🛂
La douane
Pseudonomia
Pseudonomia
PSEUDONOMIA est la référence de la pseudonymisation locale — et pour une profession à haut risque, être la référence, c'est une architecture où la question « et si mon mot de passe était volé ? » a une réponse en un mot : rien.
La sécurité n'est pas une liste d'options dans un menu : c'est une architecture. Chez Pseudonomia, elle tient en trois couches : un traitement 100 % local (rien ne sort du poste), des coffres chiffrés (rien ne se lit sans déverrouillage), et désormais un second facteur matériel par clé physique — sans la clé que l'on touche, le mot de passe seul laisse les coffres mathématiquement indéchiffrables.
Un dépositaire du secret n'est pas menacé « en général » : il est menacé précisément. Quatre scénarios reviennent dans tous les retours de terrain — et chacun appelle une réponse d'architecture, pas une promesse.
Un cambriolage, une sacoche oubliée, une saisie contestée : le disque part avec les dossiers. Si les données ne sont pas chiffrées au repos, tout est déjà perdu au moment où l'on s'en aperçoit.
Hameçonnage, mot de passe réutilisé depuis une fuite, regard par-dessus l'épaule, post-it. C'est la compromission la plus banale — et celle contre laquelle un mot de passe, aussi long soit-il, ne peut rien par définition.
Quand le dossier vit dans un cloud, sa sécurité vit chez un tiers : administrateurs, sous-traitants, lois extraterritoriales, brèches. Le dépositaire du secret n'a plus la main — mais il garde la responsabilité pénale.
Un installeur trafiqué, un module de langue vérolé, une mise à jour interceptée : l'attaque ne vise plus vos données mais l'outil qui les traite. Sans signatures vérifiables, impossible de savoir ce que l'on exécute.
Pour ces professions, la confidentialité n'est pas une politique interne : c'est une obligation pénalement sanctionnée — secret professionnel de l'article 226-13 du Code pénal, secret de l'enquête et de l'instruction de l'article 11 du Code de procédure pénale (sanctionné par l'article 434-7-2 du Code pénal), secrets spéciaux des avocats, des professions de santé, des notaires ou des banquiers. Et depuis le 2 août 2026, l'AI Act rend applicables les obligations des systèmes d'IA à haut risque de l'annexe III — administration de la justice et santé en tête.
226-13 CP, 11 CPP, textes spéciaux des sept professions, RGPD article par article, AI Act : la page « Secret professionnel » détaille ce que dit la loi — et pourquoi le cloud est structurellement exclu.
La première décision de sécurité de Pseudonomia a été prise avant la première ligne de code : le traitement se fait sur votre poste, sans aucun appel réseau. Ce qui n'est jamais transmis ne peut pas fuiter.
Le document original, le moteur de détection, les modèles de langue, les coffres chiffrés, le journal : tout vit ici. Pas de compte en ligne, pas de télémétrie, pas de cookie. Pseudonomia fonctionne porte fermée, y compris sans connexion.
Cloud, messageries, IA en ligne. Une seule chose peut franchir la frontière : la version pseudonymisée du document — et uniquement parce que vous l'avez décidé, journal à l'appui.
Ce choix d'architecture élimine des classes entières d'attaques : pas de serveur à compromettre, pas de compte à usurper, pas de mot de passe à réinitialiser par un e-mail piégé, pas de base centralisée dont la brèche exposerait tous les clients à la fois. La surface d'attaque de Pseudonomia, c'est votre poste — et les sections suivantes décrivent comment elle y est défendue.
Sur le poste, l'identité de l'opérateur et ses clés de signature vivent dans des coffres chiffrés. Un disque volé, cloné ou saisi ne livre que du bruit.
Le mot de passe maître n'est jamais stocké : il sert à dériver la clé de déchiffrement via Argon2id, une fonction conçue pour rendre les attaques par essais massifs coûteuses, même sur du matériel spécialisé.
Les coffres sont chiffrés avec un chiffrement authentifié moderne (XChaCha20-Poly1305) : toute altération du fichier — même d'un seul octet, même dans ses métadonnées — est détectée et fait échouer le déchiffrement avec une erreur explicite.
