Plainva

Sécurité et partage

Expérimental — pas encore audité de manière indépendante. Les espaces de travail chiffrés sont proposés en avant-première. La conception cryptographique n’a pas encore été auditée par un examinateur indépendant, et les tests sur deux appareils avec du matériel Android et iOS réel sont encore en cours. Essayez-le, mais conservez une sauvegarde de tout ce que vous ne pouvez pas vous permettre de perdre, et ne vous y fiez pas encore pour du contenu qui doit impérativement être protégé.

Centre de sécurité, rechiffrement et slices publiés

Sécurité et partage comporte deux niveaux. L’Aperçu (premier niveau) affiche l’état de protection, Terminer la migration lorsqu’il reste du texte en clair, Supprimer la connexion au cloud chiffré, et deux cartes qui ouvrent le second niveau — Appareils et récupération et Partager avec d’autres. Au second niveau, la navigation par zones remplace la colonne de gauche des paramètres, regroupée en Votre accès (Appareils, récupération) et Partage (Membres, groupes, slices, publications) ; ‹ Aperçu revient au premier niveau. Les actions visibles restent disponibles : une action ouvre le vault, la connexion, la configuration ou le déverrouillage requis. Une révocation peut lancer un rechiffrement complet reprenable. Créez un Vault Slice via Détails → Contenu → Autorisations → Vérification. Les publications externes occupent un workspace chiffré séparé ; la projection nettoyée retire propriétés privées, liens exclus et inclusions. La diffusion publique attend l’audit crypto indépendant et les essais Android/iOS réels.

Créez un Vault Slice avec les quatre étapes Détails → Contenu → Autorisations → Vérification. Publier une tranche pour des personnes extérieures au vault fonctionne sur le bureau et sur le téléphone : Créer une publication crée un espace chiffré distinct, avec ses propres clés, dans son propre dossier ; Inviter un destinataire y fait entrer quelqu’un ; Retirer l’accès ou Retirer la publication reprend le tout — avec une limite : un retrait ne récupère pas ce que quelqu’un a déjà copié, il empêche seulement que du nouveau lui parvienne et rend l’époque de clé suivante illisible pour lui. Une publication assainie retire en plus les propriétés privées du frontmatter, neutralise les liens vers les notes exclues et omet les inclusions exclues ; les permissions chez Google Drive, OneDrive, Nextcloud, Dropbox, WebDAV ou S3 sont une protection supplémentaire, jamais un remplacement des rôles chiffrés, et Plainva affiche le conseil du fournisseur choisi sans modifier aucun réglage de partage à votre place. Sur le téléphone, le chemin passe par la ligne de la tranche : Publier un slice de vault la crée, puis elle apparaît sous Publications avec le mode, l’accès, le nombre d’objets et son état — À jour, le nombre de modifications encore en attente, ou Échec de l’actualisation avec le motif. Un appui sur la ligne ouvre les Destinataires avec Inviter un destinataire et Retirer l’accès ; un appui long propose Retirer la publication. La publication publique reste bloquée jusqu’à l’audit cryptographique indépendant et des preuves réelles sur deux appareils Android/iOS.

Dernière vérification : 2026-09-04

Plainva conserve le vault sous forme de fichiers lisibles sur l’appareil et stocke sa copie cloud comme objets chiffrés opaques. Après avoir connecté un compte, ouvrez Paramètres → votre vault → Sécurité et partage.

Sur mobile, la section indique d’abord l’état réel de ce vault : Sur cet appareil uniquement sans connexion cloud, Cette connexion n’est pas chiffrée pour un vault cloud ordinaire — Configurer le chiffrement y déroule les mêmes trois étapes que sur ordinateur (identité → fichier de récupération et code → activation avec une progression reprenable) — ou les étapes d’adhésion dès que la connexion porte un espace de travail chiffré.

