Once
Arrêtez d’envoyer vos mots de passe sur WhatsApp.
Une petite application web fonctionnelle pour partager des mots de passe et des notes privées : le contenu est chiffré dans le navigateur, le lien ne s’ouvre qu’une fois ou expire après un délai choisi, et même le serveur ne peut pas lire ce qu’il stocke.
- Prestations
- Cybersécurité
- Développement web
- Architecture système
- Technologies
- Next.js
- TypeScript
- Web Crypto API
La rédaction d’un secret, avec un délai, un mot de passe facultatif et une demande d’alerte à l’ouverture
1 / 8Le besoin
Mots de passe, photos de pièces d’identité et contrats circulent sur WhatsApp et par e-mail, et restent dans ces conversations pendant des années. Beaucoup d’outils de partage demandent encore de faire confiance à un serveur capable de lire ce qu’il stocke, et les aperçus de liens des messageries peuvent ouvrir un lien avant le destinataire.
L’approche
Once chiffre chaque secret dans le navigateur avec AES-256-GCM et place la clé dans la partie du lien située après le #, que les navigateurs n’envoient jamais au serveur. Un mot de passe facultatif ajoute une seconde clé dérivée avec PBKDF2. Le serveur ne stocke que des données illisibles, les délivre une seule fois et les supprime dans la même opération, et le destinataire doit appuyer sur « Révéler » : les aperçus de liens ne peuvent donc pas le consommer. Le projet est open source, couvert par 46 tests automatisés et accompagné d’un modèle de menaces honnête.
Les axes de conception
- Chiffrement dans le navigateur avec AES-256-GCM
- La clé ne voyage que dans le lien, jamais vers le serveur
- Un mot de passe facultatif, avec PBKDF2 à 600 000 itérations
- Ouverture unique, ou expiration après un délai choisi
- À l’abri des aperçus de liens des messageries
- Un lien de suivi privé pour savoir quand il a été ouvert
- Open source, avec des tests et un modèle de menaces en langage clair
