Il y a une phrase que nous répétons souvent quand nous parlons de Cashfulness.
« Nous ne voyons pas vos documents. »
C'est une phrase facile à dire. Beaucoup d'applications la disent.
Ce qui compte, c'est ce qu'il y a sous cette phrase. Parce que « nous ne les regardons pas » et « nous ne pouvons pas les regarder » sont deux promesses très différentes.
La première est une promesse de bonne volonté : faites-nous confiance, nous ne le faisons pas.
La seconde est une promesse d'impossibilité : même si nous le voulions, nous ne le pourrions pas.
Dans Cashfulness, pour les documents que vous chargez, c'est la seconde qui vaut. Et le mot technique qui la rend vraie s'appelle chiffrement de bout en bout.
En anglais, vous le trouvez abrégé en E2EE, de end-to-end encryption : le chiffrement « d'un bout à l'autre ».
Je sais que cela sonne comme un mot d'informaticien. Promis : à la fin de cet article, vous l'aurez compris même si vous n'avez jamais écrit une ligne de code de votre vie. Et vous aurez compris pourquoi, pour une application où vous gardez les chiffres de la maison, c'est un choix qui change tout.
D'abord, les mots justes
Partons du verbe. Chiffrer un fichier signifie le transformer en une suite illisible.
Non pas le cacher derrière un mot de passe qui demande « laissez-moi entrer ». Le transformer pour de bon : prendre le texte, les chiffres, les images, et les réduire à un bloc de caractères qui ne veulent rien dire pour qui n'a pas la bonne clé.
Ce qui ramène ce bloc à sa forme lisible s'appelle une clé. C'est un morceau d'information — imaginez un mot de passe très, très long et engendré par l'ordinateur — sans lequel le fichier reste du bruit.
On chiffre avec la clé. On déchiffre avec la clé. Sans clé, c'est un mur.
Gardez ces deux mots en tête — chiffrer et clé — parce que tout le reste tourne autour de l'endroit où vit la clé.
Le coffre-fort à la banque
Je prends l'exemple qui, à mon avis, éclaire tout.
Vous voyez les coffres-forts que l'on loue à la banque ? Ceux où les gens mettent des documents importants, quelques bijoux, les choses qu'ils ne veulent pas garder chez eux.
Ils fonctionnent ainsi.
La banque vous offre une chambre forte blindée, surveillée, à l'épreuve des voleurs. À l'intérieur se trouve votre coffre.
Mais la clé de votre coffre, c'est vous qui l'avez. Vous seul.
La banque garde la chambre forte. Elle ne peut pas ouvrir votre coffre. Elle n'a pas la clé. Si demain un employé malhonnête voulait y jeter un œil, il ne le pourrait pas : la serrure ne s'ouvre pas sans votre clé. Si des voleurs entraient et emportaient toute la chambre forte, ils se retrouveraient avec une boîte en métal fermée qu'ils ne savent pas ouvrir.
La banque vous offre un service — la sécurité de la chambre forte — sans exiger l'accès à ce que vous y mettez.
Le chiffrement de bout en bout, c'est exactement cela, appliqué aux fichiers numériques.
Cashfulness est la banque : il vous offre la chambre forte, c'est-à-dire nos serveurs, où vos documents sont conservés.
Vous êtes le seul à avoir la clé du coffre.
Et nous, comme la banque, nous gardons sans pouvoir ouvrir.
Ce qui se passe, en pratique, quand vous chargez un document
Admettons que vous vouliez garder dans Cashfulness le relevé de votre banque, une facture d'électricité, le bail, une police d'assurance.
Ce sont les documents que vous pouvez charger dans Cashfulness : relevés, factures, contrats, polices. Des choses pleines de données à vous — nom complet, adresse, IBAN, montants, contreparties.
Voici la séquence.
Vous choisissez le fichier sur votre téléphone ou sur votre ordinateur.
Avant qu'il ne parte, encore sur votre appareil, le document est chiffré. Il devient ce bloc de bruit dont je parlais.
Ce n'est qu'ensuite, déjà chiffré, qu'il voyage vers nos serveurs.
Sur le serveur arrive du bruit. Sur le serveur reste du bruit.
Quand c'est vous qui voulez le relire, le document revient sur votre appareil encore chiffré, et là — seulement là, avec votre clé — il redevient lisible.
