Pourquoi offline-first compte pour les données sensibles.

La plupart des apps qui demandent des données sensibles les stockent sur leurs serveurs. against. fait l’inverse : tes données vivent uniquement sur ton appareil. Voici pourquoi cela compte spécifiquement pour le travail de rétablissement.

Ce que “cloud-first” signifie généralement

Quand une app stocke tes données sur ses serveurs, elle fait un pari : que son infrastructure est plus fiable, plus disponible, et plus digne de confiance que ton téléphone. Pour de nombreux types de données, ce pari est raisonnable. Pour les données de rétablissement (notes sur les rechutes, habitudes de déclencheurs, entrées de journal), le calcul est différent.

Cloud-first signifie que plusieurs choses se produisent automatiquement, souvent sans que tu décides :

• Tes données traversent un réseau chaque fois que tu interagis avec elles.
• Elles vivent sur un serveur appartenant à une entreprise, soumis aux pratiques de sécurité de cette entreprise.
• Elles sont potentiellement visibles par les employés de cette entreprise, ses sous-traitants, et tout tiers avec qui elle partage.
• Elles peuvent être assignées par un gouvernement ou obtenues par un attaquant qui compromet le serveur.

Aucun de ces éléments n’est un résultat nécessaire. Ce sont des possibilités qui existent tant que les données se trouvent quelque part hors de ton contrôle. Pour des données ordinaires (une liste de tâches, un suivi de lecture), ces possibilités sont acceptables. Pour des notes sur ta relation avec la pornographie, elles peuvent ne pas l’être.

Ce qui va mal quand des données sensibles sont centralisées

Les modes d’échec pour des données sensibles centralisées sont prévisibles et bien documentés. Les violations se produisent. Les entreprises sont rachetées. Les modèles commerciaux évoluent vers la publicité, ce qui introduit des SDK de tracking tiers. Les régimes juridiques changent. Une startup aux bonnes intentions aujourd’hui peut ne plus exister sous la même forme dans deux ans.

Il y a aussi un problème plus subtil. Quand des données vivent sur un serveur, les personnes qui ont construit l’app ont la capacité technique de les lire, même si leur politique de confidentialité dit qu’elles ne le font pas. Les politiques sont des promesses. L’architecture technique est une contrainte. Un serveur qui stocke tes entrées de journal peut être lu par quelqu’un avec le bon accès. Une base de données sur l’appareil qui ne quitte jamais ton téléphone ne peut pas être lue à distance, quelle que soit la promesse de qui que ce soit.

Pour le travail de rétablissement spécifiquement, les enjeux sont plus élevés que pour la plupart des catégories de données personnelles. Ces informations touchent les relations, les situations juridiques, l’emploi et la perception de soi. Le risque de préjudice lié à l’exposition (même accidentelle, même par une entreprise bien intentionnée) est réel.

Comment offline-first change le modèle de menaces

Offline-first signifie que les données ne quittent jamais ton appareil sous une forme lisible. Dans against., elles ne quittent pas ton appareil du tout. Il n’y a pas de synchronisation, pas de sauvegarde vers un service cloud, pas de compte qui détient tes enregistrements.

Cela change le modèle de menaces de manière significative :

Violation du serveur : Sans objet. Il n’y a pas de serveur qui détient tes données.

Rachat ou pivot de l’entreprise : Sans objet. Les données ne sont pas entre les mains de l’entreprise.

Assignation ou demande légale : Nous n’avons rien à remettre. Nous pouvons confirmer que tu as un compte, mais nous ne stockons pas non plus les données du compte. Il n’y a pas de comptes.

Accès des employés : Aucun employé ne peut lire tes notes, parce que nous ne les recevons pas.

Trackers tiers : against. n’inclut pas de SDK publicitaires. Il n’y a aucune raison économique de le faire, puisqu’il n’y a pas de données à vendre.

Le modèle de menaces restant est local : quelqu’un avec un accès physique à ton téléphone déverrouillé, ou un attaquant sophistiqué qui extrait le stockage de l’appareil et casse le chiffrement. Ce sont des menaces réalistes pour des cibles de grande valeur. Pour la plupart des journaux de rétablissement, ce n’est pas la préoccupation principale.

Ce que tu abandonnes en choisissant offline-first

Offline-first n’est pas une mise à niveau gratuite. Il comporte de vrais compromis.

Pas de synchronisation multi-appareils. Tes données vivent sur un seul appareil. Si tu changes de téléphone, tu dois exporter et réimporter manuellement. Si tu perds ton téléphone sans sauvegarde, tu perds ton historique.

Pas de récupération de compte. Il n’y a pas de flux “mot de passe oublié”, parce qu’il n’y a pas de compte. Ta clé de chiffrement est stockée dans le matériel sécurisé de ton téléphone. Si tu perds ça, tu perds l’accès aux données chiffrées.

Pas d’accès web. Tu ne peux pas te connecter depuis un navigateur. L’app ne fonctionne que sur le téléphone où vivent les données.

Ce ne sont pas des bugs. Ce sont la conséquence directe du même design qui protège tes données. L’app documente clairement ce compromis. C’est un choix qui vaut la peine d’être fait pour cette catégorie de données, mais c’est un choix, et il t’appartient.

Il y a un point plus large ici sur ce que “sécurisé” signifie en pratique. La sécurité n’est pas un seul bouton que tu tournes au maximum. Chaque propriété de sécurité implique des compromis avec l’utilisabilité, la commodité et la fonctionnalité. Offline-first maximise un ensemble de propriétés (résistance à l’accès distant, résistance à la gestion des données par les entreprises, résistance aux assignations) tout en acceptant des limites dans un autre ensemble. La vraie question est de savoir si les compromis spécifiques correspondent aux risques spécifiques que tu gères.

Pour le suivi du rétablissement, l’argument est fort. Les données sont personnelles et sensibles. Les personnes les plus susceptibles d’être blessées par l’exposition sont celles qui génèrent les données, pas des tiers. Les comportements suivis ne nécessitent pas de coordination en temps réel avec d’autres utilisateurs. Les avantages du cloud (accès depuis plusieurs appareils, partage, collaboration) ne sont pas des fonctionnalités dont tu as besoin ici. Les risques qu’il introduit sont réels. Offline-first est le bon choix.

Pour aller plus loin

• Comment fonctionne le chiffrement dans against.
• La confidentialité n’est pas la même chose que le silence
• Confidentialité et Sécurité

Voir aussi : Confidentialité et Sécurité.