AUBEMEET · SÉCURITÉ
Sécurité des réunions
Comment les réunions sont chiffrées, qui peut entrer dans une salle, comment le service est durci, et ce que nous ne promettons pas.
EN VIGUEUR LE 31 juillet 2026 · L'AUBE ÉTOILÉE · NEQ 1178747052
Le principe
AubeMeet est un maillage: chaque participant ouvre une liaison directe et chiffrée vers chacun des autres. Le serveur est un aiguilleur, pas un passage obligé pour le contenu. Il met les gens en relation, tient la liste de la salle, relaie le clavardage, et n'a jamais accès à l'image ni à la voix.
Chiffrement
| Audio et vidéo | DTLS-SRTP, obligatoire dans WebRTC. Les clés sont négociées entre les deux appareils; le serveur ne les voit pas. |
|---|---|
| Passage par le relais | Quand un pare-feu strict empêche la liaison directe, les paquets transitent par notre relais TURN. Ils restent chiffrés de bout en bout: le relais achemine des octets qu'il ne peut pas lire. |
| Signalisation, clavardage, sous-titres | WebSocket sur TLS (HTTPS). Le texte est relayé en mémoire, jamais écrit sur disque; l'historique du clavardage meurt avec la salle. |
| Mots de passe | Vérifiés contre AubeMail, jamais stockés par AubeMeet. Empreintes bcrypt, comparaison à temps constant pour ne pas révéler l'existence d'un compte. |
Qui peut entrer
- Un compte AubeMail est exigé pour créer comme pour rejoindre une réunion. Le nom affiché en salle est celui du compte: il fait autorité côté serveur, personne ne peut se faire passer pour un autre.
- Les invités d'une réunion attendent à la porte jusqu'à ce que l'hôte les laisse entrer. Tant qu'ils ne sont pas admis, ils ne reçoivent aucun flux.
- L'hôte peut verrouiller la salle une fois tout le monde arrivé: le lien ne suffit alors plus à entrer.
- L'hôte peut retirer une personne, et le retrait tient: recharger la page ne permet pas de revenir.
- Une personne retirée ou refusée ne reçoit aucune information sur la réunion.
- Dans une salle d'équipe, les membres inscrits entrent sans frapper, même quand le propriétaire n'est pas là: c'est ce qui permet à une équipe de se réunir sans lui. Les animateurs qu'il désigne disposent des commandes de la salle, mais aucun d'eux ne peut retirer le propriétaire de chez lui.
Durcissement du service
- Témoin de session signé, réservé au site, hors de portée du JavaScript, transmis uniquement en HTTPS, avec SameSite pour bloquer les requêtes croisées.
- En-têtes de sécurité: pas de reniflage de type, interdiction d'insérer AubeMeet dans un cadre tiers (anti-détournement de clic), référent minimal pour que le code d'une salle ne fuite pas vers un site externe.
- Limitation de débit sur la connexion, la création de réunions et l'envoi d'invitations, pour freiner la force brute et l'usage en relais d'envoi massif.
- Taille des trames de signalisation bornée, messages non conformes ignorés.
- Les codes de salle sont tirés au hasard et les salles ne sont pas indexables: les moteurs de recherche n'ont accès qu'à la page d'accueil.
Ce que nous ne promettons pas
Une page de sécurité honnête dit aussi ce qu'elle ne couvre pas.
- Votre adresse IP est visible des autres participants. C'est la contrepartie de la liaison directe: pour se parler sans intermédiaire, deux appareils doivent connaître leur adresse. Une réunion avec des personnes inconnues n'est donc pas anonyme.
- La confidentialité s'arrête aux appareils. Nous ne pouvons rien contre une caméra filmant l'écran, une capture d'écran, ou un poste compromis.
- L'enregistrement local existe. Un hôte peut enregistrer sur son appareil. L'avis affiché à tous est notre garantie de transparence, pas une garantie technique que personne n'enregistre par un autre moyen.
- Le maillage a une limite physique. Chaque personne envoie sa vidéo à toutes les autres. Au-delà d'une douzaine de participants, la qualité baisse volontairement pour tenir le débit. La salle accepte 30 personnes.
- Aucun audit externe n'a encore été réalisé. Nous le disons plutôt que d'afficher un logo de conformité que nous n'avons pas.
Signaler une faille
Écrivez à nicolas@aubemail.com avec de quoi reproduire le problème. Nous accusons réception, corrigeons, et créditons volontiers la personne qui a trouvé. Merci de ne pas tester sur des réunions qui ne sont pas les vôtres.
QUESTION SUR CETTE PAGE: NICOLAS@AUBEMAIL.COM