Boîte hébergée : ce qui n'est plus chiffré de bout en bout

Avec une boîte noire chez vous, vos bases restent chiffrées de bout en bout : c'est garanti par le chiffrement. Avec la boîte hébergée, les bases que vous lui confiez ne le sont plus tant qu'elles restent confiées, et cet article dit exactement ce qui change.

Ce qui n'est plus chiffré de bout en bout

Pour les seules bases confiées, et tant qu'elles le restent :

quoi	déchiffré par	pourquoi
toutes les lignes et toutes les colonnes, vues ou non	le service hébergé	il gère la clé des bases confiées et sert l'API depuis sa copie
ce qui s'y écrit pendant ce temps (par vous, les membres, l'API)	le service hébergé	la clé du moment est scellée pour lui tant que la base reste confiée
les requêtes de vos logiciels et les réponses	le service hébergé	il sert l'API
les mêmes requêtes et réponses, en transit	le compte Cloudflare de Filarr qui gère `filarr.com` et sert aussi l'API de Filarr	l'adresse de la boîte est un nom de `filarr.com` : ce compte termine la connexion chiffrée
la clé d'une base externe branchée sur la boîte, et ses lignes	le service hébergé	la synchro planifiée tourne avec cette clé
les fichiers reçus par la boîte, au passage	le service hébergé	il les chiffre pour votre boîte de dépôt après les avoir reçus

Ce qui n'est pas concerné :

vos autres bases, vos notes, vos fichiers, vos coffres ;
la clé de votre coffre : la clé d'une base en est tirée à sens unique, on ne remonte pas d'elle ;
ce qui s'écrit après que vous avez repris la clé : la base passe à une nouvelle génération de clés, jamais scellée pour le service, et redevient chiffrée de bout en bout ;
le dossier où sont rangés les fichiers reçus : seul votre appareil range.

Ce qui protège, et jusqu'où

force	protection	sa limite
chiffrement	une seule base est confiée, pas le compte	la clé confiée n'ouvre qu'une base, à une génération
chiffrement	reprendre la clé coupe l'avenir	ce que le service a traité avant reste couvert par les seuls engagements
chiffrement	le jeton n'est jamais en clair dans la base de données de l'API	votre appareil le scelle pour une clé du service inscrite dans les applis ; cela ne couvre pas le trafic en transit, ni le service lui-même, qui détient sa clé privée
aucune	le trafic d'une boîte hébergée, en transit	il n'est pas chiffré de bout en bout : le compte qui gère `filarr.com` le déchiffre ; l'accord le dit
vérifiable	le code annoncé par le service est celui de la version publiée	on vérifie ce que le service annonce ; la plateforme n'offre pas d'attestation à distance qui prouverait que le code en service est bien celui-là
vérifiable	tout se trace	accords, versions du service, sommeil, reprise et reçus d'effacement au journal de l'accès
vérifiable	cela se voit	la marque sur toutes les surfaces, pour tous ceux qui voient la base
engagement	isolement, aucun journal du contenu, Union européenne, aucun autre usage	ce sont des engagements, pas une protection par le chiffrement : Cloudflare héberge les machines du service ; une requête entre par le point de présence le plus proche de l'appelant, qui peut être hors de l'Union européenne (seules les copies y restent) ; le code et la configuration sont mis en service depuis le compte Cloudflare de Filarr, dans le cadre décrit ci-dessous
engagement	l'effacement	le reçu prouve que l'ordre a été exécuté par le service, pas qu'aucune copie n'existe ailleurs

L'isolement, dit tel qu'il est

Le service tourne dans le même compte Cloudflare que l'API de Filarr, comme un programme à part, avec ses propres secrets et son propre stockage. Le code de l'API n'y a aucun accès : une faille dans l'API ne donne ni les clés du service, ni les copies, ni les jetons.

