Murmur est une application de messagerie pour discuter en privé avec vos amis, votre famille et vos groupes. Vos messages, vos photos et vos fichiers sont chiffrés de bout en bout, donc Murmur ne peut pas les lire. Vous vous inscrivez avec un nom d’utilisateur et un mot de passe, sans numéro de téléphone ni courriel.
Chiffré de bout en bout veut dire que vos messages sont verrouillés sur votre appareil et que seuls les appareils de la conversation peuvent les déverrouiller. Nos serveurs les transmettent sans avoir de clé pour les ouvrir. C’est ce que nous appelons « scellé », et chaque discussion et chaque groupe est scellé, sur téléphone comme sur ordinateur, sans rien à activer.
Murmur fonctionne comme les applications de messagerie que vous connaissez, avec les discussions à deux, les groupes jusqu’à 1 000 membres, photos et documents, messages vocaux, réponses, réactions, sondages, listes de tâches, messages épinglés, messages programmés et messages éphémères. Vous voyez quand vos proches sont en ligne, le Coffre garde vos propres notes et les messages que vous enregistrez, et des fonds et des couleurs de bulles rendent vos discussions bien à vous. Il est offert sur iPhone, Android, Windows et Mac, avec jusqu’à 5 appareils par compte. Un compte peut même exister seulement sur un ordinateur.
Murmur est fait pour l’écrit, avec des messages vocaux pour quand taper ne fait pas l’affaire. Il n’y a pas d’appels vocaux ou vidéo, ni de fichiers audio ou vidéo, donc le seul son que vous pouvez envoyer est un message vocal.
Murmur protège ce que vous dites, et à qui vous le dites. Nos serveurs ne savent pas qui a envoyé un message, ni qui fait partie d’une discussion ou d’un groupe. Pour livrer les messages, ils voient quand même quelques détails, comme l’heure d’arrivée d’un message scellé. La liste complète se trouve dans « Ce que voit Murmur ».
Murmur s’adresse à toute personne qui veut discuter en privé sans donner son numéro de téléphone. Il est pensé surtout pour les groupes et les communautés qui vivent à l’écrit, et pour les personnes qui en font partie.
Cela comprend les familles et les amis, les clubs et les associations, les communautés du code ouvert et de la techno, et les équipes de modération des grandes communautés. Les admins disposent d’outils de modération qui ne lisent jamais vos messages.
À l’abri, même de nous.
Nos serveurs ne savent pas qui envoie un message, ni qui fait partie de vos discussions et de vos groupes. Ce qu’ils voient quand même est décrit dans « Ce que voit Murmur ».
Vous animez une communauté qui vit à l’écrit ? Écrivez-nous à community@murmur.free, ça nous fera plaisir de vous lire.
La messagerie est gratuite. La sécurité, la confidentialité, la taille des groupes et la modération de base ne coûtent jamais rien de plus. Les personnes et les communautés qui en veulent plus peuvent s’offrir des options payantes, ou simplement nous soutenir.
Les options payantes ajoutent quelques touches esthétiques, et une communauté peut choisir un forfait qui lui donne plus d’espace pour ses fichiers.
Les réglages d’accessibilité ne coûtent jamais rien non plus, qu’il s’agisse de la taille du texte, du contraste élevé, d’une police facile à lire ou des animations réduites.
Si vous achetez une option payante, notre serveur voit un indicateur « soutien » sur votre compte, sans votre identité de paiement. Un groupe qui a un forfait communauté reçoit un indicateur du même genre. Les deux figurent dans le tableau complet (rangées 18 et 19).
Murmur est fait par Murmur Labs LLC, l’entreprise qui exploite aussi ses serveurs. Murmur est en français et en anglais. Choisissez votre langue dans Réglages › Langue. Chaque appareil garde son propre choix. Écrivez-nous aux adresses ci-dessous.
Un murmure s’adresse aux personnes à côté de vous, pas à toute la salle. C’est l’idée derrière le nom, un endroit tranquille pour les conversations qui comptent. Murmur est fait pour l’écrit, et il reste calme, sans pub, sans bruit et sans alerte, sauf si quelque chose ne va vraiment pas.
Chaque message est scellé sur votre appareil, et seuls les appareils de la conversation peuvent l’ouvrir. Nos serveurs transportent des enveloppes scellées dont ils n’ont pas la clé. Voilà pourquoi Murmur ne peut pas lire vos messages.
Imaginez notre serveur comme un facteur qui dépose des enveloppes scellées dans des boîtes aux lettres numérotées. Il ne sait pas qui les a envoyées ni à qui appartiennent les boîtes, et il n’a jamais la clé.
Les messages, les messages vocaux, les photos, les fichiers, les réactions, les votes aux sondages, les listes de tâches, les noms et les photos des groupes, les profils, et le moment où vous êtes en ligne sont tous scellés. Le Coffre, votre propre discussion, est scellé pour vos seuls appareils.
Chacun de vos appareils a ses propres clés. Votre téléphone et votre ordinateur sont deux membres distincts de chacune de vos conversations.
Quand quelqu’un se joint à une conversation ou la quitte, les clés changent. Un appareil retiré ne peut pas lire la suite.
Il n’y a rien à activer. Chaque discussion et chaque groupe est chiffré de bout en bout, sur chaque appareil. Rien ne passe jamais en clair.
Ce qui reste à l’extérieur : la boîte aux lettres de destination, l’heure d’arrivée et une taille arrondie. Le nom de la personne qui envoie voyage à l’intérieur, scellé, et nos serveurs ne peuvent ni relier une boîte aux lettres à un compte ni savoir qui fait partie d’un groupe. Voir « En un coup d’œil ».
Ce que vous pouvez faire : comparer votre code de sécurité avec les personnes à qui vous écrivez le plus. Cela confirme que c’est vraiment à elles que vous écrivez, et une fois le code marqué des deux côtés, le cadenas en haut de votre discussion passe au vert.
Essayez de sceller un message ici
Ce que vous tapez reste sur cette page.
MT
Téléphone de Maude
Vous écrivez à Karim
Votre message
Samedi, on part du parc à 9 h 30. Apporte une chambre à air !
Essai avec une clé inventée. La vérification a échoué, et rien n’en est sorti.
Sans clé, le serveur ne peut pas l’ouvrir.
Le vrai serveur ignore qui l’a envoyé et à qui est la boîte. Rangée 6
KB
Portable de Karim
L’un de ses 2 appareils
En attente d’un message scellé
Message scellé de Maude
Samedi, on part du parc à 9 h 30. Apporte une chambre à air !9 h 30
Ouvert avec la clé de cet appareil.
Ce message a été modifié en route, donc le portable de Karim a refusé de l’ouvrir.
Activez JavaScript pour sceller votre propre message. Rien ne quitterait cette page.
Votre navigateur ne peut pas faire la démonstration ici, donc voici un exemple enregistré.
Scellez d’abord un message
Ce qui vient de se passer
Vous venez de sceller un message dans votre navigateur. Le panneau du milieu montre tout ce qu’un serveur recevrait, c’est-à-dire une boîte aux lettres, une heure et une taille arrondie, mais pas qui l’a envoyé. Seul l’appareil qui a la clé pouvait l’ouvrir.
Ceci est une démonstration, pas le protocole de Murmur. Les vraies applications utilisent MLS, où chaque appareil a ses propres clés, et le groupe reçoit de nouvelles clés chaque fois que quelqu’un s’y joint ou le quitte.
Notes techniques
Algorithme
AES-256-GCM, avec l’API Web Crypto de votre navigateur
Clé
une clé aléatoire de 256 bits par visite, non extractible, partagée par les deux appareils de la démo
Nonce
96 bits, tiré au hasard pour chaque message
Remplissage
un octet 0x80, puis des zéros, jusqu’au prochain multiple de 256 octets
Contrôle d’intégrité
une étiquette d’authentification de 128 bits, qui ajoute 16 octets à ce qui est envoyé, donc un seul bit changé fait échouer l’ouverture
Réseau
aucun. Le « serveur » est une fonction de cette page.
Murmur utilise MLS, une norme ouverte de l’IETF pour chiffrer les conversations de groupe, dans chaque discussion, y compris les discussions à deux. Nous n’inventons pas notre propre cryptographie.
Une discussion à deux est un groupe formé de deux comptes et de tous leurs appareils. Chaque appareil est un membre à part entière, avec ses propres clés.
Notre serveur est un service de livraison. Les modifications du groupe, comme l’ajout ou le retrait d’une personne, sont scellées pour ses membres comme tout le reste. Le serveur les met en ordre et les transmet sans voir qui est ajouté ou retiré, et l’application de chaque membre les vérifie selon les règles du groupe. Vos messages, eux, sont toujours chiffrés, et le serveur n’a aucune clé qui pourrait les ouvrir.
Les messages sont signés par l’appareil qui les a envoyés. C’est ce qui permet à l’équipe de modération de se fier à un signalement, et cela veut aussi dire que vous ne pouvez pas nier avoir écrit un message.
Si l’un de vos appareils était un jour compromis, la conversation se rétablit à la prochaine mise à jour des clés de cet appareil. Dans les discussions à deux, c’est au plus tard après 24 heures d’activité ou 50 messages ; dans les groupes, selon leur taille, jusqu’à 30 jours dans les plus grands.
Notes techniques
Protocole
MLS (RFC 9420), avec OpenMLS, pour chaque conversation
Membres
un par appareil ; une discussion à deux est un groupe formé de deux comptes et de tous leurs appareils
Changements de clés
chaque arrivée, chaque départ et chaque mise à jour des clés ouvre une nouvelle époque, avec de nouvelles clés
Signatures
Ed25519 ; les messages sont signés, ils ne peuvent donc pas être niés
Suites cryptographiques
une liste autorisée, fixée dans chaque version, pour qu’un groupe ne puisse jamais passer à une suite plus faible
Cryptographie
uniquement des bibliothèques standard et éprouvées ; aucune primitive maison
Remplissage
par paliers de 256 octets jusqu’à 4 Kio, puis Padmé
Pièces jointes
une clé aléatoire de 256 bits par fichier ; ChaCha20-Poly1305 par blocs de 64 Kio ; gardées sur nos serveurs pendant 30 jours
Transport
TLS 1.3 seulement, avec une autorité de certification épinglée ; aucun tiers n’assure la terminaison TLS de nos connexions
Rôle du serveur
met chaque modification du groupe en ordre sans voir qui elle ajoute ou retire ; chaque application la vérifie selon les règles du groupe, et la liste des membres vient de l’arbre du groupe lui-même, jamais de ce qu’affirme un client
Pour vous assurer que vos messages n’arrivent qu’aux appareils de votre contact, comparez votre code de sécurité une fois, en personne ou par un moyen auquel vous vous fiez déjà. Une fois le code marqué comme vérifié des deux côtés, le cadenas en haut de votre discussion passe au vert.
Où : touchez le cadenas en haut à droite d’une discussion. Tant qu’il est gris, il offre « Vérifier le code de sécurité », ou « Voir le code de sécurité » une fois que vous l’avez marqué et que vous attendez votre contact. L’écran Code de sécurité montre votre contact et vous côte à côte, avec pour chaque personne « Vérifié » ou « Pas encore », puis un code QR et les 60 chiffres. C’est le seul endroit où le code apparaît.
Comment : balayez en personne le code QR de votre contact. S’il correspond, le code est marqué comme vérifié de votre côté. Ou lisez-vous les 60 chiffres pendant un appel ou par texto, pas dans Murmur, puis touchez « Marquer comme vérifié ». Votre contact fait de même sur son téléphone.
À deux : le cadenas passe au vert seulement une fois le code marqué des deux côtés. Si votre contact l’a marqué en premier, le cadenas vous dit « À votre tour ». Marquer le code envoie un mot scellé à votre contact, donc pour nos serveurs, c’est une enveloppe de plus, comme n’importe quel message. « Retirer la vérification » revient sur ce choix.
Ce qui change le code : ajouter un appareil ne le change pas. Configurer Murmur de nouveau sans vos autres appareils ni votre clé de récupération le change, tout comme réinitialiser votre identité de sécurité. Murmur prévient alors les personnes avec qui vous discutez, et un cadenas vert redevient gris jusqu’à ce que le nouveau code soit marqué des deux côtés.
Plus sûr dès le départ : les liens de contact et les codes QR contiennent une empreinte que l’application vérifie. Trouver quelqu’un par son nom d’utilisateur, c’est se fier à la réponse de notre serveur, jusqu’à ce que vous compariez vos codes.
Ce que vous verrez dans une discussion
Karim a marqué le code de sécurité comme vérifié. À votre tour. Touchez pour comparer.
Karim a marqué le code en premier. Toucher la ligne ouvre l’écran Code de sécurité.
Vous avez marqué le code de sécurité comme vérifié.
Vous l’avez marqué en premier. Le cadenas reste gris jusqu’à ce que Karim le marque aussi.
Karim et vous avez marqué le code de sécurité comme vérifié. Le cadenas est passé au vert.
Une fois le code marqué des deux côtés.
Karim a annulé la vérification du code de sécurité.
Karim est revenu sur son choix. Le cadenas passe au gris jusqu’à ce que Karim marque le code de nouveau.
Le code de sécurité de Karim a changé. C’est normal après une réinstallation ou un nouveau téléphone. Touchez pour vérifier.
Pour un contact que vous n’aviez pas vérifié. Une ligne discrète, qui ne vous bloque jamais.
Le code de sécurité de Karim a changé et n’est plus vérifié. Touchez pour vérifier.
Pour un contact que vous aviez vérifié. Le cadenas passe au gris jusqu’à ce que le nouveau code soit marqué des deux côtés.
Un exemple, dessiné comme l’écran Code de sécurité le montre. Votre vrai code vient des clés d’identité des deux comptes.