Configuration

  1. Choisissez les noms du propriétaire et de l’appareil. Les clés restent dans le trousseau système ou, s’il est indisponible, sous une phrase secrète locale.
  2. Enregistrez le fichier .pvrecovery et conservez séparément le code affiché — pas dans le vault qu’il déverrouille : Plainva refuse un emplacement à l’intérieur de ce vault, car le seul artefact que vous ne pouvez pas recréer y resterait lisible exactement tant que vous n’en avez pas besoin. Chaque bloc porte un numéro de groupe visible ; Plainva en demande deux, et leurs valeurs restent masquées tant que la question est ouverte. Les afficher est permis, mais cela tire une nouvelle paire — copier ne répond pas à la question posée ici. Un groupe auquel vous avez bien répondu réapparaît. Les deux parties sont nécessaires à la récupération et ne contiennent aucun identifiant cloud.
  3. Activez l’espace. Plainva publie la politique signée et chiffre tous les fichiers locaux dans .pvws/. Le vault local reste lisible. Si l’exécution s’interrompt — un plantage, une coupure de courant, l’application fermée — l’état affiche la fois suivante Configuration incomplète et propose Reprendre la configuration : vos clés sont enregistrées depuis longtemps à ce moment-là, il ne manque que le reste de la conversion.

L’ancien contenu en clair reste à côté de .pvws/ pendant la migration. Il ne peut être supprimé explicitement qu’à l’état Protégé ; les fichiers locaux ne sont jamais supprimés.

Au quotidien

Les modifications hors ligne restent dans une file d’attente durable. Chaque modification est signée ; une suppression distante seule n’efface jamais un fichier local, alors qu’une pierre tombale signée le peut. Les modifications parallèles hors ligne sont conservées sous forme de copies .CONFLICT-…. Verrouiller supprime réellement les clés du workspace de la mémoire — la clé de signature, la clé de déchiffrement et toutes les clés de groupe récupérées pendant la session ; Déverrouiller les redemande au trousseau système ou à la phrase secrète locale.

Appareils et récupération

Pour ajouter votre propre deuxième appareil, ouvrez Appareils et récupération → Appareils → Ajouter un autre appareil : Plainva affiche un code d’invitation lié à votre propre appartenance — il ne crée pas de nouveau membre. Collez-le sur le deuxième appareil (Sécurité et partage → rejoindre) et approuvez-le sur un appareil déjà membre ; comparez d’abord l’empreinte sur les deux appareils. Pendant que le deuxième appareil attend, il indique combien de temps la demande reste valable et réclame la comparaison d’empreintes exactement comme le côté qui approuve — une comparaison ne sert que si les deux côtés regardent. Si l’interrogation échoue, la raison est là ; auparavant, une connexion coupée ressemblait exactement à « personne n’a encore approuvé ». Pour intégrer plutôt une autre personne, utilisez Partager avec d’autres → Membres → Inviter une personne (voir ci-dessous). Un appareil retiré ne peut plus signer de nouvelles modifications valides. L’invitation et la demande d’appairage d’un appareil qui rejoint s’affichent aussi sous forme de codes QR scannables — sur mobile, Scanner l’invitation lit un code avec l’appareil photo au lieu de coller du texte.

Supprimer un appareil ou un membre propose deux coûts, et le téléphone propose lui aussi les deux. Seulement à venir met fin immédiatement à l’accès aux nouvelles clés et va vite. Tout rechiffrer réécrit aussi tout ce qui est déjà chiffré ; c’est un travail long, qui continue en arrière-plan et reprend après un redémarrage — une carte dédiée affiche une barre de progression et un compteur d’objets pendant l’exécution, et y précise que le traitement survit à un redémarrage. Aucune des deux options ne peut reprendre ce que l’autre partie a déjà téléchargé, c’est pourquoi la question le précise avant que vous ne fassiez votre choix. Vous ne pouvez jamais supprimer l’appareil que vous avez en main : cela vous en exclurait, avec pour seul recours le paquet de récupération.

