Sept questions à poser à toute app de partage de localisation
Ces deux derniers mois, cette série a détaillé la conception de Fenzly : le chiffrement, le serveur aveugle, les sauvegardes, le modèle économique. Ce billet transforme tout cela en quelque chose que vous pouvez emporter : une courte liste de questions à poser à n’importe quelle application avant de lui confier les déplacements de votre famille.
Elles valent aussi pour la nôtre. Pour chacune, nous avons mis le lien vers notre réponse, pour que vous puissiez nous tenir au même standard.
1. Qui peut lire ma position ?
Pas « qui la lit selon l’entreprise », mais qui le peut. Si vos coordonnées arrivent lisibles sur les serveurs de l’entreprise, alors employés, attaquants et tribunaux deviennent tous des lecteurs possibles, quoi qu’en dise la politique de confidentialité. La réponse la plus forte est le chiffrement de bout en bout, où seules les personnes que vous avez choisies peuvent ouvrir ce que vous partagez. Cette différence entre une politique et une propriété est le point de départ de la série : ce que signifie vraiment le chiffrement de bout en bout.
2. Que garde le serveur, et pour combien de temps ?
Même bien chiffrée en transit, la question est ce qui s’accumule côté serveur. Une position gardée un jour est une commodité ; une position gardée des années est un journal de votre vie exposé à une fuite, une réquisition ou un changement de politique. Demandez si un historique de localisation existe, tout court, sur les serveurs de l’entreprise. Notre réponse est le serveur aveugle : des blocs scellés, des durées de vie courtes, pas d’archive.
3. A-t-elle besoin de mon carnet d’adresses ?
« Autoriser l’accès aux contacts » signifie souvent que tout votre carnet part sur un serveur, y compris tous ceux qui n’ont jamais consenti. Il existe des moyens de retrouver ses amis sans prendre la liste ; demandez lequel votre application utilise. Le nôtre : des empreintes comparées, et les contacts ne quittent jamais votre téléphone.
4. Que se passe-t-il si je perds mon téléphone ?
Celle-ci coupe dans les deux sens. Si la réponse est « reconnectez-vous et tout revient », demandez comment : cela signifie en général que l’entreprise détient une copie lisible de tout. Si la réponse est « tout est perdu », demandez s’il existe une sauvegarde que vous contrôlez. Notre compromis est explicite : aucune clé maîtresse n’existe, la sauvegarde vous revient, et voici comment elle fonctionne.
5. Fonctionne-t-elle sans réseau ?
Une application de sécurité qui s’éteint dans un tunnel, un parking souterrain ou une vallée de montagne échoue exactement là où la sécurité compte. Demandez ce qui marche encore hors ligne, et ce que deviennent les événements survenus sans connexion. Notre réponse : presque tout fonctionne, et ce qui doit atteindre les autres attend dans une file.
6. Quel droit s’applique à mes données ?
Pas seulement « où sont les serveurs », mais qui les contrôle : un datacenter en Europe opéré par une entreprise sous contrôle américain reste à portée des procédures légales américaines. Renseignez-vous sur la juridiction de l’opérateur, et sur ce que le droit local prévoit réellement. Notre réponse, avec ses limites : entreprise suisse, infrastructure suisse, droit suisse.
7. Qui la paie ?
Une infrastructure doit toujours être payée ; demandez comment : un abonnement, de la publicité, des partenariats de données, ou une activité plus large qui absorbe le coût. Aucune de ces réponses n’est mauvaise en soi. Ce qui compte, c’est qu’elle soit dite clairement, et qu’elle vous convienne. La nôtre est un abonnement, et rien d’autre.
Le motif derrière les questions
Vous l’aurez remarqué : ces questions partagent une forme. Elles se méfient des promesses et cherchent des propriétés. Une politique peut changer avec un rachat, un pivot ou un trimestre de mauvais chiffres. Une architecture ne peut pas changer en douce, parce que l’application cesse de fonctionner sans elle.
Aucune application n’aura un sans-faute, la nôtre comprise : nous avons été transparents sur les métadonnées, les notifications push et ce que le chiffrement ne fait pas. Mais une application qui répond par écrit aux sept questions, limites incluses, vous dit quelque chose d’aussi important que les réponses elles-mêmes : elle s’attend à être vérifiée.
Ce billet clôt le chapitre des fondations. La suite passe sous le capot : comment une application de localisation peut tourner toute la journée sans vider votre batterie, et la mécanique qui ne réveille le GPS que lorsqu’il vaut la peine d’être réveillé.