Notes techniques
Code de sécurité
60 chiffres en 12 groupes de 5, dérivés des clés d’identité des deux comptes (Ed25519) ; lié au compte, pas à l’appareil
Code QR
contient les 60 chiffres et les deux noms d’utilisateur ; balayer en personne un code qui correspond le marque comme vérifié de votre côté
Marquer le code comme vérifié
un mot chiffré de bout en bout envoyé à l’autre personne, lié aux deux clés d’identité ; le cadenas passe au vert seulement quand chaque côté détient le mot de l’autre pour les clés actuelles
Liens de contact
l’empreinte d’identité voyage après le #, elle n’atteint donc jamais un serveur web
Recherche par nom d’utilisateur
confiance à la première utilisation (TOFU), jusqu’à ce que vous compariez vos codes de sécurité
Avis
un changement signé par l’ancienne identité affiche une ligne discrète, et un avertissement à un contact qui vous avait vérifié ; un changement sans cette signature affiche un avertissement clair à chaque contact établi
Un compte Murmur, c’est un nom d’utilisateur et un mot de passe. Pas de numéro de téléphone, pas de courriel, pas de vrai nom. Ce que nous ne détenons pas ne peut ni fuir ni être remis à qui que ce soit.
Sans numéro de téléphone, votre compte n’est lié ni à votre carte SIM, ni à votre fournisseur de téléphonie, ni à votre vrai nom. Les gens vous joignent par votre nom d’utilisateur exact, ou grâce à un lien ou à un code QR que vous choisissez de partager.
Vous choisissez un nom de 5 à 20 lettres minuscules, chiffres ou _, qui commence par une lettre, et Murmur y ajoute un point et deux chiffres, comme alibaba.46. Jusqu’à 99 personnes peuvent avoir le même nom, chacune avec son numéro, et vous vous connectez avec le nom d’utilisateur au complet. Il ne peut pas être changé par la suite, donc choisissez-en un que vous garderez. Votre nom affiché est distinct. Il compte de 1 à 25 caractères, et vous pouvez le changer quand vous voulez.
Murmur s’adresse aux personnes de 16 ans et plus. En créant un compte, vous confirmez que c’est votre cas ; notre serveur garde seulement la version des conditions que vous avez acceptée.
L’inscription demande un nom d’utilisateur et un mot de passe, rien d’autre. Les gens voient votre @nom d’utilisateur jusqu’à ce que vous ajoutiez un nom dans Réglages, si jamais vous le faites.
Murmur protège ce que vous dites, mais nos serveurs voient quand même quelques détails pour livrer les messages. Voir « En un coup d’œil ».
Notes techniques
Compte
un identifiant aléatoire de 128 bits et un nom d’utilisateur unique, fait du nom, d’un point et de deux chiffres de 01 à 99
Noms d’utilisateur chez nous
conservés sous forme d’empreintes à clé (HMAC) ; vus en clair seulement un instant, à la connexion et lors d’une recherche
Le numéro
tiré au hasard par notre serveur parmi les numéros qu’aucun compte n’a pour ce nom, et gardé 10 minutes (30 au plus) pour la première inscription à laquelle il est montré ; s’il a d’abord été montré à quelqu’un d’autre, l’application offre un autre numéro avant que le compte soit créé ; les comptes créés avant les numéros en ont reçu un automatiquement et le gardent ; le nom d’utilisateur d’un compte supprimé attend 90 jours avant que quelqu’un puisse l’avoir
Noms semblables
les noms trop proches de noms réservés ou bannis sont refusés ; il n’y a pas de marché de noms d’utilisateur
Connexion
OPAQUE (RFC 9807), donc le mot de passe ne quitte jamais votre appareil
Toute personne qui tape votre nom d’utilisateur exact, chiffres compris, peut vous trouver et vous envoyer une demande. C’est activé par défaut, et vous pouvez le désactiver dans Réglages › Confidentialité › Par nom d’utilisateur. Vous pouvez aussi partager un lien ou un code QR, comme une carte d’affaires. La demande d’une personne que vous n’avez pas ajoutée attend dans Demandes de discussion jusqu’à ce que vous l’acceptiez.
Une fois ce réglage désactivé, chercher votre nom d’utilisateur donne la même réponse que chercher un nom qui n’existe pas, et prend le même temps. Votre lien et votre code QR continuent de fonctionner. La recherche ne suggère jamais de noms.
Ajouter quelqu’un : son nom d’utilisateur, son code QR ou son lien mène à Envoyer la demande. Vous pouvez y ajouter une note d’au plus 100 caractères pour dire qui vous êtes ; pas besoin d’un premier message. La personne voit votre note et choisit d’accepter ou non.
Qui peut vous écrire : dans Réglages › Confidentialité › Demandes de, choisissez Tout le monde (toute personne qui a votre nom d’utilisateur ou votre lien, par défaut), Mes groupes (seulement les personnes avec qui vous partagez un groupe) ou Personne (seulement les personnes que vous avez ajoutées).
Demandes de discussion : la personne qui écrit ne saura pas que vous avez vu sa demande tant que vous ne l’aurez pas acceptée. D’ici là, elle voit un seul crochet, et aucun signe de livraison, de lecture, de saisie ou de présence en ligne, et la photo d’une personne inconnue reste cachée jusqu’à ce que vous la touchiez. Vous pouvez choisir Supprimer, Accepter, ou Signaler et bloquer. Tant que vous n’avez pas répondu, une personne inconnue peut envoyer au plus 3 messages, les liens ne s’ouvrent pas et n’ont pas d’aperçu, et une demande restée sans réponse disparaît après 30 jours.
Une demande d’un compte créé il y a moins d’une semaine arrive avec une alerte qui dit « Ce compte vient d’être créé. Assurez-vous de connaître cette personne avant d’accepter. »
Groupes : vos contacts peuvent vous ajouter directement à un groupe. Quand quelqu’un d’autre vous ajoute, le groupe arrive comme une demande qui nomme la personne à l’origine de l’ajout, selon le même réglage « Demandes de ».
Le blocage se fait sur votre appareil et n’envoie aucun message à la personne bloquée. Si elle avait votre photo de profil, son téléphone la perd simplement et affiche vos initiales, et elle ne voit plus quand vous êtes en ligne. Nos serveurs ne gardent aucune liste des personnes que vous avez bloquées.
Inviter quelqu’un : Contacts › Inviter quelqu’un écrit l’invitation, avec le lien officiel de téléchargement, dans votre propre application Messages. Vous choisissez à qui l’envoyer et elle part de votre téléphone, donc Murmur ne voit jamais le numéro de la personne.
Notes techniques
Liens de contact
app.murmur.free/add#…, invitations de groupe app.murmur.free/join#…, dont la partie après le # n’atteint jamais un serveur web et contient l’empreinte d’identité que votre application vérifie
Recherches
trouvable ou non, la réponse a la même forme et prend le même temps ; au plus 30 recherches par minute et 300 par jour pour chaque appareil, et 120 recherches de clés par nom par minute et 1 000 par jour
Consentement
ajouter un compte exige un jeton de consentement signé par l’un de ses appareils ; les contacts en reçoivent un automatiquement, valide jusqu’à 90 jours et renouvelé en arrière-plan
Blocage
change votre clé de profil et annule les jetons de consentement ; le serveur ne garde qu’un seul compteur, jamais une liste de blocage
Votre profil, c’est un nom, une photo et une courte bio, tous facultatifs. Vous choisissez qui voit votre photo et votre bio, et par défaut, ce sont seulement vos contacts. Votre profil est scellé, donc nos serveurs ne peuvent pas le lire.
Nom et bio : dans Réglages › Profil › Modifier le profil. Un nom compte de 1 à 25 caractères ; tant que vous n’en ajoutez pas, les gens voient votre @nom d’utilisateur. Une bio compte au plus 80 caractères et s’affiche sous votre nom d’utilisateur.
Photo : Caméra, Photos ou Texte, pour mettre de 1 à 3 lettres ou un émoji sur l’une de 12 couleurs. Vous pouvez aussi prendre l’une des 20 images toutes prêtes faites pour Murmur, comme Tulipe, Baleine ou Phare. Les mêmes choix servent à la photo d’un groupe.
Qui les voit : Réglages › Confidentialité › Photo de profil et Bio offrent chacun Tout le monde (les personnes avec qui vous discutez), Mes contacts (par défaut) ou Personne. Qui perd l’accès voit la photo ou la bio retirée de son téléphone.
Votre nom sur les transferts : Réglages › Confidentialité › Messages transférés choisit qui peut ajouter votre nom quand ce que vous avez écrit est transféré. Par défaut, c’est Personne, donc un transfert dit seulement « Transféré ». Si vous le permettez, il dit « Transféré de » et votre nom.
Modifier le contact : touchez Modifier sur la fiche d’une personne, ou dans les infos d’une discussion, pour lui donner un nom et une photo visibles seulement pour vous. Rien ne lui est envoyé, et son @nom d’utilisateur reste sous le nom.
Mes statistiques, dans Réglages › Profil, compte vos contacts, vos groupes, et les messages et les photos que vous avez envoyés. Le compte se fait sur vos propres appareils, et Murmur ne peut pas le voir.
Notes techniques
Profil
scellé pour chaque personne qui a le droit de le voir ; quand vous réduisez qui voit votre photo, elle est envoyée de nouveau avec une nouvelle clé, et l’ancien fichier est supprimé de nos serveurs
Photos
chaque choix, images toutes prêtes et Texte compris, devient une photo ordinaire, chiffrée sur votre appareil et remplie jusqu’à au moins 256 Kio, si bien que nos serveurs ne peuvent pas savoir quel genre vous avez choisi
Transferts
votre choix voyage scellé avec votre profil ; l’application de la personne qui transfère l’applique, et la mention voyage dans le message scellé
Modifier le contact, Mes statistiques
gardés sur vos appareils et synchronisés entre eux, scellés pour eux seuls ; rien ne va à l’autre personne
Votre mot de passe prouve que c’est bien vous quand vous vous connectez, et il ne déverrouille jamais vos messages. Nous ne le voyons jamais, même pas quand vous le créez, donc nous ne pouvons pas le réinitialiser pour vous. Si vous l’oubliez, votre clé de récupération vous permet de revenir.
Ce qu’il protège : votre connexion. Une copie volée de notre base de données ne révèle pas votre mot de passe. Quelqu’un qui prendrait entièrement le contrôle de nos serveurs pourrait essayer de le deviner hors ligne. C’est pourquoi votre mot de passe ne protège jamais une clé.
Ce qu’il ne fait pas : ramener à lui seul votre historique ou vos contacts. Ils vivent sur vos appareils et derrière votre clé de récupération.
Règles : au moins 6 caractères. Aucune règle sur les symboles ou les majuscules, aucun changement imposé, et le collage comme les gestionnaires de mots de passe sont les bienvenus. Un mot de passe facile à deviner, comme votre nom d’utilisateur, un mot de passe courant ou une simple suite de touches, est refusé, et l’application vous explique pourquoi. La vérification se fait sur votre appareil, et rien n’est envoyé à un autre service.
Ce que vous pouvez faire : choisir quelque chose de long, auquel personne d’autre que vous ne penserait, le garder dans un gestionnaire de mots de passe et enregistrer votre clé de récupération depuis le Centre de sécurité. Dans le Centre de sécurité, votre mot de passe apparaît comme « Bon » ou « Fort », ou comme « Renforcer votre mot de passe » tant qu’il est faible.
Vous l’avez oublié ? Votre clé de récupération vous permet d’en choisir un nouveau, depuis « Mot de passe oublié ? » sur l’écran de connexion, ou sur un appareil encore connecté. Sans elle, voir « Si vous perdez votre téléphone ».
Mauvais essais : cinq essais sans attente, puis des attentes qui doublent, de 1 minute jusqu’à 1 heure, selon l’horloge de notre serveur. Après 100 échecs de suite, au moins 24 heures entre deux essais. Il n’y a jamais de blocage permanent, donc une personne qui devine exprès peut ralentir les nouvelles connexions, mais ne peut pas vous bloquer pour de bon, et vos appareils déjà connectés ne sont jamais bloqués.
Des alertes discrètes : un résumé quotidien dans l’application, et une notification à 20 et à 100 échecs. Murmur n’envoie jamais de lien à ce sujet.
Murmur ne vous demandera jamais votre mot de passe ni votre clé de récupération sur un site web ou dans un message.
C’est pourquoi même ce site ne vous en demande jamais.
Notes techniques
Protocole de connexion
OPAQUE (RFC 9807) avec opaque-ke, en ristretto255, TripleDH et SHA-512
Hachage lent
Argon2id, avec des coûts établis en mesurant de vrais appareils
Ce que nous conservons
un enregistrement d’inscription qui ne révèle pas le mot de passe ; le secret qui le protège vit dans un module matériel, à l’écart de la base de données
Vérification de la force
sur votre appareil, par rapport aux mots de passe courants ou ayant fuité et aux mots du compte lui-même ; elle explique pourquoi, sans jamais envoyer le mot de passe
Votre clé de récupération est la clé de secours de votre compte, faite de 48 caractères en 12 groupes de 4. Murmur la crée sur votre appareil à l’inscription, et vous l’enregistrez quand vous voulez, depuis Réglages › Centre de sécurité. Gardez-la en lieu sûr, par exemple dans un gestionnaire de mots de passe ou sur une feuille de papier. Nous n’en gardons aucune copie et ne vous la demanderons jamais.
Tant que vous ne l’avez pas enregistrée, « Enregistrer votre clé » reste en tête de la liste du Centre de sécurité. Pour l’enregistrer, l’application vous montre la clé une fois, vous demande de la retaper, puis ne la montre plus jamais.
En tout temps, Réglages › Compte › Clé de récupération vous permet de vérifier que la clé que vous avez gardée fonctionne toujours, ou de la remplacer.
Avec la clé de récupération et le mot de passe ensemble, vous retrouvez votre compte tout de suite. Avec l’un des deux seulement, c’est plus long, et vos contacts sont informés que vous avez récupéré votre compte.
Faites attention à qui la voit, car toute personne qui détient votre clé de récupération pourrait lire votre sauvegarde chiffrée du texte, si vous en avez activé une.
Pour la remplacer, il faut un appareil qui a passé ses 72 premières heures, plus votre mot de passe ou votre clé actuelle.
Bon à savoir : si vous perdez tous vos appareils et votre clé de récupération, vos messages sont perdus. C’est parce que nous ne détenons jamais vos clés.
Tant que vous ne l’avez pas enregistrée, si vous perdez votre seul appareil, le seul retour possible est un nouveau départ, qui vous donne une nouvelle identité sous le même nom d’utilisateur après 7 jours, sans vos contacts, vos groupes ni votre historique. Une personne qui a votre téléphone et peut le déverrouiller pourrait bloquer ce nouveau départ, donc enregistrez votre clé tôt.
