Obscura Photo Vault est-il sûr ?

1. De qui il protège vos photos

C’est nous qui développons l’app : gardez-le à l’esprit en lisant cette page. Nous avons essayé de l’écrire de façon à ce que vous n’ayez pas besoin de nous faire confiance. Chaque affirmation renvoie à quelque chose que vous pouvez lire ou tester.

« Sûr » n’a de sens que si l’on précise face à qui. Voici la version simple, personne par personne.

Les quatre premières lignes correspondent à ce pour quoi l’app est conçue. La cinquième dépend d’un deuxième coffre, et la section 5 explique où elle s’arrête. Les deux dernières se produisent pendant que le coffre est ouvert : le chiffrement à lui seul n’y peut pas grand-chose. La plupart des apps de coffre partagent ces limites, et notre guide pour savoir si les apps de coffre sont sûres explique pourquoi.

2. Ce qui arrive à une photo dans l’app

Ceci décrit la version 1.14 et les suivantes. Tous les détails se trouvent dans notre document de sécurité.

Elle est verrouillée avant d’être enregistrée

Quand vous ajoutez une photo, l’app la chiffre en mémoire. Seule la version verrouillée est écrite sur le téléphone. Les petites images d’aperçu sont aussi verrouillées, tout comme la liste des dossiers, des noms et des tags. Les vidéos sont le seul cas où iOS conserve brièvement une copie lisible dans un fichier temporaire pendant l’importation. L’app la supprime dès que la copie verrouillée est écrite.

Votre mot de passe déverrouille une clé, et la clé verrouille les photos

Chaque coffre a sa propre clé maîtresse. C’est un long nombre aléatoire, créé une seule fois, quand vous créez le coffre. Votre mot de passe ne verrouille pas directement vos photos. Il déverrouille cette clé maîtresse.

La transformation de votre mot de passe en clé est volontairement lente. Elle prend environ une seconde sur un iPhone, car l’app répète une même étape 600 000 fois. Une seconde, ce n’est rien pour vous. Pour quelqu’un qui essaie des millions de mots de passe, cela finit par représenter un temps très long. Notre guide simple des termes du chiffrement explique ces chiffres.

Chaque fichier porte un sceau anti-falsification

Chaque fichier verrouillé porte un sceau. Si un seul octet est modifié, le fichier refuse de s’ouvrir. C’est conçu pour ne pas vous montrer quelque chose qui aurait été modifié en douce.

Les vidéos sont lues sans copie lisible sur le téléphone

Quand vous lisez une vidéo, l’app ne déverrouille que la partie affichée, en mémoire. Aucune copie lisible de la vidéo n’est écrite dans le stockage du téléphone.

Quand le coffre se verrouille, la clé est effacée

Verrouiller le coffre efface la clé maîtresse de la mémoire. Pour voir à nouveau quoi que ce soit, il vous faut le mot de passe ou Face ID.

Où vos photos peuvent aller

Trois endroits seulement : le téléphone, la sauvegarde de votre iPhone et les fichiers d’export que vous créez vous-même. Dans la sauvegarde et l’export, les fichiers restent verrouillés. L’app ne nous envoie rien, car il n’existe aucun endroit où l’envoyer.

3. Pourquoi vous n’avez pas à nous croire sur parole

La plupart des apps de coffre disent protéger vos photos. Peu disent comment. En août 2026, nous avons lu les fiches App Store des cinq apps de coffre les plus notées. Aucune ne nommait sa méthode de chiffrement ni ses paramètres. L’une parlait de « qualité militaire ». Vous pouvez voir les citations dans notre comparatif des apps de coffre-fort photo.

Une formule comme celle-là vous demande de la croire. Nous avons essayé de vous donner plus qu’une formule, en trois étapes. Chacune vous demande un peu moins de confiance envers nous.

Étape 1 : une conception écrite, avec ses limites

Le document de sécurité décrit comment l’app verrouille vos photos. Il consacre aussi une section entière à ce contre quoi l’app ne protège pas. Une affirmation écrite vous permet de nous prendre au mot. Mais ce ne sont encore que des mots.

