SimpleX Chat

L'affirmation de SimpleX est étroite et absolue : il dit être le premier réseau de messagerie sans aucun identifiant d'utilisateur — ni numéro de téléphone, ni nom d'utilisateur, pas même un numéro aléatoire — et tout le reste de ce qu'il propose en découle. Sa page d'accueil formule la promesse ainsi : « être libre dans votre réseau », et dit que chaque contact et chaque groupe vit sur votre appareil plutôt que dans la base de données d'un serveur. Il est open source, n'importe qui peut exploiter un serveur, et la société dit que les grands canaux et les grandes communautés paieront pour le leur afin que le projet puisse rester indépendant. Ses propres chiffres d'échelle sont modestes à côté du reste de cette série — plus de deux millions de téléchargements est le chiffre qu'il donne — et le financement vient d'investisseurs, de dons et d'une campagne de financement participatif en capital plutôt que des utilisateurs.

Vous vous connectez en envoyant à quelqu'un un lien d'invitation à usage unique ou un code QR, et le lien ne contient que des clés publiques et ne fonctionne qu'une fois, ce qui le rend sûr à envoyer par n'importe quel canal. Si vous préférez être joignable sans distribuer un nouveau lien à chaque fois, vous utilisez plutôt une adresse ; dans les deux cas, l'autre personne doit demander à votre client avant qu'une connexion soit établie, et vous pouvez refuser. Les deux parties doivent être en ligne au même moment pour achever cette première connexion, ce qui est le prix de l'absence d'identité côté serveur, et une fois celle-ci établie, plus personne n'a besoin d'être présent en même temps pour discuter. Les groupes fonctionnent avec cinq rôles, du propriétaire à l'observateur, et l'application existe pour les téléphones, les ordinateurs de bureau et la ligne de commande, avec des serveurs auto-hébergés en option et la prise en charge de Tor.

Rien n'est vendu aujourd'hui : il n'y a ni grille tarifaire ni offre payante, et l'application est gratuite sur les deux boutiques. Ce qui est inhabituel, c'est que la société le présente comme un état temporaire plutôt que comme un principe. Sa FAQ qualifie le modèle économique de chantier en cours, esquisse un modèle freemium prévu et fait le calcul en public, et sa politique dit que l'intention est de facturer des fonctionnalités optionnelles de manière transparente et équitable. La fiche Play comporte déjà une fourchette d'achats intégrés sans aucun article rattaché, ce qui est le seul indice de ce qui pourrait être vendu. L'argent vient aujourd'hui d'investisseurs privés et de capital-risque aux côtés des dons, et la société mène une campagne de financement participatif en capital pour quiconque veut une part dans le plan inachevé.

L'âge minimum est de 13 ans, indiqué dans les conditions d'utilisation avec la réserve qu'il peut être plus élevé là où vous vivez, et aucun contrôle d'âge n'est décrit nulle part. Le chiffrement est décrit plus en détail que sur toute autre plateforme de cette série — un double ratchet avec confidentialité persistante, des messages complétés à une taille fixe pour que leur longueur ne révèle rien, des fichiers découpés en morceaux — et la société affirme que les serveurs ne peuvent pas déchiffrer le contenu ni même voir la taille de ce qui transite. La conservation est publiée avec des chiffres plutôt qu'avec des assurances : les messages sont supprimés de façon irréversible des serveurs relais prédéfinis dès leur livraison ou au bout de 21 jours, les fichiers au bout de 48 heures, avec la réserve honnête que d'autres opérateurs peuvent conserver des journaux. Les déclarations sur les métadonnées comportent les deux volets, ce qui est rare. Les serveurs prédéfinis ne consignent pas les adresses IP des appareils qui s'y connectent, et la même politique dit que les serveurs peuvent stocker temporairement des données susceptibles d'être reliées à un appareil, notamment les adresses IP et la localisation, et que les hébergeurs et les fournisseurs de réseau tiennent leurs propres journaux. Deux révélations vont à l'encontre du discours marketing et méritent d'être citées : le serveur de notifications push de la société peut voir pour combien de files de messages un appareil a activé les notifications et environ combien de messages chacune reçoit, et un bot d'annuaire stocke les requêtes de recherche et le contenu des groupes qui y sont enregistrés. Les abus sont traités par l'architecture plutôt que par la modération, puisque personne ne peut vous contacter sans invitation, et des opérateurs qui ne peuvent pas lire les messages peuvent tout de même retirer des liens et des fichiers de leurs serveurs. Le projet publie aussi des audits de son implémentation et de la conception de son protocole, ce que presque rien d'autre ici ne fait.

Les personnes qui ne veulent pas céder un numéro de téléphone ni une adresse e-mail, et qui préfèrent une adresse par laquelle on ne peut rien retrouver plutôt qu'un nom d'utilisateur que quelqu'un peut rechercher. Il convient à quiconque est à l'aise avec des sauvegardes manuelles et avec un appareil par profil, puisqu'un second appareil ne peut pas prendre discrètement la place du premier, et il vise les personnes soucieuses de leur vie privée plutôt que les utilisateurs occasionnels : nouer une conversation suppose d'échanger un lien, et la première connexion ne s'achève que si les deux parties sont en ligne ensemble. Cette même conception limite l'usage — un profil ne peut pas fonctionner sur deux appareils à la fois sans perturber les conversations, et relier un téléphone à un ordinateur de bureau suppose que les deux soient sur le même réseau.

L'affirmation technique la plus forte de cette série et le décompte le plus minutieux de ce qu'elle ne couvre pas. Aucun identifiant, aucun stockage central, des serveurs incapables de lire ce qu'ils transportent — puis, dans les mêmes documents : un serveur de notifications qui voit combien de files vous avez et environ combien de messages arrivent, un bot d'annuaire qui conserve ce qu'on lui demande, et des opérateurs de relais qui peuvent consigner ce que les serveurs prédéfinis ne consignent pas. Face au discours marketing, ce sont ces phrases qui rendent le reste crédible, parce qu'une plateforme qui fait une promesse plus modeste et la tient vaut plus qu'une promesse plus grande laissée dans le flou. La règle de conservation est publiée en jours plutôt qu'en assurances, les audits sont nommés et datés, et le modèle économique ouvertement inachevé est la dernière chose honnête de la page : rien n'est encore vendu, et la société dit ce qu'elle compte vendre quand elle commencera.