Sécurité Décentralisée. Zéro Compromis.

Les gestionnaires de mots de passe traditionnels obligent à faire confiance à des serveurs cloud centralisés. Lorsque ces bases sont compromises, des millions de coffres chiffrés sont exposés à des attaques par force brute hors ligne.

VaultKeepR remplace la confiance envers les serveurs par des garanties mathématiques : chiffrement client XChaCha20-Poly1305, dérivation de clé Argon2id durcie en mémoire, synchronisation peer-to-peer sur IPFS et récupération fragmentée Shamir Secret Sharing.

Chaque personne gère aujourd'hui des dizaines de comptes en ligne, et la réponse de l'industrie a été de centraliser tous ces secrets derrière une connexion de plus. Nous pensons que ce modèle est cassé. Chaque coffre-fort centralisé est une cible dont la valeur grandit avec chaque utilisateur attiré, et une décennie de brèches dans le secteur confirme la même leçon : les données que nous détenons peuvent être volées ; celles que vous seul détenez ne le peuvent pas.

Notre mission : faire de l'architecture zero-knowledge la norme, pas l'option premium. VaultKeepR est gratuit, open-source, et ne demande ni email, ni numéro de téléphone, ni donnée personnelle d'aucune sorte. Votre identité sur le réseau est une paire de clés cryptographiques, pas un profil marketing.

Nous pensons aussi qu'un outil de confidentialité doit être vérifiable, pas seulement promis. C'est pourquoi chaque primitive cryptographique vit dans des dépôts publics sous licence MIT, et pourquoi notre programme de divulgation coordonnée récompense l'examen indépendant au lieu de le décourager.

VaultKeepR n'invente pas la cryptographie. Chaque couche du produit correspond à une spécification publiée et évaluée par les pairs :

• Argon2id (RFC 9106) — dérivation de clé à mémoire dure, recommandation de hachage de mot de passe également citée par la fiche OWASP sur le stockage des mots de passe.
• XChaCha20-Poly1305 — ChaCha20-Poly1305 (RFC 8439) avec la construction à nonce étendu adoptée par libsodium, WireGuard et Signal.
• WebAuthn Level 2 (Recommandation W3C) — authentification biométrique résistante au phishing, credentials liés au matériel.
• Account Abstraction (ERC-4337) — smart accounts pour une onboarding sans clé et sans gas sur L2 Ethereum.
• NIST SP 800-63B — là où les Digital Identity Guidelines déconseillent la récupération par SMS et les questions de sécurité, VaultKeepR va plus loin : aucun chemin de récupération ne contourne vos fragments Shamir.

Tout ce qui fonde la confiance est public : les packages de cryptographie core, le protocole de synchronisation basé sur les CRDT Automerge, et les applications clientes elles-mêmes. Vous pouvez lire exactement comment les clés sont dérivées, comment les coffres sont sérialisés et chiffrés, et ce qui — le cas échéant — quitte votre appareil.

Nous publions un changelog pour chaque version, coordonnons la divulgation de vulnérabilités via notre page sécurité, et opérons un bug bounty pour les rapports qualifiés. La revue indépendante est bienvenue ; c'est même le seul chemin vers une confiance méritée.