Clann est crypté de bout en bout

Qu'est-ce qui est crypté

Dans une famille cryptée (chaque famille créée à partir d'août 2026 et toute famille plus ancienne dont l'administrateur l'a activé), le média lui-même est crypté sur votre appareil avant le téléchargement :

• Photos — chaque taille stockée, y compris les petits aperçus et les vignettes.
• Vidéos - crypté de la même manière et décrypté morceau par morceau au fur et à mesure de la lecture.
• Versions éditées — les récoltes et les rotations sont rechiffrées sur votre téléphone, jamais sur un serveur.
• Emplacement - supprimé du fichier sur votre téléphone avant qu'il ne soit téléchargé.

Si votre famille active le cryptage ultérieurement, les photos et vidéos déjà présentes dans votre bibliothèque seront également cryptées, et pas seulement les nouvelles.

Ce qui n’est pas crypté est répertorié ci-dessous dans son intégralité selon les limitations connues – parmi eux les légendes, les commentaires et les noms d’album. Nous préférons que vous lisiez cette section plutôt que de la découvrir plus tard.

Comment fonctionne le cryptage de Clann

La version courte : les clés sont générées sur les téléphones, jamais sur nos serveurs. Le détail, pour qui veut le vérifier par rapport au document protocolaire :

• AES-256-GCM — chaque photo et vidéo est scellée avec un cryptage authentifié, en morceaux de 1 Mio utilisant la construction OAE2 STREAM. Authentifié signifie que la falsification est détectée plutôt que transmise silencieusement.
• Clés par article - chaque photo et vidéo reçoit sa propre clé aléatoire, de sorte qu'un élément compromis ne peut rien déverrouiller d'autre.
• Époques clés du groupe - votre famille partage une clé, versionnée par époque. Quand quelqu'un part, une nouvelle époque est émise et il ne peut rien lire après ce point.
• Échange de clé X25519 — la clé familiale est livrée sur l'appareil de chaque membre dans une boîte scellée que seul cet appareil peut ouvrir. Nos serveurs acheminent ces colis scellés sans pouvoir les ouvrir.
• Identités des appareils Ed25519 - chaque appareil a une identité de signature, et les appareils vérifient les clés des autres appareils plutôt que de faire confiance à nos serveurs pour dire qui est qui. Votre application vous avertit lorsqu'un nouvel appareil rejoint ou qu'un appareil existant change.
• Architecture de récupération – parce que les clés résident sur les appareils, perdre un téléphone est le véritable risque. L'appareil d'un autre membre de la famille peut restaurer votre accès et une phrase de récupération de 12 mots fonctionne lorsque personne d'autre n'est disponible.

Clann peut-il voir mes photos ?

Non. Dans une famille cryptée, nous ne pouvons pas voir vos photos ou vidéos. Ils sont cryptés sur votre appareil avant le téléchargement, et les clés qui les ouvrent n'existent que sur les appareils de votre famille. Depuis août 2026, chaque nouvelle famille est cryptée dès sa création. Pour la plupart des familles, c'est donc simplement ainsi que fonctionne Clann. Nos serveurs contiennent du texte chiffré et des paquets de clés scellés, mais aucune clé permettant de les ouvrir.

Cela couvre les deux choses qui inquiètent réellement les gens : nous lisons vos photos et quelqu'un vole ce que nous stockons. Notre modèle de menace publié va plus loin et définit ce contre quoi la conception fait et ne défend pas, y compris les parties sur lesquelles nous travaillons encore.

Ce que nous pouvons voir est présenté ci-dessous, et vous pouvez vérifier le cryptage lui-même à l'aide de la démo en haut de cette page.

Le cryptage de Clann est-il open source ?

Oui. Clann publie publiquement l'implémentation cryptographique et la documentation du protocole, afin que les chercheurs et les utilisateurs puissent inspecter le fonctionnement du système plutôt que de se fier à notre description.

