Vos messages ne sont lisibles que par vous et vos destinataires.
Pas même par nous.
Chez EchoPass, nous ne pouvons pas lire vos messages. Cela n'est pas une promesse commerciale : c'est une contrainte technique. Vos messages sont chiffrés avec une clé dérivée de votre mot de passe avant d'être stockés. Nous ne stockons jamais votre mot de passe ni votre clé de déchiffrement.
En cas de demande judiciaire ou de compromission de notre infrastructure, les données stockées sur nos serveurs sont inexploitables sans votre mot de passe.
En plus de votre mot de passe, EchoPass propose trois méthodes de double authentification (2FA). En cas de vol de mot de passe, votre compte reste protégé. Les codes sont hachés avec Argon2id et expirent automatiquement.
Code à 6 chiffres envoyé sur votre adresse e-mail, haché en Argon2id avant stockage. Disponible sur tous les plans.
Code à 6 chiffres envoyé sur votre numéro de téléphone vérifié, haché en Argon2id. Disponible sur les plans Premium.
TOTP standard (RFC 6238) compatible Google Authenticator, Authy et tout gestionnaire TOTP. La méthode la plus sécurisée.
Si plusieurs méthodes sont actives, le TOTP est prioritaire (TOTP > e-mail > SMS). Le renvoi de code est limité à une tentative par minute.
Chiffrement authentifié (AEAD). Retenu par Google pour HTTPS sur mobile, utilisé dans WireGuard et Signal. Nonce étendu de 192 bits - sécurisé même pour de nombreux chiffrements avec la même clé. Implémenté via libsodium (PHP 8.3).
En savoir plus sur XChaCha20-Poly1305 →Dérivation de clé et hachage des codes d'authentification. Vainqueur de la Password Hashing Competition (2015). Résistant aux attaques GPU et ASIC grâce à sa consommation mémoire élevée. Un sel aléatoire unique est généré pour chaque utilisateur.
En savoir plus sur Argon2id →Toutes les communications entre votre navigateur et nos serveurs sont chiffrées via TLS 1.3 avec des certificats Let's Encrypt renouvelés automatiquement. Le transport est sécurisé en couche supplémentaire au-dessus du chiffrement des données.
En savoir plus sur TLS 1.3 (HTTPS) →Les fichiers joints sont chiffrés morceau par morceau (blocs de 8 192 octets) avant d'être stockés sur le serveur. Chaque fichier possède sa propre clé aléatoire, elle-même chiffrée avec votre clé principale. De même, chaque message possède sa propre clé de chiffrement indépendante.
La sécurité ne s'arrête pas à la transmission. Le destinataire doit prouver son identité avant d'accéder au contenu, via un protocole de vérification robuste en plusieurs étapes.
Chaque message déclenché génère un token de 64 caractères hexadécimaux aléatoires. Ce lien est unique, non devinable et strictement personnel.
À la première visite, un code à 8 chiffres est envoyé à l'adresse e-mail du destinataire et haché en bcrypt. Le code expire en 15 minutes. Le renvoi est limité à une tentative par minute.
Si un numéro de téléphone est associé au destinataire, une double vérification est requise : code e-mail et code SMS indépendants. Les deux doivent être validés pour accéder au message.
Dès que le destinataire déchiffre le message, les codes de vérification sont définitivement supprimés de la base de données. Le lien expire 365 jours après le déclenchement.
Le choix de la Suisse comme lieu d'hébergement n'est pas anodin. Il offre un cadre juridique unique, distinct du droit américain et du droit européen, avec une protection des données parmi les plus strictes au monde.
Le Cloud Act (2018) autorise les autorités américaines à exiger l'accès aux données hébergées par des entreprises américaines, même si les serveurs sont physiquement en Europe. AWS, Google Cloud, Azure, Cloudflare - même avec des régions EU - y sont soumis dès lors que la société mère est américaine. EchoPass utilise un hébergeur suisse indépendant.
En savoir plus sur la confidentialité des données en Suisse →Nous ne conservons pas ce que nous n'avons plus besoin de conserver. Un nettoyage automatique quotidien purge les données temporaires selon des délais stricts. Votre droit à l'oubli est techniquement garanti, pas seulement promis.
Cycle de vie - nettoyage automatique
Le plan gratuit suffit pour commencer. Passez en Premium si vous avez plusieurs messages à envoyer, plusieurs destinataires, ou si vous souhaitez joindre des fichiers.
L'inscription prend 2 minutes. Votre premier message est gratuit, chiffré et prêt à être transmis quand vous en aurez besoin.
Si vous découvrez une faille de sécurité, merci de nous la signaler de manière responsable. Nous traitons tous les signalements avec sérieux et confidentialité.
Contacter security@echopass.app