Là où aucun trousseau système ne répond — typiquement une machine Linux sans session de bureau — les clés de cet appareil reposent sur une phrase secrète locale. Vous pouvez la changer : Appareils et récupération → Appareils → Modifier la phrase secrète. Plainva demande la phrase actuelle même lorsque l’espace est déverrouillé — une machine déverrouillée et sans surveillance est précisément le cas où un changement silencieux exclurait le propriétaire. Seules les clés de cet appareil sont rescellées : votre fichier de récupération et son code restent valables, et les autres appareils ne remarquent rien. Le téléphone n’a pas ce bouton, car il n’y a rien à y changer — Android et iOS disposent toujours d’un magasin de clés, la variante avec phrase secrète ne s’applique donc jamais.

La récupération se trouve sous Appareils et récupération → Récupération, répartie entre État actuel (un paquet de récupération est-il enregistré, et l’empreinte de l’espace) et le Processus de récupération. Si tous les appareils sont perdus, choisissez-y Restaurer l’accès et ouvrez le fichier .pvrecovery avec son code conservé séparément ; Plainva crée un nouvel appareil propriétaire, peut révoquer les appareils perdus et ne réécrit pas les objets de contenu. Renouveler la récupération remplace l’ancien jeu de récupération via une chaîne d’ancrage à double signature. Conservez de nouveau le nouveau fichier et le code séparément ; l’ancien jeu est ensuite invalide. Plainva pose la question avant, car le fichier que vous avez en main cesse de fonctionner à cet instant.

Membres, rôles et slices

Les propriétaires et administrateurs peuvent inviter des membres, créer des groupes et limiter un rôle à tout l’espace, un slice ou un objet. Editor peut lire et modifier, Commenter lire et commenter, Reader seulement lire et Contributor seulement soumettre de nouveaux contenus dans la portée attribuée — et comme un contributor n’a pas le droit de lire l’existant mais doit pouvoir continuer d’écrire sa propre note, son droit d’écriture couvre tout ce qu’il a créé lui-même. Le tableau complet se déplie sous Ce que permettent les rôles dans la zone Membres ; on y trouve aussi la phrase qui serait sinon répétée à moitié dans chaque boîte de dialogue : les permissions du fournisseur sont un second verrou, jamais un remplacement des rôles chiffrés. Le contrôle s’applique avant chaque écriture locale sur disque et de nouveau avant la signature, il couvre donc aussi les imports, restaurations, automatisations, actions IA et modifications faites par d’autres programmes locaux.

La propriété peut être transférée à un autre membre actif. Ouvrez Partager avec d’autres → Membres (sur mobile : la section Team) et choisissez Transférer la propriété à côté de cette personne. Cette action nécessite le fichier de récupération actuel et son code, car la propriété et le jeu de récupération sont liés : Plainva crée d’abord un paquet de récupération de remplacement et ne le transmet qu’après que vous l’avez enregistré. Donnez ce fichier et le nouveau code au nouveau propriétaire par des canaux séparés — vous devenez Admin, et cette personne devient ensuite la seule Owner.

Un slice peut couvrir un dossier, une sélection explicite d’objets ou une règle dynamique sur chemin, type, tags et propriétés. Les trois se choisissent, elles ne s’écrivent pas : vous cochez les membres d’un groupe dans une liste, vous cherchez et cochez les notes d’un slice de sélection, et vous construisez une règle dynamique ligne par ligne à partir d’un champ, d’une comparaison et d’une valeur — les suggestions de tags et de propriétés proviennent des objets mêmes que l’aperçu compare, si bien que ce qui est proposé ici peut réellement correspondre à quelque chose. La valeur brute enregistrée reste accessible sous Détails techniques et modifiable ; une règle écrite à la main que le constructeur ne sait pas exprimer n’est jamais réécrite en silence. Le dossier d’un slice de dossier se choisit directement dans le vault avec Choisir un dossier… — sur le téléphone aussi ; qui préfère saisir le chemin le peut toujours.