Cet isolement sépare le service de l'API ; il ne s'applique pas à la mise en service elle-même, qui se fait depuis ce compte. Que le code en service soit bien celui publié repose donc sur un cadre, et non sur une barrière technique :

une mise en service uniquement par la chaîne d'intégration, depuis une version signée du dépôt public filarr-gate ;
un journal public des mises en service : version, empreinte du code, date de publication, date de mise en service ;
sept jours entre la publication d'une version et sa mise en service, pour que chacun puisse la relire et reconstruire son empreinte ;
une seule exception, le correctif de sécurité : une faille qui met en jeu la confidentialité des bases confiées, de leurs clés, des jetons ou de l'isolement, décrite dans un avis de sécurité du dépôt public. Le journal le publie au moment même, avec l'avis, et le détail de la faille suit dans les 30 jours ;
une revue de sécurité interne, faite ; une revue de sécurité externe, planifiée ; et l'engagement de Filarr.

Le journal public est dans le fichier journal.jsonl de la branche release-journal du dépôt filarr-work/filarr-gate, et la page de confiance le décrit. Au 27 octobre 2026, la version en service est Filarr Gate 0.3.1 ; la 0.3.2 est publiée, et sa mise en service est prévue à partir du 3 novembre, une fois ses sept jours passés.

Où sont les copies, et ce qui est journalisé

Les copies et l'exécution de chaque boîte sont dans l'Union européenne. La connexion, elle, est reçue par le point de présence le plus proche de l'appelant.
Aucune journalisation du contenu : ni requête, ni réponse, ni ligne, ni nom de fichier, ni adresse de webhook. Seuls se mesurent le nombre d'appels par heure, les codes d'erreur et les durées. Les protections automatiques du réseau qui pourraient garder une adresse de requête sont coupées pour ces adresses, et un contrôle quotidien le vérifie.
Pour les bases confiées, Filarr agit comme sous-traitant de vos données : l'annexe au DPA de la boîte hébergée l'encadre, avec les conditions de l'offre (CGU, § 3 bis).

Vérifier la version du service

Paramètres → Accès API affiche, pour chaque boîte hébergée, la version de Filarr Gate en service et l'empreinte de son code. Comparez-les à la ligne de cette version dans le journal public des mises en service. Chaque nouvelle mise en service est aussi inscrite au journal de l'accès.

Le texte de l'accord

Voici le texte que vous acceptez en confiant des bases (version hebergement-v1). Sa version et son empreinte s'affichent sous l'accord. S'il change, il prend une nouvelle version ; une base confiée qui reste sans accord sur le texte en vigueur est retirée de la boîte 30 jours après, avec un reçu.

Confier ces bases à la boîte noire hébergée par Filarr ?

Aujourd'hui, ces bases sont chiffrées de bout en bout : seuls vos appareils en ont la clé.

Si vous les confiez à la boîte noire « [nom de la boîte] », hébergée par Filarr :

la clé de chaque base cochée sera gérée par un service isolé de Filarr, qui la déchiffre pour répondre à vos logiciels ;

tant qu'elles restent confiées, ces bases ne sont donc plus chiffrées de bout en bout : leurs lignes et leurs colonnes, y compris celles qu'aucune vue ne montre, et tout ce qui s'y écrira, sont déchiffrées par nos serveurs ;

les appels de vos logiciels et les réponses ne sont pas non plus chiffrés de bout en bout : ils passent par une adresse filarr.com, gérée par le même compte que l'API de Filarr ;

si vous y branchez une base externe, sa clé sera aussi gérée par nos serveurs ; les fichiers que reçoit la boîte passent eux aussi par nos serveurs sans chiffrement de bout en bout ;

vos autres bases, vos notes, vos fichiers et vos coffres ne sont pas concernés.

Filarr s'engage à ne pas journaliser ce contenu, à ne l'utiliser que pour servir votre API, à en garder les copies dans l'Union européenne et à effacer la clé et la copie quand vous la reprenez. Ce sont des engagements de Filarr, et non une protection par le chiffrement de bout en bout.

Vous pouvez reprendre la clé à tout moment. Les clés de ces bases changent alors, et ce qui s'écrira ensuite est de nouveau chiffré de bout en bout. Ce que la boîte a traité avant reste couvert par les engagements ci-dessus.

J'ai compris que les bases cochées ne seront plus chiffrées de bout en bout tant qu'elles sont confiées à Filarr.

Pour aller plus loin

La boîte noire hébergée par Filarr
Comment Filarr protège vos données
La page de confiance et l'annexe au DPA de la boîte hébergée, sur le site.
La page sécurité et confiance de Filarr Gate : github.com/filarr-work/filarr-gate.