Comment vos photos sont protégées.

Les photos sont chiffrées avant l’envoi et restent chiffrées dans le stockage de l’application. Un clic demande l’autorisation de les ouvrir, un second les ferme. Les captures d’écran sont bloquées sur les écrans protégés Android. L’expéditeur peut retirer l’accès après l’envoi. Le lien se finalise après vérification du code de sécurité, et les échanges quittent les téléphones au bout de 30 jours.

Chaque photo est protégée avec une clé propre à l’image, avant de quitter votre appareil. Les fichiers photo et la base locale de l’application sont chiffrés. Les aperçus déchiffrés ne sont pas enregistrés sur le disque : ils restent en mémoire le temps de la session. Le flou de la vignette est un repère visuel : la protection ne repose pas sur un simple effet de flou.

Les clés privées restent dans le stockage sécurisé de l’appareil. La photo est déchiffrée en mémoire pour son affichage autorisé ; le fichier conservé par l’application reste chiffré. La sauvegarde automatique Android de l’application est désactivée.

Votre partenaire clique sur la photo. L’application demande au serveur une enveloppe contenant la clé protégée, et son téléphone la déchiffre avec ses propres secrets. Le serveur vérifie que l’appareil est autorisé, que le lien entre partenaires est actif, et que la demande vient de l’expéditeur ou du destinataire. Un tiers qui demanderait cette enveloppe reçoit un refus sans indication utile. Sans connexion, sans autorisation ou après expiration, la photo ne peut pas être ouverte.

Un second clic ferme la photo. Une prochaine ouverture nécessite à nouveau l’accès à la clé. Dans la démonstration du site, le comportement est simulé avec une image marketing publique ; seul le service Android effectue ce contrôle réel.

Les photos et les messages sont chiffrés de bout en bout. Le chiffrement de contenu utilise AES-GCM avec des clés de 256 bits ; les clés de photo sont enveloppées pour les appareils autorisés à l’aide de X25519. En pratique, le serveur transporte des données protégées, sans disposer des clés privées nécessaires à leur lecture.

La connexion de production utilise HTTPS et des WebSockets sécurisés. L’appareil prouve aussi son identité par un défi signé. Le QR code et le code de sécurité doivent être confirmés des deux côtés avant de finaliser le lien. Si la clé publique de votre partenaire change plus tard, l’application vous alerte et bloque l’envoi jusqu’à ce que vous acceptiez la nouvelle clé ou supprimiez la conversation.

Le backend conserve les informations nécessaires pour acheminer les échanges et contrôler les autorisations : identifiants techniques, liens entre partenaires, données chiffrées et enveloppes de clés. Il vérifie les demandes, limite leur fréquence , y compris les refus , et refuse la réutilisation d’une même demande de clé. Firebase App Check et Play Integrity contribuent à vérifier que la connexion provient de l’application Android officielle ; le jeton d’intégrité est renouvelé pendant la session. Une enveloppe expirée ou révoquée n’est plus délivrée.

Le serveur connaît donc certaines métadonnées de fonctionnement, même s’il ne lit pas le contenu des photos ou messages. Chiffrement ne signifie pas absence totale de données : la politique de confidentialité détaille ces traitements.

Seul l’expéditeur peut retirer sa photo. Lorsque le serveur traite le retrait, il supprime l’accès à son enveloppe de clé et notifie le destinataire. Un fichier chiffré déjà présent sur son téléphone ne suffit plus pour rouvrir l’image dans l’application.

Le retrait doit atteindre le serveur pour être effectif. La révocation ne peut pas effacer ce que quelqu’un a déjà vu, ni une copie réalisée en dehors de l’app.

Les messages et les photos sont automatiquement retirés des téléphones 30 jours après réception, y compris hors ligne. L’application les purge localement un peu avant que le serveur n’expire l’accès, pour ne plus redemander une fiche déjà périmée. Amoris Secret est un outil d’échange instantané ou récent, pas un espace de stockage permanent. Limiter la conservation des échanges contribue aussi à leur sécurité.

Comme pour une application bancaire, Amoris Secret demande de vous authentifier avant de donner accès à vos photos et conversations. Le déverrouillage utilise la biométrie Android ou le code, le motif ou le mot de passe système de votre téléphone. Un verrouillage doit donc être configuré sur l’appareil.

Lorsque l’application passe en arrière-plan, son contenu est masqué. Après une absence prolongée, elle demande un nouveau déverrouillage. Cette protection complète le chiffrement : elle limite l’accès d’une personne qui prendrait votre téléphone, sans remplacer la confidentialité de votre code.

Amoris Secret active la protection Android des écrans sensibles, qui bloque les captures d’écran et limite leur capture par les outils d’enregistrement compatibles. Cette protection reste en place après le déverrouillage, y compris si la biométrie est annulée. Un verrouillage système (biométrie, code, motif ou mot de passe) est requis. L’application refuse le démarrage lorsqu’elle détecte un appareil rooté.

Ces protections dépendent du système et de l’intégrité du téléphone. Elles ne constituent pas une garantie sur un appareil compromis. Les empreintes et les données biométriques ne sont pas envoyées à nos serveurs : la vérification passe par Android.

Une autre caméra peut toujours photographier l’écran. Aucun chiffrement ni blocage de capture ne peut empêcher cette copie externe. Amoris Secret associe plusieurs protections pour rendre le partage aussi sûr que possible, mais ne promet pas un risque nul.

Partagez uniquement avec une personne de confiance, avec un consentement libre et réciproque. Réfléchissez aux conséquences possibles avant chaque envoi, gardez Android à jour et protégez l’accès à votre téléphone.

Écrivez à contact@amoris-secret.com. Décrivez le problème et la version de l’application, sans envoyer de photo intime, de clé privée, de code de déverrouillage ou de donnée sensible inutile.