La démo sur cette page importe cette même bibliothèque publiée, donc le fichier qu'elle produit est un véritable fichier crypté – et non une illustration de celui-ci.

Voir la source sur GitHub →

Limites connues

Le chiffrement n’est pas synonyme d’invisibilité, et tout système honnête a ses limites. Ce sont les nôtres.

• Les familles créées avant août 2026 ne sont pas chiffrées jusqu'à ce qu'un administrateur l'active. Les nouvelles familles sont chiffrées par défaut, mais les plus anciennes nécessitent une étape délibérée, car l'appareil de chaque membre doit détenir une clé avant qu'une bibliothèque existante puisse être convertie. En attendant, ces familles ne sont pas cryptées. Une fois allumé, les photos et vidéos déjà présentes dans la bibliothèque sont également cryptées.
• Les légendes, commentaires et noms d'album ne sont pas cryptés. Considérez tout ce que vous tapez comme étant lisible par nos soins. Étendre le chiffrement pour les couvrir est le travail que nous avons l’intention de faire.
• Nous pouvons voir les métadonnées de base. Qu'un fichier existe, qui l'a téléchargé, quand, à quelle famille il appartient, sa taille et s'il s'agit d'une photo ou d'une vidéo. Nous ne pouvons voir aucune autre métadonnée de photo : les détails de l'appareil photo, les paramètres et tout ce qui est intégré dans le fichier sont supprimés de votre téléphone avant son téléchargement.
• L’affichage dans un navigateur web demande une étape supplémentaire. La clé n’atteint jamais nos serveurs, il faut donc en donner une au navigateur : un proche ouvre le lien, et un membre de la famille approuve ce navigateur depuis son téléphone. Cela fonctionne, mais ce n’est pas aussi immédiat qu’un simple clic, et les deux écrans affichent six mots à comparer pour que l’approbation ne puisse pas être interceptée.

Que peut encore voir Clann ?

La même liste, clairement divisée entre ce que le cryptage couvre et ce qu’il ne couvre pas.

• Nous ne pouvons pas voir la photo ou la vidéo elle-même, quelle que soit sa taille, y compris les vignettes.
• Nous ne pouvons pas voir où une photo cryptée a été prise.
• Nous pouvons voir qu'un fichier existe, qui l'a téléchargé, quand, à quelle famille il appartient, quelle est sa taille et s'il s'agit d'une photo ou d'une vidéo.
• Nous pouvons voir légendes, commentaires et noms d'albums.

Que se passe-t-il si je perds mon téléphone ?

C’est la question qui compte vraiment en matière de chiffrement, et les produits les plus chiffrés y répondent mal. Si les clés ne résident que sur les téléphones, un téléphone perdu ressemble à des photos perdues.

Ce n’est pas le cas, car votre famille est la sauvegarde. N'importe quel autre membre de votre famille peut restaurer votre accès depuis son propre téléphone en quelques clics : son appareil contient déjà la clé familiale et en transmet une copie à votre nouvelle. Si vous préférez ne dépendre de personne d’autre, vous pouvez enregistrer à l’avance une phrase de récupération de 12 mots. Clann est délibérément construit, il est donc difficile de se retrouver en lock-out, car pour une application de photo de famille, c'est un désastre bien plus probable qu'une écoute indiscrète.

Documentation technique

Pour les chercheurs, les journalistes et toute personne à qui un parent transmet cette page.

• Dépôt GitHub → — l'implémentation cryptographique, avec sa suite de tests et ses vecteurs de test multilingues.
• PROTOCOL.md → — la spécification normative : hiérarchie des clés, format de fichier, appartenance au groupe et récupération.
• Modèle de menace → — contre qui cela protège et contre quoi il ne protège explicitement pas.

Partagez des photos de famille sans public

Clann est un espace privé pour les photos de votre famille : pas de flux, pas de publicité, pas d'étrangers et rien n'est vendu à personne.

Téléchargement gratuit.