Le moment du chiffrement est la partie importante : il a lieu chez vous, avant le départ. Pas « une fois arrivé sur le serveur, nous le fermons à clé pour vous ». Cela reviendrait à la banque qui garde une copie de votre clé dans le tiroir du directeur.
Non. La clé, nous ne l'avons jamais. Elle naît chez vous et elle reste chez vous.
Où vit votre clé
Question légitime, à ce stade : et si je perds cette fameuse clé ? Où est-ce que je la garde ?
La clé de vos documents naît de deux choses qui sont à vous.
La première est votre mot de passe, celui avec lequel vous entrez dans Cashfulness.
La seconde est une suite de 24 mots que vous recevez quand vous activez cette protection. C'est un système utilisé ailleurs aussi pour garder les clés les plus délicates — ce sont vingt-quatre mots courants, dans un certain ordre, qui valent ensemble comme une clé maîtresse de récupération.
À partir de ces deux choses, sur votre appareil, est construite la clé qui chiffre et déchiffre vos documents.
Et voici le point qui vaut tout l'article : cette clé ne quitte jamais votre appareil.
Elle ne transite pas par nos serveurs. Nous ne l'enregistrons nulle part. Nous ne la voyons pas passer.
C'est comme si la clé du coffre était forgée chez vous, par vous, et n'en sortait jamais. La banque ne l'a jamais vue, pas même un instant.
Pour nos serveurs, je le répète, chacun de vos documents est et reste un bloc de bruit numérique.
Qui ne peut pas lire vos documents (c'est-à-dire : tout le monde sauf vous)
Je vais essayer d'être explicite, parce que c'est en général ici qu'une promesse de confidentialité tient ou se dégonfle.
Vos documents chargés, nous qui avons construit Cashfulness, nous ne pouvons pas les lire. Il n'y a pas quelque part un panneau où l'un de nos techniciens ouvre votre police d'assurance. Techniquement, cela n'existe pas, parce que nous n'avons pas la clé.
Ceux qui gèrent les serveurs sur lesquels tournent les données ne peuvent pas les lire.
Un attaquant qui violerait un jour nos systèmes et emporterait tout ne pourrait pas les lire : il se retrouverait avec du bruit, des fichiers inutilisables.
Et nous ne pourrions pas les remettre lisibles même si une autorité nous les demandait formellement, parce que nous ne les avons pas en clair. Nous ne pouvons remettre que le bruit que nous gardons.
La phrase « nous ne voyons pas vos documents », arrivés là, cesse d'être une gentille réassurance.
Elle devient la description technique d'un fait.
Nous ne les voyons pas parce que nous ne pouvons pas. C'est différent.
Le revers de la médaille (et je préfère vous le dire moi-même, avant)
Une protection aussi serrée a un prix, et il serait malhonnête de le cacher.
Si vous perdez votre mot de passe et que vous perdez aussi vos 24 mots de récupération, vos documents deviennent illisibles. Pour toujours. Pour nous aussi.
Il n'y a pas de bouton « j'ai tout oublié, renvoyez-moi mes fichiers ». Il n'existe aucun technicien de chez nous qui puisse rentrer par la fenêtre et vous les récupérer.
Revenons au coffre à la banque : si vous perdez votre clé et que personne d'autre n'en a de copie, tout reste à l'intérieur du coffre, mais plus personne ne l'ouvre.
Je comprends que, dit comme cela, cela puisse angoisser un peu. Mais regardez-le de l'autre côté, qui est la raison pour laquelle nous avons fait ce choix.
S'il existait quelque part une « copie de sauvegarde » de votre clé — sur notre serveur, dans le tiroir du directeur — cette copie serait le point faible de tout le système. Ce serait la chose qu'un attaquant chercherait en premier. Ce serait la porte qu'une autorité pourrait nous demander d'ouvrir. Ce serait le fichier qu'un employé malhonnête pourrait se copier.
Une clé qui n'existe que sur votre appareil, cette porte, tout simplement, elle ne l'ouvre pas.
Nous avons choisi de vous donner le contrôle entier — avec le poids que cela comporte — plutôt que de nous garder un raccourci qui, tôt ou tard, serait devenu le trou dans le barrage.
