Sécurité

Confidentielle par conception.

NyxTalk tourne sur votre propre serveur. Messages, fichiers et appels sont chiffrés de bout en bout : le serveur les stocke sans pouvoir les lire — et seuls des appareils enrôlés, avec une personne munie de sa clé de sécurité, peuvent le joindre.

  • MLS · RFC 9420
  • UDP 51823
  • TPM · Secure Enclave · StrongBox
  • FIDO2 · YubiKey
  • Ed25519

Comment une connexion est autorisée

Cinq étapes, dans cet ordre.

  1. Un lien à usage unique (72 h par défaut) remis par l'administrateur. La clé de l'appareil est créée dans la puce de sécurité et attestée par le fabricant ; l'administrateur la valide avec un code à 6 chiffres comparé de vive voix.

  2. Sans tunnel, le serveur n'existe pas. Chaque appareil a sa propre clé de tunnel, renouvelée tous les 30 jours, avec une clé partagée supplémentaire.

  3. TLS mutuel signé par la clé matérielle de l'appareil. Le serveur vérifie que l'adresse du tunnel correspond bien à cet appareil.

  4. Mot de passe, puis clé de sécurité enregistrée sur ce serveur (code PIN de la YubiKey et toucher). Sessions limitées (12 h par défaut), verrouillage après 15 minutes d'inactivité.

  5. MLS entre les appareils des membres de la conversation. Le serveur distribue sans pouvoir déchiffrer.

Chaque étape est franchie dans cet ordre ; un échec à n'importe laquelle arrête tout.

Chiffrement de bout en bout

Votre serveur ne peut pas lire vos messages.

NyxTalk utilise MLS, la norme de l'IETF pour le chiffrement de bout en bout en groupe (RFC 9420), avec l'implémentation OpenMLS. Le serveur ne stocke que des données chiffrées.

  • Messages : chiffrés sur l'appareil de l'expéditeur, déchiffrés uniquement sur ceux des membres
  • Pièces jointes : fichiers et images sont chiffrés aussi
  • Appels audio et vidéo : chiffrés trame par trame avec une clé issue du groupe MLS
  • La recherche se fait sur l'appareil, jamais sur le serveur

Ce que le serveur voit encore

  • Qui écrit à qui, et quand
  • La taille des messages
  • Qui appelle qui, et combien de temps
  • Le débit des appels

Ce qu'il ne voit jamais

  • Le contenu des messages
  • Les fichiers
  • La voix et l'image
  • L'écran partagé

Nous l'écrivons franchement, parce que c'est la première question d'un RSSI.

Quatre niveaux de sécurité

Vous choisissez dès l'installation.

Nous recommandons Maximale ou Élevée. Basique existe pour démarrer sans clé matérielle — nous préférons le dire que le cacher.

MaximaleRecommandé

YubiKey uniquement

Un PC volé est inutilisable sans la clé. Réglage par défaut et recommandé.

ÉlevéeRecommandé

Toute clé FIDO2 certifiée

Même protection, choix libre du fabricant de clés.

Standard

Clé FIDO2 ou Windows Hello

Pratique, mais le facteur est lié au PC lui-même.

Basique

Application 2FA (code à 6 chiffres)

Pour démarrer sans clé matérielle. Un code peut être hameçonné, une clé non.

Si un appareil est perdu

L'administrateur le révoque en un clic : il est coupé du tunnel immédiatement, refusé à la requête suivante, retiré des conversations, et ses données locales sont effacées au prochain lancement. La base locale est chiffrée et reste illisible sans le second facteur.

Mises à jour signées

Chaque version est signée (Ed25519) et vérifiée indépendamment par le serveur, l'hôte et l'application ; les exécutables Windows sont en plus signés Authenticode et horodatés. Les postes reçoivent leurs mises à jour par leur propre serveur, à travers le tunnel.

Aucune télémétrie

L'application ne parle qu'à votre serveur, jamais à un tiers. Ce site applique la même règle : aucun cookie, aucune mesure d'audience, aucun script ni police de tiers.

Sans détour

Ce que nous n'affirmons pas.

La crédibilité se perd vite. Donc, pour être précis :

  • NyxTalk ne détient à ce jour aucune certification (ISO 27001, SOC 2, ANSSI).
  • Le mot de passe est encore vérifié par votre serveur : le protocole OPAQUE, qui le cacherait aussi au serveur, est dans la roadmap.
  • La suite de chiffrement MLS n'est pas encore post-quantique ; une suite hybride est dans la roadmap.
  • Aucun système n'est « inviolable ». NyxTalk réduit ce qui peut être attaqué et ce qui peut être lu — c'est ça, la promesse.

Venez avec votre RSSI.

Nous passons l'architecture en revue avec votre équipe, question par question.

Demander une démo Comment fonctionne la sécurité