Étape 2 : le code lui-même

Le code qui assure le verrouillage est public. Il s’appelle ObscuraCrypto, et chacun peut le lire sur GitHub. Il couvre la façon dont votre mot de passe devient une clé, et la façon dont chaque photo, vidéo, aperçu, dossier protégé et fichier de sauvegarde est verrouillé.

Pour les parties délicates, il n’utilise que les briques fournies par Apple, et aucun code d’autres entreprises. Il est accompagné de tests. Certains de ces tests ouvrent des fichiers d’exemple écrits par l’app elle-même. Cela montre que le code public lit ce que l’app écrit.

Étape 3 : votre propre téléphone

C’est l’étape qui ne dépend pas du tout de nous. Le projet comprend un guide pas à pas pour vérifier les fichiers sur votre propre iPhone. Il vous faut un Mac et une vingtaine de minutes. Vous faites une sauvegarde du téléphone sur le Mac, vous en copiez les fichiers du coffre, puis vous lancez quelques vérifications :

• Les fichiers ne sont pas des photos lisibles. Ils ne commencent pas comme un fichier photo ou vidéo, et ils ne rétrécissent pas quand on les compresse, ce qui est le propre des données verrouillées.
• Seul votre mot de passe ouvre votre coffre. Il ouvre exactement un fichier de coffre. Tous les autres fichiers donnent la même réponse : mot de passe incorrect.
• Changer de mot de passe ne réécrit rien. Changez votre mot de passe, vérifiez à nouveau, et chaque fichier photo est exactement identique à avant. Seul le verrou de la clé maîtresse a changé.
• Toute falsification est détectée. Modifiez un octet d’un fichier, et il refuse de s’ouvrir.

Rien de tout cela ne nécessite notre aide. Concrètement, vous comparez ce que nous disons de l’app avec les fichiers présents sur votre propre téléphone.

Si l’app venait à disparaître

Le même projet public comprend un petit outil pour Mac. Il peut ouvrir un fichier de sauvegarde Obscura avec votre mot de passe et enregistrer vos photos et vidéos sous forme de fichiers ordinaires. Un fichier de sauvegarde que vous conservez ne dépend donc ni de l’app, ni de nous. Les photos d’un dossier protégé par son propre mot de passe font exception, car leur seconde clé se trouve dans l’app.

4. Ce que le code public ne prouve pas

Publier le code est une étape importante, mais elle a ses limites. Voici celles qui comptent.

• Que l’app sur votre téléphone a été compilée à partir de ce code. Apple signe et chiffre à nouveau chaque app de l’App Store avant qu’elle vous parvienne. Personne en dehors d’Apple ne peut donc prouver de quel code provient un téléchargement. Ce que prouvent les vérifications ci-dessus, c’est que vos fichiers correspondent exactement au code public. Cela ne pourrait pas arriver par hasard.
• Le reste de l’app. Les écrans, la base de données, le fonctionnement des dix emplacements de coffre et l’effacement des clés en mémoire ne font pas partie du code public. Le document de sécurité les décrit, mais vous ne pouvez pas lire ce code.
• Qu’un expert l’a examiné. Aucune société de sécurité externe n’a audité l’app ni le code. Un code public rend un examen possible. Cela ne veut pas dire qu’il a eu lieu.

5. Les risques qui subsistent, et leur probabilité

Ils sont classés du plus probable au moins probable. Pour chacun, nous indiquons sa probabilité et sa gravité.

• Oublier votre mot de passe
• Les originaux laissés dans Photos
• Un mot de passe faible, et quelqu’un qui a une copie de vos données
• Quelqu’un voit l’écran pendant que le coffre est ouvert
• Face ID utilisé par quelqu’un qui est avec vous
• Les Coffres séparés, et où ils s’arrêtent
• Un risque faible et rare dans les très grandes bibliothèques de vidéos
• Un logiciel malveillant sur le téléphone
• L’app est visible sur votre téléphone

Oublier votre mot de passe

Probabilité : la façon la plus probable de perdre vos photos, bien plus probable que n’importe quelle attaque. Gravité : définitive. Personne ne peut le réinitialiser, nous compris.

