Comment ça marche
LIBERTY Shield est un coffre-fort numérique zero-knowledge : vos secrets sont chiffrés sur votre appareil, et personne d'autre que vous ne peut les ouvrir.
Tout le chiffrement et le déchiffrement ont lieu dans votre navigateur, sur votre appareil. Le serveur ne reçoit, ne stocke et ne transmet jamais que des données déjà chiffrées, opaques. Il ne détient aucune clé, et ne connaît jamais votre mot de passe maître.
Cette protection ne repose sur aucune promesse : elle repose sur des mathématiques. Shield n'emploie que des primitives cryptographiques standard, fournies par la bibliothèque libsodium — aucune cryptographie « maison » — et une hiérarchie de clés vérifiable, décrite en détail dans la section Sécurité.
Un coffre, plusieurs usages
Shield réunit en un seul endroit ce que la plupart des gens éparpillent : mots de passe et identifiants du quotidien, documents sensibles, codes confidentiels, phrases de récupération de portefeuilles, et même la transmission de tout cela à vos proches le jour venu. Chaque type de secret est protégé au bon niveau (voir ci-dessous).
Les niveaux de sensibilité
Tous les secrets ne se valent pas. Shield les organise en niveaux, chacun avec son propre verrou.
Déverrouillé par votre mot de passe maître seul. Pour l'usage de tous les jours : identifiants, cartes, codes wifi, abonnements.
Exige le mot de passe maître et un code à six chiffres. Un second verrou rapide qui protège contre un accès opportuniste à une session déjà ouverte. Les codes trivialement faibles (suites, répétitions) sont refusés.
Exige le mot de passe maître et une phrase secrète à haute entropie. Destiné aux secrets les plus critiques — typiquement les phrases de récupération de portefeuilles crypto. C'est le rempart cryptographique de Shield : il reste hors d'atteinte même si votre mot de passe maître était compromis.
La feuille de secours
À l'inscription, Shield génère une feuille de secours unique : une longue suite aléatoire, à imprimer et conserver hors-ligne. Elle permet de récupérer un mot de passe maître oublié. Son entropie la rend mathématiquement imbruteforçable ; son seul risque est physique (perte ou vol du papier). Vous pouvez la régénérer à tout moment — la nouvelle invalide l'ancienne.
Fonctionnalités
Tout ce qu'un coffre devrait faire, réuni — sans jamais sacrifier le zero-knowledge.
Mots de passe & identifiants
Le quotidien, organisé et chiffré, accessible sur tous vos appareils.
Documents sensibles
Pièces d'identité, contrats, scans — chiffrés au repos comme en transit.
Seeds crypto en type natif
Les phrases de récupération de portefeuilles ont leur format dédié, au Sanctuaire.
Coffre familial
Un compartiment partagé pour les secrets communs du foyer.
Transmission par seuil
Organisez la transmission de votre coffre à vos proches, sans confier vos secrets à quiconque de votre vivant.
Déverrouillage rapide
Code court ou biométrie par appareil, sans jamais remplacer le mot de passe maître.
Import depuis un autre gestionnaire
Identifiants et 2FA importés depuis Bitwarden, Proton Pass, Apple, Chrome/Google ou un export otpauth générique.
Export chiffré local
Une sauvegarde protégée par un mot de passe dédié, à garder hors ligne, relisible hors connexion avec le décrypteur. L'export en clair reste possible, derrière une confirmation explicite.
Journal d'activité
Chaque action sensible (connexion, export, partage) est journalisée et consultable, pour repérer tout accès inhabituel.
Extension de navigateur
L'extension LIBERTY Shield apporte votre coffre directement dans le navigateur : remplissage automatique, générateur de mots de passe, codes 2FA, et déverrouillage rapide par Touch ID ou code PIN — sans jamais sacrifier le zero-knowledge.
Tout le chiffrement reste sur votre appareil, exactement comme dans le coffre en ligne. L'extension se contente de remplir, capturer et déverrouiller localement ; le serveur ne reçoit toujours que des données chiffrées opaques.
Remplissage automatique
Une icône Shield dans le champ propose vos identifiants du site — et uniquement ceux du domaine réel de l'onglet. Un clic remplit e-mail et mot de passe.
Déverrouillage rapide multi-comptes
Touch ID et code PIN, propres à chaque compte et à chaque navigateur, scellés par la puce de sécurité de l'appareil. Un sélecteur quand vous avez plusieurs comptes.
Générateur intégré
Un mot de passe fort généré, rempli et copié en un clic, directement sur le champ de création.
Codes 2FA
Le code à usage unique est calculé localement et copié au bon moment. Le secret ne quitte jamais l'extension.
