01Chiffré avant de quitter l’appareil
Les textes, les métadonnées propres au contenu (comme les titres ou les étiquettes) et les pièces jointes sont protégés localement avant leur enregistrement ou synchronisation. CloudKit et l’infrastructure AAK reçoivent ce contenu déjà chiffré, pas l’original lisible. Les métadonnées opérationnelles ne sont pas couvertes par le chiffrement de bout en bout appliqué au contenu, bien que l’infrastructure les protège pendant la transmission et le stockage — le détail figure dans notre politique de confidentialité.
02Des clés distinctes par espace et contenu
La hiérarchie Root Key → Space KEK → Item Key → DEK compartimente le Legacy. Chacun des cinq espaces possède son propre matériel cryptographique et chaque élément sa propre clé, limitant l’impact d’une défaillance isolée.
03Keychain, Secure Enclave et Face ID
Le matériel sensible de l’appareil est conservé via le trousseau iOS. Apple documente la protection AES-256-GCM et l’accès médié par la Secure Enclave pour les secrets du trousseau. Face ID ou le code autorise localement : AAK ne reçoit ni ne stocke de données biométriques.
04Apple sépare identité et synchronisation
Sign in with Apple authentifie le compte, tandis que l’identifiant interne AAK reste séparé des clés du Legacy. La copie chiffrée du propriétaire se synchronise dans sa base CloudKit privée, au sein d’un conteneur isolé pour l’app.
05Infrastructure AAK et Cloudflare
Le backend ne traite que les données opérationnelles nécessaires, les vérifications et les paquets de remise déjà chiffrés. Cloudflare D1 ajoute AES-256-GCM au repos et TLS en transit. C’est une couche supplémentaire ; le Zero Knowledge n’en dépend pas.
06Gardiens sans accès, destinataires limités
L’activation exige une vérification distribuée : aucun gardien ne peut décider ni lire seul. Une fois le processus satisfait, chaque destinataire ne peut recevoir que le paquet chiffré que le propriétaire lui a attribué.
07Récupération sans porte dérobée
Le Recovery Kit contient un secret aléatoire de 256 bits créé sur l’appareil. AAK n’en conserve aucune copie utilisable. Il permet donc au propriétaire de récupérer l’accès, sans qu’AAK, Apple ou l’assistance puissent contourner sa protection.
08Cadre européen, affirmations vérifiables
AAK Legacy est conçu et géré depuis l’Espagne selon les principes du RGPD. Nous avons vérifié directement dans la configuration réelle de production que les bases de données Cloudflare D1 s’exécutent dans la région WEUR (Europe de l’Ouest) sans aucun paramètre de « jurisdiction » configuré : selon la documentation officielle de Cloudflare, cela fait de la région une préférence de performance, non une garantie juridique de résidence exclusive dans l’UE. Apple, Cloudflare, Stripe Identity et Resend déclarent publiquement recourir aux Clauses Contractuelles Types (et, le cas échéant, au Data Privacy Framework UE-États-Unis) pour leurs transferts internationaux ; le détail par prestataire figure dans notre politique de confidentialité.
