La plupart des applis financières écrivent « nous respectons votre vie privée » dans un menu de paramètres que personne ne lit, à côté d’une politique de quatre mille mots. Nous avons voulu écrire autre chose : une explication claire de ce que fait réellement Amunta avec vos données, vérifiée dans le code de l’application lui-même, pas dans un texte marketing.
Par défaut : rien ne quitte votre téléphone
Le registre d’Amunta — dépenses, revenus, dettes, factures, budgets, rapports — est stocké dans une base de données locale sur votre appareil. Pas d’écran d’inscription, pas de champ e-mail, pas de numéro de téléphone requis pour commencer à utiliser l’application. Vous l’ouvrez, et elle fonctionne.
Amunta n’intègre aucun traceur publicitaire, Google Analytics ou SDK Facebook. Des diagnostics techniques anonymes et limités peuvent améliorer la stabilité ; ils ne contiennent ni montants, ni données financières, ni contacts, ni photos et ne permettent pas de vous identifier.
Un verrou PIN est disponible si vous le souhaitez. Lorsque vous le définissez, l’application enregistre un hachage SHA-256 de celui-ci, pas le code lui-même — la même méthode utilisée pour stocker des mots de passe dans tout système qui prend la sécurité au sérieux. Si quelqu’un accédait aux données brutes de l’application, il ne trouverait pas votre code écrit dans un fichier.
La partie optionnelle : partager un registre avec quelqu’un d’autre
Amunta permet aussi à deux personnes de lier leurs comptes — utile si vous voulez, avec un partenaire, un colocataire ou quelqu’un avec qui vous faites affaire, partager un compte courant sans que chacun ait à saisir la même transaction deux fois. C’est entièrement optionnel. L’application de base ne le demande jamais.
Et lorsque vous l’activez, voici exactement ce qui se passe, parce que nous pensons que « exactement ce qui se passe » est une réponse plus honnête que « nous prenons votre vie privée au sérieux ».
Pour obtenir un identifiant réseau (qui ressemble à SF-XXXXXXX), votre téléphone génère une paire de clés de chiffrement et envoie une demande d’inscription contenant seulement trois choses : la clé publique, votre devise choisie, et un indicateur de catégorie d’application. C’est tout ce qui est envoyé. Pas de nom. Pas de numéro de téléphone. Pas d’e-mail. Et si vous avez renseigné un numéro ou un e-mail ailleurs dans l’application, cela reste dans un stockage local sur votre appareil — ça ne fait pas partie de cette demande.
Ce que le chiffrement signifie vraiment ici
Lorsque deux personnes se lient, les transactions partagées se synchronisent entre leurs téléphones via un serveur relais. C’est précisément là que « chiffré de bout en bout » signifie quelque chose de précis, ou n’est qu’une formule. Dans le cas d’Amunta, c’est précis :
- Chaque appareil a sa propre paire de clés. Lors de l’envoi d’une transaction à un contact lié, les deux clés publiques sont combinées via un échange de clés X25519 sur courbe elliptique pour produire un secret partagé.
- Ce secret partagé passe par HKDF-SHA256 pour en extraire une clé de chiffrement stable.
- Les données de la transaction sont chiffrées avec AES-256-GCM avant de quitter définitivement l’appareil.
Dans ce parcours, la clé privée est générée sur l’appareil, conservée dans son stockage sécurisé et utilisée localement pour produire le secret partagé. Le protocole A-Link ne l’envoie ni au serveur relais ni à l’autre appareil.
Ce que la plupart des promesses de « chiffrement » omettent
Ici, nous voulons être plus précis que ce que la plupart des applis prennent la peine d’être. Le serveur relais qui transmet les messages entre appareils liés ne peut pas lire ce qu’ils contiennent — le contenu est un texte chiffré par AES-256-GCM, et le serveur ne possède pas la clé. Mais le serveur voit les métadonnées de routage : quel identifiant réseau a envoyé un message, à quel identifiant il était adressé, et quand. C’est inévitable dans tout système qui doit livrer un message au bon destinataire — c’est le même compromis qu’accepte Signal.
Le relais ne conserve pas non plus les messages comme une archive. La charge chiffrée reste temporairement disponible jusqu’à ce que l’appareil destinataire confirme sa réception et son traitement, puis elle est supprimée définitivement. Sans livraison ou confirmation, elle expire et est automatiquement supprimée après 24 heures.
La formulation précise pour ce protocole est donc : le relais voit les identifiants de routage et l’heure, mais ne possède pas la clé nécessaire pour lire le contenu de la transaction.
Pourquoi c’est plus important qu’une politique de confidentialité
Une politique de confidentialité promet un comportement ; l’examen de l’architecture montre ce que transportent réellement les parcours connus. Dans les parties examinées, la demande d’inscription A-Link ne contient pas la liste de vos contacts, les messages relayés ne contiennent pas la transaction sous une forme lisible et le code PIN n’est pas conservé en clair.
Il ne s’agit pas d’affirmer qu’un logiciel est exempt de tout risque ou défaut, mais de donner une description précise et vérifiable plutôt qu’une garantie absolue. Vous pouvez aussi consulter ce qui utilise réellement Internet et le fonctionnement de la sauvegarde chiffrée.