FLAG_SECURE actif
Bloque automatiquement les captures d'écran, le partage d'écran sans fil (Chromecast, Miracast), et l'enregistrement par les apps d'accessibilité. Les apps malveillantes ne peuvent rien voir.
Une sécurité conçue pour vos secrets.
Pas de marketing flou, pas de "chiffrement militaire" sans détails. Voici exactement comment PassKeyra protège vos données.
Architecture zero-knowledge
Vos données sont chiffrées avant de quitter votre appareil.
Aucune clé, aucun mot de passe en clair n'est jamais transmis à nos serveurs ou à vos fournisseurs cloud. Même nous ne pouvons pas lire vos données.
1
Votre mot de passe maître
Saisi uniquement sur votre appareil. Jamais transmis, jamais stocké en clair, nulle part.
2
Dérivation PBKDF2
600 000 itérations SHA-256 avec sel unique. Calcul réalisé localement avant chaque opération.
3
Chiffrement AES-256-GCM
Vos données chiffrées et authentifiées sur l'appareil. Le cloud ne voit que des octets aléatoires.
Spécifications techniques
Les paramètres exacts.
Tout est vérifiable dans le code et conforme aux recommandations OWASP 2024 et NIST SP 800-132.
| Composant | Algorithme | Paramètre |
|---|---|---|
| Chiffrement du coffre | AES-256 | Mode GCM, IV 96 bits aléatoire |
| Dérivation de clé | PBKDF2-HMAC-SHA256 | 600 000 itérations |
| Sel cryptographique | CSPRNG | 128 bits, unique par compte |
| Tag d'authentification | GMAC | 128 bits |
| Comparaison clés / MACs | Temps constant | Mitigation des timing attacks |
| Token de validation | AES-256-GCM | Timestamp + nonce 128 bits |
| Stockage clés courtes | Android Keystore | Backed by hardware (TEE/StrongBox) |
| Wipe mémoire | Boucle zeroize | Avant nullification de toute clé |
Protections natives Android
Le système d'exploitation est notre allié.
PassKeyra exploite les défenses matérielles et système d'Android, pas seulement le chiffrement applicatif.
Biométrie matérielle
L'empreinte et le visage sont validés par le module sécurisé du processeur (TEE / StrongBox). Aucun gabarit biométrique ne transite par PassKeyra.
Wipe mémoire explicite
Les clés de chiffrement sont remplies de zéros en RAM avant libération, pour empêcher toute récupération sur appareils rootés ou via dumps mémoire.
Verrouillage automatique
L'app se verrouille après inactivité (1 à 30 minutes, configurable) et peut se fermer complètement pour libérer la mémoire.
Data extraction rules
Les sauvegardes Google One sont configurées pour exclure les données sensibles de PassKeyra. Aucune fuite via les backups système.
Rate limiting signé
Les tentatives de déverrouillage sont comptées dans un stockage chiffré et signé, empêchant les attaques par force brute hors-ligne sur le compteur lui-même.
Audit interne
Audité, corrigé, documenté.
18
Findings identifiés
16
Findings corrigés
v1.1.0
Version auditée
Lors de la préparation du lancement Premium, PassKeyra a fait l'objet d'un audit de sécurité interne complet : 18 findings critiques, hauts, moyens et faibles ont été identifiés. 17 ont été corrigés. Le finding restant est un compromis UX assumé (biométrie hardware-backed sans STRONG class, aligné sur Bitwarden et 1Password). Depuis mai 2026, le code source est ouvert sous licence GPL-3.0 : chacun peut vérifier ces affirmations par lui-même.
Comparatif
Où PassKeyra se positionne.
Un panorama honnête face aux gestionnaires de mots de passe les plus connus.
| Critère | PassKeyra | Bitwarden | 1Password | Google PM |
|---|---|---|---|---|
| Zero-knowledge | ✓ | ✓ | ✓ | — |
| PBKDF2 600 000+ | ✓ | ✓ | ✓ | n/a |
| UX mobile soignée | ✓ | moyenne | ✓ | ✓ |
| Tier gratuit illimité | ✓ | ✓ | — | ✓ |
| Achat à vie disponible | ✓ 29,99 € | — | — | — |
| Indépendant d'un GAFAM | ✓ | ✓ | ✓ | — |
| Multi-cloud (Drive + OneDrive) | ✓ | — | — | — |
| Open source | ✓ GPL-3.0 | ✓ | — | — |
Sources : pages tarifaires officielles et documentation publique des éditeurs, mai 2026. Données fournies à titre indicatif.
Vie privée et RGPD
Le respect du règlement, par construction.
Aucun tracking comportemental
Pas d'analytics, pas de mesure d'usage des fonctionnalités, pas de profilage. Cohérent avec le positionnement zero-knowledge.
Consentement UMP / TCF
En version gratuite, la bannière publicitaire demande votre consentement explicite via le framework officiel Google UMP, conforme RGPD.
Vos droits, à portée
Accès, rectification, effacement, portabilité : tous vos droits sont détaillés dans notre politique de confidentialité.