Une sécurité qui
ne se fie pas à elle-même.
La plupart des produits vous demandent de faire confiance à leurs serveurs. PulsVault est conçu pour que vous n'ayez jamais à le faire. Clés en couches, double facteur et isolation par coffre font que la sécurité de vos données ne dépend jamais de notre bonne conduite : elle dépend des mathématiques.
La hiérarchie des clés
Quatre clés. Une ne quitte jamais votre appareil.
Vos données sont protégées par une chaîne de clés dérivées. Chacune est déverrouillée par celle du dessus, et la chaîne commence et se termine dans votre navigateur.
Secret dérivé du mot de passe
PDSMot de passe principal + selÉtiré à partir de votre mot de passe principal avec PBKDF2 et votre sel personnel, entièrement dans votre navigateur. Il est conservé en mémoire de session et n'est jamais transmis à nos serveurs.
Clé de chiffrement de clé
KEKPDS + clé d'accèsDérivée de votre PDS combiné à votre clé d'accès générée par la machine, sur 600 000 itérations PBKDF2. Sans ces deux facteurs, la KEK ne peut pas être reconstituée.
Clé maîtresse de l'utilisateur
UMKDésencapsulée par la KEKLa clé racine qui déverrouille votre compte. Elle est encapsulée par votre KEK et n'existe en mémoire qu'après un déverrouillage réussi, puis elle est aussitôt effacée.
Clé de chiffrement des données
DEKPar coffre, encapsulée par l'UMKChaque coffre reçoit sa propre DEK aléatoire et indépendante de 256 bits, encapsulée par votre UMK. La compromission d'un coffre est mathématiquement isolée de tous les autres.
Changer votre mot de passe principal réencapsule une seule clé, votre UMK, et ne rechiffre jamais le moindre élément du coffre.
Défense en profondeur
Chaque couche suppose que les autres peuvent défaillir
Un mot de passe faible, un jeton volé, un serveur compromis : chacun est contenu par la couche située en dessous. Aucun point de défaillance unique ne peut exposer vos secrets.
Double facteur par conception
Votre mot de passe principal est associé à une clé d'accès générée par la machine, d'environ 155 bits d'entropie, bien au-delà du minimum de 128 bits du NIST. Un mot de passe deviné ne déverrouille rien à lui seul.
Isolation par coffre
Chaque coffre est scellé avec sa propre clé de chiffrement des données aléatoire. Pénétrer dans un coffre ne donne aucune prise sur le suivant : il n'existe aucun passe-partout de notre côté.
AES-256-GCM, et au-delà
Votre coffre principal utilise toujours le chiffrement authentifié AES-256-GCM. Les offres Team, Business et Enterprise débloquent ChaCha20-Poly1305, AES-256-CBC-HMAC et XChaCha20-Poly1305.
Enveloppes à altération détectable
Le chiffrement authentifié signifie que toute modification de votre texte chiffré est détectée et rejetée au déchiffrement. Des données corrompues ou altérées n'entrent jamais silencieusement dans votre coffre.
Requêtes signées, protégées contre le rejeu
Chaque requête d'API est signée avec HMAC-SHA256 et porte un nonce à usage unique. Une requête interceptée ne peut pas être rejouée, et HSTS impose à la connexion un transport strictement sécurisé.
Abus bloqués en périphérie
Les attaques par force brute et par bourrage d'identifiants sont ralenties au niveau du réseau : des échecs répétés depuis une IP déclenchent des blocages automatiques et limités dans le temps avant même d'atteindre votre coffre.
La clé la plus solide est celle que nous ne détenons jamais
Commencez avec un coffre gratuit et découvrez la sécurité zero-knowledge sans sacrifier la facilité d'utilisation.
Créer mon coffre gratuit