Confidentialité
Les outils en ligne de récupération de mot de passe ZIP sont-ils sûrs ?
Cela dépend de l'endroit où va votre fichier. Un service qui envoie votre archive sur son propre serveur en détient une copie que vous ne contrôlez pas ; un service qui s'exécute dans votre navigateur ne la reçoit jamais.
La question qui compte : le fichier quitte-t-il votre appareil ?
Une archive que vous cherchez à déverrouiller est, par définition, quelque chose qui vous tient à cœur ; demandez donc où elle finit avant de vous demander à quelle vitesse va le service ou combien de formats qu'il prétend prendre en charge. Les outils se répartissent en deux camps : ceux qui envoient votre archive vers un serveur pour la traiter, et ceux qui la traitent sur votre propre machine. Cette ligne de partage, plus que la formulation d'une politique, décide de la confidentialité d'un outil.
Comment fonctionnent les services fondés sur l'envoi
De nombreux outils en ligne sont côté serveur : ils envoient votre fichier. Vous le choisissez, il est transmis par le réseau à l'infrastructure de l'opérateur, le travail s'y déroule, et un résultat vous revient. Cela n'a rien de malveillant en soi, mais cela a une conséquence inévitable : une copie d'un fichier que vous jugez sensible existe désormais sur du matériel que vous ne contrôlez pas. Cette copie peut être conservée après la fin de la tâche, inscrite dans des journaux et des sauvegardes, mise en cache par des systèmes en cours de route, ou exposée si l'opérateur subit une intrusion. Même un service bien géré vous demande de faire confiance à ses politiques et à sa sécurité plutôt qu'à quelque chose que vous pouvez vérifier vous-même.
Comment fonctionne le traitement local, dans le navigateur
L'autre approche laisse le fichier là où il est. Un outil local, dans le navigateur, lit l'archive avec la File API du navigateur, qui remet les octets à la page sans les envoyer nulle part, et teste les mots de passe candidats à l'aide de WebAssembly qui s'exécute sur votre propre processeur. L'archive, son contenu et les mots de passe essayés ne sont jamais envoyés, car la recherche n'a besoin d'aucun serveur. C'est ainsi que ZipRecover est conçu : l'archive est ouverte sur votre appareil, le moteur de récupération s'exécute dans des Web Workers dans votre navigateur, et aucune requête n'emporte jamais le fichier hors de votre machine. Vous pouvez lire la conception complète dans sécurité et confidentialité et suivre les étapes exactes dans comment fonctionne ZipRecover.
Le compromis, c'est la vitesse. Comme le travail s'exécute sur votre propre processeur plutôt que dans un centre de données, une très grande recherche peut être plus lente qu'elle ne le serait sur du matériel distant dédié. Pour la confidentialité qu'il procure, garder l'archive sur votre appareil est généralement le compromis qui vaut la peine.
Une liste de contrôle pour évaluer n'importe quel outil
Vous n'avez pas à croire un site sur parole. Avant de confier une archive à un outil en ligne, passez en revue ces questions :
- Envoie-t-il votre fichier ? Cherchez une déclaration claire indiquant que le traitement est côté client. En cas de doute, ouvrez le panneau réseau du navigateur et guettez une requête qui emporte votre archive au démarrage.
- Que journalise-t-il ou conserve-t-il ? Vérifiez si le site décrit combien de temps les fichiers sont gardés et s'ils sont journalisés. Le silence sur ce point est lui-même une réponse.
- S'exécute-t-il dans votre navigateur ? Les outils côté client fondés sur WebAssembly ou JavaScript gardent le fichier en local. Les outils côté serveur, par définition, ne le font pas.
- Est-il servi via HTTPS ? Le chiffrement du transport est un minimum à exiger, même s'il ne protège le fichier qu'en transit, pas une fois qu'il atteint le serveur.
- Que dit réellement la politique de confidentialité ? Une politique précise et lisible est bon signe. Une politique vague ou absente est une raison d'être prudent.
Traitement sur serveur et traitement local, côte à côte
| Aspect | Service fondé sur l'envoi | Outil local / dans le navigateur |
|---|---|---|
| Où va votre archive | Transmise à un serveur distant | Reste sur votre appareil |
| Qui peut y accéder | L'opérateur, et quiconque atteint ses systèmes | Vous seul |
| Après le traitement | Peut être conservée, journalisée ou mise en cache | Rien à conserver ; elle n'a jamais été envoyée |
| Ce que la recherche envoie sur le réseau | Le fichier part vers le serveur | Votre archive n'est jamais téléversée et rien ne part vers un autre site ; vous ne voyez que les scripts du site, la bibliothèque de déverrouillage à la première utilisation et un rapport d'erreur si le code du site échoue |
| Ce à quoi vous devez faire confiance | Les politiques et la sécurité de l'opérateur | Le code qui s'exécute dans votre propre navigateur |
L'important, c'est le contrôle, pas la suspicion
Une promesse de supprimer votre fichier après traitement suppose toujours que le fichier arrive. Un outil qui ne le reçoit jamais ne laisse rien à supprimer, journaliser ou divulguer.
Les outils ZIP en ligne sont aussi sûrs que leur façon de manipuler votre fichier. Le moyen le plus sûr de supprimer le risque est de garder le fichier sur votre propre appareil du début à la fin. Si vous voulez le contexte sur ce que la récupération peut et ne peut pas accomplir, voir l'aperçu de la récupération de mot de passe ZIP. Quand vous êtes prêt à l'essayer sur une archive que vous possédez, l'outil de récupération s'exécute entièrement dans votre navigateur.
Utilisation autorisée uniquement
Utilisez cet outil uniquement sur des archives ZIP que vous possédez ou que vous êtes autorisé à ouvrir. Tenter d'ouvrir des fichiers sans autorisation peut enfreindre les lois applicables. Consultez notre Politique d'utilisation acceptable et nos Conditions d'utilisation.
Questions fréquentes
Les outils ZIP en ligne envoient-ils mon fichier ?
Beaucoup le font. Un service côté serveur a besoin de votre archive sur ses machines pour la traiter, le fichier est donc transmis et peut être stocké. Les outils locaux, dans le navigateur, ne l'envoient pas. Le moyen fiable de les distinguer est de savoir si l'outil indique qu'il s'exécute côté client, et si votre navigateur effectue réellement une requête d'envoi.
Comment ZipRecover évite-t-il l'envoi ?
Il lit l'archive avec la File API du navigateur et teste les mots de passe avec WebAssembly dans des Web Workers, le tout sur votre appareil. Aucune requête n'emporte le fichier hors de votre machine. La conception complète est décrite dans sécurité et confidentialité et comment ça marche.
HTTPS suffit-il à garder mon archive privée ?
HTTPS protège le fichier pendant son transit, mais ne fait rien contre ce qu'un serveur fait du fichier une fois arrivé. Si le service envoie votre archive, HTTPS n'empêchera pas qu'elle soit journalisée ou conservée. Éviter l'envoi dès le départ est la garantie la plus forte.
Confidentialité et traitement local
Poursuivre sur ce sujet
Sujets connexes : Récupération de mot de passe ZIP Chiffrement ZIP
Prêt à récupérer votre mot de passe ZIP ?
Tout s'exécute localement dans votre navigateur. Votre archive ne quitte jamais votre appareil.