Comment fonctionne Vibn

1. La version courte

Vibn est un album partagé privé. Vous créez un groupe, vous invitez quelques personnes, et les photos et vidéos de chacun sur la même occasion se rassemblent au même endroit. Il n'y a pas de fil dans lequel être classé, pas de profil public, et aucun moyen pour un inconnu de trouver votre groupe.

• Les groupes sont sur invitation uniquement. Pas de recherche, pas de découverte, pas de navigation — la seule entrée est un lien, un code ou un QR venant de quelqu'un déjà à l'intérieur.
• Les photos et vidéos des groupes chiffrés sont chiffrées de bout en bout. Elles sont chiffrées sur votre téléphone avant l'envoi et déchiffrées sur les téléphones des destinataires. Nos serveurs conservent un texte chiffré qu'ils ne peuvent pas lire.
• La clé qui déchiffre un groupe n'atteint jamais nos serveurs sous une forme exploitable. Elle voyage dans la partie du lien d'invitation que les navigateurs ne transmettent jamais, et si vous conservez une sauvegarde de récupération, la copie que nous détenons est scellée par une phrase que nous ne recevons jamais.
• La reconnaissance faciale s'exécute sur votre appareil. Seuls des vecteurs numériques anonymes sont envoyés — jamais vos photos d'enregistrement, et jamais vers une autre personne.
• Les médias ne sont jamais adressables publiquement. Chaque consultation passe par un lien signé de courte durée, généré à chaque requête.
• Vous pouvez supprimer vos données faciales, vos médias, vos groupes et votre compte entier, et ces suppressions sont réelles.

2. Privé par invitation, appliqué côté serveur

Chaque requête portant sur les données d'un groupe est vérifiée contre votre appartenance avant que quoi que ce soit ne soit renvoyé. Si vous n'êtes pas membre, l'API répond « introuvable » plutôt que « non autorisé » — ainsi une personne extérieure ne peut même pas confirmer que ce groupe existe, encore moins qui en fait partie.

Cette vérification vit à un seul endroit, dans l'API, et non éparpillée dans le code de l'application. L'application ne peut pas s'accorder l'accès en posant la question autrement, parce que ce n'est pas elle qui décide.

Il y a une exception délibérée : toute personne connectée disposant d'un code d'invitation peut lire un petit aperçu de cette invitation — le nom du groupe, sa description et qui invite — avant de rejoindre. Sans cela, il faudrait accepter une invitation à l'aveugle. Les invitations expirent au bout de sept jours.

Depuis 2026, une seconde vérification s'ajoute à celle de l'appartenance, et dans un seul sens : elle peut retenir, jamais accorder. Si vous figurez sur une photo publiée par quelqu'un d'autre, vous pouvez la masquer au groupe : l'API ne la sert alors plus qu'aux personnes déjà identifiées dessus et à celle qui l'a publiée. Elle ne supprime rien, elle n'atteint pas les copies déjà présentes sur le téléphone de quelqu'un, et la personne qui l'a publiée en est informée et peut vous demander de la remettre.

• Les rôles dans un groupe sont propriétaire, gestionnaire et membre. Les gestionnaires peuvent modérer et modifier ; seul le propriétaire peut supprimer le groupe ou nommer des gestionnaires.
• Un propriétaire ne peut pas quitter discrètement un groupe qui lui appartient — il le supprime ou le transmet. Cela évite un groupe sans propriétaire dont personne n'assume le stockage.
• Retirer un membre coupe son accès pour la suite. Cela n'efface pas ce qu'il a déjà vu, et nous ne prétendons pas le contraire.

3. Chiffrement de bout en bout : ce que nos serveurs ne peuvent pas faire

Les groupes créés après notre déploiement du chiffrement de bout en bout sont chiffrés. Chacun a une clé de 256 bits, générée sur l'appareil de la personne qui le crée. Les médias sont chiffrés en AES-256-GCM sur le téléphone avant l'envoi, et déchiffrés sur le téléphone à l'affichage. Ce que nous stockons est un bloc opaque.