Enregistrement & mise à jour
Après une connexion, Shield propose d'enregistrer l'identifiant, ou de mettre à jour la fiche si le mot de passe a changé.
Déconnexion totale
Se déconnecter efface le déverrouillage rapide du compte : le mot de passe maître est de nouveau exigé.
Paiement par carte
Menu des cartes au checkout, confirmation par fenêtre Shield hors page, cadres de paiement isolés couverts — sans une frappe clavier.
Sécurité
L'essentiel à connaître. Le détail technique complet figure dans le whitepaper sécurité.
Lire le whitepaper sécurité (PDF) →Dossier de conformité (PDF) →
Ce qui chiffre vos données
| Fonction | Algorithme |
|---|---|
| Chiffrement des données | XChaCha20-Poly1305 (authentifié) |
| Mot de passe → clé | Argon2id (64 Mio, 3 itérations) |
| Transmission / héritage | SLIP-39 (partage de secret à seuil) |
| Partage entre comptes | X25519 (scellé anonyme) |
| Multisig Sanctuaire | SLIP-39 (le même standard que la Transmission) + scellement X25519 par détenteur |
Le chiffrement est authentifié : toute altération d'une donnée chiffrée est détectée et rejetée. Chaque fiche possède sa propre clé, ce qui permet de partager un élément précis sans exposer le reste du coffre.
Ce que le serveur ne voit jamais
Le serveur ne reçoit que des enveloppes chiffrées opaques et une empreinte d'authentification (elle-même re-hachée et comparée en temps constant). Il ne reçoit jamais votre mot de passe maître, vos clés, ni le contenu en clair de vos fiches. Une fuite intégrale de la base de données ne révélerait ni mots de passe, ni contenu.
Six mots pour vérifier à qui vous parlez
Il reste un endroit, un seul, où un serveur malhonnête pourrait tricher sans casser le moindre chiffrement : quand vous partagez avec quelqu'un, c'est lui qui vous annonce la clé publique de cette personne. Il pourrait y glisser la sienne. Le coffre serait parfaitement chiffré — mais vers la mauvaise personne.
On ne corrige pas cela en demandant au serveur de se certifier lui-même. Shield condense donc chaque clé publique en six mots et vous demande de les comparer de vive voix avec votre correspondant avant le tout premier partage. Trente secondes au téléphone, une fois. Les six mots vérifiés sont ensuite rangés dans votre coffre, donc chiffrés : le serveur ne peut ni les lire, ni les modifier. Si la clé de cette personne change un jour, l'opération s'arrête net et Shield vous le dit.
Le vrai modèle de menace
Point essentiel et contre-intuitif : le chiffrement n'est pas le maillon faible. Les primitives employées sont à l'état de l'art, alignées sur les meilleurs acteurs audités du marché. Le seul mur réellement franchissable par force brute, c'est la force du secret que vous choisissez — d'où l'importance d'une phrase longue plutôt que d'un mot de passe court.
Pourquoi ça tient — menace par menace
| Menace | Pourquoi elle échoue |
|---|---|
| Piratage de nos serveurs | ils ne contiennent que des blocs illisibles — rien à voler |
| Interception sur le réseau | les données partent déjà chiffrées, avant même l'envoi |
| Mot de passe attaqué en force brute | chaque tentative est rendue lente et coûteuse (Argon2id) |
| Vol d'une fiche isolée | le chiffrement par fiche laisse le reste du coffre clos |
| Employé indélicat ou réquisition | aucune porte dérobée : personne ne peut ouvrir à votre place |
| Serveur qui annonce une fausse clé de destinataire | les six mots se vérifient de vive voix, hors de sa portée |
| Site piège qui réclame vos identifiants | le remplissage est confiné au domaine réel, pas à ce que la page affiche |
Protections en place
- Chiffrement libsodium état de l'art, Argon2id, zero-knowledge vérifié
- Empreintes de clés vérifiables en six mots, épinglées dans votre coffre
- Déverrouillage rapide scellé par la puce de sécurité de l'appareil : le code PIN combine votre code et une clé non extractible de l'enclave, inutilisable ailleurs que sur cet appareil
- Surveillance continue de votre transmission : seuil d'ouverture devenu inatteignable, legs périmé, porteur injoignable — vous seul êtes alerté, tant que vous pouvez corriger
- Dossier de transmission imprimable pour votre notaire ou votre exécuteur, sans aucun secret
- Adresse e-mail vérifiée obligatoire avant tout partage, part de Sanctuaire ou legs
- Comparaison de l'empreinte d'authentification en temps constant
- Content-Security-Policy restrictive : elle limite les connexions et les scripts tiers, sans protéger contre un code compromis servi par Shield lui-même