Le geste pratique que nous vous demandons en échange est unique : gardez vos 24 mots comme vous garderiez le titre de propriété de votre logement. Écrits, dans un endroit sûr, loin des regards. Pas dans un e-mail que vous vous envoyez à vous-même, pas dans une note sur le téléphone. Ces 24 mots sont la copie de secours de votre clé. Gardez-les comme vous gardez les choses qui comptent.
Une précision honnête : ici, l'E2EE couvre les documents
Je ne veux pas vous vendre plus qu'il n'y a, parce que ce serait le contraire de tout cet article.
Le chiffrement de bout en bout dont je vous ai parlé protège les documents que vous chargez : relevés, factures, contrats, polices. Ce sont eux le niveau le plus délicat, et c'est là que nous avons mis la serrure la plus serrée.
Vos données comptables proprement dites — les comptes, les soldes, les mouvements qui forment votre point, c'est-à-dire votre patrimoine net — suivent en revanche une logique différente.
Elles vivent dans une base de données à nous, sur des serveurs européens, et elles sont en clair côté serveur. C'est un choix technique nécessaire : elles servent à tenir votre comptabilité alignée entre le téléphone et l'ordinateur, et à calculer en temps réel les indicateurs que nous vous montrons. Les chiffrer exactement comme les documents rendrait l'application extrêmement lente et, de fait, inutilisable.
Mais — et voici le morceau que beaucoup n'attendent pas — ces chiffres voyagent sans votre biographie attachée.
Quand vous vous inscrivez, nous vous demandons un pseudonyme (celui que vous voulez, même inventé), une adresse e-mail et un mot de passe. Nous ne vous demandons ni nom, ni prénom, ni numéro fiscal, ni date de naissance, ni adresse, ni téléphone.
Ainsi, même quelqu'un qui aurait accès à la base de données verrait un pseudonyme quelconque avec des comptes, des soldes, des mouvements — mais sans aucun moyen de relier ces chiffres à la personne réelle que vous êtes.
Sur le fonctionnement de cette seconde couche, et sur les raisons pour lesquelles nous l'avons construite sur deux niveaux plutôt qu'un, il y a un article dédié : Confidentialité radicale : deux niveaux, une seule promesse. Ici, je m'arrête, parce que le sujet du jour, c'est la clé du coffre.
Le point que je tenais à fixer est celui-ci : quand nous disons que le chiffrement de bout en bout rend vos documents illisibles, nous parlons des documents. Sur le reste vaut une protection différente, tout aussi sérieuse. Et je préfère vous le dire moi-même avec précision, plutôt que de vous laisser croire à un chiffrement magique qui couvrirait tout.
Pourquoi nous y tenions, à ce point
Je pourrais m'arrêter là, sur la technique. Mais la technique, à elle seule, n'est pas la raison.
La raison, c'est que les finances personnelles sont l'endroit où vous gardez les choses dont vous ne parlez pas volontiers, même avec des amis. Combien vous gagnez vraiment. Combien vous avez mis de côté, ou combien peu. Une dette qui pèse.
Si, dès que vous ouvrez une application de ce genre, il vous reste au fond le doute que quelqu'un, quelque part, pourrait y jeter un œil, cette application ne vous donnera jamais la chose pour laquelle elle existe.
Nous, cette chose, nous l'appelons le calme. The calm side of money, le côté calme de l'argent. Et le calme, si vos chiffres ne sont pas vraiment en sécurité, n'est qu'un mot sur le site.
Le chiffrement de bout en bout sur les documents n'est pas un trophée technique à mettre en vitrine. C'est le plancher sur lequel repose tout le reste : sans lui, les indicateurs et votre point sont des meubles posés sur le vide.
C'est pour cela que nous l'avons écrit dans les fondations, et non ajouté après coup comme un interrupteur de plus.
En une ligne
Je vous la laisse dans la forme la plus courte que j'aie.
Vos documents, vous les enfermez dans un coffre. La clé du coffre, vous êtes seul à l'avoir, et elle ne sort jamais de votre appareil. Nous, nous gardons le coffre fermé, et nous ne pouvons pas l'ouvrir.
Non parce que nous avons promis d'être sages.
Parce que nous nous sommes privés, exprès, de la possibilité de ne pas l'être.
— Vittorio