L'essentiel n'est pas que nous promettions de ne pas regarder. C'est qu'un certain nombre de fonctions offertes par d'autres applications nous sont impossibles, et que nous avons accepté de les perdre :

• Nous ne pouvons pas générer de miniatures ni d'aperçus de vos médias chiffrés côté serveur, parce que nous ne pouvons pas les décoder.
• Nous ne pouvons pas les réencoder ni les compresser pour économiser du stockage.
• Nous ne pouvons pas produire le flou utilisé avant le jour de la révélation — dans les groupes chiffrés, c'est donc l'application qui le fait sur votre appareil.
• Nous ne pouvons pas créer de lien de partage public pour un groupe chiffré. Cette fonction est désactivée pour ces groupes, pas seulement déconseillée.
• Nous ne pouvons pas analyser le contenu des médias chiffrés, ni nous ni personne. La détection de contenu sensible s'exécute sur votre appareil ou pas du tout.
• Il n'existe qu'une seule façon pour le contenu réel d'une photo de nous parvenir, et c'est vous qui l'envoyez : signaler un contenu comme abusif téléverse depuis votre appareil une copie déchiffrée de ce seul élément, après que l'application vous l'a annoncé. Nous ne pouvons l'obtenir d'aucune autre manière, et elle est supprimée 90 jours après le règlement du signalement.

4. Comment la clé voyage

La clé d'un groupe est distribuée à l'intérieur du lien d'invitation, après le caractère # : https://vibn.space/i/CODE#k=… — tout ce qui suit le # est un fragment d'URL, et les navigateurs n'envoient jamais les fragments au serveur. Le QR code contient le même lien. Celui qui l'ouvre extrait la clé dans l'application et la range dans le stockage sécurisé de l'appareil, adossé au matériel : le Trousseau sur iOS, le Keystore sur Android.

Cela a une conséquence que nous préférons énoncer clairement plutôt que d'enfouir. Quiconque obtient le lien d'invitation complet obtient la clé du groupe. Traitez un lien d'invitation comme la clé de chez vous : ce n'est pas une demande d'entrée que vous approuvez, c'est ce qui ouvre la porte. Partagez-le par un canal auquel vous faites confiance.

Il y a une seconde conséquence, et la sauvegarde de récupération en change la forme plutôt que de la supprimer. La première fois qu'un appareil détient la clé d'un groupe, Vibn vous propose une phrase de récupération de dix mots. Votre téléphone dérive une clé de ces mots et envoie vos clés de groupe scellées par elle ; nous conservons ce paquet scellé et le sel public utilisé pour la dériver. Nous ne recevons jamais la phrase — ni dans une requête, ni par e-mail, ni via le menu de partage —, si bien que le paquet nous est aussi impossible à ouvrir que les médias eux-mêmes. Vous pouvez faire une capture d'écran des mots si vous la préférez au papier ; une capture se synchronise généralement avec un service photo dans le cloud, elle ne sera donc pas plus privée que ce compte. Saisir la phrase sur un nouvel appareil ramène vos clés, et sur iOS la clé dérivée voyage dans le trousseau iCloud, de sorte que la plupart des restaurations ne demandent aucune saisie. Vous pouvez toujours transférer vos clés en scannant un code depuis un appareil qui les a encore, ou restaurer un groupe en recollant son lien d'invitation. Mais vous pouvez ignorer la sauvegarde ou la supprimer, et si vous le faites et que tous les appareils et tous les liens disparaissent, les médias restent chiffrés pour toujours. C'est le coût honnête de la garantie de la section 3.

• La clé du groupe n'est jamais dans le corps d'une requête, jamais dans le code d'invitation lui-même, et jamais dans un journal sous une forme exploitable. La seule copie qui nous parvient est le paquet de récupération, scellé par votre phrase.
• Limite actuelle : il n'y a pas de rotation de clé au départ d'un membre, ni de révocation individuelle. Un ancien membre qui a gardé le lien garde la clé.
• La clé d'un groupe est visible en lecture seule dans ses réglages, vous pouvez donc en faire une sauvegarde délibérée si vous le souhaitez.