L'accès de dernier recours aux sauvegardes chiffrées est une phrase de 12 mots, générée à l'activation, à conserver sur papier, au coffre-fort physique. Aucune copie numérique ne doit exister.
Les sauvegardes emportent les coffres sous la même protection cryptographique. Une sauvegarde égarée reste un fichier indéchiffrable sans la phrase.
Le maillon faible restant, c'était le mot de passe seul. Pseudonomia introduit un second facteur matériel FIDO2 sur le déverrouillage de l'identité opérateur : une clé physique que l'on insère et que l'on touche. Sans elle, le mot de passe n'ouvre rien.
Dans beaucoup de logiciels, la « double authentification » est un écran de plus : un contrôle d'interface qui décide d'afficher ou non vos données — données qui, elles, restent déchiffrables sur le disque. Ici, la clé physique participe au chiffrement lui-même :
Au moment du déverrouillage, la clé matérielle calcule un secret cryptographique (extension FIDO2 hmac-secret). Ce calcul exige la présence physique de la clé et un geste de toucher : il ne peut pas être rejoué à distance.
Le secret matériel chiffre directement la clé de déchiffrement des deux coffres critiques (identité et clés de signature). C'est la couche interne.
La couche interne est elle-même chiffrée par le mot de passe maître (Argon2id). Les deux facteurs doivent être présents pour atteindre la clé de déchiffrement — l'un sans l'autre ne donne rien.
L'activation exige deux clés physiques : la principale, qui reste avec vous, et la clé de secours, qui va au coffre-fort. Ce n'est pas une recommandation, c'est une condition de l'assistant d'activation — parce que c'est exactement ce qui permet, le jour où la clé principale est perdue, de la remplacer sereinement avec la clé de secours, sans drame et sans porte dérobée.
Un seul geste de toucher déverrouille les deux coffres critiques. Avec Touch ID, l'empreinte valide le premier facteur — le toucher de la clé reste exigé.
Le changement de mot de passe ne rechiffre que la couche externe. Pas besoin d'avoir les clés sous la main — et aucune fragilité si l'une est momentanément inaccessible.
La description du second facteur fait partie des données authentifiées du coffre. Retirer ce bloc du fichier casse le déchiffrement avec une erreur explicite : le coffre ne « retombe » jamais silencieusement en mode mot de passe seul.
L'activation est un choix de l'opérateur, guidé par un assistant en trois étapes. Activation, remplacement d'une clé et désactivation sont consignés au journal, horodatés — sans jamais exposer de matériau secret.
Pseudonomia ne vous enferme pas chez un fabricant : toute clé FIDO2/CTAP2 supportant l'extension hmac-secret est utilisable.
| Clé | Fabricant | Statut |
|---|---|---|
| YubiKey Security Key C | Yubico | ✅ Validée avec Pseudonomia |
| Winkeo-C FIDO2 | Neowave (France) — certifiée CSPN ANSSI | ⏳ En cours de validation sur pièce |
| Toute clé FIDO2 avec hmac-secret | Nitrokey, Token2 et autres acteurs de l'interopérabilité CTAP2 | Compatible par conception |
La menace nº 4 — l'outil altéré — appelle une réponse en amont de votre poste : chaque maillon de la chaîne de livraison est signé, et chaque signature est vérifiable par vous, sans nous croire sur parole.
Sur Windows, la signature Authenticode protège déjà l'installation : un binaire altéré est rejeté par le système lui-même. Sur macOS, la signature Developer ID est en cours d'obtention — le certificat n'est pas encore délivré, dit tel quel, sans promesse de date ; en attendant, les autres maillons ci-dessous (signature minisign, sommes de contrôle, packs de langue signés) protègent aussi l'installation macOS.
En complément, chaque artefact publié — installeur, module de langue, sommes de contrôle — est signé avec la clé d'éditeur LexLabs, dont la partie publique est publiée. Vous pouvez vérifier l'origine de n'importe quel fichier, indépendamment des magasins de certificats.
Les packs de langue sont signés (Ed25519) et contrôlés au chargement : les formats à risque d'exécution de code sont refusés. Un pack non signé ou altéré ne se charge pas.