Vérifiez toujours Aperçu avant la création — sur le téléphone aussi. Seuls les identifiants d’objets stables affichés sont matérialisés ; un même fichier peut porter des enveloppes chiffrées pour plusieurs groupes. Les objets non autorisés ne sont ni matérialisés ni ajoutés à la recherche, au graphe ou aux aperçus. Sur le téléphone, vous pouvez créer un slice de dossier ; la sélection et la règle dynamique restent sur le bureau, car toutes deux exigent une surface de choix couvrant l’ensemble des objets.

Si la définition d’un slice n’est plus lisible — une entrée modifiée à la main, une règle cassée — alors il n’accorde rien, pas même via les objets qu’il couvrait en dernier. Les deux interfaces nomment la raison au lieu d’afficher « 0 objet » : un zéro se lit comme un partage vide, pas comme un partage cassé. Et lorsque vous sortez une note d’un dossier partagé, Plainva demande d’abord et nomme les groupes qui perdent l’accès — on remarque tout de suite sa propre perte, jamais celle des autres.

Commentaires, versions et quarantaine

Les commentaires et les suggestions — la colonne, les ancres, le mode suggestion, la vue d’ensemble et les notifications — sont décrits dans Commentaires et suggestions ; ils fonctionnent dans chaque coffre. Cette page ne garde que ce qui tient à l’espace de travail.

Lorsqu’une note est publiée et que ses destinataires ont écrit quelque chose, cela apparaît sous vos propres fils — une section Retours de « … » par publication, avec les noms issus de sa liste de membres. Ces remarques vivent dans le workspace de la publication, jamais dans votre coffre : ici, vous pouvez seulement les lire. Répondre, résoudre ou appliquer une suggestion serait une écriture dans la publication et n’est pas possible depuis ce côté. Si la publication contient une version nettoyée, la carte indique que la suggestion ne peut pas être appliquée ici ; si quelqu’un n’y a plus accès, cela y figure également. Si une publication est verrouillée ou si sa clé manque sur cet appareil, sa section n’apparaît tout simplement pas — vos propres commentaires n’en sont pas affectés. Sur le téléphone, cette colonne n’existe pas.

Historique des versions lit les révisions chiffrées du workspace et restaure une révision plus ancienne comme nouvelle modification signée ou comme copie.

Les artefacts distants invalides sont isolés individuellement sous Intégrité et forks locaux. Vous pouvez les réessayer, exporter leur ciphertext, marquer un artefact réparé en externe comme réparé, ou l’ignorer délibérément. Un fichier invalide ne bloque pas le reste de la synchronisation valide, et une absence distante seule ne vaut jamais suppression. Une modification apportée par un programme local sans droit d’écriture est conservée comme une copie de fork privée. Un fork local — la copie que cet appareil conserve lorsqu’une écriture a été refusée — porte Comparer : la même vue de comparaison qu’un conflit, avec les sorties Adopter, Garder les deux et Abandonner ; ensuite le fork disparaît de la liste. Pareil sur le téléphone.

Ce que dit Intégrité et bifurcations locales

Quand un artefact venu du cloud échoue à une vérification, il reste en quarantaine et la synchronisation continue pour tout le reste. La carte montre un groupe par cause et par appareil — avec le nombre d’entrées, une explication et, lorsqu’il y en a une, une ligne Ce que vous pouvez faire. Le groupe le plus fréquent est une chaîne rompue : cet appareil attend d’un autre la modification n° 14 alors que le cloud contient la n° 16 — le plus souvent une seconde copie du même appareil est en cause (une instance de développement avec son propre stockage, par exemple) ou un appareil reconnecté qui recompte depuis 1. Revérifier attend la prochaine synchronisation et dit ce qui reste ouvert ; ce qui passe disparaît de lui-même de Ouverts et figure sous Tous comme résolu. Exporter le diagnostic écrit un fichier JSON avec la cause, l’appareil, les numéros de séquence et les heures (dans le presse-papiers sur le téléphone), jamais de contenu. Derrière ⋯ se trouvent Marquer comme résolu et Ignorer le groupe — ignorer est définitif, les modifications du groupe sont alors perdues. Afficher les entrées nomme par artefact la clé cloud et la raison technique.