5. Où se trouvent réellement vos médias

Les fichiers sont dans un stockage objet privé, illisible sans signature. Notre base de données ne conserve que le chemin de l'objet — pas une URL. Une migration précoce a délibérément supprimé les colonnes d'URL persistées : une ligne de base de données qui fuiterait ne contient donc rien de téléchargeable.

Chaque fois que vous ouvrez une photo, l'API génère un lien signé de courte durée pour cet objet-là, pour cette requête-là, après avoir vérifié votre appartenance. Le lien expire. Les envois fonctionnent de la même manière à l'envers, le type de fichier étant fixé au moment où l'envoi est autorisé.

• Il n'y a pas de bucket public, pas de chemin devinable, et pas d'URL permanente qui puisse fuiter.
• La seule surface non authentifiée de tout le système est une galerie publique partagée, qu'un membre peut créer pour un groupe non chiffré. C'est un jeton de capacité dans un lien, il peut être désactivé, et il ne peut jamais être créé pour un groupe chiffré.
• Si vous désactivez le repartage dans vos réglages, vos envois sont retirés de toute galerie publique créée par un autre membre — dans les vôtres, ils restent.

6. Le jour de la révélation

Un groupe peut être réglé pour se dévoiler à une date choisie, afin que personne ne voie les photos avant tout le monde. Avant cet instant, le serveur ne se contente pas de demander à l'application de cacher des choses. Il remet à ceux qui n'ont pas envoyé un fichier différent — un petit dérivé flouté — et ne génère jamais de lien signé vers l'original. La clé du fichier en pleine résolution n'est pas dans la réponse, il n'y a rien à y trouver.

Vous voyez toujours vos propres envois. Les avis concernant les photos où vous apparaissez sont retenus jusqu'à la révélation puis livrés en un seul résumé, pour qu'une notification ne gâche pas ce que l'écran cache.

Il existe une façon de voir ces photos en avance, et elle est délibérée. Le propriétaire du groupe peut lancer un mur en direct : un lien, valable au plus une journée et révocable à tout moment, qui affiche les photos du groupe dans un navigateur au fur et à mesure — lors d'une fête, sur un écran dans la salle. Pendant ce temps, toute personne ayant ce lien voit les photos entières plutôt que les versions floutées, ce qui est précisément l'objet. Deux choses bornent ce que cela coûte. Le lien se termine tout seul, et le propriétaire peut y mettre fin plus tôt. Et le lien ne contient aucune clé de groupe : la clé parvient au navigateur sous forme chiffrée et n'est ouverte que là, uniquement tant que la session dure — terminer un mur en direct n'éteint donc pas seulement la page, cela emporte la clé avec elle.

7. La reconnaissance faciale, et pourquoi elle est inhabituelle ici

Vibn peut retrouver les photos où vous apparaissez. Presque toutes les implémentations de cette fonction envoient les visages à un serveur. La nôtre non, et elle ne le pourrait pas : les médias sont chiffrés, un comparateur côté serveur n'aurait rien à regarder.

À la place, la détection et la conversion d'un visage en vecteur numérique se font sur votre téléphone. Un vecteur de 512 nombres est tout ce qui est envoyé. Ce n'est pas une image, et on ne peut pas revenir à une image.

La comparaison a ensuite lieu sur le serveur, vecteur contre vecteur. Elle ne renvoie que les identifiants des personnes correspondantes — jamais le vecteur de qui que ce soit.

• Les photos prises pendant la configuration faciale ne quittent jamais votre appareil.
• Aucun point d'accès ne renvoie un vecteur facial stocké à un client, y compris le vôtre.
• Vous pouvez désactiver la découvrabilité, et votre identifiant est retiré des résultats de correspondance affichés à toutes les autres personnes — vous continuez de voir les vôtres.
• Vous pouvez supprimer toutes vos données faciales à tout moment depuis les réglages. Cela supprime les vecteurs et la marque d'enregistrement, pas seulement un indicateur.
• La fonction est facultative et disponible sur le forfait gratuit comme sur le forfait payant. Nous ne mettons pas votre vie privée derrière un paywall.
• Vous pouvez masquer au reste du groupe une photo sur laquelle vous figurez, sans pouvoir la supprimer. Elle reste visible pour les personnes qui y figurent et pour celle qui l'a publiée, qui en est informée et peut vous demander de la remettre.

