Membres et rôles
Le propriétaire invite les participants, gère les rôles prévus et peut retirer à un participant l’accès au Cercle.
Rôle et sécurité
Comprendre le propriétaire du Cercle.
Quelles décisions prend le propriétaire du Cercle, ce que ce rôle ne permet pas et ce qui se passe quand le propriétaire change.
Ce que contrôle le propriétaire
Un Cercle a toujours un seul propriétaire. Il peut gérer le Cercle depuis n’importe laquelle de ses connexions approuvées — téléphone ou navigateur.
Points d’entrée
Le propriétaire gère les invitations classiques, les liens invités et les autres modes d’entrée pris en charge par le Cercle.
Paramètres du Cercle
Le propriétaire modifie le nom et les règles disponibles du Cercle dans les limites imposées par le serveur.
Transfert de propriété
Le propriétaire peut transférer volontairement son rôle à un autre membre à part entière actif.
L’interface peut proposer de nouvelles fonctions au fil du temps, mais le rôle s’applique toujours à l’ensemble du Cercle, et non à une seule conversation ou connexion.
Ce que la propriété ne révèle pas
Devenir propriétaire ne transfère pas en soi les clés des conversations et n’ajoute pas cette personne à toutes les conversations existantes.
Conversations privées et de groupe
Le nouveau propriétaire ne peut lire que les messages dont il possède déjà les clés en tant que participant de ce chat.
Données sur les appareils
Un changement de rôle n’extrait aucune donnée des appareils des participants et ne révèle pas à distance les contenus qu’ils ont conservés.
Ce que voit le propriétaire
La composition, les rôles, les invitations et les connexions des participants : ce qu’il faut pour gérer le Cercle, mais pas leurs conversations.
Si le propriétaire est lui-même dans le chat
Si le propriétaire participe déjà à une conversation ou reçoit ses clés selon les règles normales d’adhésion, il en voit le contenu en tant que participant, et non en raison de son rôle de propriétaire.
Propriétaire du Cercle et administrateur du serveur
Deux rôles faciles à confondre. Une même personne peut tenir les deux, et c’est souvent le cas sur un Cercle auto-hébergé, mais les pouvoirs ne se recouvrent pas.
Le propriétaire décide qui est dedans
Membres, rôles, invitations, liens d’invité et réglages du Cercle. Ce pouvoir appartient à une identité et non à une machine, et il suit le Cercle même si celui-ci change de serveur. Le propriétaire signe la liste des participants, et chaque appareil en garde une copie vérifiée : le serveur ne peut pas ajouter discrètement une personne ni faire revenir une personne bloquée, y compris lors du déménagement du Cercle.
L’administrateur fait tourner la machine
Disponibilité, mises à jour, sauvegardes, reverse-proxy, journaux techniques. Les décisions d’infrastructure déterminent si le Cercle fonctionne, pas qui en fait partie.
Un administrateur ne peut pas s’emparer du Cercle
Le propriétaire ne change que si le propriétaire actuel signe lui-même le transfert. Le serveur rejette toute autre voie.
Où se situe le vrai pouvoir d’un administrateur
Il peut arrêter le serveur, ou en supprimer le Cercle entier. C’est destructeur et immédiatement visible par tous — ce qui n’est pas la même chose que prendre discrètement le contrôle d’un Cercle qui continue de fonctionner.
Aucun des deux rôles ne lit les contenus
Messages, fichiers et appels sont chiffrés avec des clés conservées sur les appareils des participants. Devenir propriétaire ne transmet pas les clés des conversations, et administrer le serveur n’y a jamais donné accès.
Le propriétaire peut partir
Un Cercle peut être déplacé vers un autre serveur à l’initiative de son propriétaire, sans le consentement de l’administrateur actuel. La confiance accordée à un administrateur reste révocable.
Ce qu’un administrateur voit bel et bien est énuméré point par point sur ce que le serveur sait.
Comment la propriété change
Il existe une seule méthode, et le Cercle la consigne dans un événement système visible par les participants.
Transfert volontaire
Le propriétaire actuel signe le transfert du rôle à un membre choisi. Il n’existe pas d’autre voie.
Aucune prise de contrôle administrative
Un administrateur de serveur ne peut ni désigner un propriétaire, ni créer un profil de remplacement, ni émettre un lien de récupération.
L’ancien propriétaire reste membre
Par défaut son identité devient un membre ordinaire. Si son accès est compromis, elle peut être désactivée séparément.
Les participants sont prévenus
Chaque propriétaire et membre actif, mais pas les invités, reçoit un événement nommant l’ancien et le nouveau propriétaire ainsi que l’heure.
Si un propriétaire a perdu l’accès à ses appareils, le rôle n’est pas réattribué à sa place : il restaure son profil depuis un paquet de récupération. Un changement de propriétaire déplace le rôle administratif mais ne transfère pas en soi les clés des conversations — voir « Ce que le propriétaire contrôle ».
Vous gérez un Cercle ?
Les tâches pratiques — création d’un Cercle, invitations, liens invités, connexions et maintenance — sont décrites dans un guide distinct.