La plupart des applications de notes pourraient lire vos notes.
Personne n’en a l’intention, bien sûr. Mais rien ne les en empêche.
Le texte dort dans une base de données que n’importe quel membre du support peut interroger. Entre lui et un après-midi de curiosité, il n’y a qu’une règle interne.
J’ai conçu Scratchpad pour que cette règle ne soit pas la seule barrière.
Chiffrée, pas cachée
Quand vous verrouillez une note, son texte est chiffré avec une clé tirée de votre mot de passe.
La base de données ne contient que du texte chiffré. Pareil pour chaque sauvegarde, chaque instantané et chaque copie de la base sur disque.
Soyons précis sur ce que ça couvre, parce que les textes sur la confidentialité ont tendance à en promettre un peu plus que la réalité.
Ce n’est pas du chiffrement de bout en bout.
Votre mot de passe part vers le serveur par une connexion chiffrée, et c’est le serveur qui chiffre et déchiffre. Tant que la note est ouverte, il garde la clé en mémoire, jamais sur le disque.
Ce que le verrou protège, c’est tout ce qui est stocké. Sans le mot de passe, une copie de la base, une sauvegarde ou un disque volé ne servent à rien.
Le verrou protège tout ce qui est stocké. Sans le mot de passe, une copie de la base de données ne sert à personne.
Une conséquence mérite d’être dite tout de suite.
Si vous oubliez le mot de passe d’une note verrouillée, nous ne pouvons rien faire pour vous, sauf si vous aviez configuré Face ID ou Touch ID pour ouvrir cette note.
Ce n’est pas une fonctionnalité qui manque. C’est la fonctionnalité.
Le compteur de visites n’apprend presque rien
Scratchpad compte les pages vues avec son propre outil de statistiques, installé sur son propre serveur.
Aucun service tiers, aucun cookie.
Et il reçoit bien moins d’informations qu’un script de statistiques classique. Avant que quoi que ce soit ne quitte votre navigateur, l’adresse est réécrite :
| Ce que la page connaît | Ce que le compteur reçoit |
|---|---|
| L’identifiant de la note | :id |
| Le jeton d’un lien de partage | :id |
| Les paramètres de l’URL | Rien, ils sont supprimés |
| Le titre de la page | Un titre générique |
Le compteur sait donc que quelqu’un a ouvert une note.
Il ne sait pas laquelle.
Le titre, surtout
Cette dernière ligne est plus importante qu’elle n’en a l’air.
Il aurait été facile de retirer l’identifiant et de s’arrêter là. Sur le papier, ça a tout l’air d’être confidentiel.
Mais regardez ce qui part réellement avec une page vue :
- Un lien de partage donne accès à la note. Il n’a rien à faire dans les journaux de qui que ce soit.
- Le titre d’une note est souvent ce qu’il y a de plus intime sur la page. C’est lui qui dit de quoi parle la note.
- Retirer l’un et envoyer l’autre, c’est faire la moitié du travail. Le genre de confidentialité qui a l’air impeccable sur un schéma et qui ne tient pas dans la vraie vie.
Les deux disparaissent donc. Le compteur apprend qu’une note a été ouverte, et rien de plus.
Le prix à payer
Je ne vais pas faire semblant : tout ça a un coût, et certaines choses deviennent plus compliquées.
- La recherche trouve une note verrouillée par son titre, mais pas par son contenu tant qu’elle n’est pas déverrouillée.
- Les statistiques ne nous disent pas quelles notes sont populaires. (De toute façon, ça ne nous intéresse pas.)
- Le support ne peut pas ouvrir votre note pour comprendre ce qui s’est passé.
Ce sont de vrais inconvénients.
Mais c’est tout l’intérêt. Si je pouvais jeter un œil à une note verrouillée dès que ça m’arrange, le verrou ne serait qu’une règle interne mieux présentée, et on reviendrait au point de départ.
Une confidentialité honnête, c’est celle qui me bloque aussi.
Une promesse qui ne coûte rien à tenir ne vaut pas grand-chose.