8. Identité, paiement et les parties que nous n'opérons délibérément pas nous-mêmes

La connexion est gérée par Firebase Authentication — e-mail, Google ou Apple. Nous ne voyons ni ne stockons jamais de mot de passe ; il n'existe aucun champ de mot de passe dans notre base de données susceptible de fuiter.

Les abonnements sont vérifiés par notre propre serveur directement auprès d'Apple et de Google. Aucun intermédiaire de facturation tiers ne détient votre historique d'achats. Votre droit à l'offre est décidé de notre côté à partir d'un reçu confirmé par la boutique : une application modifiée ne peut donc pas s'octroyer un forfait payant.

Les limites de forfait — nombre de groupes, de membres, volume de stockage, résolution — sont appliquées sur le serveur, pas dans l'application. La copie de ces chiffres dans l'application n'existe que pour vous afficher un message avant que vous ne butiez sur la limite.

9. Ce qui quitte votre appareil, et vers qui

C'est la section que la plupart des livres blancs laissent vague. La nôtre est précise, y compris là où cela ne nous arrange pas.

Les rapports d'erreur et de plantage vont à Sentry. Il reçoit l'identifiant de votre compte, votre nom et votre e-mail afin qu'un rapport puisse être rattaché à la personne concernée. Il est configuré pour ne jamais recevoir de corps de requête, de jetons d'authentification, d'URL de stockage signées, de codes d'invitation, de jetons de partage — ni la clé de groupe. Ce dernier point n'est pas une affaire de politique : une clé mal saisie atterrirait dans le rapport d'erreur à l'intérieur du message d'exception, donc le nettoyage qui l'enlève est couvert par des tests qui cassent la compilation en cas de régression.

L'analytique produit va à PostHog : quels écrans sont ouverts, quelles fonctions sont utilisées, la version de l'application et la plateforme. Les noms d'écrans sont assainis pour que les identifiants de groupe, de média et d'invitation n'apparaissent jamais dans un événement.

Les notifications push passent par OneSignal. Le chat en direct et la présence ne reposent plus sur l'infrastructure d'un tiers : ils tournent sur notre propre serveur temps réel, et les messages sont stockés dans notre propre base de données — dans un groupe chiffré, sous forme de texte que nous ne pouvons pas lire. Votre application se connecte avec un jeton de courte durée qui ne fait que vous identifier, et rejoint le salon de chaque groupe avec un second jeton émis pour ce seul salon, vérifié contre votre appartenance à chaque fois. Les messages privés fonctionnent de la même façon, avec une différence qui mérite d'être dite : une conversation entre deux personnes n'a pas de clé de groupe, donc les deux appareils en dérivent une entre eux à partir de clés d'identité dont nous ne détenons que les moitiés publiques. Nous stockons le résultat et ne pouvons pas l'ouvrir.

Sur le forfait gratuit, les publicités sont servies par Google AdMob. Sur iOS, on vous demande votre accord avant qu'un identifiant publicitaire ne soit utilisé, et si vous refusez vous voyez toujours des publicités, simplement non ciblées. Là où la loi locale exige un formulaire de consentement, il est affiché avant cette demande. AdMob ne reçoit jamais votre nom, votre e-mail, vos photos ni quoi que ce soit provenant de vos groupes.

