Synchronisation multi-appareils

La fonctionnalité : le même coffre de mots de passe sur plusieurs appareils

Vous avez des centaines de mots de passe et plusieurs Macbook, iPhone, iPad, PC ? Activez la synchronisation entre appareils. Tous vos mots de passe sur tous vos appareils, en toute sécurité.

Le modèle : un relais aveugle, pas une base de données cloud

La plupart des gestionnaires de mots de passe synchronisent en téléversant votre coffre (chiffré) vers la base de données cloud d’une entreprise. MyPwdTool fonctionne différemment : il n’existe aucune base de données centrale de coffres. Vos appareils se parlent directement entre eux via un petit serveur relais dont le seul rôle est de transmettre des messages chiffrés — il n’a aucune notion de « coffre », de « mot de passe », ni même de « compte utilisateur ».

Le relais ne voit que :

• Des identifiants d’appareil et de boîte de réception aléatoires et pseudonymes (aucun nom, aucun e-mail, aucun compte qui leur soit lié)
• Des blocs de messages chiffrés opaques qu’il ne peut pas déchiffrer
• Les métadonnées de routage strictement nécessaires pour livrer chaque message au bon appareil

Il ne voit jamais, et ne peut structurellement jamais voir, la clé de chiffrement qui permettrait de lire ces messages — car cette clé est générée sur vos propres appareils et échangée directement entre eux, jamais via le relais (voir ci-dessous).

Le code source du relais est public et ouvert à un examen indépendant sur github.com/ThibaultDucray/e2eerelay — c’est un choix de conception délibéré : vous ne devriez pas avoir à croire un fournisseur sur parole quant à ce que son serveur voit ou ne voit pas.

Le relais lui-même fonctionne sur Clever Cloud, une plateforme cloud française.

Créer un groupe (avant d’appairer quoi que ce soit)

Avant de pouvoir appairer des appareils entre eux, l’un d’eux doit d’abord démarrer — ou « créer » — le groupe de synchronisation que les autres rejoindront ensuite. Voyez cela comme une préparation de votre coffre en vue du partage, pas encore comme l’ajout d’un second appareil.

1. Sur l’appareil dont vous voulez partager le coffre, ouvrez Synchronisation dans les Réglages.
2. Choisissez « Créer un groupe ». Cela fait du coffre de cet appareil le premier membre d’un tout nouveau groupe de synchronisation, prêt à accueillir d’autres appareils.

Créer un groupe est la seule étape payante de tout le processus — voir Abonnement & Tarifs. Vous ne le faites qu’une seule fois, sur la plateforme depuis laquelle vous êtes abonné (Apple, Google Play, ou Lemon Squeezy sur Windows) ; chaque appareil qui rejoint ensuite le groupe le fait gratuitement (voir « Ajouter un appareil » ci-dessous), quelle que soit sa propre plateforme.

Ajouter un appareil (appairage)

1. Sur un appareil déjà dans votre groupe de synchronisation, ouvrez Synchronisation et choisissez « Ajouter un appareil ». Vous obtenez un QR code (et une clef que vous pouvez copier et coller sur l’autre appareil s’il n’a pas d’appareil photo).
2. Scannez ce code sur le nouvel appareil (ou collez la clef copiée).

Gardez ce QR code et cette clé secrets. Ils ne changent pas pendant toute la durée de vie du groupe : toute personne qui les voit — une capture d’écran, une photo, un regard indiscret par-dessus votre épaule — pourrait s’en servir pour rejoindre votre groupe de synchronisation. Traitez-les comme un mot de passe : ne les montrez ou ne les scannez qu’en tête-à-tête entre vos propres appareils, et ne les publiez, n’envoyez ni ne laissez jamais visibles quelque part où quelqu’un d’autre pourrait tomber dessus.

Si jamais ils venaient à être révélés, le seul moyen de les changer est de désactiver la synchronisation sur tous les appareils, puis de créer un tout nouveau groupe et d’y appairer à nouveau vos appareils. Toutes les entrées existant avant la désactivation de la synchronisation sont conservées sur chaque appareil et sont à nouveau partagées avec le groupe une fois l’appairage fait — sans aucun risque de doublons.

La clé de chiffrement qui protège vos données synchronisées est générée sur votre appareil et ne transite que par cet échange QR direct, de main à main entre vos propres appareils. Elle ne touche jamais le relais. Une fois qu’un appareil rejoint le groupe, il se présente à tous les autres appareils déjà présents, de sorte qu’une famille de 3, 4 ou 10 appareils reste un seul groupe entièrement connecté — pas une chaîne qui se brise si un appareil se trouve hors ligne.

