Sans jargon : ce que fait vraiment l'application avec vos mots de passe et vos codes, et pourquoi c'est différent d'un coffre-fort classique.
La plupart des gestionnaires de mots de passe stockent une copie chiffrée de votre coffre sur les serveurs de l'éditeur. Vaultige ne le fait pas : il n'existe aucun serveur Vaultige. Vos fiches restent sur votre téléphone, et la synchronisation entre vos appareils passe uniquement par un service que vous possédez déjà.
Un code de vérification à 6 chiffres (2FA) n'est pas un secret transmis par un serveur : il est calculé directement sur votre appareil, à partir d'une clé secrète stockée localement et de l'heure actuelle (norme TOTP) ou d'un compteur (norme HOTP). Aucune connexion internet n'est nécessaire pour générer un code, et aucune clé secrète ne quitte jamais votre téléphone pour ce calcul.
Sur iOS, vos fiches se synchronisent via le trousseau iCloud d'Apple : le même système qui protège déjà vos mots de passe Safari, chiffré de bout en bout par Apple. Sur Android, la synchronisation utilisera votre propre compte Google Drive : vos données seront chiffrées par Vaultige avant l'envoi, de sorte que Google stocke un fichier qu'il ne peut pas lire.
Le bouton de vérification de fuite ne transmet jamais votre mot de passe, ni même une empreinte complète de celui-ci. Vaultige calcule un hash du mot de passe, puis n'envoie que les 5 premiers caractères de ce hash au service Have I Been Pwned (technique appelée k-anonymity) : le service compare ce fragment contre sa base de fuites connues et renvoie une liste de correspondances possibles, sans jamais savoir quel mot de passe exact vous avez vérifié.
L'accès au coffre est protégé par Face ID (ou l'équivalent biométrique) avant tout affichage d'un mot de passe ou d'un code. Le délai avant reverrouillage automatique se règle selon vos préférences.
L'export du coffre génère un fichier chiffré par mot de passe (AES), que vous stockez où vous voulez : Vaultige n'y a jamais accès une fois le fichier créé.
Pour toute question sur ces garanties : contact@breizhzion.com. Le détail complet des traitements est disponible dans la politique de confidentialité.