Si vous avez installé Vibn depuis l'une de nos publicités, nous signalons ce que ces publicités ont produit, afin de savoir lesquelles fonctionnent : que l'application a été installée, qu'un compte a été créé, que vous avez ouvert l'écran des offres, que vous avez appuyé pour vous abonner et qu'un abonnement a été acheté. Google et Meta reçoivent le premier, le deuxième et le dernier depuis votre appareil — sur iPhone via le SKAdNetwork d'Apple, qui remet à l'annonceur un seul chiffre agrégé et différé, sans aucun identifiant, ce qui explique l'absence de demande de suivi dans cette application ; sur Android via leurs propres SDK, et là où la loi locale impose un formulaire de consentement, il est affiché avant. OpenAI Ads reçoit les cinq depuis nos serveurs et non depuis votre appareil, et c'est le seul endroit où un identifiant intervient : si vous avez accepté la mesure publicitaire, nous joignons une forme chiffrée et irréversible de votre adresse e-mail afin qu'un achat puisse être relié à une publicité que vous avez vue. Si vous avez refusé, ou si la question ne vous a jamais été posée, aucun identifiant n'est envoyé. Aucun d'eux n'apprend jamais ce que vous avez partagé, dans quels groupes vous êtes, ni quoi que ce soit de leur contenu.

Si vous signalez une photo ou une vidéo, une copie déchiffrée de cet élément accompagne le signalement afin qu'une personne puisse l'examiner — l'application vous le dit sur l'écran même où vous l'envoyez. Elle est stockée à l'écart du groupe, n'est affichée que par un lien qui expire en quelques minutes, et est supprimée 90 jours après le règlement du signalement. Nous ne disons jamais qui a signalé. Signaler une personne ou un groupe n'envoie aucun média.

10. Supprimer des choses

Supprimer votre compte le retire, avec les groupes que vous avez créés et les médias qu'ils contiennent, et libère vos adhésions ailleurs. Pendant 30 jours il est récupérable, et c'est la seule raison pour laquelle nous le conservons : le compte est mis à l'écart, votre profil disparaît de l'app des autres, les groupes que vous avez créés passent en lecture seule avec leur date de suppression affichée, et vous reconnecter vous donne un bouton pour tout annuler. Au bout de 30 jours, une tâche planifiée exécute la même suppression que le bouton effectuait auparavant sur-le-champ, et c'est fini — pour nous comme pour vous. Ce n'est jamais un indicateur caché sur une ligne que nous gardons.

Vous pouvez aussi lancer la suppression depuis notre site sans ouvrir l'application, ce qui est utile si vous avez perdu l'appareil. Cette page est limitée en fréquence et protégée contre l'abus automatisé, et elle donne délibérément la même réponse qu'un compte existe ou non à cette adresse — en prenant même le même temps — afin qu'on ne puisse pas s'en servir pour savoir qui a un compte Vibn.

• Supprimer un média que vous avez envoyé supprime l'objet stocké, pas seulement son entrée dans la liste.
• Supprimer vos données faciales est immédiat et complet.
• Vos données faciales n'attendent pas les 30 jours : elles sont effacées au moment où vous demandez la suppression, et récupérer le compte ne les rétablit pas.
• Les sauvegardes et les journaux expirent selon leurs propres cycles ; la suppression n'est pas instantanée partout à la fois, et nous ne prétendons pas le contraire.

11. Ce que nous ne faisons pas

Quelqu'un doit payer les serveurs sur lesquels reposent vos photos et vos vidéos. Ce sont les abonnements, et sur l'offre gratuite la publicité y contribue. Ce qui ne les paie pas, c'est vous : rien de ce qui se trouve à l'intérieur de vos groupes n'est proposé à qui que ce soit, et aucun des points ci-dessous n'est une activité que nous gardons en réserve.

Un point de cette liste n'est pas une promesse du tout. Les médias d'un groupe chiffré nous sont illisibles : ils ne peuvent donc être ni exploités, ni vendus, ni utilisés pour entraîner quoi que ce soit — ni par nous, ni par ceux qui détiendront ces serveurs plus tard ; la section 3 explique pourquoi. Le reste relève de la promesse, et nous préférons vous dire ce qui est quoi plutôt que de vous laisser le supposer.

