Comment Moments protège les souvenirs de votre famille

1. La garantie fondamentale

Moments est construit autour d'une promesse : nos serveurs ne stockent que des données chiffrées et ne détiennent jamais de clé capable de déverrouiller vos contenus. Chaque photo, vidéo, légende, commentaire et réaction est chiffré sur votre appareil avant de le quitter, et ne peut être déchiffré que sur les appareils des personnes que vous avez choisies.

La conséquence est sans détour : une compromission complète de nos systèmes révélerait qui partage avec qui, quand et en quelle quantité — mais zéro contenu. Il n'existe aucune vue administrateur de vos photos, aucun outil de support capable d'ouvrir un moment, et rien d'exploitable à remettre en réponse à une demande légale de contenus.

Nos serveurs ne voient, ne stockent ni ne traitent jamais un moment lisible. Tout le chiffrement et le déchiffrement se font à l'intérieur des applications, sur les appareils de votre famille.

2. Nos principes de conception

• Le serveur ne se voit jamais confier vos contenus. Il stocke des données verrouillées et contrôle qui peut récupérer quoi — il n'est jamais en mesure de lire vos moments ni de créer des clés.
• L'accès, c'est de la cryptographie, pas des cases à cocher. Partout où c'est possible, « cette personne ne peut pas voir ceci » signifie qu'elle ne détient aucune clé pour l'ouvrir — et non qu'un paramètre dit non.
• Échec sécurisé. Dès qu'il existe le moindre doute sur le fait qu'une clé peut encore être utilisée en toute sécurité, l'application refuse de publier jusqu'à ce que ce doute soit levé — elle ne prend jamais le risque à votre place.
• Une archive, pas une messagerie. Moments est un registre familial permanent : les contenus doivent rester lisibles pendant des décennies et être récupérables sur de nouveaux appareils. Notre chiffrement est conçu pour la durabilité, pas pour des messages éphémères.
• Honnêteté sur les limites. Lorsque nous acceptons un compromis (et tout système réel en comporte), il est consigné dans ce document, pas dissimulé.

3. Comment vos moments sont protégés

• Chiffrés avant l'envoi. Chaque moment est chiffré sur votre appareil à l'aide d'un chiffrement conforme aux standards de l'industrie et largement audité — la même famille AES-256 à laquelle font confiance la banque et les administrations. Aucun algorithme maison, nulle part.
• Les clés restent dans votre famille. Les clés qui déverrouillent vos moments n'existent que sur les appareils de votre famille. Ce que nos serveurs détiennent, ce sont des coffres verrouillés qu'ils ne peuvent pas ouvrir.
• Chaque moment scellé individuellement. Chaque moment est protégé séparément, de sorte que même dans le pire cas imaginable, l'exposition se limiterait à un seul moment — jamais à l'ensemble de votre journal.
• Les altérations sont détectées. Toutes les données stockées sont authentifiées cryptographiquement : tout ce qui est modifié, tronqué ou recollé est détecté et refusé plutôt qu'affiché silencieusement.

4. Qui peut voir quoi

Un espace est accessible uniquement sur invitation, et l'invitation est la seule porte. À partir de là, l'accès est imposé par le chiffrement, pas par des paramètres :

• Retirer un membre le retire vraiment. Dès l'instant où quelqu'un est retiré, les nouveaux moments sont scellés avec de nouvelles clés qu'il ne reçoit jamais. Même s'il parvenait d'une manière ou d'une autre à obtenir les données stockées, rien de nouveau ne s'ouvrirait jamais pour lui.
• « Seulement à partir de maintenant » veut dire ce qu'il dit. Un membre invité sans l'historique ne peut pas lire les moments antérieurs — et nos serveurs ne lui livrent même jamais ces moments, il ne peut donc pas savoir combien il en existe, quand, ni de qui.
• Les audiences de groupe sont de vrais murs. Restreindre un moment aux « grands-parents uniquement » n'est pas un indicateur de visibilité : seuls les membres de ce groupe en reçoivent la clé. Pour tous les autres, le moment pourrait tout aussi bien ne pas exister — il est absent, pas caché.
• Les administrateurs conservent la supervision. Les administrateurs d'un espace gardent toujours la supervision de l'espace dont ils sont responsables, y compris des moments restreints.

5. Photos, vidéos & l'étiquette Sécurisé

• Les médias sont chiffrés comme tout le reste. Les photos et les vidéos — même longues — sont chiffrées sur votre appareil avant l'envoi et stockées sous une forme inviolable : couper, réordonner ou recoller le fichier stocké est détecté.
• Les vidéos n'existent jamais sans protection sur le disque. Les vidéos se lisent instantanément tout en restant chiffrées au repos ; elles ne sont déchiffrées qu'en mémoire sur l'appareil du spectateur, jamais écrites sous forme de fichier lisible.
• L'étiquette Sécurisé. Un moment marqué Sécurisé ne peut être ni enregistré, ni partagé, ni téléchargé par ceux qui le consultent, et ses médias n'existent jamais en clair dans le stockage de leur appareil.
• La capture d'écran est bloquée dans toute l'application. Sur Android, les captures d'écran sont refusées et les enregistrements restent vides. Sur Windows, l'application apparaît en noir dans les captures et les partages d'écran. Sur iOS, nous utilisons la même protection que celle sur laquelle s'appuie tout le secteur — avec une réserve honnête : iOS n'offre aucun moyen officiel de bloquer la capture, de sorte que si une future mise à jour d'iOS la désactivait, l'application perdrait simplement le blocage plutôt que de risquer d'afficher vos photos en vide. Nous le vérifions à chaque nouvelle version d'iOS.

