Sécurité Décentralisée. Zéro Compromis.
Nous développons VaultKeepR pour éliminer les points uniques de défaillance de la sécurité moderne : les bases de données centrales ciblées par les pirates et la dépendance aux adresses email.
Pourquoi VaultKeepR ?
Les gestionnaires de mots de passe traditionnels obligent à faire confiance à des serveurs cloud centralisés. Lorsque ces bases sont compromises, des millions de coffres chiffrés sont exposés à des attaques par force brute hors ligne.
VaultKeepR remplace la confiance envers les serveurs par des garanties mathématiques : chiffrement client XChaCha20-Poly1305, dérivation de clé Argon2id durcie en mémoire, synchronisation peer-to-peer sur IPFS et récupération fragmentée Shamir Secret Sharing.
Piliers & Cryptographie
100% Zero-Knowledge
Toutes les clés sont dérivées en mémoire locale sur l'appareil. Les mots de passe en clair ne transitent jamais sur le réseau.
Stockage Décentralisé (IPFS)
Les blobs chiffrés sont adressés par leur contenu sur IPFS et synchronisés avec Automerge CRDTs, sans serveur central vulnérable.
Sans Email ni Pistage
Authentification par passkeys biométriques WebAuthn et Account Abstraction (ERC-4337). Zéro profilage, zéro cookie publicitaire.
Récupération Shamir
Vos clés de récupération sont divisées en 5 fragments chiffrés : un seuil de 3 sur 5 permet de restaurer votre accès sans porte dérobée.
Notre Mission
Chaque personne gère aujourd'hui des dizaines de comptes en ligne, et la réponse de l'industrie a été de centraliser tous ces secrets derrière une connexion de plus. Nous pensons que ce modèle est cassé. Chaque coffre-fort centralisé est une cible dont la valeur grandit avec chaque utilisateur attiré, et une décennie de brèches dans le secteur confirme la même leçon : les données que nous détenons peuvent être volées ; celles que vous seul détenez ne le peuvent pas.
Notre mission : faire de l'architecture zero-knowledge la norme, pas l'option premium. VaultKeepR est gratuit, avec un SDK open source, et ne demande ni email, ni numéro de téléphone, ni donnée personnelle d'aucune sorte. Votre identité sur le réseau est une paire de clés cryptographiques, pas un profil marketing.
Nous pensons aussi qu'un outil de confidentialité doit être vérifiable, pas seulement promis. C'est pourquoi chaque primitive cryptographique vit dans des dépôts publics sous licence MIT, et pourquoi notre programme de divulgation coordonnée récompense l'examen indépendant au lieu de le décourager.
Les Standards que Nous Suivons
VaultKeepR n'invente pas la cryptographie. Chaque couche du produit correspond à une spécification publiée et évaluée par les pairs :
- Argon2id (RFC 9106): dérivation de clé à mémoire dure, recommandation de hachage de mot de passe également citée par la fiche OWASP sur le stockage des mots de passe.
- XChaCha20-Poly1305: ChaCha20-Poly1305 (RFC 8439) avec la construction à nonce étendu adoptée par libsodium, WireGuard et Signal.
- WebAuthn Level 2 (Recommandation W3C): authentification biométrique résistante au phishing, credentials liés au matériel.
- Account Abstraction (ERC-4337): smart accounts pour une onboarding sans clé et sans gas sur L2 Ethereum.
- NIST SP 800-63B: là où les Digital Identity Guidelines déconseillent la récupération par SMS et les questions de sécurité, VaultKeepR va plus loin : aucun chemin de récupération ne contourne vos fragments Shamir.
Transparence & Open Source
Les packages de cryptographie du SDK et le protocole de synchronisation basé sur les CRDT Automerge sont publics. Vous pouvez lire comment les clés sont dérivées, comment les coffres sont sérialisés et chiffrés, et ce qui, le cas échéant, quitte votre appareil. Les applications clientes (web, extension, mobile) ne le sont pas : elles sont dans un dépôt privé et se lient au cœur public.
Nous publions un changelog pour chaque version, coordonnons la divulgation de vulnérabilités via notre page sécurité, et opérons un bug bounty pour les rapports qualifiés. La revue indépendante est bienvenue ; c'est même le seul chemin vers une confiance méritée.
Équipe & Recherche
VaultKeepR est fondé et dirigé par Justin Lacroix (Fondateur & CEO), construit au grand jour avec une communauté internationale de chercheurs en sécurité, d'ingénieurs systèmes distribués et de contributeurs open-source spécialisés en cryptographie appliquée, standards WebAuthn et protocoles pair-à-pair. La feuille de route est publique, les discussions sont publiques, et le cœur cryptographique est public.
Questions Fréquentes
Pourquoi VaultKeepR ne demande-t-il pas d'adresse e-mail ?
VaultKeepR vous authentifie avec des passkeys WebAuthn et de la cryptographie locale au lieu d'un compte. Votre identité est une clé cryptographique qui ne quitte jamais votre appareil : il n'existe aucune adresse e-mail à fuiter, revendre ou réinitialiser via un support.
Comment récupérer mon coffre sans mot de passe maître ?
La récupération utilise un partage de secret de Shamir en 3-sur-5 : le secret maître est découpé en cinq fragments chiffrés stockés à des endroits différents — votre appareil, IPFS, un gardien de confiance, un timelock on-chain et un relais chiffré. Trois fragments quelconques reconstituent le coffre ; aucun acteur, VaultKeepR inclus, n'en détient assez pour l'ouvrir seul.
Quel chiffrement utilise VaultKeepR ?
XChaCha20-Poly1305 avec dérivation de clés Argon2id (64 MiB de mémoire, 3 itérations, 4 lanes). Les clés sont dérivées et utilisées entièrement sur votre appareil ; seul du texte chiffré est jamais stocké ou synchronisé.
VaultKeepR est-il open source ?
En partie. Le SDK et les smart contracts sont open source sous licence MIT. Les clients web, extension et mobile sont dans un dépôt privé. Les artefacts publiés sont signés avec minisign.