Pourquoi activer la sauvegarde n'est pas optionnel dans Fenzly
Le dernier article se terminait sur une phrase à prendre au sérieux : des clés solides ne valent rien si elles sont perdues. Celui-ci parle du revers inconfortable de tout ce que nous avons décrit jusqu’ici.
Un serveur aveugle, cela signifie que nous ne pouvons pas lire vos données. Cela signifie aussi que nous ne pouvons pas vous les rendre. Si vous perdez votre téléphone sans avoir configuré de sauvegarde, votre compte est perdu et il n’existe aucun ticket au support, aucune exception, aucun « je vais voir avec l’équipe » qui y change quoi que ce soit.
Cela paraît brutal. C’est le coût direct et inévitable de la garantie.
Ce qu’aucun support ne peut réparer
Dans une application classique, perdre son téléphone est un désagrément. Vous en achetez un neuf, vous vous connectez, et tout réapparaît parce que l’entreprise détenait vos données depuis le début, sur ses serveurs, en clair. La « récupération » dont vous avez l’habitude n’existe que parce que quelqu’un d’autre garde une copie de votre vie.
Fenzly n’a pas cette copie. Vos clés privées de chiffrement, celles qui ouvrent chaque enveloppe scellée qui vous est adressée, vivent sur votre téléphone et nulle part ailleurs. Notre serveur ne les a jamais vues. Quand le téléphone disparaît, les clés disparaissent, et ce qui reste sur le serveur est un tas de blocs que personne sur Terre ne peut ouvrir.
Nous ne refusons pas d’aider dans ce cas. Nous en sommes incapables. Il n’y a pas de clé maîtresse que nous garderions par principe ; il n’y a tout simplement pas de clé maîtresse. C’est toute l’architecture, qui fonctionne exactement comme prévu.
Perdre un téléphone est plus banal qu’on ne le croit
On a envie de ranger ça au rayon des catastrophes improbables : le vol, le téléphone au fond du lac. En pratique, la façon la plus courante de perdre ses clés est parfaitement ordinaire : on achète un nouveau téléphone. On reprend l’ancien, on l’efface, on le donne à un proche et c’est seulement là qu’on découvre que les clés n’ont pas fait le voyage.
L’eau, les chutes, les batteries mortes, les réinitialisations d’usine, un appareil qui refuse simplement de démarrer un matin. Rien de tout cela n’est exotique. La sauvegarde n’est pas une assurance contre une catastrophe rare ; c’est une assurance contre un mardi ordinaire.
Une sauvegarde que nous non plus ne pouvons pas lire
Voici la tension qu’il a fallu résoudre. Une sauvegarde est, par définition, une copie de vos données ailleurs que sur votre téléphone. Déposez une copie lisible sur notre serveur et vous venez d’annuler discrètement le serveur aveugle, la raison d’être de toute l’application.
La sauvegarde est donc chiffrée elle aussi, avec une clé que nous ne détenons pas. La question intéressante n’est pas comment les données sont chiffrées ; c’est qui détient la clé, et où vit la copie. Fenzly propose deux réponses, à choisir selon votre situation.
Par défaut, la copie vit dans votre propre cloud, Google Drive sur Android, iCloud sur iOS, et la clé est scindée en deux. Une moitié réside sur notre serveur, l’autre à côté de la sauvegarde, dans votre cloud. Aucune moitié ne vaut rien toute seule : la part de notre serveur est inutile sans la vôtre, et celle de votre cloud est inutile sans la nôtre. Seul votre téléphone les réunit. Vous n’avez rien à retenir, et ni nous, ni Google, ni Apple ne pouvons ouvrir la sauvegarde unilatéralement.
L’alternative, si vous n’avez pas de cloud Google ou Apple, ou s’il est plein, est d’héberger la copie chez Fenzly. Le serveur aveugle tient toujours : ce que nous stockons est du chiffré que nous ne savons pas ouvrir, et la clé est dérivée d’un code de récupération à 30 chiffres généré sur votre téléphone, que nous ne voyons jamais. Notez ce code : il est le seul moyen d’ouvrir cette sauvegarde. Et si vous préférez ne pas dépendre d’un bout de papier, une option l’enregistre dans votre propre compte Google ou Apple (nous ne le voyons toujours pas), si bien qu’au moment de configurer un nouveau téléphone avec ce même compte, Fenzly le retrouve pour vous automatiquement.
Un mot, enfin, sur les échecs silencieux, parce qu’une sauvegarde qui échoue sans bruit est aussi dangereuse qu’une sauvegarde absente : si la vôtre cesse de réussir, cloud plein, compte déconnecté, Fenzly l’affiche en bandeau sur tous les écrans, avec le passage vers l’hébergement Fenzly à un geste. Pour les prudents, un export en fichier chiffré existe aussi, à ranger où vous voulez.
Ce qui est réellement sauvegardé
Une sauvegarde a deux couches, et elles ne pèsent pas le même poids.
La couche essentielle est minuscule, moins d’un kilo-octet, et contient votre identité de chiffrement. C’est la partie irremplaçable : c’est elle qui fait que vous êtes vous pour tous ceux avec qui vous avez déjà échangé un message. Elle est rafraîchie à chaque sauvegarde et elle doit réussir.
La couche complète, c’est votre historique réel : messages, lieux, trajets. Elle est plus volumineuse, et Fenzly conserve les dernières versions plutôt qu’une copie unique, ainsi, une sauvegarde corrompue ou écrite à moitié ne peut pas emporter avec elle votre seule bouée.
Si tout le reste échoue, la couche essentielle suffit à conserver votre identité et votre compte. Vous perdriez l’historique ; vous ne vous perdriez pas vous.
Les limites, honnêtement
Deux choses qu’une sauvegarde ne fera pas, parce que prétendre le contraire serait malhonnête.
Ce n’est pas une machine à remonter le temps parfaite. Restaurer rembobine vos conversations chiffrées au moment où la sauvegarde a été faite, et une poignée de messages situés pile à cette frontière peuvent devenir définitivement illisibles, vous verrez un texte de remplacement à leur place. C’est la conséquence intrinsèque de la confidentialité persistante du Double Ratchet, cette même propriété qui rend les messages d’hier irrécupérables pour un attaquant. Elle coupe des deux côtés, et nous préférons vous le dire plutôt que vous surprendre.
Et si vous utilisez le code de récupération sans l’enregistrer dans votre compte Google ou Apple, et que vous le perdez, personne ne viendra. Au sens littéral.
Deux minutes dans les réglages aujourd’hui, ou un compte irrécupérable plus tard. Le choix est facile, mais seulement si vous le faites avant d’en avoir besoin.
La prochaine fois : la souveraineté suisse, ce qu’un hébergement en Suisse vous apporte réellement, et ce qu’il ne vous apporte pas.
Mis à jour en septembre 2026 : la première version de cet article décrivait un mode « manuel » distinct. Il a depuis été remplacé par l’hébergement Fenzly à code de récupération décrit ci-dessus, et l’article reflète le fonctionnement actuel. Le moteur de chiffrement est aussi passé d’une bibliothèque du protocole Signal à Olm (Double Ratchet, la même famille de protocole) ; rien ici n’en dépend.