• Nous ne vendons pas vos données personnelles.
• Nous ne vendons, ne louons ni n'échangeons l'accès à votre compte, à vos groupes ou à vos médias — ni à des annonceurs, ni à des courtiers en données, ni à qui que ce soit.
• Nous n'utilisons pas le contenu de vos photos, vidéos ou messages pour cibler la publicité.
• Nous n'entraînons aucun modèle sur votre contenu.
• Nous ne construisons pas de graphe social entre groupes, et il n'y a nulle part dans le produit de liste d'abonnés, de profil public ou de suggestion d'amis.
• Nous ne lisons pas vos messages. Dans les groupes chiffrés nous ne le pourrions pas ; dans les anciens, nous ne le faisons pas.

12. Limites connues

Un document de confidentialité qui ne liste que des points forts est du marketing. Voici ce que nous voudrions savoir si nous étions à votre place.

• Quiconque possède le lien d'invitation complet possède la clé du groupe (section 4).
• Il n'y a pas encore de rotation de clé ni de révocation par membre ; retirer quelqu'un arrête l'accès futur, pas ce qui a déjà été vu.
• Perdez tous vos appareils et le lien d'invitation, et votre phrase de récupération est le seul retour possible. Si vous avez ignoré la sauvegarde ou perdu aussi la phrase, les médias ne pourront être récupérés par personne, nous compris.
• Le blocage des captures d'écran, dans les groupes où le partage est désactivé, empêche la capture du système d'exploitation. Il n'empêche pas quelqu'un de photographier l'écran avec un autre téléphone.
• Les groupes créés avant le déploiement du chiffrement ne sont pas chiffrés de bout en bout. Leurs médias sont protégés par le contrôle d'accès et les URL signées, mais le serveur peut les lire.
• Les métadonnées ne sont pas chiffrées : nous savons quels comptes sont dans quels groupes, quand les choses ont été envoyées, quand le fichier indiquait qu'elles ont été prises et quelle taille elles font.
• Les métadonnées des conversations ne sont pas chiffrées non plus : nous savons qui échange des messages privés avec qui, et quand, même si nous ne pouvons pas en lire un mot.
• Le stockage est imputé au propriétaire du groupe. Si son abonnement prend fin et que ses groupes dépassent encore la limite gratuite 30 jours après un avertissement, nous supprimons les médias les plus anciens de ces groupes — y compris ceux ajoutés par d'autres membres — jusqu'à ce qu'ils rentrent dans la limite.
• Signaler une photo ou une vidéo nous en envoie une copie déchiffrée. C'est la seule exception à tout ce que dit la section 3 ; cela n'arrive que lorsqu'un membre choisit de signaler, et seulement pour l'élément signalé. Un élément signalé est aussi masqué du groupe jusqu'à examen par une personne, et revient de lui-même au bout de sept jours si personne ne l'examine.
• Quand vous envoyez une photo ou une vidéo, votre téléphone joint une empreinte du fichier, afin que nous puissions refuser une copie exacte de ce que le groupe possède déjà. Dans un groupe chiffré, cette empreinte est calculée avec la clé du groupe, que nous n'avons jamais : elle nous dit que deux envois vers le même groupe sont le même fichier, et rien de plus. Nous ne pouvons pas y comparer un fichier que nous détenons déjà.
• Nous détenons les clés de groupe de quelques comptes que nous créons nous-mêmes : les comptes de test utilisés pour les contrôles qualité et pour la validation des boutiques. Ces groupes contiennent des images de remplissage générées et n'appartiennent à personne. Aucune clé d'un de vos groupes n'est jamais conservée sous une forme que nous pourrions utiliser.

13. Vérifier tout cela

Les affirmations de ce document correspondent à des comportements observables : une personne extérieure qui demande un groupe reçoit « introuvable » ; l'URL d'une photo partagée cesse de fonctionner une fois sa signature expirée ; on ne peut pas créer de partage public pour un groupe chiffré ; supprimer vos données faciales fait que le filtre par personne vous oublie.

Si vous trouvez ici quelque chose qui ne correspond pas au comportement de l'application, c'est un bug dans l'un des deux, et nous voulons le savoir.

14. Contact

Questions sur ce document, ou sur son contenu : [email protected]

Pour l'énoncé formel de ce que nous collectons et pourquoi, voyez notre Politique de confidentialité. En cas de divergence, c'est elle qui fait foi.