Un exemple, dessiné comme l’application la montre. Votre vraie clé n’apparaît que dans l’application.
Notes techniques
Format
232 bits aléatoires en 48 caractères Crockford Base32 (sans I, L, O ni U), en 12 groupes numérotés de 4, avec une somme de contrôle de 8 bits (elle détecte 255 fautes de frappe aléatoires sur 256 ; un défi avec le serveur sert de vérification finale) ; les anciennes clés de 13 groupes fonctionnent toujours
Ce qu’elle déverrouille
une clé de connexion (nous n’en gardons que la partie publique) et une clé de scellement pour un paquet racine qui contient votre clé d’identité et l’état de votre compte
Avant l’enregistrement
la clé attend sur votre appareil ; rien de ce qui en est tiré n’atteint nos serveurs avant que vous la confirmiez
Pour la taper
les majuscules, les espaces et les traits d’union n’ont pas d’importance
Sauvegardes
activer la sauvegarde chiffrée du texte vous demande d’abord d’enregistrer la clé ; la sauvegarde n’offre pas de confidentialité persistante, donc quiconque détient la clé peut la lire
Reprenez là où vous étiez depuis un autre appareil connecté, ou avec votre clé de récupération. La clé de récupération et le mot de passe ensemble vous ramènent tout de suite. Avec moins, c’est plus long, et vos contacts en sont informés.
J’ai encore :
De retour tout de suite.
La clé de récupération et le mot de passe rétablissent votre compte immédiatement, avec la même identité, les mêmes contacts et les mêmes groupes. Votre historique revient de votre sauvegarde chiffrée, si vous en avez activé une.
Sans rien
Sans appareil, sans mot de passe et sans clé de récupération, personne ne peut récupérer le compte, pas même nous. Nous ne détenons aucune clé, donc nous ne pouvons ouvrir votre compte pour personne.
Avec votre mot de passe
Après 7 jours, vous obtenez une nouvelle identité sous le même nom d’utilisateur, sans vos contacts, vos groupes ni votre historique. Vos contacts voient un avertissement clair. Si ce n’était pas vous, n’importe lequel de vos appareils ou votre clé de récupération peut l’annuler.
Avec votre clé de récupération
Le même compte, les mêmes contacts et les mêmes groupes. Pendant 72 heures, votre nouvel appareil peut discuter, mais ne peut rien faire d’irréversible, et vos contacts voient que vous avez récupéré le compte avec votre clé de récupération. Si vos autres appareils ont été perdus ou volés, vous pouvez les suspendre.
Avec un autre appareil connecté
Continuez d’y discuter. Pour ajouter un appareil ou choisir un nouveau mot de passe, il vous faudra votre mot de passe ou votre clé de récupération.
Avec votre mot de passe et votre clé de récupération
La clé de récupération et le mot de passe rétablissent votre compte immédiatement, avec la même identité, les mêmes contacts et les mêmes groupes. Votre historique revient de votre sauvegarde chiffrée, si vous en avez activé une.
Avec un appareil et votre mot de passe
Entrez votre mot de passe sur le nouvel appareil, puis balayez son code QR avec l’appareil qui vous reste et comparez le code court. Votre historique récent est transféré aussi. Pendant 72 heures, le nouvel appareil ne peut rien faire d’irréversible.
Avec un appareil et votre clé de récupération
Sur l’appareil qui vous reste, votre clé de récupération vous permet de choisir tout de suite un nouveau mot de passe. Associez ensuite votre nouvel appareil avec un code QR.
Avec les trois
Associez votre nouvel appareil à partir de celui que vous avez. Gardez votre clé de récupération en lieu sûr, car c’est votre plan B si vous perdez tous vos appareils.
Les quatre façons de revenir, les chemins A à D, sont expliquées pas à pas dans les notes techniques.
Avec un autre appareil connecté, associez votre nouveau téléphone depuis Réglages › Appareils › Associer un appareil, avec un code QR, un code court et votre mot de passe. Votre historique récent est transféré aussi.
Avec votre clé de récupération et votre mot de passe, vous êtes de retour tout de suite, avec le même compte, les mêmes contacts et les mêmes groupes. Votre historique revient de votre sauvegarde chiffrée, si vous en avez activé une.
Avec votre clé de récupération seule, vous êtes de retour, mais pendant 72 heures, votre nouvel appareil ne peut rien faire d’irréversible, et vos contacts voient que vous avez récupéré le compte avec votre clé de récupération.
Avec votre mot de passe seul, vous obtenez un nouveau départ après 7 jours, sous le même nom d’utilisateur, mais sans vos contacts, vos groupes ni votre historique. Vos contacts voient un avertissement clair, et si ce n’était pas vous, n’importe lequel de vos appareils ou votre clé de récupération peut l’annuler.
Sans rien, personne ne peut récupérer le compte, pas même nous. Nous ne détenons aucune clé, donc nous ne pouvons ouvrir votre compte pour personne.
Perte ou vol ? Depuis un appareil qui vous reste, retirez l’appareil perdu dans Réglages › Appareils. Vous pouvez aussi suspendre vos autres appareils pendant 72 heures (c’est réversible) ou réinitialiser votre identité de sécurité.
Bon à savoir : si vous avez oublié votre mot de passe et que quelqu’un d’autre a votre clé de récupération, cette personne peut prendre le contrôle de votre compte. Gardez la clé là où personne d’autre que vous ne peut y accéder.
Notes techniques
Chemin A
depuis un appareil connecté, où le nouvel appareil n’affiche un code QR qu’après le bon mot de passe ; le code contient un engagement, pas une clé, et dure 10 minutes ; vous comparez 7 émojis, ou 12 chiffres en 3 groupes de 4 ; puis une période probatoire de 72 heures
Chemin B
sans caméra, le mot de passe et une approbation avec 7 émojis sur un appareil connecté ; ni historique, ni sauvegardes, ni clé racine du compte avant la fin de la période probatoire de 72 heures ou un balayage en personne (chemin A)
Chemin C
avec la clé de récupération, immédiat avec le mot de passe actuel ; avec la clé seule, toujours une période probatoire de 72 heures, même pour un compte resté inactif
Chemin D
avec le mot de passe seul, une nouvelle identité après une attente de 7 jours, imposée par les applications de vos contacts grâce à un enregistrement de réinitialisation signé ; un « Ce n’était pas moi » signé par l’ancienne identité l’annule pour de bon ; 14 jours de délai après une annulation
Appareil seul
le déverrouillage d’un appareil ne peut retirer que l’appareil ajouté le plus récemment ; tout ce qui est irréversible exige le mot de passe ou la clé de récupération
Mot de passe oublié
avec la clé de récupération sur un appareil établi, immédiat ; avec la clé seule, en passant par la période probatoire ; sans l’une ni l’autre, le compte ne peut pas être récupéré, et il est supprimé après son délai sans utilisation
Pendant la période probatoire
vous pouvez discuter ; vous ne pouvez pas associer, approuver ou révoquer des appareils établis, changer le mot de passe, remplacer la clé, réinitialiser l’identité, assouplir les réglages, exporter l’historique ni télécharger les sauvegardes ; les autres appareils peuvent être suspendus pendant 72 heures, de façon réversible
Vérifier la conception
les règles de récupération sont vérifiées par modèle face à trois scénarios de vol (vol du téléphone, vol de la clé sur papier, hameçonnage) et ont été examinées de façon indépendante, et vous pouvez lire le rapport
Les réglages par défaut de Murmur vous protègent sans que vous ayez à changer quoi que ce soit. Quand un réglage par défaut échange un peu de confidentialité contre du confort au quotidien, comme les accusés de lecture, le fait d’être trouvable par nom d’utilisateur ou de montrer quand vous êtes en ligne, vous pouvez le changer dans Réglages › Confidentialité.
Les réglages par défaut de Murmur, avec les noms de l’application
Réglage
Par défaut
Par nom d’utilisateur
Activé, pour toute personne qui tape votre nom d’utilisateur exact, chiffres compris
Demandes de
Tout le monde, par une demande ; ou Mes groupes, ou Personne
Une personne inconnue qui vous ajoute à un groupe
Arrive comme une demande, selon le même réglage
Accusés de lecture, Indicateur de saisie
Activés, jamais dans les demandes
Aperçus de liens
Activés, créés par la personne qui envoie, jamais pendant la saisie, jamais dans les demandes
Statut en ligne
Tout le monde, c’est-à-dire les personnes avec qui vous discutez ; ou Mes contacts, ou Personne
Photo de profil, Bio
Mes contacts
Messages transférés
Personne, donc un transfert dit seulement « Transféré »
Protection des captures
Désactivée
Masquer le texte
Désactivé
Minuterie par défaut
Désactivée, donc les messages restent jusqu’à ce que vous les supprimiez
Protection de l’écran, Clavier incognito
Désactivés ; activés avec la protection renforcée
Verrou de l’app
Désactivé, et recommandé dans le Centre de sécurité
Aperçus (Notifications)
Nom seulement
Sons des messages, Bannières dans l’app
Activés
Protection renforcée
Désactivée
La protection des captures, quand vous l’activez, fait qu’une capture ou un enregistrement de l’écran de vos discussions à deux montre un écran noir sur le téléphone de l’autre personne. Avec Masquer le texte, votre liste de discussions ne montre que les noms et le nombre de nouveaux messages.
Sous Windows, la protection de l’écran est activée dès le départ, pour garder vos discussions hors de Recall. Sous Android, les écrans qui montrent votre clé de récupération ou votre mot de passe sont toujours protégés.
Vous pouvez emporter vos données et supprimer votre compte quand vous le voulez, depuis l’application. La suppression est immédiate.
Exporter : Murmur vous permet d’exporter toutes vos données dans un format que vous pouvez importer de nouveau.
Supprimer : dans Réglages › Compte › Supprimer le compte, Murmur explique ce qui se passera, puis vous demande votre mot de passe. Une seule confirmation, et c’est irréversible, même pour nous. Sur un appareil ajouté il y a moins de 72 heures, la suppression attend la fin de ces heures, donc une personne qui aurait glissé un appareil dans votre compte ne peut pas supprimer celui-ci en vitesse.
Ce qui est effacé : votre compte, votre fiche de connexion, vos clés, vos appareils, vos jetons de notification, votre profil, vos liens et vos invitations, ainsi que votre sauvegarde chiffrée du texte, sauf une fiche pour chaque appareil parti (180 jours au plus) et ce qu’un dossier de sécurité ouvert ou la loi nous oblige à garder. Vos appareils sont déconnectés et effacés. Les messages qui vous attendent encore ne peuvent pas être reliés à vous, donc ils expirent dans les 30 jours. Votre nom d’utilisateur attend 90 jours, sans lien avec vous, avant que quelqu’un d’autre puisse le prendre. Les sauvegardes de nos serveurs se renouvellent en 14 jours au plus.
Ce qui reste chez les autres : les personnes avec qui vous avez discuté gardent les messages qu’elles ont déjà. Pour reprendre d’abord ce que vous avez envoyé, utilisez « Effacer pour tout le monde » (voir « Supprimer des messages »).
Une longue absence ? Choisissez de faire supprimer votre compte après 1, 3, 6, 12, 18 ou 24 mois sans utilisation. Par défaut, c’est 12 mois, et vous recevez un avertissement avant.
Maintenez le micro pour enregistrer un message vocal, et relâchez pour l’envoyer. Il est scellé sur votre téléphone, comme une photo, et complété jusqu’au prochain de quelques paliers de taille, donc nos serveurs ne savent jamais qui l’a envoyé, et connaissent au plus sa durée approximative.
Enregistrer : quand le champ du message est vide, maintenez le micro, à droite, et parlez. Relâchez pour envoyer. Glissez vers la gauche pour annuler, ou vers le haut pour verrouiller l’enregistrement et parler sans les mains. Le bouton Arrêter vous laisse l’écouter avant de l’envoyer ou de le jeter. Un message vocal peut durer jusqu’à une heure.
Écouter : faites-le jouer à 1x, 1,5x ou 2x, et le suivant que vous n’avez pas encore entendu joue tout seul. Sur l’écran verrouillé, il s’affiche comme « Message vocal », jamais avec un nom.
Comme tout message : répondez-y, réagissez-y, épinglez-le, transférez-le ou mettez-le au Coffre. Vous pouvez aussi l’envoyer sans son, ou le programmer jusqu’à une semaine d’avance. Dans un groupe, il faut la permission « Photos et fichiers ».
Rien de plus : aucun signal « enregistre » et aucun accusé « écouté ». Le point qui marque un message pas encore écouté reste sur votre téléphone.
Notes techniques
Format
de l’audio AAC dans un fichier MP4, jusqu’à 60 minutes ou 15 Mio ; sa durée et sa forme d’onde voyagent dans le message scellé
Scellement
une clé aléatoire de 256 bits par fichier, comme pour toute pièce jointe
Remplissage
le fichier chiffré est complété jusqu’au palier suivant, à partir de 64 Kio et en doublant à chaque palier, donc tous les messages d’environ 15 secondes ou moins ont la même taille, et les plus longs tombent dans quelques tailles
Sur nos serveurs
un fichier chiffré, gardé 30 jours au plus, qui n’est lié à aucune personne ni à aucune discussion (rangée 15) ; sa taille peut laisser deviner un message vocal, jamais ce qu’il dit, sa durée exacte dans son palier, ni qui l’a envoyé
Dans l’application iPhone, Murmur peut transformer un message vocal en texte, directement sur votre téléphone. C’est désactivé tant que vous ne l’activez pas, et le texte ne quitte jamais votre iPhone.
L’activer : c’est désactivé par défaut. Vous l’activez dans Réglages, sur une page à part qui explique ce que ça fait et comment ça reste privé.
En lire un : un bouton sur un message vocal affiche son texte juste en dessous.
Privé : la reconnaissance vocale d’Apple fait le travail sur votre iPhone, jamais sur un serveur, ni le nôtre ni un autre. Le texte n’est envoyé à personne ni synchronisé avec vos autres appareils, et il s’en va avec le message.
Maintenez Envoyer pour envoyer un message sans son, quand l’autre personne est en ligne, à l’heure de votre choix, ou plus tard, quand vous le voudrez. Un message programmé attend sur nos serveurs, scellé, et part donc à l’heure même si votre téléphone est éteint.