Sur la ligne de chaque appareil de votre groupe de synchronisation, vous remarquerez aussi un petit bouton de pause orange à côté du bouclier rouge de révocation. Celui-ci met cet appareil en pause temporairement : votre appareil cesse simplement de lui envoyer de nouvelles mises à jour jusqu’à ce que vous appuyiez à nouveau dessus pour reprendre (il devient un bouton de lecture vert) — rien n’est supprimé, aucune clé de chiffrement n’est renouvelée, et vous continuez à recevoir normalement les mises à jour de cet appareil entre-temps. C’est un choix local et réversible qui n’affecte que la façon dont cet appareil-ci traite cet appareil précis, pratique lorsque vous savez qu’un appareil sera hors ligne ou injoignable pendant un moment et que vous ne voulez pas vous embêter avec un retrait complet pour autant.

Désactiver la synchronisation (quitter un groupe de synchronisation)

Si vous voulez simplement que l’appareil actuel arrête de synchroniser — par exemple avant de le revendre, ou parce que vous ne voulez plus que ce coffre particulier soit partagé — désactivez la synchronisation sur cet appareil (Réglages › Synchronisation › « Désactiver la synchronisation »). C’est la façon sûre et courante de déconnecter un appareil du groupe :

• Les données de votre coffre restent exactement telles quelles sur cet appareil — rien n’est supprimé, rien n’est effacé.
• Cet appareil quitte le groupe et oublie la clé de chiffrement partagée, de sorte qu’il ne peut plus déchiffrer le trafic de synchronisation à venir, et cesse d’envoyer ses propres modifications au reste du groupe.
• Chaque autre appareil du groupe est notifié et fait tourner la clé partagée, exactement comme pour un retrait d’appareil classique (voir ci-dessous) — le groupe continue sans vous.

Utilisez ceci chaque fois que l’appareil est entre vos mains et que vous pouvez agir directement dessus. C’est l’inverse du « retrait forcé » ci-dessous, qui est destiné à un appareil auquel vous ne pouvez plus faire confiance ou que vous ne pouvez plus joindre.

Retirer de force un appareil (en cas d’urgence)

On parle ici du bouclier rouge de révocation.

Ceci est la zone dangereuse, réservée à un appareil sur lequel vous ne pouvez plus agir directement — perdu, volé, ou l’appareil d’un membre de la famille ou de l’équipe auquel vous ne faites plus confiance. Contrairement à la désactivation de la synchronisation ci-dessus, il s’agit ici d’une action que vous effectuez sur un autre appareil, depuis un appareil que vous contrôlez encore, sans la coopération de son propriétaire. N’y recourez que dans cette situation ; pour un appareil que vous détenez encore, désactiver directement la synchronisation dessus est le choix le plus simple et le plus sûr.

Révoquer un appareil est conçu pour échouer de façon sûre :

• Il est retiré de votre côté immédiatement, même sans connexion internet à cet instant précis — votre appareil cesse simplement de lui envoyer quoi que ce soit dès cet instant.
• Une toute nouvelle clé de chiffrement est générée pour tous les autres membres du groupe, et l’ancienne est retirée. Même quelqu’un ayant réussi à extraire l’ancienne clé d’un appareil volé n’en tire plus rien pour les données échangées par la suite.
• Si l’appareil retiré est encore en ligne et joignable, il reçoit la révocation, efface sa propre copie locale du coffre, et supprime toute méthode de déverrouillage enregistrée — automatiquement. S’il est hors ligne, cette instruction l’attend pendant jusqu’à 30 jours.
• Un appareil déjà retiré ne peut pas être silencieusement réadmis par un message ancien arrivant en retard — chaque appareil restant se souvient qu’il a été retiré et refuse de le réadmettre.

Le compromis à comprendre

Un relais incapable de lire vos données est aussi incapable de les récupérer. Si vous perdez tous les appareils détenant une copie de votre coffre, sans sauvegarde séparée, ces données sont perdues pour de bon — voir Coffres locaux & sauvegardes pour savoir exactement ce que cela signifie et comment vous en prémunir (en résumé : gardez un export de sauvegarde chiffré séparé de vos appareils).

« Ajouter un appareil » mène toujours au même endroit

Créer un groupe et y inviter d’autres appareils nécessitent tous les deux l’abonnement (voir Abonnement & Tarifs) — rejoindre un groupe existant reste gratuit sur toutes les plateformes, sans condition, sans limite d’invitations. Les boutons « Créer un groupe » et « Ajouter un appareil » sont toujours visibles et cliquables sur toutes les plateformes ; sur un appareil sans abonnement actif dans son groupe, appuyer sur l’un ou l’autre ouvre simplement le même écran d’abonnement que « Créer un groupe ». Il n’y a pas de compteur « X invitations restantes » à suivre — la vérification est la même quel que soit le nombre d’appareils déjà dans le groupe.

Il existe cependant un plafond technique strict : un groupe de synchronisation peut contenir au maximum 50 appareils. Chaque modification effectuée par un appareil est diffusée directement à tous les autres appareils du groupe dans un seul message relais, et le relais lui-même refuse d’accepter un message adressé à plus de destinataires que cela — c’est une limite fixe du protocole du relais, pas quelque chose que l’application impose ou qu’un abonnement pourrait lever. En pratique, cela dépasse largement ce dont un foyer ou une équipe réelle a besoin.