Vérification de la confidentialité

1. Test du trafic réseau

Installez un moniteur réseau tel que mitmproxy (gratuit, open source), Wireshark (gratuit, open source), ou Charles Proxy. Ouvrez Travel Document Vault, analysez un document, parcourez votre coffre et définissez un rappel. Vous ne devriez pas voir vos documents, scans, dates d'expiration ou le contenu de votre coffre envoyés à Travel Document Vault. Le trafic réseau devrait se limiter à des fonctions précises : rapports de crash Sentry optionnels, vérifications d'achat App Store ou Google Play, sauvegarde cloud optionnelle vers votre propre compte iCloud ou Google Drive, et une vérification manuelle de correctifs expliquée ci-dessous.

Les réglages proposent un bouton Check for Updates. Il s'agit d'une vérification manuelle, jamais automatique - elle ne s'exécute que lorsque vous appuyez dessus vous-même, jamais en arrière-plan et jamais d'elle-même. La vérification contacte updates.traveldocumentvault.com - notre propre serveur de mise à jour, exploité par nous sur Google Cloud, qui distribue les fichiers de mise à jour signés cryptographiquement à partir d'un compartiment de stockage. Nous n'enregistrons pas la vérification : les journaux de requête sont désactivés de notre côté, aucune adresse IP n'est conservée. Chaque mise à jour est signée avec une clé que seuls nous détenons, et l'application refuse tout ce dont la signature ne correspond pas au certificat qui y est intégré. Le même appui vérifie aussi si une version plus récente de l'application est disponible sur l'App Store ou sur Google Play. Cette fonction existe pour que certains correctifs puissent vous parvenir plus rapidement qu'en attendant une toute nouvelle publication sur l'App Store ou Google Play, utile pour les correctifs urgents, selon la nature du correctif. Même règle que pour le reste de cette page : aucun appel réseau sans que vous le demandiez.

2. Rapport de confidentialité de l'application iOS

Sur iPhone, allez à Réglages > Confidentialité et sécurité > Rapport de confidentialité des applications. Cette fonction intégrée d'Apple montre quelles applications ont contacté des domaines réseau. Travel Document Vault ne nous envoie pas vos documents, scans, dates d'expiration ou le contenu de votre coffre. Si vous avez activé la sauvegarde cloud Pro, vous verrez des connexions aux domaines iCloud d'Apple - c'est votre propre sauvegarde qui se synchronise avec votre propre compte iCloud.

3. Android - vérifier votre confidentialité

Android n'a pas de rapport de confidentialité intégré unique comme l'iPhone. Deux façons simples de vérifier par vous-même : consultez la section Data Safety de cette application sur sa page Google Play (elle indique clairement ce qui est collecté, ce qui est partagé, que vos données sont chiffrées en transit, et qu'elles ne peuvent pas être supprimées) - ou utilisez un moniteur réseau comme décrit à l'étape 1 ci-dessus.

Si vous avez activé la sauvegarde cloud, vous remarquerez peut-être une certaine activité vers les serveurs de Google (adresses web se terminant par googleapis.com). C'est normal et sans risque : il s'agit uniquement de votre fichier de sauvegarde verrouillé et chiffré, ainsi que d'une vérification de connexion, envoyés directement à votre propre compte Google Drive - le même que celui que vous utilisez déjà pour vos photos ou Gmail. Nous ne le voyons jamais, ne le recevons jamais et n'en gardons de copie nulle part. Vous seul détenez la clé de récupération permettant de le déverrouiller.

4. Étiquettes de confidentialité de l'App Store et du Play Store

Apple et Google exigent que les développeurs déclarent les données que leur application collecte. Vérifiez l'annonce App Store ou Google Play pour Travel Document Vault. Notre déclaration: aucune donnée collectée.

Nous appliquons une norme publique

Nous évaluons Travel Document Vault au regard de l'OWASP Mobile Application Security Verification Standard (MASVS), la liste de référence du secteur pour la manière dont une application mobile doit stocker les données, utiliser le chiffrement, se verrouiller derrière Face ID ou un code PIN, et gérer les liens provenant d'autres applications. Chacun peut consulter cette norme et la comparer au comportement réel de l'application.

Nous analysons notre propre code

Avant chaque publication, nous exécutons une analyse statique de notre code avec Semgrep, un outil open source qui détecte les schémas non sécurisés, comme un chiffrement faible ou une gestion incorrecte des données, afin de les corriger tôt.

Nous analysons l'application compilée

Nous examinons également nos versions publiées à l'aide d'outils d'analyse de sécurité pour applications mobiles, en vérifiant comment la version stocke les données, ce à quoi elle peut accéder, et comment elle est signée.

Vous avez trouvé un problème ? Dites-le-nous

Si vous repérez un problème de sécurité, écrivez à support@traveldocumentvault.com. Les détails de notre procédure de divulgation sont publiés à l'adresse /.well-known/security.txt.