Maintenez Envoyer (ou faites un clic droit dessus sur un ordinateur) pour ouvrir le menu :
Envoyer sans son : il arrive en silence, sans aucun son sur le téléphone de l’autre personne.
Envoyer quand en ligne : aucune notification ne réveille l’autre téléphone ; la personne le verra la prochaine fois qu’elle ouvrira Murmur. Dans les discussions à deux seulement.
Programmer le message : choisissez un jour et une heure, jusqu’à un an d’avance, ou une semaine pour une photo, un fichier ou un message vocal.
Garder pour plus tard : garde le message sur vos propres appareils, prêt pour le moment de votre choix. Il ne part jamais tout seul.
Messages en attente : l’horloge dans le champ du message, ou la rangée dans les infos de la discussion, montre ce qui est programmé et ce qui est gardé. Tant qu’un message n’est pas parti, vous pouvez l’envoyer tout de suite, changer son heure, le modifier ou le supprimer, depuis n’importe lequel de vos appareils.
Si la discussion change : si vous bloquez la personne, quittez le groupe ou perdez le droit d’y écrire, un message programmé ne part pas ; ses mots vous attendent dans Gardés pour plus tard. Supprimer la discussion supprime aussi ses messages en attente.
Notes techniques
Programmés
scellés sur votre appareil, une enveloppe pour chaque appareil qui doit les recevoir, avec une clé à usage unique ; nos serveurs les gardent jusqu’à leur heure, puis les livrent comme n’importe quel message
Ce que voient nos serveurs
que des enveloppes scellées pour certains appareils attendent jusqu’à une heure donnée, avec une taille arrondie et s’il faut réveiller un appareil ; jamais ce qu’elles disent, à quelle discussion elles appartiennent, ni qui les a programmées (rangée 39)
Combien de temps
jusqu’à leur heure, un an au plus ; puis 30 jours après leur départ ou leur annulation, pour pouvoir répondre « déjà envoyé » ; puis elles sont supprimées
Changer ou annuler
un secret aléatoire partagé seulement entre vos appareils ; nos serveurs n’en gardent que l’empreinte
Gardés pour plus tard
synchronisés entre vos appareils, scellés pour eux seuls ; jamais envoyés à personne, et absents de la sauvegarde chiffrée du texte ; un message vocal gardé reste sur l’appareil qui l’a enregistré
Sans son, quand en ligne
un indicateur scellé, ou un message qui ne réveille aucun appareil ; rien de nouveau pour nos serveurs
Partagez une liste à cocher dans n’importe quelle discussion, pour l’épicerie, un voyage ou les corvées. Tout le monde dans la discussion peut cocher des tâches et voit qui a coché quoi. Comme tout le reste dans Murmur, la liste est scellée, donc nos serveurs ne la voient jamais.
En créer une : touchez + dans une discussion, puis Liste de tâches. Donnez-lui un titre si vous voulez, puis une tâche par ligne, jusqu’à 100. Choisissez son tri, soit « Ordre d’ajout », par défaut, ou « Cochées en bas », qui met les tâches cochées à la fin ; tout le monde dans la discussion voit le même ordre. Dans le Coffre, une liste n’est qu’à vous.
Cocher : touchez une tâche pour la cocher, et touchez-la encore pour la décocher. Sa case montre le visage de la personne qui l’a cochée ; elle seule peut la décocher, ou, dans un groupe, toute personne qui peut modifier la liste. Quand tout est fait, un sceau vert marque la liste « Tout est fait ». Jusqu’à 8 tâches s’affichent en entier dans la discussion ; une liste plus longue montre ses 6 premières et « Afficher les 14 tâches » (pour une liste de 14), qui ouvre la carte sur place (« Afficher moins » la referme).
La changer : touchez ••• en haut à droite de la liste, puis Modifier la liste, pour la renommer, ajouter, retirer ou réordonner des tâches, ou changer son tri. Épinglez-la pour la garder en haut de la discussion, avec sa progression ; toucher la liste épinglée vous mène à sa carte.
Dans les groupes : tout le monde peut cocher des tâches. Qui peut modifier les listes, c’est la permission « Modifier les listes », activée par défaut ; la personne qui a créé une liste, et les admins, le peuvent toujours.
Notifications : une nouvelle liste sonne comme un message, tout comme une liste où tout est fait. Cocher une tâche ne sonne jamais.
Notes techniques
Scellée
une liste est un message, scellé pour chaque appareil de la discussion ; chaque coche ou modification est une petite enveloppe scellée qui ne réveille aucun appareil, sauf celle qui termine la liste, qui sonne une fois, comme un message
Ce que voient nos serveurs
des enveloppes scellées, comme pour n’importe quel message ; un changement à une liste est un palier de taille au-dessus d’une réaction, jamais ce qu’il dit ni qui l’a fait
Limites
un titre de 80 caractères, de 1 à 100 tâches de 150 caractères chacune
Gardée
sur les appareils de la discussion ; absente de la sauvegarde chiffrée du texte, et les appareils ou les membres ajoutés plus tard ne reçoivent pas les listes d’avant
Les personnes avec qui vous discutez voient quand vous êtes en ligne, et depuis quand vous ne l’êtes plus. Vous choisissez qui, dans Réglages › Confidentialité › Statut en ligne, entre Tout le monde, Mes contacts ou Personne. Votre statut voyage scellé d’un appareil à l’autre, et nos serveurs ne le gardent ni ne le comptent.
Tout le monde, le choix par défaut, veut dire les personnes avec qui vous discutez, y compris dans les groupes. Mes contacts veut dire seulement celles qui sont dans vos contacts. Personne cache l’heure exacte, et vos contacts voient plutôt une heure approximative, « en ligne récemment » ou « en ligne il y a longtemps ».
Ce qu’elles voient : sous votre nom, en haut d’une discussion, « en ligne », ou « en ligne il y a 5 minutes », « en ligne aujourd’hui à 14 h 32 », « en ligne hier à 21 h 10 », puis un jour de la semaine ou une date. Dans Discussions et Contacts, un petit point sur votre photo pendant que vous êtes en ligne.
Jamais montré aux personnes inconnues ni dans les demandes de discussion, et jamais dans le Coffre ou dans la discussion officielle de Murmur. Cacher votre statut ne vous cache pas le leur.
Si vous changez d’avis : un choix plus restreint, ou « Personne », demande aux téléphones qui avaient votre statut de l’oublier. Bloquer quelqu’un l’empêche de lui parvenir, sans le lui dire. Son téléphone garde votre dernier statut connu, qui ne fait que vieillir, comme si vous aviez cessé d’utiliser Murmur.
Sur chaque appareil : votre choix vous suit sur chaque appareil où votre compte est connecté, et la protection renforcée choisit « Personne » sur tous, sans même l’heure approximative.
Notes techniques
Comment il voyage
un petit mot scellé, envoyé pendant que Murmur est ouvert, seulement aux appareils des personnes qui peuvent le voir ; nos serveurs le transportent comme n’importe quelle autre enveloppe et le laissent hors de tous les décomptes
Ce que voient nos serveurs
seulement qu’un appareil a une connexion ouverte, en mémoire, pendant environ 90 secondes (rangée 13)
L’heure approximative
un signe scellé envoyé au plus une fois par jour, jamais à une personne bloquée, qui ne porte que le jour ; nos serveurs le gardent de 1 à 12 heures, au hasard, avant de le livrer, si bien qu’il ne dit jamais quand vous avez ouvert Murmur. « En ligne récemment » veut dire dans les 30 derniers jours
Votre choix
gardé dans l’état scellé de votre compte ; un appareil qui ne l’a pas encore reçu ne partage rien tant qu’il ne l’a pas
Supprimez un message pour tout le monde, et il ne laisse rien sur aucun téléphone de la discussion, pas même une ligne « message supprimé ». Vous pouvez aussi vider toutes vos discussions d’un coup, sur vos appareils ou pour tout le monde.
Un message : maintenez le doigt dessus, puis touchez Supprimer. « Supprimer pour tout le monde » fonctionne pour les messages que vous avez envoyés, sans limite de temps. « Supprimer pour moi » retire un message de vos appareils seulement. La bulle s’efface et la discussion se resserre.
Une discussion : « Supprimer la discussion » n’en garde rien sur vos appareils, ses messages programmés et gardés compris.
Toutes les discussions, sur cet appareil : Réglages › Discussions › Effacer toutes les discussions supprime chaque message, chaque photo et chaque fichier de cet appareil. Les appareils des autres ne sont pas touchés, et le Coffre est gardé.
Toutes les discussions, pour tout le monde : « Effacer pour tout le monde », dans Réglages › Discussions, sous Effacer toutes les discussions, vide chaque discussion sur vos appareils et supprime chaque message que vous avez envoyé, pour tout le monde, dans chaque discussion et chaque groupe. Ce que les autres ont envoyé reste sur leurs téléphones, les discussions que vous avez déjà supprimées ne sont pas incluses, et le Coffre est gardé. Les messages que vous aviez programmés ne partent pas. Une personne hors ligne reçoit la suppression à son retour, dans les 30 jours.
Les deux demandent d’abord votre mot de passe.
D’eux-mêmes : les messages éphémères s’effacent après 1 minute, 5 minutes, 1 heure, 8 heures, 1 jour, 1 semaine ou 4 semaines. Réglez une minuterie pour une discussion, ou pour chaque nouvelle discussion dans Réglages › Confidentialité › Minuterie par défaut ; dans un groupe, seules les personnes autorisées peuvent la changer. Une photo envoyée en Vue unique ne s’ouvre qu’une fois.
Bon à savoir : supprimer pour tout le monde dépend des autres téléphones. Une copie qu’une personne a mise dans son Coffre ou transférée lui reste, tout comme ce qu’une application modifiée a choisi de garder. Une personne qui a bloqué votre compte garde ce que vous lui avez envoyé.
Notes techniques
Supprimer pour tout le monde
une demande scellée à chaque appareil de la discussion, qui retire le message et sa photo ou son fichier, sans laisser de ligne à sa place ; nos serveurs voient une enveloppe de plus
Effacer pour tout le monde
la même demande pour chaque discussion et chaque groupe, qui attend les appareils hors ligne jusqu’à ce qu’ils la récupèrent, 30 jours au plus
Messages éphémères
à la fin du délai, chaque appareil supprime le message, ses fichiers et ses vignettes, ses citations et ses entrées de recherche ; ils ne sont jamais sauvegardés, exportés ni envoyés à un nouvel appareil
Mot de passe
vérifié par notre serveur avant l’un ou l’autre effacement ; les attentes après de mauvais essais suivent l’horloge du serveur
Le Coffre est votre propre discussion, pour les notes, les photos et les fichiers que vous gardez pour vous, et des copies de messages d’autres personnes. Personne d’autre que vous ne peut le lire, pas même Murmur. Il vit sur vos propres appareils, pas dans un nuage.
Il se trouve tout en haut de Réglages, et dans Discussions comme n’importe quelle autre discussion.
Pour garder un message, maintenez le doigt dessus et touchez « Mettre au Coffre », ou transférez-le en cochant Coffre. La copie reste même si la personne supprime l’original, et elle garde « Transféré de » avec son nom, pour que vous sachiez d’où elle vient.
Rien que pour vous : pas de crochets, pas de saisie, pas de statut en ligne, pas de notifications ni de sons, pas de minuterie. « Vider le Coffre » le vide, et « Effacer toutes les discussions » n’y touche pas.
Avec plus d’un appareil, le Coffre passe scellé par nos serveurs pour rejoindre les autres, et y est supprimé dès qu’ils l’ont reçu.
Bon à savoir : si vous perdez vos appareils ou vous déconnectez de tous, le Coffre disparaît avec eux.
Donnez à chaque discussion son propre fond et ses couleurs de bulles, et à toute l’application une couleur à vous. Nos serveurs n’en apprennent rien. Dans une discussion à deux, Même fond montre le même sur les deux téléphones, jusqu’à ce que l’un ou l’autre côté le désactive.
Fond d’écran : dans les infos d’une discussion, touchez Fond d’écran. Choisissez parmi 27 photos, 10 fonds, 33 motifs sur sept couleurs de base ou 9 dégradés, ou prenez une de vos propres photos, floue si vous le voulez. Le choix Par défaut montre le Fond de l’app.
Le réglage Couleurs assorties, activé par défaut, laisse le fond choisir la couleur des bulles. Désactivez-le pour choisir vous-même l’une des 10 couleurs de bulle, de Cire à Rose.
Essayer, puis enregistrer : un toucher ne change que l’aperçu, en haut. Enregistrer, en haut à droite, applique le choix ; revenir en arrière sans enregistrer garde ce que vous aviez.
Même fond, dans une discussion à deux, est activé par défaut, donc le fond que vous enregistrez va aussi à l’autre personne, et le sien vous arrive. Vous pouvez le désactiver, l’autre personne aussi, et votre choix reste alors sur vos appareils. Dans les groupes et dans le Coffre, il n’y a que vous qui voyez votre fond.
Réglages › Apparence offre Clair, Sombre ou Automatique, puis Fond de l’app, avec Par défaut, Couleur ou Lueur, dans les 10 couleurs de bulle, derrière Discussions, Contacts, Réglages et chaque discussion sans fond à elle, à essayer et à enregistrer de la même façon. Avec Couleur ou Lueur, les menus, les boutons, les rangées et la barre d’onglets prennent aussi cette couleur. Puis Taille du texte et, sur iPhone, Icône de l’app, avec Murmur, ou les discrètes Météo et Minuterie, chacune en Automatique, Clair ou Sombre. Le nom sous l’icône reste Murmur.
Privé : vos choix suivent vos propres appareils, scellés pour qu’eux seuls puissent les ouvrir. « Votre photo » ne quitte votre appareil que pour l’autre personne, avec Même fond activé, scellée comme n’importe quelle photo. Les autres images sont les mêmes pour tout le monde, donc en télécharger une dit seulement qu’un téléphone l’a choisie.
Utilisez un seul compte Murmur sur un maximum de 5 appareils, tous égaux. Un téléphone et un ordinateur, ou seulement un ordinateur, puisqu’il n’y a pas besoin de téléphone. Chaque appareil a ses propres clés.
