Pratique, mais pas imprudent

Votre coffre est un fichier KDBX 4, chiffré avec votre mot de passe maître et/ou votre fichier clé (dérivation de clé avec Argon2). Le serveur WebDAV ne voit que ce fichier chiffré. Le déchiffrement se fait exclusivement dans l’app, sur votre appareil.

• Par défaut, le mot de passe maître reste uniquement en mémoire vive et est supprimé au verrouillage. Le fichier clé n’est jamais enregistré.
• Il n’est enregistré que si vous activez la biométrie – dans le trousseau macOS (accès uniquement après Touch ID, expiration après 24 h), dans le Keystore Android (lié aux empreintes/visages actuellement enregistrés) ou dans le trousseau iOS (uniquement cet appareil, uniquement avec un code d’appareil, sans repli sur le code).
• Une nouvelle empreinte ou un nouveau visage invalide le mot de passe enregistré sur Android et iOS.

• La connexion (URL, utilisateur, mot de passe WebDAV) est stockée chiffrée dans le trousseau ou le Keystore – jamais en clair.
• La copie hors ligne sur Android et iOS est le même fichier chiffré KDBX que sur le serveur, dans le stockage privé de l’app et exclue de la sauvegarde.
• Sur iOS en plus : protection des fichiers d’iOS, masquage dans le sélecteur d’apps, claviers tiers bloqués dans l’app.

Les mots de passe et codes copiés sont effacés au bout de 15 secondes, puis une seconde fois au verrouillage. Sur Mac et iOS, seulement si le texte copié par vous s’y trouve encore exactement. Sur iOS, le presse-papiers reste en outre local (pas d’Universal Clipboard) et possède une date d’expiration imposée par le système.

• Votre serveur WebDAV : reçoit le fichier de coffre chiffré. Les redirections ne sont jamais suivies, afin que personne ne puisse substituer un autre fichier.
• Logos : pour les entrées avec URL, l’app charge l’icône du site, à défaut via le service d’icônes de DuckDuckGo (qui apprend alors le domaine). Uniquement en HTTPS vers des adresses publiques – une URL d’entrée ne peut pas amener l’app à contacter votre réseau domestique.
• DeepSeek, en option : uniquement si vous saisissez vous-même une clé d’API DeepSeek, le nom des entrées sans URL est envoyé pour trouver le logo approprié. Sans clé, rien n’est envoyé.
• Les mots de passe, identifiants, notes ou codes ne quittent jamais l’appareil sans chiffrement. Il n’y a ni compte, ni statistiques, ni publicité.

• Aucun annuaire en clair des sites ou des noms côté système : l’app ne sait quelles entrées conviennent qu’après le déverrouillage.
• Le remplissage se fait uniquement d’après l’URL ou l’app liée, jamais d’après le titre. Les entrées qui correspondent seulement au même domaine sont signalées et nécessitent une pression.
• Les adresses de sites ne sont crues que de la part de navigateurs connus (paquet et signature vérifiés). Les apps doivent prouver via le fichier assetlinks.json du domaine qu’elles en font partie – ou vous leur faites explicitement confiance, après un écran d’avertissement, uniquement pour ce paquet, ce certificat et ce domaine précis.
• La clé privée d’une clé d’accès n’est jamais affichée et ne peut pas être copiée.

Seules sont affichées les demandes signées avec la clé d’un appareil enregistré dans le coffre. Sans votre Approuver, rien ne part ; la réponse est chiffrée pour une clé à usage unique qui n’existe que pour cet échange. Rien n’est enregistré sur l’appareil demandeur. Comparez toujours le code à quatre chiffres.

• Les apps n’ont pas (encore) été auditées par un organisme externe. Le protocole d’autorisation d’appareil est une composition propre à partir de briques standard de WebCrypto.
• À partir de la version 13, Android affiche brièvement un aperçu du texte copié.
• Un gestionnaire de mots de passe ne protège pas contre un appareil déjà compromis.