- Limitation des tentatives de connexion (anti-force-brute), de la recherche d'annuaire et des routes d'administration
- Limitation des requêtes d'authentification ; certaines réponses peuvent encore révéler si une adresse possède un compte
- Jauge de robustesse et rejet des mots de passe triviaux à l'inscription (10 caractères minimum)
- Phrase du Sanctuaire contrôlée à la définition : refus des phrases devinables, générateur aléatoire de huit mots (88 bits)
- Remplissage confiné au domaine réel du site (Public Suffix List) et refus des clics fabriqués par la page
- Presse-papiers purgé automatiquement après 30 secondes
- Suppression de compte conforme RGPD
- Sauvegarde chiffrée indépendante, hors de notre hébergeur principal : une copie supplémentaire, chiffrée une seconde fois avant l'envoi, chez un fournisseur distinct, pièces jointes comprises — et dont la restauration complète a été vérifiée, pas seulement supposée
- Module de chiffrement et décrypteur publiés en open source
- Dossier de conformité autonome : registre des traitements (art. 30), procédure de violation (art. 33/34), modèle de DPA, gouvernance des métadonnées, conservation, continuité, sous-traitants, décision sur l'analyse d'impact — à lire ici
Open source
On ne vous demande pas de nous croire sur parole. Le cœur de Shield est ouvert et vérifiable.
Le module de chiffrement côté client et le décrypteur hors-ligne sont publiés en open source, sous licence MIT. N'importe qui — vous, un développeur de confiance, un chercheur en sécurité — peut lire le code qui protège vos données et vérifier qu'il fait exactement ce que nous décrivons, sans porte dérobée.
Pourquoi ça compte
Un coffre qui chiffre dans le navigateur ne vaut que par la confiance dans le code servi. En ouvrant ce code, nous rendons cette confiance vérifiable plutôt que déclarative. Le décrypteur, en particulier, est un fichier autonome : vos héritiers pourront ouvrir votre legs même si Shield, l'entreprise, n'existe plus.
Transmission & héritage
Transmettre vos secrets à vos proches le jour venu — sans les leur confier de votre vivant, et sans dépendre de nous.
Le legs ne repose sur aucune confiance dans l'éditeur : il repose sur les mathématiques.
- Une clé de legs aléatoire chiffre le coffre que vous transmettez.
- Cette clé est découpée en fragments selon un seuil que vous choisissez (par exemple : 2 fragments sur 3 suffisent pour ouvrir).
- Vous remettez chaque fragment en main propre aux personnes désignées.
- Le coffre chiffré est conservé ; la clé, elle, n'existe nulle part — elle ne se reforme qu'à partir du seuil de fragments réunis.
Le signal de vie
Le déclenchement est automatique et entièrement sous votre contrôle. Tant que vous confirmez votre présence à intervalle régulier, rien ne se passe. Si les signaux cessent, une procédure graduée s'enclenche — avec à chaque étape la possibilité de tout annuler.
Vous réglez vous-même les délais (signal de vie, délai de grâce, fenêtre de refus) dans le module Héritage, bloc « Surveillance ». Répondre au signal réarme le compteur et annule tout déclenchement en cours.
Le jour venu
Quand le legs est libéré, vos proches ouvrent le coffre avec un décrypteur hors-ligne : un fichier statique autonome, sans aucune dépendance à nos serveurs. Deux chemins coexistent : si Shield est en ligne, ils retéléchargent le coffre depuis leur accès ; sinon, ils utilisent le kit de secours que vous aurez archivé (le coffre chiffré + le décrypteur). Dans les deux cas, l'ouverture exige la réunion des fragments physiques.
Voir le parcours complet, du fragment remis au coffre ouvert →
Coffre familial
Un compartiment partagé pour les secrets communs du foyer.
Le coffre familial réunit ce que plusieurs personnes utilisent : codes wifi, abonnements partagés, documents du foyer. Il est partagé de manière chiffrée à chaque membre (via scellé X25519, chacun déchiffrant avec sa propre clé privée). Les droits d'édition se gèrent membre par membre, et le partage n'expose jamais le contenu au passage par le serveur.
Avant le premier partage vers une personne, Shield vous demande de vérifier ses six mots de vive voix (voir la section Sécurité), et exige que son adresse e-mail soit confirmée. Deux garde-fous pour être certain que le coffre s'ouvre chez la bonne personne — et nulle part ailleurs.
Multisig Sanctuaire
Une protection optionnelle, désactivée par défaut, pour ne plus jamais dépendre d'une seule phrase secrète sur le niveau Sanctuaire.