6. Vos appareils & la récupération

• Un nouvel appareil doit être approuvé. Un nouveau téléphone ne peut pas simplement se connecter et lire vos espaces. L'un de vos appareils existants doit l'approuver, les deux écrans affichant un code de vérification identique — ce qui signifie aussi que personne, pas même nos propres serveurs, ne peut glisser un appareil imposteur dans votre compte.
• Tout perdre est une décision humaine, pas automatique. Une personne qui perd tous ses appareils repart de zéro, sans contenu. Un administrateur de l'espace doit personnellement confirmer la restauration de son accès — retrouver l'accès après une perte totale est traité comme une nouvelle admission.
• Les propriétaires détiennent une phrase de récupération. Les propriétaires d'espaces conservent une phrase de récupération de 12 mots qui peut restaurer leurs espaces sans aucun appareil survivant. L'application vérifie que vous l'avez réellement sauvegardée avant de s'y fier, et nous ne la voyons jamais.

7. Connexion

• Pas de mot de passe, nulle part. Vous vous connectez avec un lien à usage unique envoyé à votre adresse e-mail. Les liens expirent en quelques minutes et ne fonctionnent qu'une seule fois — il n'y a rien à réutiliser, à hameçonner ou à faire fuiter en cas de compromission.
• Les sessions sont de courte durée et tournent automatiquement. Se déconnecter met fin à la session sur nos serveurs, pas seulement sur votre appareil.
• Se connecter n'est pas la même chose que lire. Même une personne qui contrôlerait votre e-mail ne pourrait que se connecter en votre nom — elle ne pourrait rien déchiffrer, car son appareil devrait encore être approuvé par l'un des vôtres.

8. Traduction & chiffrement

Les familles écrivent dans des langues différentes, et Moments peut traduire les publications et les commentaires dans la langue de chaque lecteur. Partout où la plateforme le permet, cela se fait désormais sur l'appareil lui-même ; la traduction par IA dans le cloud est l'exception soumise à consentement, pas la règle :

• La traduction sur l'appareil (sur Android aujourd'hui) traduit localement, après un petit téléchargement de langue unique. Le texte ne quitte jamais l'enveloppe de bout en bout, et aucun tiers n'intervient.
• La traduction par IA dans le cloud couvre les plateformes qui ne disposent pas encore d'un moteur sur l'appareil, ainsi que l'étape facultative « Améliorer avec l'IA » sur tout résultat obtenu sur l'appareil. Votre appareil déchiffre le texte localement, et seulement ensuite le relaie, via une connexion chiffrée passant par nos serveurs, à un service de traduction par IA tiers. Nous ne journalisons ni ne stockons jamais le texte, et il n'est pas utilisé pour entraîner des modèles.
• Les traductions ne sont conservées que sur votre appareil, protégées au repos, et effacées lorsque vous vous déconnectez.
• Même les langues que parle votre famille ne sont pas quelque chose que nos serveurs peuvent lire.

9. Les limites, en toute honnêteté

Protégé contre

• Une compromission complète de nos serveurs ou de notre stockage — vos contenus sont chiffrés de bout en bout.
• Un hébergeur curieux ou contraint par la loi : il n'y a aucun contenu à voir et aucune clé exploitable à remettre.
• Un membre retiré qui lirait les moments futurs, même avec accès aux données stockées.
• Un membre invité sans l'historique qui accéderait aux moments passés — ou même apprendrait qu'ils existent.
• L'altération des contenus ou médias stockés — les modifications sont détectées et refusées.
• Les fuites de type « base de données de mots de passe » — il n'y a pas de mots de passe.

Compromis acceptés, consignés

• La date à laquelle un moment s'est produit est visible par nos serveurs. C'est le compromis délibéré qui alimente le filtre par âge et la chronologie. La date de naissance de votre enfant reste chiffrée, de sorte qu'une date ne devient jamais un âge ailleurs que sur les appareils de votre famille.
• Les commentaires ajoutés à d'anciens moments. Un membre retiré qui aurait conservé son appareil pourrait — uniquement si nos données stockées étaient également compromises — lire les commentaires ajoutés ultérieurement aux moments qu'il possédait déjà. Nos serveurs les lui refusent dès l'instant où il cesse d'être membre ; cette exception requiert une compromission en plus.
• L'étiquette Sécurisé elle-même est visible — l'application doit savoir qu'un moment est Sécurisé avant de le déverrouiller. Elle ne révèle que ce seul fait et aucun contenu.
• La traduction par IA dans le cloud transite en clair pendant l'appel — sur activation explicite et divulguée (section 8) ; la traduction sur l'appareil n'est pas concernée.

Non protégé contre

• Un appareil de membre compromis. Un appareil capable de vous montrer une photo détient nécessairement ce qu'il faut pour la déchiffrer. C'est inhérent à tout système chiffré de bout en bout.
• Les métadonnées. Qui partage avec qui, quand, à quelle fréquence et en quelle quantité — visibles par nos serveurs, comme dans pratiquement tous les systèmes concrets.
• Un second appareil photo pointé vers un écran.

10. Et ensuite

• La traduction sur l'appareil sur davantage de plateformes — livrée sur Android, où le texte ne quitte jamais l'enveloppe chiffrée ; nous apportons la même traduction locale à nos autres plateformes, afin que le compromis décrit à la section 8 disparaisse partout.
• Renforcement continu — nous continuons de renforcer la manière dont les appareils et les clés sont vérifiés les uns par rapport aux autres, et nous réexaminons ces protections à chaque nouvelle version de plateforme.

Ce livre blanc est mis à jour chaque fois que nos protections changent. Si vous pensez avoir découvert une vulnérabilité dans Moments, nous voulons le savoir : security@momentsapp.eu.