C’est le revers de « personne d’autre ne peut l’ouvrir ». Gardez le mot de passe dans un gestionnaire de mots de passe, et conservez un fichier d’export en lieu sûr. Notre guide sur l’oubli du mot de passe d’un coffre traite des deux.

Les originaux laissés dans Photos

Probabilité : forte, c’est très courant. Gravité : la photo reste lisible par toute personne qui connaît le code de votre téléphone.

Ajouter une photo au coffre la copie. L’original reste dans votre photothèque jusqu’à ce que vous le supprimiez. Il passe ensuite 30 jours dans Suppressions récentes, et reste dans Photos iCloud jusqu’à ce que la suppression soit prise en compte. Une app de coffre ne peut pas vider tous ces endroits à elle seule : c’est donc à vous de supprimer les originaux. Notre guide sur les endroits où les photos restent sur un iPhone les énumère tous.

Un mot de passe faible, et quelqu’un qui a une copie de vos données

Probabilité : faible. Il faut une copie des données de votre téléphone, par exemple une sauvegarde sur un ordinateur, plus du temps et des efforts. Gravité : cette personne pourrait ouvrir ce coffre.

Avec une copie, quelqu’un peut essayer des mots de passe sur un ordinateur aussi vite que celui-ci le permet. L’étape de clé lente rend chaque essai plus coûteux, mais elle ne peut pas sauver un mot de passe faible. Le projet public donne ces durées approximatives pour une carte graphique puissante :

Ce ne sont que des exemples : ne les utilisez pas. Un mot de passe publié sur une page web fait partie des premiers qu’un attaquant essaie. Le mot « aléatoire » est essentiel : un prénom suivi d’une année, ou une ligne de chanson, reste un schéma, même s’il est long. Laissez un gestionnaire de mots de passe choisir les mots ou les caractères pour vous.

Utilisez quatre mots aléatoires ou plus. Sur le téléphone lui-même, deviner est lent, mais les délais supplémentaires de l’app ne commencent qu’après 100 mots de passe incorrects d’affilée. Ce compteur est aussi remis à zéro quand l’app redémarre. Nous l’indiquons dans le document de sécurité. Le vrai frein, c’est la seconde que prend chaque essai.

Quelqu’un voit l’écran pendant que le coffre est ouvert

Probabilité : variable, selon votre quotidien. Gravité : la personne voit ce qui est à l’écran.

Le chiffrement ne protège que les fichiers verrouillés. L’app masque son contenu dans le sélecteur d’apps. Par défaut, elle se verrouille toute seule après cinq minutes d’inactivité. Vous pouvez la régler pour qu’elle se verrouille immédiatement, ou désactiver le Verrouillage auto, auquel cas elle reste ouverte jusqu’à ce que vous la verrouilliez.

Face ID utilisé par quelqu’un qui est avec vous

Probabilité : faible. Il faut que quelqu’un soit avec vous et votre téléphone. Gravité : le coffre s’ouvre.

Un visage est plus facile à obtenir qu’un mot de passe. Si c’est un proche qui vous inquiète, désactivez Face ID pour le coffre et utilisez uniquement le mot de passe.

Les Coffres séparés, et où ils s’arrêtent

Probabilité : faible. Les failles connues nécessitent un accès direct au stockage de votre téléphone, ou quelqu’un qui connaît bien l’app. Gravité : quelqu’un pourrait comprendre que vous utilisez plus d’un coffre.

Dans le cas courant, cela fonctionne bien. Quelqu’un demande à voir vos photos, et vous ouvrez un deuxième coffre qui contient des photos que vous acceptez de montrer. C’est un vrai coffre, pas un faux. L’app n’a ni liste des coffres ni compteur, et rien à l’écran ne laisse penser qu’un autre coffre existe.