À la différence de la Transmission (qui prépare une remise à vos proches après votre décès ou incapacité), le multisig offre un chemin de récupération de votre vivant. La clé du Sanctuaire est répartie entre plusieurs personnes de confiance ; au moins deux parts sont requises pour ce chemin. Votre phrase secrète demeure toutefois un autre moyen d'ouvrir seul le Sanctuaire.
Comment ça marche
- Vous désignez des détenteurs de parts (comptes Shield existants, ou invitation par e-mail — exactement comme le coffre familial, jamais d'obligation de payer).
- Vous fixez un seuil : par exemple 2 parts sur 3.
- La clé est découpée une seule fois (standard SLIP-39, le même que pour la Transmission) ; chaque part est chiffrée spécifiquement pour son détenteur.
- Le jour où vous en avez besoin, vous lancez une demande avec une durée de validité (1h à 24h, ou personnalisée). Chaque détenteur reçoit un e-mail et peut approuver ou ignorer.
- Dès le seuil atteint, votre appareil reconstitue la clé et le Sanctuaire s'ouvre.
Zero-knowledge : une part n'existe jamais en clair sur nos serveurs, à aucune étape — chaque part est scellée pour un destinataire précis, dont vous aurez vérifié les six mots au préalable. Le jour de la demande, chaque détenteur vérifie à son tour les vôtres avant de rendre sa part : le serveur ne peut se glisser ni à l'aller, ni au retour. Tutoriel pas à pas →
Questions fréquentes
Non, jamais. Shield est zero-knowledge : tout est chiffré sur votre appareil avant d'atteindre nos serveurs, qui ne reçoivent que des données opaques. Nous ne détenons aucune de vos clés.
Nous ne pouvons remettre que ce que nous détenons : des enveloppes chiffrées inexploitables, sans aucune clé. La protection est structurelle, pas une promesse contractuelle.
Votre feuille de secours, générée à l'inscription et conservée hors-ligne, permet de le réinitialiser. C'est le seul moyen de récupération — gardez-la précieusement.
Vos données deviennent alors définitivement irrécupérables. Personne, pas même nous, ne peut les restaurer. C'est la contrepartie directe et assumée du zero-knowledge.
Oui. Le décrypteur est un fichier hors-ligne autonome ; avec le coffre chiffré archivé et les fragments physiques réunis, le legs s'ouvre sans aucune dépendance à nos serveurs.
Parce que c'est le seul endroit où nous pourrions vous tromper sans casser le moindre chiffrement : quand vous partagez, c'est notre serveur qui vous annonce la clé de votre correspondant. Les six mots vous permettent de vérifier cette clé par un canal que nous ne contrôlons pas — votre voix. Une fois par personne, trente secondes. Ensuite, ils sont rangés chiffrés dans votre coffre et vous n'y pensez plus.
Parce qu'un partage, une part de Sanctuaire ou un legs se dirigent vers une adresse. Tant qu'elle n'est pas confirmée, rien ne prouve qu'elle est bien à vous — vous n'apparaissez donc pas dans la recherche et personne ne peut vous désigner destinataire. Votre coffre personnel, lui, fonctionne normalement.
Ici, « crypto » désigne la cryptographie — la sécurité. Shield protège aussi, parmi bien d'autres secrets, les phrases de récupération de portefeuilles crypto, mais ce n'est pas un produit financier.
Comparatif détaillé
État constaté en juillet 2026, d'après les documentations publiques des éditeurs (1Password : sécurité de l'autofill ; Bitwarden : aide autofill cartes). « n.c. » : non confirmé par nos vérifications. Dashlane et Proton Pass partagent l'essentiel du socle commun (zéro connaissance, autofill) sans les différenciants listés plus bas.
| Capacité | Shield | 1Password | Bitwarden |
|---|---|---|---|
| Zéro connaissance, chiffrement de bout en bout | Oui | Oui | Oui |
| Menu inline des cartes au paiement | Oui | Oui | Oui |
| Confirmation hors page avant remplissage de carte | Oui | Oui | — |
| Remplissage à travers les iframes de paiement | Oui | Oui | n.c. |
| Enregistrer une carte saisie au checkout | Oui | — | Oui |
| Pavé PIN mélangé anti-keylogger | Oui | — | — |
| Trois niveaux étanches (Quotidien · Documents · Sanctuaire) | Oui | — | — |
| Wallets crypto natifs (multi-seeds, BIP39, clé privée par adresse) | Oui | — | — |
| Héritage autonome hors-ligne (fragments + décrypteur) | Oui | — | — |
| Interface, aide et héritage 100 % francophones | Oui | Traduit | Traduit |
| Déverrouillage multisig du Sanctuaire (M-sur-N, à la demande) | Oui | — | — |
Écarts assumés côté Shield : pas d'applications de bureau natives (PWA + extension), pas d'audit de sécurité tiers publié à ce jour, capture de carte limitée au cadre courant quand numéro et cryptogramme sont isolés.
