Comment Locki protège vos données

Les textes et fichiers sont chiffrés et déchiffrés dans le navigateur avec AES-256-GCM, grâce à la Web Crypto API intégrée à tous les navigateurs modernes. Chaque valeur reçoit un nouvel IV aléatoire de 12 octets : un même texte ne produit donc jamais deux fois le même texte chiffré.

Le texte chiffré reste là où vous le placez — un message Slack, un e-mail, un ticket — sous la forme d'une chaîne qui commence par [LOCKI:v2:. Sans la clé, il est illisible, pour l'application qui le stocke comme pour quiconque.

Les sauvegardes de clés exportées depuis l'extension sont chiffrées avec une clé dérivée de votre mot de passe, via PBKDF2 avec SHA-256 et 600 000 itérations.

Les clés personnelles sont générées dans votre navigateur et y restent. Elles ne sont jamais envoyées à Locki.

Les clés d'équipe sont créées dans le tableau de bord d'administration. Sur nos serveurs, elles sont stockées chiffrées avec une clé distincte : une copie de la base de données, à elle seule, ne révèle rien. Elles sont transmises via TLS uniquement aux membres connectés des groupes qui y ont accès. La rotation d'une clé conserve les versions précédentes, pour que le contenu plus ancien reste lisible.

Chaque chiffrement, déchiffrement et action d'administration est journalisé avec la personne, l'action, la clé, l'heure et le site concerné. Le contenu lui-même n'est jamais journalisé — ni le texte d'origine ni le texte chiffré.

La bibliothèque de chiffrement de Locki, @lockisecurity/crypto-core, est publique sous licence MIT. Ses tests utilisent les vecteurs de test AES-GCM du NIST issus de la SP 800-38D, et chacun peut lire, exécuter ou réutiliser le code.

Toutes les connexions sont chiffrées avec TLS. Chaque requête vers notre API est authentifiée et limitée à votre organisation, les actions d'administration exigent le rôle d'administrateur et le nombre de requêtes est limité. Les utilisateurs se connectent avec leur e-mail professionnel ou leur compte Google.

Nous ne collectons que ce dont le service a besoin pour fonctionner. La politique de confidentialité explique ce que nous traitons, pourquoi et pendant combien de temps, et comment exercer vos droits au titre du RGPD.

Si vous pensez avoir trouvé un problème de sécurité dans Locki, écrivez à security@lockisecurity.com en décrivant le problème et les étapes pour le reproduire. Nous lisons chaque signalement, vous tenons au courant pendant notre enquête et mentionnons votre nom si vous le souhaitez.

Merci de ne tester que sur votre propre compte, de ne pas accéder aux données d'autres personnes ni de les modifier, et de nous laisser un délai raisonnable pour corriger le problème avant d'en publier les détails. Le même contact figure dans notre fichier security.txt.