Pour en ajouter un, ouvrez Murmur sur le nouvel appareil et entrez votre mot de passe. Ensuite, sur un appareil que vous avez déjà, allez dans Réglages › Appareils › Associer un appareil, balayez le code QR et comparez le code court sur les deux écrans.
Votre historique texte et les 30 derniers jours de photos et de fichiers sont transférés, chiffrés de bout en bout.
Chaque nouvel appareil déclenche une alerte sur tous les autres, et vous pouvez le retirer d’un seul geste. Réglages › Appareils les montre tous, avec le moment où chacun a été actif pour la dernière fois.
Un appareil qui reste hors ligne pendant 90 jours est retiré, après un avis au jour 75. Votre dernier appareil, lui, ne l’est jamais.
Notes techniques
Limite
5 appareils actifs par compte ; un compte peut exister seulement sur un ordinateur
Retrait d’un appareil
une nouvelle liste d’appareils signée, le retrait de chaque conversation, de nouvelles clés d’état du compte et de profil ; le serveur supprime les clés et le jeton de notification de cet appareil ; les messages qui l’attendent ne peuvent pas être reliés à lui et expirent dans les 30 jours
Un nouvel appareil peut discuter tout de suite, mais pendant ses 72 premières heures, il ne peut rien faire d’irréversible. Si quelqu’un s’est introduit dans votre compte, cela vous laisse le temps de le remarquer et de retirer l’appareil. Et si quelqu’un vous demande d’approuver un appareil pour lui, c’est une arnaque.
Pendant ces 72 heures, le nouvel appareil ne peut pas associer ni approuver d’autres appareils, retirer vos appareils établis, changer votre mot de passe, remplacer votre clé de récupération, assouplir vos réglages, exporter votre historique ni télécharger de sauvegardes.
L’association commence toujours dans l’application et demande votre mot de passe sur le nouvel appareil, même avec un code QR. Sur d’autres messageries, des gens se sont fait piéger en balayant de faux codes QR d’association ; exiger le mot de passe déjoue cette ruse.
Pas de caméra ? Vous pouvez approuver le nouvel appareil depuis un appareil que vous avez, en comparant 7 émojis. Cet appareil reste limité jusqu’à la fin de ses 72 heures, et une bannière vous le rappelle, « Retirez-le avant qu’il reçoive votre historique. »
Quand quelqu’un vous demande d’approuver un appareil, l’application vous le dit sans détour, « Si on vous l’a demandé, c’est une arnaque. »
Notes techniques
Code QR
contient un engagement, pas une clé ; valide pendant 10 minutes
Code court
7 émojis, ou 12 chiffres en 3 groupes de 4, les mêmes sur les deux écrans
Approbation sans caméra
engagement puis révélation (commit-then-reveal) avec 7 émojis ; au plus 5 demandes par heure ; 3 refus en 24 heures suspendent les demandes pendant 24 heures
Sans période probatoire
l’appareil qui a créé le compte, et une récupération avec la clé de récupération et le mot de passe actuel
Vos messages sont stockés chiffrés sur vos appareils, et le verrou de l’app peut demander un NIP ou Face ID pour ouvrir Murmur. Les photos perdent leur position avant d’être envoyées, et les fichiers ne s’ouvrent jamais d’eux-mêmes.
Ce que ça protège : un appareil perdu ou volé pendant qu’il est éteint.
Le verrou de l’app (Réglages › Confidentialité) demande un NIP de 6 chiffres, ou Face ID, pour ouvrir Murmur, même quand votre téléphone est déverrouillé. Il verrouille Murmur dès que vous le quittez, ou après un délai de 1 minute à 1 heure, à votre choix, et après 5 mauvais NIP, il vous fait attendre.
Les photos sont réencodées sur votre appareil, sans leur position ni les détails de l’appareil photo. Les images animées sont envoyées comme une image fixe. Une image envoyée avec Fichier part telle quelle, comme n’importe quel document.
Les documents de tout type sont acceptés, sauf les fichiers audio et vidéo. Ils ne s’ouvrent jamais d’eux-mêmes, et sur un ordinateur, ils sont marqués comme téléchargés d’Internet.
La protection de l’écran cache Murmur quand vous passez à une autre application. Sous Windows, elle est activée dès le départ et garde vos discussions hors de Recall. Sous Android, elle protège toujours les écrans de la clé de récupération et du mot de passe. Sur Mac et iPhone, elle protège dans la mesure du possible. Le clavier incognito demande à votre clavier de ne pas apprendre ce que vous tapez.
Les notifications montrent seulement le nom de la personne qui écrit, par défaut. Ce qui passe par Apple ou Google est scellé, donc seul votre appareil peut l’ouvrir.
Ce que ça ne peut pas empêcher : un appareil déverrouillé ou infecté par un logiciel espion, et les copies que garde le système de votre téléphone, comme l’historique des notifications. Pour le téléphone de l’autre personne, la protection des captures, dans Réglages › Confidentialité, rend noires les captures de vos discussions à deux.
Ce que vous pouvez faire : activer le verrou de l’app, garder votre système à jour et utiliser les messages éphémères pour les discussions qui ne devraient pas traîner.
Notes techniques
Base de données
SQLCipher avec une clé aléatoire de 256 bits, jamais dérivée de votre mot de passe, enveloppée par le magasin de clés du système (Keychain, Android Keystore ou StrongBox, Windows DPAPI avec TPM)
Écritures
les messages et l’état du groupe en une seule transaction ; les messages éphémères purgent aussi l’index de recherche
Verrou de l’app
un second enveloppement de la clé, lié à une clé matérielle qui exige votre déverrouillage ; un NIP de 6 chiffres, avec une liste de NIP interdits ; une attente de 30 secondes après 5 mauvais NIP
Images
décodées seulement par des décodeurs Rust à mémoire sûre, avec des limites de taille, de pixels et de temps, testés par fuzzing ; dans un processus séparé sur Android et sur ordinateur, pas sur iPhone
Fichiers
les fichiers audio et vidéo sont refusés à l’envoi (un message vocal s’enregistre dans Murmur) ; sur ordinateur, les fichiers portent la marque « téléchargé d’Internet » du système
Limites
la base de données chiffrée protège contre le vol hors ligne, pas contre un logiciel malveillant qui tourne dans votre propre session ; un NIP court n’arrête pas les outils d’analyse judiciaire sur un téléphone déverrouillé depuis son dernier démarrage
Un seul endroit dans l’application répond à une seule question, « Mon compte est-il bien protégé ? » Il montre ce qui est fait, suggère la suite et ne vous donne jamais de note.
Ni note ni pourcentage, seulement « Votre compte est protégé », ou le nombre de recommandations qui restent.
Ce qui reste à faire s’affiche en ambre, jamais en rouge, et tant que ce n’est pas fait, Réglages montre une ligne comme « Deux façons de vous protéger ».
Il fonctionne sur votre appareil. L’ouvrir n’envoie rien à nos serveurs.
La liste : enregistrer votre clé, renforcer votre mot de passe, activer le verrou de l’app, masquer les aperçus, vérifier vos appareils, vérifier vos contacts, comparer les codes changés et choisir une minuterie par défaut pour les messages éphémères. En dessous se trouvent les détails du chiffrement, un journal des événements de sécurité récents, une vérification de la version que vous utilisez, et la protection renforcée.
Protection renforcée
Des réglages plus stricts, en un seul interrupteur, au bas du Centre de sécurité. Quand elle est activée :
Les notifications n’affichent jamais de noms ni de messages.
Personne ne peut vous trouver par nom d’utilisateur.
Seules les personnes que vous avez ajoutées peuvent vous écrire. Les autres demandes sont filtrées.
Personne ne voit quand vous êtes en ligne.
Les aperçus de liens sont désactivés.
Murmur se cache quand vous passez à une autre application (protection de l’écran).
Votre clavier reçoit la demande de ne pas apprendre ce que vous tapez.
Le verrou de l’app, une fois activé, verrouille Murmur dès que vous le quittez.
Il ne peut pas protéger un téléphone déjà compromis. Et vous n’en avez pas besoin pour cacher à qui vous parlez, car dans tous les modes, nos serveurs ne savent pas qui envoie un message ni qui fait partie d’un groupe (voir « Ce que voit Murmur »).
Personne n’entre dans votre groupe sans qu’un membre l’y laisse entrer, et l’application de chaque membre le vérifie. Quand une personne qui n’est pas dans vos contacts vous ajoute à un groupe, il arrive comme une demande. Ce sont les admins qui décident qui entre.
Pour en créer un : Contacts › Nouveau groupe, avec un nom de 3 à 20 caractères et une photo, une image toute prête, ou quelques lettres sur une couleur. Son nom, sa photo et sa description sont scellés pour ses membres.
Pour entrer : une demande d’adhésion avec des questions, une invitation personnelle ou un lien. « Inviter avec un lien » vous laisse choisir quand le lien expire et combien de personnes peuvent l’utiliser, montre qui s’est joint au groupe par ce lien, et vous permet de le réinitialiser ou de le désactiver. L’application vous prévient avant que vous en partagiez un, « Quiconque a ce lien peut rejoindre le groupe et lire les nouveaux messages. »
Approuver les demandes, sur ce même écran, est désactivé par défaut. Activez-le, et le lien permet seulement de demander à se joindre au groupe. La personne qui a créé le lien approuve ou refuse chaque demande, sur n’importe lequel de ses appareils. Nos serveurs ne connaissent pas le groupe, donc ils n’apprennent rien de nouveau.
Par défaut, seuls les admins et la personne propriétaire peuvent ajouter des membres ou créer des liens d’invitation. Les groupes de plus de 200 membres demandent une approbation par défaut.
Une passe communautaire aide les gens de votre communauté à créer un compte Murmur, mais elle ne fait jamais entrer personne dans votre groupe. Les passes finissent souvent en public, donc laisser entrer les gens reste une décision de votre équipe, prise à la main, ou avec l’un de vos appareils réglé pour n’admettre que les invitations personnelles ou les noms de votre liste.
Tout le monde dans un groupe peut voir qui d’autre en fait partie.
L’historique pour les nouveaux membres est optionnel. Chaque ancien message garde sa signature d’origine, pour que les nouveaux membres sachent qui l’a vraiment écrit.
Les sondages sont comptés par l’application de chaque membre, jamais par nous. Les votes sont visibles par le groupe.
Bon à savoir : les règles du groupe s’appliquent dans les applications. L’application de chaque membre vérifie chaque modification du groupe selon sa propre copie des règles scellées du groupe, et c’est la personne propriétaire qui a le dernier mot ; notre serveur ne fait que mettre les modifications en ordre et ne peut pas voir les rôles. Une application modifiée peut ignorer les règles de son côté, mais les applications des autres membres vérifient quand même chaque modification du groupe.
Notes techniques
Validation
le serveur met chaque modification du groupe en ordre et l’application de chaque membre la vérifie ; un membre ne peut pas opposer son veto à son propre retrait
Quotas
chaque membre ne peut faire qu’un certain nombre de modifications du groupe dans un temps donné
Consentement
ajouter un compte exige un jeton de consentement signé par l’un de ses appareils
Arrivées par lien
permises seulement dans des cas définis, avec une preuve que les membres vérifient
Vues divergentes
Si le serveur montre des versions différentes d’un groupe à différents membres, c’est détecté, à moins qu’il coupe complètement le groupe ; des vérifications par vos autres conversations rendent cela plus difficile à cacher.
Inactivité
les appareils silencieux pendant 90 jours quittent les groupes (avis au jour 75) et peuvent y revenir d’eux-mêmes pendant 12 mois, sauf s’ils ont été bannis
Les admins ont de vrais outils de modération, et aucun n’a besoin que nos serveurs lisent un seul mot. Murmur n’analyse pas vos messages privés, ni sur nos serveurs ni sur votre appareil.
Les admins sont des membres du groupe et le lisent comme tout le monde. Ce qui manque, c’est un serveur ou un robot qui lit tout.
Les rôles : une personne propriétaire, des admins qui ont les droits qu’elle leur donne, et des membres. Quand la personne propriétaire part, le groupe passe à l’admin qui l’est depuis le plus longtemps ou, s’il n’y a pas d’admin, au membre arrivé en premier.
Ce que les membres peuvent faire se règle dans Infos du groupe › Permissions. Les admins peuvent toujours envoyer des messages, des photos, des fichiers et des messages vocaux, et modifier les listes de tâches. Tout le monde peut cocher les tâches d’une liste.
Ce que les membres peuvent faire dans un nouveau groupe
Permission
Dans un nouveau groupe
Envoyer des messages
Activé
Photos et fichiers
Activé
Ajouter des membres
Désactivé
Épingler des messages
Désactivé
Modifier les listes
Activé
Modifier les infos
Désactivé
Créer des invitations
Désactivé
Messages éphémères
Désactivé
Les Droits d’admin s’accordent un par un, avec Modifier les infos, Ajouter des membres, Créer des invitations, Épingler des messages, Supprimer des messages, Gérer les permissions et Ajouter des admins. Les Exceptions permettent à un membre d’en faire plus, ou moins, que tout le monde. Le Mode lent ne laisse les membres envoyer qu’un message de temps en temps ; les admins n’ont pas de limite.
Et plus encore : demandes d’adhésion avec questions · limites pour les nouveaux membres · retirer, bannir ou restreindre · limites contre les rafales de messages · un mode « sous attaque » · signalements aux admins · règles que les membres acceptent avant d’entrer · un journal d’admin · une modération automatique légère et des statistiques qui fonctionnent sur l’appareil même de l’admin.
Votre appareil signe vos messages, donc les personnes qui les reçoivent peuvent prouver qu’ils viennent de vous. C’est ce qui rend les signalements d’abus dignes de confiance.
Dans un groupe, les signalements vont aux admins, à l’équipe de sécurité de Murmur, ou aux deux. Notre équipe voit seulement les messages que vous choisissez d’envoyer.
Protéger les enfants n’est pas optionnel. Nous avons une procédure écrite, nous faisons les signalements comme la loi l’exige, et une équipe de sécurité est de garde tous les jours de la semaine.
