par Signal a toujours réclamé un numéro de téléphone pour ouvrir un compte. C’était la contrepartie un peu gênante d’une messagerie qui promet l’anonymat et le chiffrement de bout en bout. Sa version Android 8.28, en bêta depuis la mi-septembre, casse enfin cette règle.
Vous pouvez maintenant vous inscrire sans donner le moindre numéro. À la place, Signal vous attribue un Account ID et une Account Key, une sorte d’identifiant et de mot de passe que vous êtes seul à connaître. Comme plus aucun numéro n’est rattaché au compte, personne ne peut vous retrouver via son carnet de contacts, et vous communiquez uniquement par un nom d’utilisateur. Un vrai compte fantôme, quoi. Attention quand même : si vous perdez ces deux clés, le compte est perdu, il n’existe aucune récupération.
Il y a une contrepartie, et elle surprend venant de Signal. La manœuvre coûte 2,99 dollars aux États-Unis, 3,49 euros TVA comprise chez nous, avec des tarifs qui varient selon le pays. Un paiement unique, pas un abonnement. Greyson Parrelli, l’un des développeurs, explique que sans ce petit péage, l’inscription anonyme serait un cadeau offert aux spammeurs, qui créeraient des comptes par millions et saborderaient le réseau. L’argument se tient.
Signal chiffre vos conversations, mais vos comptes en ligne méritent eux aussi une vraie serrure : une clé physique reste ce qui bloque le mieux le phishing.
Yubico YubiKey 5 NFC → voir sur Amazon
Lien affilié Amazon. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
Là où ça se complique, c’est sur la façon de payer. Sur Android, le seul moyen d’achat proposé passe par le système de facturation de Google Play. Il faut donc les services Google, un compte Google et une carte enregistrée dessus. Vous voyez l’ironie : pour s’inscrire anonymement sur la messagerie la plus soucieuse de la vie privée, on doit passer par Google.
Signal se protège avec des preuves à divulgation nulle de connaissance, ce qui l’empêche de relier votre paiement à votre compte. Sauf que Google, lui, sait quel compte a acheté le produit « Signal Login » et à quelle heure. Des chercheurs en sécurité notent que ces horodatages pourraient théoriquement être recoupés par un gouvernement avec l’activité du compte. Et les utilisateurs les plus prudents, ceux qui font tourner un Android dégooglisé comme GrapheneOS, se retrouvent tout bonnement exclus faute de services Google.
Pour le moment, tout ça reste cantonné à la bêta Android. Rien n’est annoncé pour iOS ni pour la version stable. C’est une avancée réelle, attendue depuis des années, mais elle arrive avec un astérisque que les puristes de la vie privée n’avaleront pas facilement.
Crédit photo : Signal