Les fichiers sur le téléphone sont conçus en conséquence. L’app conserve toujours dix fichiers de coffre, utilisés ou non, et ils sont tous construits de la même façon. Le déverrouillage les vérifie tous, de sorte que le temps nécessaire ne révèle pas quel coffre s’est ouvert. Un deuxième coffre nécessite la version Pro de l’app.

Les failles connues se situent hors de l’app : le nombre total de fichiers photo, un onzième coffre et le Trousseau iCloud. Quelqu’un qui sait que l’app permet plusieurs coffres peut aussi tout simplement continuer à insister. Notre guide des Coffres séparés explique chacune de ces failles.

Un risque faible et rare dans les très grandes bibliothèques de vidéos

Probabilité : très faible. Environ 1 sur 35 000 avec 500 grandes vidéos dans un même coffre, et environ 1 sur 90 avec 10 000. Gravité : limitée.

Chaque grande vidéo reçoit une courte étiquette aléatoire qui la distingue des autres. Deux vidéos pourraient, rarement, recevoir la même étiquette. Quelqu’un qui possède les deux fichiers pourrait alors en apprendre un peu sur le lien entre les deux. Il ne pourrait toujours pas ouvrir le coffre ni aucun autre fichier. Une future version du format de fichier supprimera ce risque.

Un logiciel malveillant sur le téléphone

Probabilité : rare pour la plupart des gens. Apple qualifie les attaques qui pénètrent un iPhone à jour d’« extrêmement rares et très sophistiquées ». Gravité : élevée, si cela se produit pendant que vous utilisez le coffre.

Les apps ordinaires ne peuvent pas accéder au coffre. iOS sépare les fichiers et la mémoire de chaque app : une autre app de votre téléphone ne peut donc ni lire les fichiers du coffre ni regarder à l’intérieur de l’app pendant qu’elle fonctionne. Le risque vient d’un logiciel qui franchit cette séparation. Cela suppose une faille dans iOS lui-même, un téléphone jailbreaké ou un profil d’appareil installé par quelqu’un en qui vous n’avez pas confiance.

Ce qu’un tel logiciel pourrait atteindre dépend de ce que fait le coffre :

• Quand le coffre est verrouillé : uniquement des fichiers verrouillés. C’est la même situation que quelqu’un qui a une copie de vos données, et un mot de passe solide vous protège de la même façon.
• Quand le coffre est ouvert : la clé maîtresse est dans la mémoire de l’app, tout comme les photos affichées. Un logiciel qui a pénétré le téléphone pourrait les copier.
• Pendant que vous le déverrouillez : il pourrait observer l’écran, ou capter le mot de passe pendant que vous le tapez.

Ce type d’attaque n’a donc pas besoin de casser le chiffrement. Il attend que vous ouvriez le coffre. La durée pendant laquelle le coffre reste ouvert dépend de votre réglage de Verrouillage auto. Par défaut, il se verrouille après cinq minutes d’inactivité, et vous pouvez raccourcir ce délai. Si vous désactivez le Verrouillage auto, le coffre et sa clé restent ouverts jusqu’à ce que vous le verrouilliez vous-même.

Quand le coffre se verrouille, l’app efface la clé de la mémoire. Elle ne conserve aucune copie lisible de vos photos dans le stockage une fois qu’elles sont ajoutées : un coffre verrouillé ne laisse donc rien de lisible derrière lui.

Ce que vous pouvez faire : maintenez iOS à jour, ne jailbreakez pas votre téléphone et n’installez pas de profils venant de personnes en qui vous n’avez pas confiance. Laissez le Verrouillage auto activé, avec un délai court. Si vous pensez faire personnellement l’objet d’une attaque ciblée, le mode Isolement d’Apple est conçu pour cela.

L’app est visible sur votre téléphone

Probabilité : certaine. Gravité : légère pour la plupart des gens.

L’app figure sur votre écran d’accueil et dans vos achats App Store. Le chiffrement cache ce qu’il y a dans le coffre. Il ne cache pas l’existence du coffre.