Notes techniques
Appliqué par l’application de chaque membre
les rôles, les permissions et les exceptions, le mode lent, les bannissements, l’approbation des arrivées et les permissions par sujet, vérifiés selon la copie des règles scellées du groupe que garde chaque application ; la personne propriétaire a le dernier mot
Appliqué par le serveur
l’ordre des modifications du groupe, et des limites sur le nombre qu’il en accepte ; il ne voit jamais les rôles
Sur l’appareil de l’admin
une modération automatique légère
Signalements
chiffrés, avec les signatures d’origine, pour que l’équipe de modération puisse vérifier qui a envoyé un message sans briser le chiffrement
Statistiques
calculées sur l’appareil même de l’admin
Jamais
aucune analyse du contenu, ni sur nos serveurs ni dans les applications
Murmur ne peut pas lire vos messages, vos photos ni vos fichiers, et nos serveurs ne savent pas qui les envoie, ni qui fait partie de vos discussions et de vos groupes. Pour les livrer, ils voient seulement quelques détails, comme l’heure d’arrivée d’un message scellé. Voici la liste courte ; le tableau complet suit.
Murmur ne voit pas
Scellé sur vos appareils
Vos messages, messages vocaux et listes de tâches
Les photos et fichiers, leurs noms et types
Qui envoie chaque message
À qui vous parlez
Les membres de vos groupes, et leurs rôles
Votre profil
Les noms, photos et sujets des groupes
Vos contacts, et qui vous bloquez
La plupart de vos réglages, et vos fonds
Votre statut en ligne
Votre Coffre
Votre mot de passe
Les résultats des sondages
Votre adresse IPJamais gardée ni liée à vous
Murmur voit
Ce que traitent nos serveurs
Que votre compte et vos appareils existentVotre nom d’utilisateur, en empreinte à clé
Des messages scellés pour des boîtes aux lettres anonymesL’heure d’arrivée, et une taille arrondie
Des fichiers scellésUne taille arrondie, sans lien avec qui les envoie
Les messages programmés, jusqu’à leur heureScellés, jamais qui les a programmés
Qu’un appareil est connectéEnviron 90 secondes, en mémoire
Les jetons de notificationApple ou Google peuvent les relier à vous
L’adresse d’un lien dont vous affichez l’aperçuSans lien avec vous, pas stockée
Un nom d’utilisateur, quand on le cherche
Les messages que vous choisissez de signaler
Privé, pas anonyme. Murmur cache ce que vous dites, et à qui vous le dites, même à nos propres serveurs. Votre compte, vos appareils et leurs jetons de notification nous sont quand même connus, comme l’indique cette liste.
Tout ce que nos serveurs peuvent voir ou garder, rangée par rangée, avec la durée de conservation. Ce tableau est vérifié par rapport au code à chaque version, et un champ stocké qui n’y figure pas fait échouer la compilation.
Nous ne détenons aucun contenu de message et aucune clé. Nous détenons les métadonnées de ce tableau, et elles peuvent être exigées en justice.
« Exigées en justice » veut dire qu’une ordonnance valide, d’un tribunal par exemple, peut nous obliger à les remettre.
Afficher
Rangées affichées : 39
Ce que voit Murmur, en 39 rangées, une par type de donnée
#
Quoi
Nos serveurs le voient ?
Combien de temps
Pour aller plus loin
1
Vos messages, messages vocaux, photos et fichiers, leurs noms et leurs types, les réactions, les modifications, les accusés de lecture, les votes aux sondages et les listes de tâches
Non
Chiffrés, jusqu’à ce que chaque appareil les ait récupérés (30 jours au plus). Dans les grands groupes (plus de 256 appareils), jusqu’à la fin de leurs 30 jours, même après leur livraison. Une copie chiffrée peut rester jusqu’à 14 jours dans les sauvegardes de nos serveurs.
Déjà scellé.
2
Le nom, la photo, la description, les messages épinglés et les sujets d’un groupe
Non (scellés avec la clé du groupe)
Stockés sous forme chiffrée
Déjà scellé.
3
Les profils, les contacts, les blocages et les autres réglages, y compris les fonds des discussions
Non
Stockés sous forme chiffrée
Déjà scellé. Les quelques réglages que nos serveurs appliquent sont à la rangée 25.
4
L’identifiant de votre compte et votre @nom d’utilisateur (le nom que vous avez choisi, un point et deux chiffres), avec une seconde empreinte à clé qui repère les noms trop ressemblants
Oui. Votre nom d’utilisateur est stocké sous forme d’empreinte à clé ; il n’apparaît en clair qu’un instant, à la connexion et quand quelqu’un le cherche.
Jusqu’à la suppression de votre compte, puis 90 jours de quarantaine, sans lien avec vous
Être trouvable par nom d’utilisateur est activé par défaut. Vous pouvez le désactiver dans Réglages › Confidentialité.
5
Votre clé d’identité, les certificats de vos appareils et leur liste, donc le nombre de vos appareils et leur type de plateforme, avec les versions signées précédentes de cette liste et de votre clé d’identité
Oui
Jusqu’à la suppression de votre compte
Comparez les codes de sécurité pour vérifier ces clés vous-même.
6
Qui fait partie de quelle discussion ou de quel groupe, y compris qui a une discussion à deux avec qui
Non. La liste des membres est scellée pour les membres, et les messages vont dans des boîtes aux lettres anonymes que nos serveurs ne peuvent pas relier à des comptes.
Stocké sous forme chiffrée
Déjà scellé.
7
Les rôles, les bannissements et les modes de groupe (demandes d’adhésion, mode lent, annonces)
Non (scellés pour les membres du groupe)
Stockés sous forme chiffrée, dans l’état du groupe
Déjà scellé.
8
Qui a ajouté ou retiré qui, et quand ; si un ajout a été accepté
Non (les modifications du groupe sont scellées pour ses membres)
Stocké sous forme chiffrée
Déjà scellé.
9
Qui envoie un message
Non. Le nom de la personne qui écrit ne voyage qu’à l’intérieur de l’enveloppe scellée.
Jamais connu, donc jamais gardé
Déjà scellé.
10
Les messages scellés qui arrivent pour une boîte aux lettres anonyme : leur heure d’arrivée, une taille arrondie, la version des clés de la discussion, s’il faut réveiller un appareil, et s’il s’agit d’une discussion à deux ou d’un groupe
Oui
En attente jusqu’à leur livraison (30 jours au plus) ; dans les grands groupes, jusqu’à la fin de leurs 30 jours
Le remplissage, et des notifications groupées.
11
Les recherches de noms d’utilisateur, et le nom d’utilisateur que vous choisissez
Oui, un instant
Seulement des compteurs qui les limitent. Le numéro montré à l’inscription : 10 minutes en mémoire (30 au plus), avec une forme brouillée du nom
Vous pouvez vous connecter par un réseau privé virtuel (VPN) ou par Tor.
12
Votre adresse IP
Pas gardée. Elle sert seulement à acheminer votre connexion, et elle n’est jamais liée à votre compte.
Jamais stockée ni journalisée. Pour freiner les abus, une forme brouillée en est comptée en mémoire, 1 heure au plus.
Vous pouvez vous connecter par un réseau privé virtuel (VPN) ou par Tor.
13
La présence (une connexion ouverte)
Oui
Environ 90 secondes, en mémoire
Le statut en ligne voyage scellé d’un appareil à l’autre ; nos serveurs ne le gardent ni ne le comptent. Le signe quotidien derrière « en ligne récemment » ne porte que le jour, et nos serveurs le gardent de 1 à 12 heures, au hasard, avant de le livrer (voir « Statut en ligne »).
14
Les jetons de notification poussée, les heures de réveil, les choix « Discussions à deux » et « Groupes » de chaque appareil, et si ses notifications transportent le message scellé
Oui, seulement sur le relais de notifications, sous un identifiant aléatoire. Apple ou Google peuvent relier un jeton à votre compte Apple ou Google, et les autorités peuvent le leur demander.
Supprimés après 30 jours sans activité sur l’appareil
Ce que transporte une notification est scellé. Dans l’application Android offerte sur murmur.free, vous pouvez choisir UnifiedPush.
15
Les fichiers scellés, messages vocaux compris : leur taille arrondie et l’heure du téléversement ; quels fichiers sont épinglés
Oui, sans lien avec la personne qui les envoie, ni avec une discussion, sauf qu’un fichier épinglé est rattaché à son groupe (jamais à ses membres) pour compter le quota du groupe
30 jours ; les fichiers épinglés, tant qu’ils sont épinglés, dans la limite du quota du groupe
Téléchargements par capacité ; fichiers chiffrés à nouveau à chaque transfert. Les messages vocaux sont complétés par paliers qui doublent, donc seule une durée approximative paraît. Les fichiers envoyés entre vos propres appareils pour le Coffre sont supprimés dès qu’ils les ont reçus.
16
L’utilisation des liens d’invitation ; la taille et l’heure de mise à jour des fiches chiffrées
Oui
Tant qu’ils existent
Le remplissage.
17
L’adresse d’un lien que vous envoyez, pour en créer l’aperçu
Oui, par un relais qui ne garde aucun journal, sans lien avec votre compte, jamais la partie après un #
Pas stockée
Les aperçus de liens sont activés par défaut. Vous pouvez les désactiver dans Réglages › Confidentialité.
18
Les groupes qui ont un forfait communauté
Oui
Tant que le forfait est actif
Rien de plus.
19
Un indicateur « soutien » sur les comptes qui ont acheté un article de soutien facultatif
Oui, sans votre identité de paiement
Tant que dure l’avantage
Rien de plus.
20
Les totaux : santé du protocole, comptes et appareils (en tout et actifs), messages, photos et fichiers qui passent et leur volume, notifications, aperçus de liens, recherches de noms d’utilisateur, inscriptions, comptes supprimés, combien de nouveaux comptes restent, signalements, récupérations, tentatives bloquées, rapidité et erreurs
Des totaux seulement, jamais liés à une personne
13 mois. Appareils connectés en ce moment et par service de notifications : pas gardés
Ce que la personne qui signale choisit d’envoyer (le texte et les signatures), avec la catégorie et le statut du signalement, et une empreinte à clé du compte qui signale
90 jours après la fermeture du dossier ; au moins 1 an après une décision sur un compte ; 1 an quand un signalement obligatoire est fait ; plus longtemps seulement en cas d’obligation légale de conservation
Le minimum, par défaut.
22
Les données du compte : le jour de sa création (seulement le mois, après 12 mois), le niveau de confiance et les restrictions, les compteurs de connexions échouées et les compteurs quotidiens, le nombre de signalements retenus, la version des conditions que vous avez acceptée, la déclaration « 16 ans ou plus », les délais en cours
Oui
Avec le compte ; les compteurs, 30 jours au plus ; les signalements retenus, 180 jours ; une réinitialisation, jusqu’à 30 jours après sa fin (voir la Politique de confidentialité)
Rien de plus.
23
Chaque appareil : les clés publiques qui permettent de commencer une discussion avec vous, si sa clé de connexion est gardée dans une puce sécurisée, un identifiant de notification aléatoire, le jour de son ajout, son dernier jour d’activité, la fin de ses 72 premières heures et la version de l’app de sa dernière connexion. Quand un appareil part, une fiche avec son identifiant, son compte, la raison de son départ et le jour
Oui
Jusqu’au retrait de l’appareil ; son dernier jour d’activité est remplacé chaque fois. Un appareil hors ligne pendant 90 jours est retiré, jamais votre dernier. La fiche d’un appareil parti : 180 jours au plus
Vous pouvez retirer un appareil en tout temps.
24
Les données de votre clé de récupération : votre clé d’identité et la clé de l’état de votre compte, avec les 2 versions précédentes
Non. Elles sont scellées pour que seule votre clé de récupération puisse les ouvrir. Nous voyons seulement la partie publique d’une clé de connexion qui en est dérivée.
Jusqu’à la suppression de votre compte ; tout changement prévient tous vos appareils
Rien ne nous parvient avant que vous ayez enregistré votre clé.
25
Les choix que nos serveurs appliquent : si l’on peut vous trouver, qui peut vous envoyer une demande, la protection renforcée, si un nouveau départ avec le mot de passe seul est permis, si la connexion par mot de passe est activée, si vous avez enregistré une clé de récupération, et votre délai d’inactivité
Oui
Jusqu’à ce que vous les changiez ou supprimiez votre compte
Être trouvable est activé par défaut. Vous pouvez le désactiver.
26
Un compteur de blocages
Oui, un seul nombre, qui change quand vous bloquez quelqu’un, jamais une liste des personnes que vous avez bloquées
Avec le compte
Vos blocages eux-mêmes restent scellés (rangée 3).
27
Les sessions de connexion et d’association : une connexion en cours, un casse-tête que votre appareil est en train de résoudre, et la boîte qui remet vos clés à un nouvel appareil que vous associez
Oui, quelques minutes. La boîte est scellée pour votre nouvel appareil.
En mémoire. Une connexion 1 minute, un casse-tête 5 minutes, une boîte d’association 10 minutes
Rien de plus.
28
Votre sauvegarde chiffrée du texte, si vous en activez une : vos messages, réactions, modifications et messages épinglés, et les archives Telegram que vous avez importées ; jamais les photos, les fichiers, les messages vocaux, les listes de tâches ni les messages éphémères
Non. Seule votre clé de récupération l’ouvre. Nous voyons seulement sa taille et le moment où elle change.
Les 2 dernières copies. Supprimées quand vous supprimez votre compte
Désactivée tant que vous ne l’activez pas. Toute personne qui détient votre clé de récupération pourrait la lire, donc gardez la clé en lieu sûr.
29
L’historique envoyé à un nouvel appareil ou aux nouveaux membres d’un groupe
Non (chiffré)
24 heures au plus
Déjà scellé.
30
Les modifications des groupes, pour une boîte aux lettres de groupe : leurs numéros d’ordre, combien le groupe en a fait aujourd’hui, et s’il compte plus de 256 appareils
Oui, sans lien avec les membres du groupe. Chaque modification est elle-même scellée pour les membres (rangée 8).
Les modifications : 30 jours. Le décompte du jour : 1 jour. S’il compte plus de 256 appareils : tant que le groupe existe
Rien de plus.
31
La carte chiffrée de votre lien de contact, et les passes communautaires : leurs limites, leur expiration et leur nombre d’utilisations
Oui, jamais qui a utilisé une passe
Tant que le lien ou la passe existe
Vous pouvez réinitialiser votre lien de contact en tout temps.
