MuteDoc · Sécurité
Contrôlable, pas seulement crédible.
Un logiciel qui manipule des documents couverts par le secret professionnel doit pouvoir être contrôlé, pas seulement cru. Cette page dit ce qui a été vérifié, comment le vérifier vous-même, et ce qui n'est pas encore fait.
Ce qui a été établi, par exécution.
Chacune de ces affirmations a été mesurée sur le logiciel en fonctionnement, et non déduite d'une lecture du code.
| Affirmation | Comment elle a été établie |
|---|---|
| Le moteur n'écoute que la boucle locale | Inspection des sockets du processus en fonctionnement : une seule écoute, sur 127.0.0.1. Jamais 0.0.0.0. |
| Rien ne sort de la machine | Le paquet livré ne contient aucune bibliothèque cliente HTTP. Le code capable d'émettre une requête n'y est pas. |
| Le canal local est authentifié | Un jeton est tiré au hasard à chaque démarrage et transmis à l'interface hors de la ligne de commande. Toute requête sans jeton, ou avec un mauvais jeton, est refusée. |
| Le port n'est pas devinable | Port éphémère attribué par le système, réservé avant d'être annoncé et jamais relâché : aucun autre programme ne peut s'en emparer entre-temps. |
| Le coffre résiste à l'altération | Chiffrement AES-256-GCM, clé dérivée par scrypt. L'en-tête est scellé avec le contenu : modifier un octet rend le coffre illisible plutôt que d'ouvrir sur des données fausses. |
| Aucun texte ne subsiste sous le caviardage d'un PDF | La page est reconstruite, puis seuls les mots épargnés y sont réinscrits. Le texte masqué ne subsiste pas sous le rectangle : il n'existe plus dans le fichier produit. |
Le vérifier vous-même.
Lancez l'application, ouvrez un document, puis observez le trafic de la machine avec l'outil de votre choix : le moniteur d'activité de macOS, lsof -i, le moniteur de ressources de Windows, ou n'importe quel analyseur réseau. Vous ne verrez aucune connexion sortante, quelle que soit l'action effectuée.
Le service local, lui, apparaîtra : c'est le canal entre l'interface et le moteur, deux processus de la même machine. Il n'est joignable que depuis ce poste.
À la réception d'un installeur, comparez son empreinte à celle que nous vous avons envoyée :
macOS shasum -a 256 MuteDoc.dmg Windows Get-FileHash .\MuteDoc.exe -Algorithm SHA256
Ce que nous ne prétendons pas.
La détection repose sur des règles. Elle n'est ni exhaustive ni infaillible. Un nom rare, un surnom, une identité qui se déduit du contexte sans être écrite peuvent lui échapper.
C'est pourquoi l'application vous fait relire les détections avant tout export. Cette relecture n'est pas une formalité : c'est elle qui protège le dossier.
Nous parlons de pseudonymisation, jamais d'anonymat acquis : tant que la table de correspondance existe, le document masqué reste une donnée personnelle au sens de l'article 4-5 du RGPD, et un acte demeure souvent ré-identifiable par recoupement.
Ce qui reste à faire, et que nous préférons dire.
- Signature et notarisation. Les installeurs ne sont pas encore signés par un certificat d'éditeur : votre système affichera un avertissement au premier lancement. En attendant, l'empreinte SHA-256 envoyée avec chaque fichier est le moyen de le vérifier.
- Historique du presse-papiers. Copier un texte réidentifié dépose les identités réelles dans le presse-papiers du système, dont Windows et macOS tiennent un historique parfois synchronisé. Ce chemin échappe à l'application : pour un document sensible, préférez l'enregistrement dans un fichier.
- Mises à jour. Le logiciel ne se met pas à jour tout seul, et n'interroge aucun serveur pour savoir s'il le devrait. Il connaît en revanche sa propre date de fabrication : passé six mois, il vous invite à consulter la page des versions, et le bouton ouvre votre navigateur, jamais une connexion depuis l'application. Pour les avis de sécurité, c'est le courriel : c'est le seul canal qui atteigne quelqu'un qui n'ouvre pas le logiciel.
- Audit indépendant. Les vérifications décrites ici sont internes. Aucun tiers n'a encore conduit de test d'intrusion.
Signaler une faille.
Écrivez à flo@paretlabs.com, en décrivant ce que vous avez observé et comment le reproduire. Nous accusons réception sous deux jours ouvrés, nous vous tenons informé du traitement, et nous ne poursuivons pas les personnes qui signalent de bonne foi.
Ce qui est couvert : le logiciel MuteDoc et ce site. Ce qui ne l'est pas : les tests sur des systèmes de tiers, l'exfiltration de données réelles, le déni de service et l'ingénierie sociale. La décompilation reste limitée aux cas prévus par l'article L.122-6-1 du code de la propriété intellectuelle.
À compter du 11 septembre 2026, nous signalons les vulnérabilités activement exploitées au CSIRT compétent dans les délais fixés par le règlement (UE) 2024/2847, et nous vous informons du calendrier de correction.