6. Ce que nous pouvons faire et ne pas faire

L’app n’a ni compte ni serveur. Cela détermine ce que nous pouvons faire pour vous, dans les deux sens.

• Nous ne pouvons pas voir vos photos. Elles ne nous parviennent jamais.
• Nous ne pouvons pas réinitialiser votre mot de passe ni récupérer un coffre pour vous.
• Nous ne pouvons pas perdre vos photos lors d’une fuite de données. Nous ne détenons rien qui vous appartienne.
• Nous ne collectons pas de données sur vous. L’étiquette de confidentialité de l’App Store indique Aucune donnée collectée. Cette étiquette est notre propre réponse, et Apple ne la vérifie pas. Vous pouvez la tester : l’app fonctionne entièrement en mode Avion.

Si la Sauvegarde iCloud est activée, votre coffre en fait partie, sous forme de fichiers verrouillés. Apple ne peut pas les lire sans votre mot de passe. Notre guide pour transférer ou supprimer une app de coffre traite des sauvegardes et des nouveaux téléphones.

7. À qui il convient, et à qui il ne convient pas

Il vous convient si vous voulez des photos qui restent illisibles pour quelqu’un qui a votre téléphone ou votre code, et si vous gardez votre mot de passe en lieu sûr. Il vous convient aussi si vous voulez vérifier les affirmations, et pas seulement les lire.

Cherchez ailleurs si vous avez besoin que quelqu’un puisse réinitialiser un mot de passe oublié, ou si vous voulez que vos photos se synchronisent entre vos appareils via un compte en ligne. Un coffre en ligne est un autre compromis. Notre guide sur la sécurité des apps de coffre expose ce qu’il apporte et ce qu’il coûte.

8. Questions fréquentes

Obscura Photo Vault est-il sûr ?

Pour ce à quoi il est destiné, oui, et vous pouvez le vérifier. Vos photos sont verrouillées sur votre téléphone avec une clé dérivée d’un mot de passe que personne d’autre que vous ne connaît. Il n’y a ni compte ni serveur. Le code qui assure ce verrouillage est public. Il ne vous protège pas de tout. Le plus grand risque réel est d’oublier votre mot de passe, car personne ne peut le réinitialiser.

Le développeur d’Obscura Photo Vault peut-il voir mes photos ?

Non. L’app n’a ni serveur ni compte, vos photos ne nous parviennent donc jamais. Nous ne détenons ni votre mot de passe ni aucune clé. C’est aussi pour cela que nous ne pouvons pas réinitialiser un mot de passe oublié ni récupérer un coffre pour vous.

Obscura Photo Vault est-il open source ?

Le chiffrement, oui. Le code qui transforme votre mot de passe en clé et qui verrouille vos photos, vos vidéos, vos dossiers et vos sauvegardes est publié sur GitHub sous le nom ObscuraCrypto. Le reste de l’app, comme ses écrans et sa base de données, ne l’est pas.

Obscura Photo Vault a-t-il fait l’objet d’un audit indépendant ?

Non. Aucune société de sécurité externe n’a examiné l’app ni son code de chiffrement. Le code est public pour que chacun puisse le faire, et le document de sécurité décrit la conception en détail. Cela rend un examen possible. Cela ne veut pas dire qu’il a eu lieu.

Puis-je récupérer mes photos sans l’app ?

Oui, à partir d’un fichier de sauvegarde. Le projet public ObscuraCrypto comprend un petit outil pour Mac qui ouvre un fichier de sauvegarde Obscura avec votre mot de passe et enregistre les photos et vidéos sous forme de fichiers ordinaires. Les photos d’un dossier protégé par son propre mot de passe font exception : leur seconde clé se trouve dans l’app.

Obscura Photo Vault est-il la même chose que l’app photo Obscura ?

Non. Obscura Photo Vault est un coffre-fort photo chiffré conçu par Orlio Inc. Obscura, l’app d’appareil photo manuel, est une autre app, d’un autre développeur. Cette page ne concerne que le coffre-fort photo.