À chaque lancement, l'application vérifie l'intégrité de son environnement avant d'ouvrir la session — et vous montre ce qu'elle a vérifié.
Les opérations sensibles sont consignées dans un journal signé par la clé de l'opérateur — la vôtre, générée sur votre poste. Le journal prouve ce qui s'est passé, y compris les événements du second facteur.
Comment le journal de Pseudonomia consigne, signe et restitue ce qui s'est réellement passé sur vos dossiers — et pourquoi cela compte devant un client, un bâtonnier ou un juge.
Chaque profession à haut risque a son scénario de compromission typique. Voici, pour chacune, ce que l'architecture y oppose — concrètement.
| Profession | Scénario de compromission type | Ce que l'architecture y oppose |
|---|---|---|
| ⚖️ Avocats | Poste volé ou saisi — la sacoche au tribunal, le cabinet cambriolé, la perquisition contestée. | Coffres chiffrés au repos : sans le mot de passe et la clé physique, les dossiers du disque sont illisibles. |
| 🔬 Experts judiciaires | Mot de passe réutilisé ou hameçonné — l'expert travaille souvent seul, sans DSI derrière lui. | Le mot de passe seul n'ouvre plus rien : le déverrouillage exige la clé que l'on touche. Le journal signé documente les accès pour la juridiction. |
| 🩺 Professions de santé | Poste partagé au secrétariat, session ouverte convoitée, rançongiciels ciblant les établissements. | Verrouillage de session + second facteur au déverrouillage ; aucune base centrale à rançonner : chaque poste est autonome. |
| 📜 Notaires & commissaires de justice | Fraude ciblée sur les actes et les fonds — usurpation de comptes en ligne, interception de flux. | Zéro compte en ligne, zéro flux : il n'y a ni serveur à usurper ni transit à intercepter. Le traitement reste dans l'étude. |
| 🧾 Experts-comptables | Hameçonnage saisonnier (périodes fiscales), pièces clients exfiltrées via des outils cloud « pratiques ». | Seule une version pseudonymisée peut sortir du poste — sur décision explicite, tracée au journal. Le document source ne se téléverse pas. |
| 🏦 Banque & assurance | Exigences d'auditabilité : prouver qui a traité quoi, avec quel outil, sous quel contrôle. | Journal signé, chaîne de livraison vérifiable de bout en bout, second facteur matériel — des réponses vérifiables aux grilles d'audit interne. |
| 🏛️ Secteur public | Obligations de souveraineté et de maîtrise : pas de dépendance à un cloud extraterritorial. | Traitement souverain sur poste, clés FIDO2 du marché (dont une piste française certifiée CSPN en cours de validation), aucune donnée qui quitte l'administration. |
Une page sécurité qui ne dit que ce qui protège est une page marketing. Voici les limites, écrites noir sur blanc — parce que les connaître fait partie de la sécurité.
Une restauration de sauvegarde via la phrase papier recrée les coffres en mode mot de passe seul (le second facteur est à réactiver ensuite). C'est l'accès de dernier recours voulu : il évite qu'une panne de clé vous enferme dehors. Conséquence assumée : le second facteur vaut ce que vaut la garde physique de la phrase papier. Coffre-fort, pas tiroir — c'est très exactement la limite structurelle que les lignes directrices EDPB 01/2025 (§5.3) demandent d'assumer explicitement pour tout mécanisme de secours qui recrée un accès à facteur unique.
Perte des deux clés physiques et de la phrase de 12 mots : les coffres sont irrécupérables. Il n'existe aucun séquestre, aucune clé de récupération chez LexLabs, aucune porte dérobée — c'est une propriété mathématique du schéma de chiffrement, pas une politique commerciale. La rigueur de la garde est le prix de l'absence de tiers.
Système à jour, absence de logiciel malveillant, session verrouillée en votre absence : Pseudonomia ne peut pas compenser un poste compromis. Un logiciel espion actif pendant qu'une session est déverrouillée voit ce que l'opérateur voit.
La YubiKey Security Key C est validée avec Pseudonomia. La piste française (Neowave Winkeo-C, certifiée CSPN par l'ANSSI) est en cours de validation matérielle : nous l'annoncerons validée quand elle le sera, pas avant.