32
Les demandes de discussion : si chacune a reçu une réponse, et combien de messages elle contient (3 au plus)
Oui, jamais qui l’a envoyée
Jusqu’à la réponse, 30 jours au plus
Une personne inconnue ne peut envoyer que 3 messages tant que vous n’avez pas répondu.
33
Les discussions en sourdine, quand votre appareil ne peut pas écarter lui-même ses notifications, ou si vous le choisissez dans un très grand groupe
Oui, pour la boîte aux lettres de cette discussion, que nos serveurs ne peuvent pas relier à vous
Jusqu’à ce que vous retiriez la sourdine. Quand vous supprimez votre compte, votre appareil efface cette indication ; sinon, jusqu’à ce que la boîte aux lettres ne serve plus
La sourdine reste sur votre appareil chaque fois que c’est possible.
34
Les jetons d’inscription, sur le service distinct qui les émet
Oui, jamais liés à un compte, c’est-à-dire les jetons utilisés, une forme brouillée de la clé de vérification de chaque appareil, et un décompte
Jetons utilisés : jusqu’au changement de ses clés, chaque mois. Décomptes : 30 jours
Le résultat de la vérification de l’appareil n’est jamais stocké.
35
Ce que notre personnel a fait sur un compte
Oui, dans un journal que personne ne peut réécrire
2 ans, plus longtemps seulement en cas d’obligation légale de conservation. Après la suppression de votre compte, sans lien avec lui
Les actions juridiques et les actions en masse exigent deux personnes.
36
L’assistance et les diagnostics que vous choisissez d’envoyer : les messages à notre compte officiel, les courriels (avec votre adresse), les rapports de plantage et de débogage
Ce que vous choisissez d’envoyer
Jusqu’à la correction du problème, ou tant que nous en avons besoin pour vous répondre
Les rapports de plantage sont envoyés seulement si vous acceptez, avec un aperçu de ce qui quitte votre appareil.
37
Les rapports des communautés et du panel
Des totaux seulement, que les admins d’un groupe ou les membres du panel choisissent de transmettre
13 mois
Seulement avec l’accord des personnes.
38
Les journaux des serveurs et les traces de panne
Oui, une liste fermée de champs, jamais d’identifiants de compte, d’appareil ou de groupe, d’adresses IP ni de jetons
Journaux : 7 jours. Traces de panne, seulement pendant une panne : 72 heures
Aucun journal d’accès.
39
Les messages programmés : des enveloppes scellées qui attendent leur heure, pour quels appareils, avec une taille arrondie et s’il faut réveiller un appareil
Oui, jamais ce qu’ils disent, à quelle discussion ils vont ni qui les a programmés
Jusqu’à leur heure (1 an au plus), puis 30 jours après leur départ ou leur annulation
Jusqu’à son heure, vous pouvez l’envoyer tout de suite, changer son heure, le modifier ou le supprimer (voir « Messages programmés et gardés »).
Jamais stocké.
Numéro de téléphone, courriel, vrai nom, date de naissance, modèles d’appareils, position, votre carnet d’adresses, journal de qui a envoyé quoi, de qui parle à qui ou de qui a invité qui à rejoindre Murmur, résultats de la vérification des appareils, identité de paiement. Qui fait partie d’un groupe, et qui a ajouté qui, est scellé pour les membres du groupe (rangées 6 à 8). Nous ne stockons pas non plus d’adresses IP ni de journaux d’accès (rangée 12).
Ce qui passe par Apple ou Google est scellé, donc seul votre appareil peut l’ouvrir. Mais les notifications permettent à Apple ou à Google de relier votre appareil à votre compte Apple ou Google. Vous choisissez ce qui s’affiche sur votre écran.
Les autorités peuvent demander ce lien à Apple ou à Google.
Sous un identifiant aléatoire, notre relais de notifications connaît seulement un jeton, le moment où réveiller votre appareil, si les discussions à deux et les groupes lui envoient des notifications, et si ses notifications transportent le message scellé. Les jetons sont supprimés après 30 jours sans activité sur l’appareil.
Chaque message dit deux choses à notre serveur au sujet des notifications. La première, c’est s’il faut réveiller votre appareil, et la seconde, s’il s’agit d’une discussion à deux ou d’un groupe, pour que vos choix « Discussions à deux » et « Groupes » s’appliquent.
Ce qui s’affiche sur votre écran, c’est vous qui le choisissez, dans Réglages › Notifications › Aperçus, entre Nom et message, Nom seulement (par défaut), ou Ni nom ni contenu. Vous choisissez aussi si les discussions à deux et les groupes vous envoient des notifications, et si Murmur fait entendre ses sons discrets et affiche des bannières pendant qu’il est ouvert.
La protection renforcée garantit que les notifications n’affichent jamais de noms ni de messages.
Quand un message disparaît, Murmur retire aussi sa notification, mais le système de votre téléphone peut en garder une copie.
Dans l’application Android offerte sur murmur.free, vous pouvez choisir UnifiedPush.
Nos serveurs ne gardent aucune adresse IP, aucun journal d’adresses IP, et rien qui relie une adresse à votre compte (voir notre tableau des données). Pour freiner les abus, une forme brouillée de votre adresse est comptée en mémoire, 1 heure au plus.
Votre réseau peut quand même voir que vous utilisez Murmur, quand, et à peu près combien de données vous envoyez. Murmur ne le cache pas, mais vous pouvez vous connecter par un réseau privé virtuel (VPN) ou par Tor, et les personnes qui le font sont les bienvenues, car les compteurs demandent seulement un peu de travail supplémentaire à votre appareil, sans jamais vous bloquer.
Les aperçus de liens sont récupérés par notre relais, qui ne garde aucun journal, donc les sites vers lesquels vous faites un lien ne voient jamais votre adresse IP, et ce dont vous affichez l’aperçu n’est pas lié à votre compte.
Notes techniques
Compteurs
par empreinte d’adresse (IPv4 /32, IPv6 /64), en mémoire, 1 heure au plus, jamais journalisés
Journaux des serveurs
une liste fermée de champs, sans jamais d’identifiants de compte, d’appareil ou de groupe, d’adresses IP ni de jetons ; gardés 7 jours sur nos propres machines ; aucun journal d’accès
Nous comptons des totaux, pas des personnes. Aucun traqueur, aucune trousse de mesure d’audience, et aucun journal d’activité par personne.
Comment : des totaux seulement, jamais liés à une personne, et nous ne nous en servons jamais pour cibler quelqu’un. Notre serveur les compte en faisant son travail.
Plantages : des rapports de plantage seulement si vous acceptez, avec un aperçu exact de ce qui quitte votre appareil.
Notes techniques
Comptes actifs
ceux du jour sont comptés en mémoire avec un sel détruit chaque jour ; sur une semaine ou un mois, à partir du dernier jour où chaque appareil a été actif ; seuls les totaux sont gardés
Totaux gardés
compteurs de santé du protocole ; comptes et appareils, en tout et actifs ; messages, paquets chiffrés, photos et fichiers qui passent chaque jour, et leur volume ; notifications envoyées et celles qui ont échoué ; aperçus de liens ; recherches de noms d’utilisateur ; inscriptions selon le type de vérification, et invitations à s’inscrire ; comptes supprimés ; nouveaux comptes encore actifs après 4 semaines et après 30 jours ; signalements reçus, et signalements de pourriel par tranche de 1 000 nouveaux comptes ; déroulement des récupérations ; tentatives bloquées par nos limites ; nombre de personnes qui utilisent plusieurs appareils, un ordinateur ou une sauvegarde du texte ; rapidité et erreurs ; jamais liés à une personne, gardés 13 mois
Comptés sur le moment
appareils connectés en ce moment ; appareils selon leur service de notifications (Apple, Google, un autre service ou aucun), à partir de ce que le serveur détient déjà pour envoyer les notifications ; rien de plus n’est gardé
Journaux des serveurs
une liste fermée de champs, jamais d’identifiants de compte, d’appareil ou de groupe, d’adresses IP ni de jetons ; gardés 7 jours sur nos propres machines ; aucun journal d’accès
Traces de panne
le trajet d’une requête dans nos serveurs, pour un petit échantillon (de 0,1 à 1 %), seulement pendant que nous réglons une panne ; la même liste fermée de champs que les journaux ; gardées 72 heures
Panel et rapports des admins
des totaux que les admins d’un groupe, ou les personnes qui se joignent à notre panel de recherche, choisissent de transmettre ; gardés 13 mois
Garde-fou
la compilation échoue si le serveur stocke un champ qui ne figure pas dans l’inventaire des données
Jamais
trousses de mesure d’audience ou de rapports de plantage d’autres entreprises, empreintes d’appareils, enregistrements d’activité par groupe ; les signaux de saisie et de statut en ligne sont laissés hors de tous les décomptes
Si quelqu’un prenait le contrôle de nos serveurs, ou nous forçait à collaborer, il n’y trouverait toujours aucune clé de vos messages. Pour lire quoi que ce soit, il faudrait tricher d’une façon que vous pouvez repérer, comme en substituant de fausses clés. Voici tout ce qui pourrait encore être tenté, et comment vous le verriez. Nous publions cette liste telle quelle.
1
Substituer de fausses clés lors d’un premier contact par nom d’utilisateur.
Comment vous le verriezComparer les codes de sécurité le révèle. Les liens et les codes QR portent une empreinte que l’application vérifie, donc ils ne sont pas touchés.
2
Inventer une réinitialisation ou une liste d’appareils.
Comment vous le verriezLes applications de vos contacts affichent un avertissement clair et attendent 7 jours d’elles-mêmes ; un seul « Ce n’était pas moi » de votre ancienne identité l’annule pour de bon. Le serveur pourrait aussi montrer des données différentes à différentes personnes.
3
Retirer des personnes ou cesser de livrer des messages.
Comment vous le verriezChaque application vérifie les retraits pour inactivité par rapport à ce qu’elle voit elle-même, donc écarter un membre actif se remarque.
4
Couper un groupe de tout le reste.
Comment vous le verriezSi le serveur montre des versions différentes d’un groupe à différents membres, c’est détecté, sauf s’il coupe complètement le groupe du reste ; des vérifications qui passent par vos autres conversations rendent cela plus difficile à cacher.
5
Se mettre à consigner des métadonnées, par exemple en vertu d’une ordonnance.
Comment vous le verriezVous pourriez ne pas le voir. C’est pourquoi nous publions ce que le serveur peut voir, et pourquoi nous ne détenons aucun contenu et aucune clé.
Ce qui lui reste impossible :
Ouvrir les messages scellés pour vos appareils.
Faire entrer quelqu’un dans votre groupe sans la signature d’un membre.
Le code qui scelle vos messages, c’est-à-dire le chiffrement, le protocole et le serveur, est publié. Tout le monde peut le lire et vérifier comment vos messages sont protégés. Il se trouve sur murmur.free/source.
Ce qui est publié, c’est le moteur de Murmur, le code qui décide de ce qui peut être lu, et par qui :
Le chiffrement qui scelle et ouvre vos messages sur vos appareils.
Le protocole, le format de tout ce que vos appareils envoient.
Le serveur, pour que tout le monde puisse vérifier ce qu’il garde et ce qu’il ne peut pas voir.
Le reste de l’application, ses écrans, n’est pas publié. Le moteur est accompagné de ses spécifications et de ses vecteurs de test, sous des licences de code ouvert.
Le nom et le logo de Murmur ne font pas partie des licences, donc une copie doit changer de nom.
Les contributions sont les bienvenues. Les personnes qui contribuent signent une entente de contribution. Elles gardent leur droit d’auteur, et ce qu’elles donnent reste à code ouvert.
Le code publié permet à tout le monde de lire le moteur et de le recompiler. Chaque version indique l’empreinte du moteur qu’elle contient, pour que des spécialistes puissent vérifier que l’application fait bien tourner le code publié. Voir « Vérifier votre téléchargement ».
Des firmes de sécurité indépendantes ont examiné la conception de Murmur, audité son code et tenté de s’y introduire. Chaque rapport est publié.
Une revue de conception demande à des spécialistes si le plan tient la route. Un audit demande si le code fait vraiment ce que dit le plan. Murmur est passé par les deux, avec deux revues de conception et deux audits.
Revues de conception
Comment notre serveur vérifie les modifications des groupes
Chaque mise à jour est signée par 2 de nos 3 clés de publication, détenues par 3 personnes différentes.
Dans l’application
9Versions vérifiables.
Un registre public pour les versions pour ordinateur de notre site et l’application Android en téléchargement direct, et l’empreinte du moteur publié dans chaque version.
Publié
10Rapports de transparence.
Les demandes reçues et les données remises, deux fois par année. Rapports publiés.
Nous utilisons des normes, pas des inventions, et des personnes répondent de chaque ligne. Des outils d’IA peuvent rédiger des ébauches de code, mais ce sont des personnes qui écrivent le protocole et les tests qui jugent ce code, et chaque changement délicat est approuvé par une ou un cryptographe.
Un vrai chiffrement dès la première ligne de code, donc il n’y a jamais eu de chemin non chiffré.
Des normes seulement, avec MLS pour les messages, OPAQUE pour la connexion et une base de données chiffrée sur vos appareils. Aucune cryptographie maison.
Les règles qui assurent la cohérence des groupes sont vérifiées par un modèle formel, et par des simulations où notre propre serveur se comporte mal exprès. Chaque décodeur est testé par fuzzing.
Les dépendances sont figées et examinées, et la publicité, la mesure d’audience et les trousses de rapports de plantage d’autres entreprises sont bloquées dans les applications.
Vous avez trouvé un problème de sécurité ? Écrivez à security@murmur.free. Merci de ne pas mettre les données de vraies personnes dans un signalement.
Nous suivons une politique de divulgation publique (en anglais), avec une divulgation coordonnée dans les 90 jours. Vous pouvez chiffrer votre signalement avec notre clé publique, aussi indiquée dans notre fichier security.txt.
Murmur vient seulement de murmur.free, de l’App Store et de Google Play. Tout le reste, ce n’est pas nous. Murmur ne vous demandera jamais votre mot de passe ni votre clé de récupération sur un site web ou dans un message.
