite plus (Safari le fait au bout de sept jours) : l'export du coffre dans un fichier chiffré est proposé, et cette limite sera écrite sur la page du coffre.
Les trois vérifications
L'onglet Réseau
F12, onglet Réseau, filtre sur tout. Déposez un formulaire, remplissez, enregistrez : la seule requête est celle du compteur, et elle n'a pas de corps.
Le mode avion
Chargez la page, coupez le réseau, continuez à travailler. Tout fonctionne.
La politique de sécurité
Dans le source de la page,
connect-src 'self': le navigateur refuse toute connexion vers un autre domaine, y compris pour une dépendance.
Ce que nous ne garantissons pas
- Une extension de navigateur installée chez vous peut lire ce que vous tapez : c'est hors de notre portée.
- Un appareil partagé garde des traces si vous enregistrez le coffre dessus ; le mode poste partagé, prévu au brief, n'écrira rien.
- Nous ne certifions pas qu'un dossier rempli ici sera accepté : cela dépend du service instructeur.