Album Shieldpar Bstone Solutions
EnglishFrançaisEspañol

Album Shield — Sécurité

Mise à jour : 31 octobre 2026

Cette page décrit comment Album Shield protège vos photos et vidéos et, tout aussi important, où s’arrête cette protection. Elle est rédigée pour qu’un lecteur averti puisse juger la conception plutôt que de croire sur parole un argument commercial.

Chiffrement

Chaque fichier qu’Album Shield écrit est chiffré avec AES-256-GCM, via l’implémentation CryptoKit d’Apple. GCM est un mode authentifié : il détecte les altérations en plus d’empêcher la lecture. Chaque fichier chiffré conserve ensemble son propre nonce, son texte chiffré et sa balise d’authentification, de sorte qu’aucun fichier ne dépend d’un enregistrement distinct pour être déchiffré.

Cela couvre bien plus que les images elles-mêmes. Les fichiers en pleine résolution, les miniatures générées et l’index du coffre-fort sont tous chiffrés. L’index contient les noms de vos fichiers, vos dossiers, vos étiquettes, vos retouches et toute donnée de localisation lue dans les métadonnées d’une photo. C’est important : une liste de noms de dossiers peut en révéler autant sur quelqu’un que les images qu’ils contiennent.

La clé du coffre-fort

Une clé de 256 bits est générée sur votre appareil lors de la première configuration du coffre-fort. Elle est conservée dans le trousseau iOS avec deux propriétés qui définissent le produit :

La clé n’est jamais transmise nulle part. Il n’existe aucun serveur à qui l’envoyer.

Déverrouillage

Le coffre-fort s’ouvre avec Face ID, Touch ID ou le code de votre appareil. Un code PIN facultatif peut être activé comme moyen d’accès supplémentaire.

Déverrouillage par PIN, PIN de contrainte et coffre-fort leurre

Lorsque vous définissez un PIN, la clé du coffre-fort est enveloppée avec une clé dérivée de ce PIN et de 32 octets de sel aléatoire, étirée sur 100 000 itérations de SHA-256. Le paquet enveloppé est conservé dans le trousseau et porte lui aussi la marque « propre à l’appareil », il est donc exclu des sauvegardes.

Le PIN de contrainte ouvre un coffre-fort distinct, doté de sa propre clé générée indépendamment — et non une vue filtrée du vrai. Les deux paquets enveloppés sont écrits de façon identique et ne portent aucun marqueur indiquant lequel est lequel. La seule chose qui les distingue est que le déchiffrement réussit avec un PIN et échoue à l’authentification avec l’autre. Une personne examinant l’appareil ne peut pas déduire des données stockées quel PIN mène au vrai coffre-fort, ni même qu’un second coffre-fort existe.

Pour être précis sur le rôle du PIN : le nombre d’itérations augmente le coût d’une attaque par devinette, mais un PIN numérique a une entropie limitée, quel que soit l’étirement appliqué. Le PIN est une couche supplémentaire, pas le fondement. Le fondement, c’est la protection « propre à l’appareil » du trousseau, assurée par le matériel de l’appareil lui-même, qui impose de compromettre la protection des données d’iOS avant même de pouvoir lire ces éléments.

Journal des tentatives et verrouillages

Des saisies de PIN erronées répétées déclenchent des délais de verrouillage croissants. Après une tentative échouée, Album Shield peut prendre une photo avec la caméra frontale, l’horodater et la conserver — chiffrée, dans le coffre-fort — afin que vous puissiez voir qui a essayé.

Fichiers temporaires

Certaines opérations ne peuvent pas se faire uniquement en mémoire. La lecture vidéo nécessite un fichier que le lecteur multimédia du système puisse lire, et l’exportation ou le partage produit par définition une copie déchiffrée. Album Shield les traite ainsi : les fichiers temporaires sont écrits dans le conteneur propre à l’application avec la protection complète des fichiers iOS, exclus des sauvegardes de l’appareil, supprimés dès la fin de l’opération, puis effacés de nouveau au verrouillage du coffre-fort et au démarrage suivant de l’application — de sorte qu’une session interrompue ne puisse pas laisser derrière elle un fichier lisible.

Ce qu’Album Shield ne fait jamais

Limites de cette protection

Il n’y a ni sauvegarde dans le cloud ni restauration d’un appareil à l’autre. C’est un choix de conception délibéré — c’est précisément pourquoi aucun serveur ne peut être réquisitionné ni piraté — mais la conséquence est réelle. Si votre appareil est perdu, détruit, effacé ou remplacé, le coffre-fort disparaît avec lui. Exportez tout ce que vous ne pouvez pas vous permettre de perdre. Restaurer un achat ne restaure que l’achat, jamais vos fichiers.

Les copies exportées sortent entièrement de cette protection. Une photo enregistrée dans Photos d’Apple ou dans Fichiers, ou partagée vers une autre application, devient dès cet instant un fichier ordinaire non chiffré, inclus dans les sauvegardes qu’utilise cette destination.

La protection sur l’appareil suppose que l’appareil lui-même est sain. Album Shield s’appuie sur la protection des données d’iOS et sur le trousseau. Un appareil jailbreaké, infecté par un logiciel malveillant, ou déverrouillé et remis à un tiers, ruine des hypothèses qu’aucune application ne peut rétablir. Utilisez un code d’accès et gardez iOS à jour.

Aucun audit de sécurité externe n’a été réalisé. La conception décrite sur cette page n’a fait l’objet d’aucun examen indépendant ni test d’intrusion. Elle est décrite ici avec assez de détails pour qu’un lecteur compétent puisse l’évaluer, ce qui est ce qu’un développeur indépendant peut offrir de plus honnête à défaut d’un audit qu’il n’a pas payé.

Signaler un problème de sécurité

Si vous pensez avoir trouvé une vulnérabilité, signalez-la à Support@bstonemedia.com avec suffisamment de détails pour la reproduire. Les signalements sont lus directement par le développeur. Merci de laisser un délai raisonnable pour un correctif avant toute publication.