D’où vient chaque version de Murmur
Plateforme
Où
iPhone
App Store
Android
Google Play, ou en téléchargement direct sur murmur.free
Windows
murmur.free
Mac
murmur.free
Nous utilisons une seule adresse web pour les téléchargements et les liens, et nous surveillons les adresses qui l’imitent.
Mises à jour : Murmur se met à jour tout seul, et vos discussions restent telles quelles. Pour voir votre version et ce que chaque mise à jour a apporté, allez dans Réglages › À propos de Murmur › Mises à jour.
Chaque mise à jour des applications pour ordinateur téléchargées sur notre site porte les signatures de 2 de nos 3 clés de publication, détenues par 3 personnes différentes. Pour certaines versions, vous pouvez aussi vérifier que vous avez reçu la même version que tout le monde. Les versions des magasins d’applications ne peuvent pas être vérifiées de cette façon.
Une version faite pour une seule personne serait détectable pour les versions pour ordinateur téléchargées sur notre site et pour l’application Android en téléchargement direct. Pas pour les versions iPhone ou Google Play.
Pourquoi pas partout : les magasins d’applications signent et livrent eux-mêmes ces versions, alors nous ne pouvons pas prouver ce qu’ils distribuent. L’application le dit aussi, dans son Centre de sécurité.
Deux protections : grâce aux signatures 2 sur 3, une seule clé volée ne suffit pas pour diffuser une mise à jour, et grâce au registre public, une version faite pour une seule personne se verrait.
Le moteur à l’intérieur : chaque version indique l’empreinte du moteur qu’elle contient, le code publié qui scelle vos messages. Des spécialistes peuvent recompiler le moteur à partir de ce code et vérifier qu’il correspond. Les versions faites par les magasins ne peuvent toujours pas être recompilées de façon indépendante.
Aucun code à distance : nous ne pouvons pas changer le code de l’application à distance. Les quelques réglages que nous pouvons modifier de notre côté peuvent seulement rendre les applications plus prudentes, jamais affaiblir le chiffrement.
Ce que vous pouvez vérifier, version par version
Version
Ce que vous pouvez vérifier
Windows
Mises à jour signées par 2 de nos 3 clés, un registre public et l’empreinte du moteur
Mac
Mises à jour signées par 2 de nos 3 clés, un registre public et l’empreinte du moteur
Android, depuis notre site
Signée avec notre propre clé, empreintes publiées, un registre public et l’empreinte du moteur
Google Play
Le magasin signe ces versions, donc elles ne peuvent pas être vérifiées de cette façon
iPhone
L’App Store signe ces versions ; nous publions le moteur et son empreinte
Comment vérifier
1
Passez par murmur.free.
L’application Windows ou Mac, ou l’application Android en téléchargement direct. Les versions des magasins d’applications ne peuvent pas être vérifiées de cette façon.
2
Comparez son empreinte.
Chaque version de notre site figure sur murmur.free/verify, avec son empreinte et son entrée dans le registre public. L’empreinte de votre téléchargement doit être la même.
3
Vérifiez dans l’application.
Dans Réglages › Centre de sécurité, « Vérifier cette version » montre comment votre version est signée et son entrée dans le registre public.
Notes techniques
Mises à jour
le programme de mise à jour pour ordinateur exige un manifeste signé par 2 clés Ed25519 sur 3, détenues par 3 personnes en 3 lieux ; il refuse les retours à une version antérieure et les manifestes expirés
Registre public
les applications refusent une version dont l’empreinte n’a pas de preuve d’inclusion dans un registre public où l’on peut seulement ajouter des entrées
Le moteur
le moteur publié peut être recompilé à partir de son code ; chaque version indique l’empreinte du moteur qu’elle contient, pour que des spécialistes puissent vérifier que l’application fait tourner le code publié
Android, depuis notre site
signée avec notre propre clé ; empreintes publiées sur murmur.free/verify
Réglages à distance
aucune mise à jour du code à distance ; les réglages que nous pouvons modifier de notre côté peuvent seulement rendre les applications plus prudentes
Ce site est fait de simples fichiers, hébergés par Cloudflare. Aucun témoin (cookie), donc aucune bannière de témoins. Aucune mesure d’audience, et aucune police, image ou script qui vienne d’un autre site.
Les nombres ci-dessous sont comptés par cette page pendant que vous la lisez.
0Requêtes externes
0Témoins
0Éléments dans ce navigateurSeulement votre choix de thème
Activez JavaScript pour voir le décompte en direct. De toute façon, la page ne charge rien qui vienne d’un autre site.
Hébergement : ce site est hébergé par Cloudflare. Pour vous envoyer une page, Cloudflare reçoit votre adresse IP et la page demandée, et s’en sert seulement pour livrer la page et protéger le site contre les attaques. Aucune mesure d’audience, aucun témoin, aucun traqueur, donc aucun visiteur n’est suivi. L’application Murmur ne passe jamais par Cloudflare, et elle ne parle qu’à nos propres serveurs.
Une ordonnance valide peut nous obliger à remettre ce que nous détenons sur un compte. Ce que nous détenons est minime, et rien n’y dit qui est une personne ni à qui elle parle. Nous ne détenons aucun contenu de message et aucune clé, donc ils ne peuvent pas être remis.
Pourrait être remis
Le nom d’utilisateur
Le jour de la création du compte (seulement le mois, après un an)
Son dernier jour d’activité
Ses appareils et leur type de plateforme
Les jetons de notification, qu’Apple ou Google peuvent relier à un compte
Les signalements d’abus et tout ce qui est préservé avec eux
Pas détenu
Le contenu des messages, photos et fichiers
Les clés et les mots de passe
Un nom, un numéro de téléphone ou un courriel
Les contacts et les blocages
À qui vous parlez, et qui fait partie de vos groupes
Votre statut en ligne
Les adresses IP
Les jetons de notification sont la seule exception, car Apple ou Google, et non nous, peuvent en relier un à un compte chez eux. La liste complète, et la façon dont nous répondons aux demandes, se trouvent dans nos Lignes directrices pour les forces de l’ordre.
Deux fois par année, nous publions un rapport de transparence, avec les demandes reçues et les données remises, par pays et par type.
L’endroit où se trouve un serveur ne change rien à ce qu’il peut révéler. Les nôtres, et leurs sauvegardes chiffrées, ne détiennent aucun contenu de message et aucune clé, et tout ce qu’ils voient d’autre figure dans le tableau complet.
Ce qui vous protège, c’est la conception, pas un lieu. Nous ne détenons aucun contenu de message et aucune clé, nous ne gardons aucune adresse IP, nos serveurs ne savent pas qui écrit à qui, et nous publions le reste. Une ordonnance, d’où qu’elle vienne, ne peut atteindre que ce qui figure dans le tableau complet.
Toute messagerie fait des compromis. Voici les nôtres, comparés aux messageries chiffrées les plus connues, pour montrer là où Murmur est plus fort, et là où il est plus faible.
Points forts
Aucun numéro de téléphone, sur aucune plateforme, iPhone compris.
Nos serveurs ne savent pas qui envoie un message ni qui fait partie d’un groupe, sans jamais vous demander votre numéro.
Des comptes qui peuvent vivre seulement sur un ordinateur.
Des outils de modération qui n’ont jamais besoin du contenu.
Des entrées dans les groupes vérifiées par leurs membres, et des ajouts qui demandent votre consentement.
Le code qui scelle vos messages est public, serveur compris.
Points faibles
Votre appareil signe vos messages, donc les personnes qui les reçoivent peuvent prouver qu’ils viennent de vous. Vous ne pouvez pas nier les avoir écrits.
Un premier contact trouvé par nom d’utilisateur repose sur la réponse de notre serveur, sauf si vous comparez vos codes de sécurité. Les liens et les codes QR, eux, sont vérifiés.
Le chiffrement protège vos messages en chemin et sur nos serveurs. Il ne peut pas protéger un appareil infecté ou déverrouillé par quelqu’un d’autre, ni empêcher la personne à qui vous écrivez de partager ce que vous avez dit.
Un appareil infecté, ou déverrouillé par quelqu’un d’autre.
La personne à qui vous écrivez, qui peut enregistrer, copier ou transférer ce que vous avez dit.
Le fait que votre connexion communique avec nos serveurs. Murmur ne le cache pas à votre réseau, mais vous pouvez vous connecter par un VPN ou par Tor.
Les traces que garde le système de votre téléphone, comme l’historique des notifications, la mémoire du clavier ou les fonctions d’IA intégrées.
Un compte dont le mot de passe et la clé de récupération sont tous deux perdus.
Si votre sécurité est en jeu.
Murmur cache ce que vous dites, et à qui vous le dites, même à nos serveurs. Le point faible, c’est généralement l’appareil, donc gardez-le verrouillé, et lisez « Ce qui reste sur votre appareil ».
Le sens, en mots simples, des mots employés sur ce site. Chaque terme mène à l’article qui l’explique le mieux.
Appareil
Un téléphone ou un ordinateur connecté à votre compte. Vous pouvez en avoir jusqu’à 5. Jusqu’à cinq appareils
Audit
Des spécialistes externes vérifient que le code fait vraiment ce que dit la conception. Les rapports d’audit de Murmur sont publiés. Revues et audits indépendants
Centre de sécurité
L’endroit, dans l’application, qui répond à la question « Mon compte est-il bien protégé ? » Le Centre de sécurité
Chiffrement de bout en bout
Les messages sont verrouillés sur l’appareil de la personne qui envoie, et déverrouillés seulement sur les appareils de la conversation. Les serveurs de Murmur ne peuvent pas les lire. Chiffrement de bout en bout
Clé
Un long nombre secret qui verrouille ou déverrouille les messages. Vos clés vivent sur vos appareils. Chiffrement de bout en bout
Clé de récupération
Une clé de 48 caractères, en 12 groupes de 4, que vous enregistrez depuis le Centre de sécurité, et qui servent de clé de secours à votre compte. Votre clé de récupération
Code de sécurité
Un code de 60 chiffres, ou un code QR, sur l’écran Code de sécurité, que vous comparez avec un contact pour vous assurer que personne ne s’est glissé entre vous. Vérifier à qui vous écrivez
Code ouvert
Du code que tout le monde peut lire, vérifier et recompiler. Le moteur de Murmur, le code qui scelle vos messages, est publié, serveur compris. Code ouvert
Coffre
Votre propre discussion, pour les notes, les photos et les fichiers que vous gardez et les messages que vous enregistrez. Personne d’autre que vous ne peut le lire. Coffre
Compilation reproductible
Recompiler du code publié et obtenir exactement le même fichier. Des spécialistes peuvent recompiler le moteur de Murmur et le comparer à l’empreinte qu’indique chaque version. Vérifier votre téléchargement
Demande de discussion
Une demande ou un premier message d’une personne que vous n’avez pas ajoutée, avec une note si elle en a écrit une. Elle attend dans Demandes de discussion jusqu’à ce que vous l’acceptiez, et cette personne ne peut pas savoir que vous l’avez vue. Comment on vous trouve
Empreinte
Un court résumé d’une clé, que l’application compare pour s’assurer que c’est la bonne. Vérifier à qui vous écrivez
Époque
Une version des clés d’un groupe. Elle change, avec de nouvelles clés, chaque fois que quelqu’un se joint au groupe ou le quitte. Comment Murmur chiffre, en détail
Exigé en justice
Se dit de ce qu’une ordonnance valide, d’un tribunal par exemple, peut nous obliger à remettre. Ce que la loi peut exiger
Lien de contact
Un lien que vous partagez pour qu’on puisse vous joindre. Il porte une empreinte que l’application vérifie. Comment on vous trouve
Messages éphémères
Des messages qui s’effacent d’eux-mêmes après le délai que vous choisissez, de 1 minute à 4 semaines. Supprimer des messages
Messaging Layer Security, une norme ouverte de l’IETF (RFC 9420) pour chiffrer les discussions de groupe. Murmur l’utilise pour chaque discussion. Comment Murmur chiffre, en détail
OPAQUE
Une façon de se connecter avec un mot de passe qui ne quitte jamais votre appareil (RFC 9807). Votre mot de passe
Passe communautaire
Un lien qui aide de nouvelles personnes à créer un compte Murmur. Il ne fait jamais entrer personne dans un groupe. Qui entre dans votre groupe
Période probatoire
Les 72 premières heures d’un nouvel appareil, pendant lesquelles il peut discuter, mais ne peut rien faire d’irréversible. Ajouter un appareil
Protection renforcée
Des réglages plus stricts en un seul interrupteur, donc personne ne peut vous trouver par nom d’utilisateur ni voir quand vous êtes en ligne, seules les personnes que vous avez ajoutées peuvent vous écrire, et les notifications n’affichent jamais de noms ni de messages. Le Centre de sécurité
Rapport de transparence
Un rapport que nous publions deux fois par année sur les demandes juridiques reçues et les données remises. Ce que la loi peut exiger
Remplissage
Du contenu ajouté pour que des messages de longueurs différentes aient la même taille, vus de l’extérieur. Comment Murmur chiffre, en détail
Revue de conception
Des spécialistes externes vérifient que le plan tient la route, avant que quiconque juge le code. Revues et audits indépendants
Une mise à jour n’est acceptée que si 2 de nos 3 clés de publication, détenues par 3 personnes différentes, l’ont signée. Vérifier votre téléchargement
Statut en ligne
Ce que les personnes avec qui vous discutez voient sous votre nom, « en ligne » ou depuis quand vous ne l’êtes plus (« en ligne il y a 5 minutes »). Vous choisissez qui le voit ; avec Personne, vos contacts ne voient qu’une heure approximative. Statut en ligne
Test d’intrusion
Des spécialistes tentent de s’introduire dans le système, comme le ferait une personne malveillante. Revues et audits indépendants
TLS
Le chiffrement standard des connexions sur Internet. Murmur l’ajoute autour de tout le reste, comme une couche de plus. Comment Murmur chiffre, en détail
Vérifié
Ce que vous marquez sur l’écran Code de sécurité une fois que le code correspond. Quand il est marqué des deux côtés, le cadenas de votre discussion passe au vert. Vérifier à qui vous écrivez
Verrou de l’app
Un deuxième verrou sur Murmur lui-même, avec un NIP de 6 chiffres ou Face ID, même quand votre téléphone est déverrouillé. Ce qui reste sur votre appareil