Aucun nom
Le nom d’un participant est stocké dans une carte de profil chiffrée que seuls les participants du Cercle peuvent ouvrir. Le serveur ne voit pas le nom et ne peut pas l’enregistrer en clair : la base de données elle-même l’interdit.
Données du serveur
Ce que le serveur sait de vous.
Un serveur de Cercle a besoin de juste assez pour décider qui peut se connecter et où livrer. Il n’est pas conçu pour savoir qui vous êtes ni ce que vous avez dit. Voici concrètement ce qu’il stocke et ce qu’il ne peut pas voir.
Pour le serveur, vous êtes une clé publique
Une identité Circlus est une paire de clés créée sur votre propre appareil. Le serveur en reçoit la moitié publique, et rien d’autre sur la personne à qui elle appartient.
Ni téléphone, ni e-mail
Circlus ne demande ni l’un ni l’autre, et le schéma n’a nulle part où les mettre. Rien ne relie une identité de Cercle à un annuaire public ou à un compte ailleurs.
Ce qu’une clé révèle malgré tout
La même clé publique apparaît dans tout ce que fait ce participant : un administrateur voit donc qu’un membre a envoyé un message, participé à un appel et validé une nouvelle connexion. Qui est ce membre, la clé ne le dit pas.
Les rôles sont visibles
Le serveur sait si une identité est propriétaire, membre ou invitée, car c’est lui qui fait respecter ce que chacun a le droit de faire.
Ce que le serveur conserve bel et bien
Chaque élément sert l’une de deux tâches : décider qui peut se connecter, et livrer au bon endroit.
- Les clés publiques et identifiants des participants et des connexions qu’ils ont validées — téléphones, tablettes, navigateurs.
- La composition du Cercle : quelles identités en font partie, qui a invité qui, et quand.
- Les règles d’accès : propriétaire, membre ou invité, quotas d’invitations, droits sur les liens d’invité.
- L’état de livraison : entre quelles identités circulent des messages, à quelle heure, combien, et quelle est la taille des pièces jointes.
- Les métadonnées d’appel : qui a appelé qui, quand, combien de temps, et les relevés de qualité de connexion.
- L’adresse IP et la signature du navigateur d’une demande d’ajout d’une nouvelle connexion, pour que le propriétaire voie d’où elle vient avant de la valider.
- Les textes chiffrés : messages, fichiers, noms, statuts, titres de canaux. Conservés et livrés, jamais lisibles.
Qui voit la partie conservée
Tout ce qui figure dans les listes ci-dessus est visible par celui qui administre le serveur, ainsi que les adresses IP depuis lesquelles les participants se connectent et l’heure de ces connexions, que tout serveur voit. C’est pourquoi choisir un administrateur est une décision de confiance et non une formalité.
Sur votre propre VPS
L’administrateur, c’est vous, et Circlus n’a aucun accès à votre serveur. Mais le fournisseur auprès duquel vous louez le VPS peut techniquement voir la même chose : le disque et le réseau sont à lui.
Sur le serveur d’un proche, d’une entreprise ou le nôtre
Celui qui tient le serveur voit tout ce qui est listé, y compris dans ses sauvegardes. Si le serveur est le nôtre, l’administrateur est l’auteur de Circlus, avec exactement cette visibilité et pas davantage.
Sur votre propre VPS installé par un spécialiste
Tant que le spécialiste a un accès, il est administrateur, avec les mêmes possibilités et pas davantage. Après l’installation, fermez son accès : changez le mot de passe ou la clé SSH et le mot de passe du panneau du fournisseur, et vérifiez dans la liste des participants que le propriétaire du Cercle, c’est vous.
Les métadonnées ne sont pas rien
Qui parle à qui, à quelle fréquence et quand, c’est aussi une information, et nous ne le cachons pas. Nous n’affirmons qu’une chose : elle ne contient ni contenu ni vrais noms.
Propriétaire et administrateur sont deux rôles distincts dont les pouvoirs ne se recouvrent pas. La différence est exposée sous propriétaire du Cercle et administrateur du serveur.
Ce qu’un administrateur ne peut pas faire
Cela ne repose pas sur l’honnêteté de l’administrateur : ce sont les applications des participants qui vérifient, pas le serveur.
Lire vos conversations
Les clés des messages, des fichiers et des appels n’existent que sur les appareils des participants. Le serveur ne les reçoit qu’à l’intérieur d’une sauvegarde chiffrée du profil, qu’il ne peut pas ouvrir.
Remplacer l’application
L’application officielle se charge depuis web.circlus.org ou une boutique d’applications, pas depuis le serveur du Cercle. L’administrateur du serveur ne peut donc pas modifier le code qui chiffre les messages.
Ajouter quelqu’un ou s’emparer du Cercle
Chaque changement de composition est signé, par le propriétaire ou par une invitation émise par un participant, et les appareils vérifient les signatures. Le serveur ne peut pas ajouter discrètement un inconnu, faire revenir une personne bloquée ni désigner un autre propriétaire.
Ce qu’il peut tout de même faire
Arrêter le serveur ou supprimer le Cercle. Tout le monde s’en aperçoit aussitôt, mais on ne peut pas l’empêcher. Gardez donc un autre moyen de joindre les participants, et choisissez un administrateur à qui vous faites confiance au moins pour cela.
Une réserve : la première fois que vous rencontrez quelqu’un qui n’est pas encore dans vos contacts, le serveur pourrait en théorie glisser une autre clé. C’est pourquoi l’application vous demande alors de comparer les données du profil — voir la vérification du profil.
Un Cercle n’est pas enfermé dans son serveur
La confiance accordée à un administrateur reste révocable, parce que le Cercle peut partir.
Le propriétaire lance le déplacement
Un déplacement est lancé par le propriétaire du Cercle depuis les réglages du Cercle. L’autorisation nécessaire vient de l’administrateur du serveur de destination. Le consentement de l’administrateur du serveur actuel n’est pas demandé.
Ce que cela garantit et ce que cela ne garantit pas
Un administrateur ne peut pas retenir un Cercle en refusant l’autorisation. Le serveur actuel doit toutefois fonctionner pour exporter l’instantané : cela vous protège d’un administrateur peu coopératif, pas d’une machine éteinte.
La procédure exacte et les données qui ne survivent pas à un déplacement sont décrites dans le guide de déplacement d’un Cercle.
Ne nous croyez pas sur parole
Chaque affirmation de cette page se vérifie sans faire confiance à ceux qui l’ont écrite.
Le serveur est open source
L’intégralité du code du serveur est publiée. Chacun peut lire comment une requête est traitée et ce qui finit par être consigné.
Le schéma est dans le dépôt
L’interdiction de stocker noms et statuts en clair est inscrite dans le schéma de la base de données lui-même, pas seulement dans le code. Le schéma est publié avec le serveur.
Circle Inspector
Le propriétaire peut accorder un accès temporaire pour consulter les enregistrements qui existent réellement pour son Cercle — à lui-même, à un autre membre, ou à un spécialiste qui l’aide.
Dépôt du serveur : github.com/circlus-org/circlus-server. Inspector : inspector.circlus.org.