Résultats en un coup d'œil
Un audit complet du système de chiffrement de bout-en-bout a été conduit sur l'ensemble du code source. Voici les résultats vérifiables :
14
Points d'amélioration identifiés et corrigés
0
Failles critiques ouvertes
774+
Tests automatisés exécutés
📋 Version 2.0 (2026-05-18) — Cette attestation cumule :
- 9 findings de l'audit v1.0 (16/05) — tous corrigés et vérifiés non-régression
- 5 findings de l'audit v2.0 (18/05) — 1 HIGH bug fonctionnel + 2 MED (SQL placeholders) + 2 LOW (rate-limit + constant-time) — tous corrigés
- Aucune faille cryptographique. Aucun changement de modèle de menace.
- Pile crypto inchangée : XChaCha20-Poly1305 (RFC 8439), X25519 (RFC 7748), Argon2id (RFC 9106), Shamir GF(2⁸).
Ce qui a été vérifié
L'audit a couvert l'ensemble des composants techniques qui manipulent vos données chiffrées :
- Les 13 points d'entrée serveur (API) qui reçoivent et stockent vos contenus chiffrés
- Les 7 modules JavaScript qui s'exécutent dans votre navigateur, et notamment le « Web Worker » isolé qui détient seul vos clés de chiffrement
- L'infrastructure de sécurité (politiques de sécurité du contenu, signatures d'intégrité des scripts, en-têtes HTTPS)
- Le mécanisme de récupération post-mortem (clés découpées en parts via Shamir, clé maître reconstituée par vos dépositaires)
- Les protections contre les abus : limitation des requêtes, journalisation, détection d'activité anormale
Qui a réalisé l'audit
L'audit a été conduit par un agent automatisé spécialisé dans l'analyse de sécurité applicative, suivant les check-lists OWASP ASVS niveau 2 et complété par une revue manuelle des invariants cryptographiques (modèle de menace, isolation des clés, cohérence des wraps cryptographiques).
⚠️ En toute transparence
Cet audit a été réalisé par un agent d'intelligence artificielle (Claude AI, Anthropic), et non par un consultant humain certifié type CISSP ou OSCP. Cette attestation est un document de transparence technique — elle n'a pas valeur de certification pentest. Avant toute communication publique majeure de cette fonctionnalité, leggit s'engage à faire passer un audit externe humain par un cabinet de pentest professionnel.
Le processus complet est documenté et reproductible : tout développeur ayant accès au code peut ré-exécuter les 753 tests automatisés et obtenir le même résultat. Aucune zone grise, aucun « faites-nous confiance sur parole ».
Référentiels appliqués
L'audit s'appuie sur des standards internationaux ouverts et reconnus :
- OWASP ASVS 4.0 Level 2 — Standard de vérification de sécurité applicative de l'OWASP — sections authentification, session, cryptographie, journalisation, protection des données
- NIST SP 800-175B — Recommandations du NIST américain sur l'usage des standards cryptographiques
- RFC 8439 — Spécification de l'algorithme ChaCha20-Poly1305 utilisé pour chiffrer vos contenus
- RFC 7748 — Spécification de la courbe Curve25519 utilisée pour les échanges de clés entre vous et vos destinataires
- RFC 9106 — Spécification d'Argon2 utilisé pour dériver votre clé maître depuis votre mot de passe
Ce contre quoi nous vous protégeons — et nos limites
✅ Vos données restent protégées contre
- Une saisie ou un vol de nos serveurs : les données stockées sont chiffrées et illisibles sans votre clé personnelle
- Un administrateur leggit curieux ou malveillant : nous ne disposons techniquement d'aucun moyen de lire vos contenus
- Une intrusion temporaire dans nos systèmes : sans modification du code source, l'attaquant ne peut rien déchiffrer
- Un vol de session navigateur : les opérations sensibles (ajout d'un destinataire, par exemple) requièrent une ré-authentification
- La forge de destinataires fantômes : chaque destinataire est vérifié contre une liste blanche serveur
⚠️ Nous ne pouvons rien contre
- Une intrusion active qui modifierait le code JavaScript servi par leggit. Nous limitons ce risque par des signatures d'intégrité (SRI), mais ne l'éliminons pas totalement.
- Un navigateur ou un appareil compromis (logiciel malveillant, extension malicieuse, keylogger) — c'est votre responsabilité d'utiliser un poste sain.
- Une contrainte judiciaire forçant la modification de notre code (lawfare). leggit est une société française et applique le droit français.
- Les progrès futurs de la cryptanalyse (10-20 ans). Nous suivons les recommandations NIST/IETF et migrerons quand nécessaire.
Ces limites sont inhérentes à tout système de chiffrement de bout-en-bout exécuté dans un navigateur web. Aucun acteur honnête de ce marché ne peut s'engager au-delà.
Portée juridique de ce document
Cette attestation est un document technique de transparence. Elle peut être communiquée à des prospects, clients, partenaires juridiques (notaires) ou autorités de contrôle (CNIL) qui souhaitent comprendre comment leggit protège les données qui lui sont confiées.
Elle ne constitue pas une certification ISO 27001, PASSI, RGS ou SecNumCloud. Ces certifications nécessitent un audit par un organisme accrédité (Bureau Veritas, AFNOR, etc.) et font partie de la roadmap moyen terme de leggit.