Sécurité

Dernière mise à jour : 3 septembre 2026

Ce qui protège vos données, et ce que cela ne protège pas. Les deux, sur la même page.

En résumé

Votre mot de passe ne nous parvient jamais.Votre navigateur en dérive une empreinte ; c’est elle seule qui est envoyée.
Votre budget, lui, est lisible par nos serveurs.C’est ce qui leur permet de faire les calculs à votre place, sur n’importe lequel de vos appareils.
Personne de notre équipe n’y accède.Aucun écran d’administration ne rend le contenu d’un budget.
Chiffrés au repos.Les disques qui portent la base et les sauvegardes.
Ce n’est pas du chiffrement de bout en bout.Et nous ne l’appelons pas ainsi. Voir ce qui a changé.

Ce qui protège votre compte

Le mot de passe. Votre navigateur en dérive une empreinte — PBKDF2-HMAC-SHA256, 600 000 itérations, sortie de 256 bits — et n’envoie que cette empreinte. Notre serveur la re-hache avec Argon2id avant de la stocker. Le mot de passe en clair ne quitte pas votre appareil, à aucun moment.
La double authentification (TOTP). Un code à six chiffres depuis votre application d’authentification, en seconde marche à la connexion. Activable et désactivable depuis vos réglages.
La passkey. Empreinte, visage ou code de l’appareil, à la place du mot de passe, via WebAuthn.
Les sessions. Les jetons de rafraîchissement vivent en base, tournent à chaque usage et sont révocables — se déconnecter coupe réellement l’accès, il ne se contente pas d’oublier.
Le transport. HTTPS/TLS sur tous les échanges, sans exception.

Ce que nos serveurs stockent, et ce que nous en voyons

Nos serveurs détiennent votre budget en clair : comptes, transactions, enveloppes, montants, notes. C’est ce qui leur permet de calculer vos soldes, votre disponible et votre mois d’avance une fois pour toutes, au lieu de refaire le calcul dans chaque navigateur — et c’est aussi ce qui rend possible une version mobile légère. Le dire est le préalable à tout le reste de cette page.

Ce qui encadre cet accès :

La console d’administration ne rend que des métadonnées. Un nombre d’enregistrements, des dates, un état d’abonnement. Aucun écran, aucun point d’entrée n’expose le contenu d’un budget.
Les actions d’administration sont journalisées — qui, quoi, quand, sur quel compte. Le journal survit à la suppression du compte administrateur qui a agi.
Deux règles que nous nous imposons. La console ne gagnera pas d’écran de données de budget. Et si le support en a un jour besoin pour vous dépanner, ce sera avec votre consentement explicite, et cela laissera une trace.

Le chiffrement au repos, et ses limites

La base, les sauvegardes et le fichier d’échange vivent sur un volume chiffré (LUKS). Les sauvegardes sont en plus chiffrées avec une clé publique dont la partie privée n’est pas sur le serveur : une sauvegarde volée reste illisible, même en emportant la machine avec.

Ce que cela ne fait pas, et il faut le lire. Une machine en marche a sa clé en mémoire, sinon elle ne pourrait pas travailler. Le chiffrement au repos protège d’un disque récupéré, d’une sauvegarde égarée, d’un matériel mis au rebut. Il ne protège pas de quelqu’un qui obtiendrait un accès à la machine pendant qu’elle tourne. Ce n’est pas la même promesse que le chiffrement de bout en bout, et les confondre serait vous tromper.

Ce qui a changé le 25 août 2026

Jusqu’à cette date, Arca chiffrait votre budget sur votre appareil et nos serveurs n’en voyaient que des octets illisibles. Nous y avons renoncé : tant que le serveur ne pouvait pas lire, il ne pouvait rien calculer — chaque appareil refaisait seul l’intégralité des calculs, et une application mobile légère restait hors d’atteinte.

C’est un recul de confidentialité, pas une amélioration déguisée, et nous préférons l’écrire ici plutôt que de laisser le mot « chiffré » faire croire autre chose. Ce que vous gagnez en échange : un mot de passe oublié ne détruit plus votre budget, un nouvel appareil retrouve tout sans manipulation, et le partage d’un coffre n’exige plus d’échange de clés.

Ce contre quoi cela ne protège pas

Dit franchement, parce qu’une page sécurité qui n’énumère que des forces est une publicité.

Nous, si nous décidions de regarder. Rien dans la technique ne nous en empêche désormais — seulement nos règles, le fait qu’aucun écran ne le permette, et le journal. C’est la conséquence directe de la section précédente.
Quelqu’un qui utilise votre appareil déverrouillé. Si votre session est ouverte, votre budget l’est aussi.
Une réquisition judiciaire. Nous détenons vos données ; nous ne pouvons donc pas prétendre être incapables de les remettre.
Un audit que nous n’avons pas eu. Arca n’a pas subi d’audit de sécurité externe. Quand ce sera le cas, ce sera écrit ici, avec le rapport.

Ce que vous pouvez vérifier vous-même

Le reste de cette page se vérifie dans notre code. Les en-têtes ci-dessous, eux, se vérifient depuis chez vous, sans nous croire sur parole :

curl -sI https://arcabudget.app/fr/security/

HSTS (strict-transport-security), deux ans, sous-domaines compris, en preload. Votre navigateur refuse de nous joindre autrement qu'en HTTPS — même si vous tapez l'adresse sans le « s », même la toute première fois.
Une politique de contenu stricte. Le site ne charge de script que depuis son propre domaine, et chaque script inline est autorisé par son empreinte.
nosniff, X-Frame-Options: DENY, Referrer-Policy, Permissions-Policy. Pas de devinette sur le type d'un fichier, pas d'affichage dans un cadre tiers, et ni géolocalisation ni micro ni caméra ni paiement autorisés à la page.

Relevé le 3 septembre 2026. Ces en-têtes sont posés par notre serveur web : si l'un venait à changer, cette page pourrait le dire avec du retard — la commande ci-dessus, elle, ne se trompe jamais.

Signaler une faille

Écrivez à privacy@arcabudget.app, en décrivant ce que vous avez trouvé et comment le reproduire. Les mêmes informations sont publiées au format normalisé dans /.well-known/security.txt.

Ce que nous demandons : laissez-nous le temps de corriger avant de publier. Ce que nous ne promettons pas : un délai de réponse, ni une prime — Arca n'a pas de programme de récompense. Le dire vaut mieux que de le laisser supposer.

Le format est ouvert

Le contenu des coffres suit un schéma publié, arca.vault.v1. Votre export est ce format — lisible par tout ce qui l’implémente, pas seulement par nous — votre coffre n’est jamais lié à un seul programme.