Questions fréquentes

Non. Le secret est chiffré dans votre navigateur avant l'envoi, avec une clé qui reste dans le lien, après le signe #. Les navigateurs n'envoient jamais cette partie de l'adresse aux serveurs. Nous ne recevons qu'un bloc chiffré illisible.

Oui, sans compte, sans publicité et sans limite de temps. Une offre entreprise payante (marque blanche, équipes, SSO) viendra plus tard, sans retirer aucune fonction gratuite.

Le secret est supprimé de notre base dans la même opération que sa lecture. Si quelqu'un rouvre le lien, il voit le même message que pour un lien inconnu.

Aucun risque. La page du lien ne contient pas le secret. Il n'est transmis qu'après un clic sur « Révéler », ce que les robots d'aperçu ne font pas.

Oui, et aucun service ne peut l'empêcher : une fois affiché, un secret peut être copié, noté ou photographié. Sésame Éclair garantit que le lien ne s'ouvre qu'une fois et que plus rien ne subsiste chez nous ; il ne contrôle pas ce que le destinataire fait ensuite. Envoyez vos secrets à des personnes de confiance.

Non. Un navigateur récent suffit, sur ordinateur comme sur téléphone. Rien à installer, rien à créer, ni pour vous ni pour lui.

Les messages éphémères supposent que vous utilisiez tous les deux la même messagerie, et leur durée de vie dépend des réglages de la conversation. Un lien Sésame Éclair s'ouvre dans n'importe quel navigateur, sans compte ; vous choisissez le nombre de lectures, l'échéance et un code éventuel, et vous savez quand il a été lu.

Le secret a déjà été lu, a expiré, a été détruit par son expéditeur, ou le lien a été mal copié. Nous affichons volontairement le même message dans tous les cas, pour ne rien révéler à un tiers. Demandez un nouveau lien à l'expéditeur ; s'il ne vous l'a jamais fait ouvrir, son lien de suivi lui indiquera si quelqu'un d'autre l'a lu.

Non. Un secret lu est supprimé dans la même opération que sa lecture ; un secret expiré devient aussitôt illisible, puis il est purgé. Et nous n'avons jamais eu la clé : même une copie technique de la base ne contiendrait qu'un bloc chiffré.

Oui, gratuitement : créez un lien de dépôt depuis la page « Demander un secret » et envoyez-le à votre client ou collègue. Ce qu'il y dépose est chiffré dans son navigateur pour vous seul.

Le service officiel est à l'adresse eclair.kayzen-lyon.com. Certaines organisations utilisent leur propre domaine, par exemple secrets.leur-entreprise.fr. Si l'adresse vous surprend ou si le message vous presse d'agir, vérifiez auprès de l'expéditeur par un autre canal avant d'ouvrir le lien.

Seulement ce que nous détenons : un bloc chiffré, illisible sans la clé du lien, et quelques dates. Nous n'avons ni la clé, ni le contenu, ni votre adresse IP en base. Un secret lu ou expiré est supprimé de notre base.

Il protège le secret si le lien tombe entre de mauvaises mains. Transmettez-le par un autre canal (téléphone, SMS). Après 5 erreurs, le secret est détruit.

Contre quelqu'un qui n'a que le lien, oui : 5 essais seulement. Contre un attaquant qui aurait à la fois le lien et une copie de notre base, un code court se casse. Pour un secret critique, choisissez une phrase de passe.

Après la création, conservez le lien de suivi. Il affiche le statut (en attente, lu, expiré, détruit) et la date de chaque événement.

Oui, depuis le lien de suivi, avec le bouton « Détruire maintenant ».

De 5 minutes à 30 jours, au choix. Il disparaît dès qu'il a été lu le nombre de fois prévu, ou à l'échéance.

Oui : ajoutez des destinataires et chacun reçoit son propre lien, avec accusé de lecture et révocation séparés. Vous pouvez aussi autoriser jusqu'à 10 lectures pour un même lien.

Dans l'Union européenne : l'application tourne à Paris, la base de données est à Francfort. Nos prestataires d'hébergement sont détaillés dans les mentions légales. Le chiffrement de bout en bout limite ce qu'ils peuvent voir à un bloc chiffré et à quelques dates.

Notre base ne la contient pas. Pour limiter les abus, nous utilisons une empreinte non réversible qui change chaque jour et disparaît sous 24 heures. Les journaux techniques de l'hébergeur sont décrits dans la politique de confidentialité.

Aucun traceur, aucune mesure d'audience, aucun script tiers. D'où l'absence de bannière cookies.

La page « Ce que voit le serveur » exécute notre vrai code et affiche la requête envoyée. Vous pouvez aussi observer cette requête dans les outils de développement de votre navigateur (F12, onglet Réseau).

AES-256-GCM pour le contenu, HKDF-SHA-256 pour dériver les clés, Argon2id (64 Mio) pour le code PIN, tous via les implémentations natives du navigateur ou des bibliothèques éprouvées. Le format complet est publié sur la page Sécurité.

Pas encore. Un audit de sécurité externe est prévu avant la version 1.0 ; son rapport sera publié. En attendant, le format cryptographique et ses vecteurs de test sont publics.

Personne ne peut le retrouver, pas même nous : la clé n'existe que dans le lien. Créez un nouveau secret et, si besoin, détruisez l'ancien depuis le lien de suivi.

Oui : jusqu'à 10 fichiers et 100 Mo par envoi, chiffrés en flux sur votre appareil avant l'envoi, conservés 7 jours au plus et supprimés après le téléchargement.

Sésame Éclair est le produit frère de Sésame, le gestionnaire de mots de passe gratuit de KAYZEN. Sésame garde ce qui doit durer ; Éclair transmet ce qui doit disparaître.

Depuis la page « Signaler un abus ». Un lien manifestement abusif est détruit ; nous ne pouvons pas en lire le contenu.

Oui : l${String.fromCharCode(39)}API v1 est documentée publiquement (spécification OpenAPI 3.1), ainsi que la ligne de commande et le serveur MCP. Le chiffrement reste toujours de votre côté.