Supprimer correctement un vault chiffré

Lorsque vous n’avez plus besoin d’un vault chiffré, mettez-le hors service dans Plainva avant de supprimer le dossier cloud. L’ordre compte : la protection fail-closed maintient la synchronisation arrêtée si la copie cloud disparaît alors que Plainva attend encore une connexion chiffrée — cela vous protège d’un attaquant qui retirerait le chiffrement pour forcer le texte en clair.

  1. Ouvrez Paramètres → votre vault → Security & Sharing.
  2. Dans l’aperçu, dans la carte Chiffrement, choisissez Supprimer la connexion au cloud chiffré. Plainva efface les clés locales et les données du workspace sur cet appareil et rouvre le vault comme un vault normal. (Ceci est local à l’appareil : la copie cloud reste chiffrée. Pour la récupérer en texte clair, la voie est Lever le chiffrement — voir le paragraphe ci-dessous.)
  3. Ce n’est qu’ensuite que vous supprimez le dossier cloud (les objets .pvws/) chez votre fournisseur si vous voulez vous en débarrasser. Plainva ne supprime pas pour vous les objets chiffrés du cloud.

Sur mobile, la même étape se trouve au même endroit, à une différence près : vous la confirmez en saisissant le nom du vault. Tout le reste est identique — les clés locales et les données du workspace disparaissent, le vault se rouvre comme un vault normal, et les objets chiffrés dans le cloud restent jusqu’à ce que vous les supprimiez vous-même. Cela fonctionne sans connexion, car rien de tout cela ne se passe à distance.

Pour au contraire mettre fin au chiffrement entièrement et conserver le vault dans le cloud sous forme de fichiers ordinaires, choisissez Supprimer le chiffrement dans la même carte Chiffrement : Plainva rouvre le vault comme un vault cloud normal et téléverse à nouveau toutes vos notes vers le même cloud sous forme de fichiers en clair, puis cesse de chiffrer. Les fichiers locaux ne sont jamais modifiés et rien n’est supprimé ; l’ancien dossier chiffré .pvws/ reste jusqu’à ce que vous le supprimiez chez votre fournisseur (Plainva ne peut pas retirer pour vous ces objets immuables). Confirmez d’abord l’avertissement — les notes quittent le stockage chiffré en texte clair. Sur le téléphone, la même action se trouve dans la vue d’ensemble Sécurité à côté de Se déconnecter du cloud chiffré ; l’envoi en clair s’y poursuit via la file de synchronisation normale — même après un changement d’app, selon les règles des données mobiles — et une carte compte les fichiers encore en attente.

Si vous avez déjà supprimé la copie cloud et que la synchronisation échoue désormais avec une erreur « espace de travail manquant » ou « manifeste manquant », la solution est la même réinitialisation, proposée là où l’erreur apparaît :

Les deux actions sont explicites et confirmées. Plainva ne rétrograde jamais silencieusement une connexion chiffrée en texte clair, et aucune des deux actions ne supprime de fichiers locaux. Si le cloud contient encore du contenu chiffré que vous voulez réellement, annulez plutôt — réinitialiser reprendrait la synchronisation en clair.

Supprimer un vault avec Oublier les données d’application (Splash → retirer un vault → oublier aussi les données d’application) efface aussi ces marqueurs de chiffrement, de sorte qu’un vault retiré ainsi ne laisse rien qui pourrait bloquer une reconnexion ultérieure.