Face aux 4 gestionnaires les plus connus
Positionnement général — hors détail autofill (voir tableau ci-dessus pour 1Password/Bitwarden). Sources publiques éditeurs, juillet 2026 : 1Password Families (5 comptes), Bitwarden Families (6 comptes), Dashlane Friends & Family (10 comptes — le plan gratuit a été supprimé en septembre 2025), Proton Pass Family (6 comptes).
| Capacité | Shield | 1Password | Bitwarden | Dashlane | Proton Pass |
|---|---|---|---|---|---|
| Zéro connaissance, chiffrement de bout en bout | Oui | Oui | Oui | Oui | Oui |
| Coffre familial partagé | Oui, gratuit pour les invités | Oui (5 comptes) | Oui (6 comptes) | Oui (10 comptes) | Oui (6 comptes) |
| Plan gratuit disponible | Coffre Quotidien | — | Oui (limité) | Non (supprimé 09/2025) | Oui (limité) |
| Niveaux de sensibilité étanches (Quotidien · Documents · Sanctuaire) | Oui | — | — | — | — |
| Coffre crypto natif (multi-seeds, clés privées, BIP39) | Oui | — | — | — | — |
| Accès en cas de décès ou d'incapacité | Transmission automatique par signal de vie manqué, fragments SLIP-39 + décrypteur 100 % hors-ligne, gratuit pour les bénéficiaires | Emergency Kit — récupère son propre compte, pas de transmission formelle à un tiers | Contact d'urgence désigné (doit avoir un compte Bitwarden), demande manuelle + délai d'attente 7 à 14 jours | n.c. — aucun mécanisme documenté publiquement | « Accès d'urgence » listé en fonctionnalité Plus, peu documenté publiquement |
| Interface et héritage 100 % francophones | Oui | Traduit | Traduit | Traduit | Traduit |
| Déverrouillage multisig optionnel (M-sur-N) | Oui, sur tout le Sanctuaire, gratuit | — | — | — | — |
Aucun des quatre ne propose de coffre crypto natif ni de mécanisme de transmission déchiffrable hors-ligne sans dépendre de leurs serveurs — ce sont des gestionnaires de mots de passe, pas des outils de succession numérique.
Face aux solutions spécialisées transmission crypto
À l'inverse, des services comme Casa ou Vault12 Guard couvrent bien la transmission de crypto, mais avec une approche différente : Casa (avec Unchained, Nunchuk) fonctionne en multisignature — l'utilisateur détient 1 à 2 clés, un tiers détient la clé restante et gère la vérification légale des bénéficiaires. Vault12 Guard répartit des fragments chiffrés chez un réseau de « Guardians » qui doivent se réunir pour reconstituer l'accès. Aucun des deux n'est un gestionnaire de mots de passe au quotidien, et aucun ne propose de déchiffrement totalement autonome sans service ni réseau tiers actif le jour venu. Shield propose désormais aussi un déverrouillage multisig (M-sur-N), mais appliqué à l'ensemble du coffre — pas seulement aux clés crypto — et sans tiers payant : les détenteurs de parts sont vos propres contacts de confiance, gratuitement.
| Capacité | Shield | Casa (Standard) | Vault12 Guard |
|---|---|---|---|
| Mots de passe et documents au quotidien | Oui | — | — |
| Coffre crypto (seeds, clés privées) | Oui | Multisig (clés réparties, dont une détenue par Casa/Unchained) | Fragments répartis chez des Guardians |
| Accès reconstitué sans aucun tiers ni réseau actif le jour venu | Oui — décrypteur hors-ligne autonome, disponible immédiatement | Non — délai d'attente de 6 mois pendant lequel Casa notifie le membre, plus vérification du service | Non — réseau de Guardians requis pour reconstituer les fragments |
| Multisig / M-sur-N sur les secrets | Oui — sur tout le Sanctuaire, détenteurs de votre choix, gratuit | Oui — spécifique aux clés crypto, une clé détenue par Casa/Unchained | Oui — réseau de Guardians, fragments répartis |
| Interface francophone | Oui | n.c. | n.c. |
Sources : casa.io/pricing, casa.io/standard, casa.io/premium, casa.io/inheritance, vault12.com/pricing. « n.c. » : non confirmé par nos vérifications. État constaté juillet 2026.