Confidentialité

Ce site n'a ni inscription libre, ni lettre d'information : seuls les comptes que l'éditeur invite s'y connectent, pour la version avec compte de RapidGuard (voir ci-dessous). Sans compte, voici, exhaustivement, ce qu'il sait de vous.

RapidGuard a aussi une version avec compte, sur invitation : un compte Rapid invité fait vérifier chaque nuit, par notre serveur, ses adresses et ses pseudos, et reçoit un courriel quand une fuite nouvelle apparaît. Elle a ses propres mentions légales et sa propre politique de confidentialité, en français avec un résumé en anglais : rapidall.eu/compte/mentions-legales · rapidall.eu/compte/confidentialite.

Ce que le serveur enregistre

• Les journaux du serveur web : pour chaque page demandée, l'adresse IP, l'heure, la page, et le nom du navigateur. Ils servent à détecter les pannes et les abus (intérêt légitime, art. 6-1-f du RGPD) et sont effacés au bout de 30 jours.
• Un compteur de visites, qui n'est qu'un nombre : il ne retient ni qui, ni d'où.

Notre serveur ne garde rien de ce que vous tapez. Votre mot de passe ne quitte pas votre navigateur : seuls 5 caractères sur 40 de son empreinte partent, vers Have I Been Pwned. Votre adresse email ne nous parvient jamais : votre navigateur l'envoie directement à XposedOrNot et, pour LeakCheck, n'envoie à notre serveur que 24 caractères de son empreinte SHA-256. Un pseudo, lui, nous parvient en clair, parce que LeakCheck ne sait pas chercher un pseudo par son empreinte. Notre serveur transmet cette empreinte ou ce pseudo à LeakCheck, vous renvoie la réponse et les oublie : ils ne sont écrits ni sur son disque ni dans ses journaux, où la demande figure sans sa valeur. Le nom d'un site cherché dans « Fuites récentes » ne quitte pas votre navigateur. Toutes ces vérifications ne partent que quand vous cliquez.

Ce que votre navigateur garde

Le site retient dans votre navigateur (« stockage local », pas un cookie) le thème d'affichage et la langue choisie, pour les retrouver à votre prochaine visite. Ces réglages ne quittent jamais votre appareil, ne sont pas lus par le serveur, et s'effacent avec les données de site de votre navigateur. Ils sont strictement nécessaires au service que vous avez demandé, ce qui dispense de vous demander votre accord.

Les tiers

• XposedOrNot (xposedornot.com) dit si une adresse figure dans une fuite connue. Quand vous cliquez sur « Vérifier », VOTRE navigateur lui envoie l'adresse tapée, directement, sans passer par notre serveur ; quand vous ouvrez l'onglet « Fuites récentes », il lui demande aussi son catalogue public des fuites. XposedOrNot voit donc cette adresse et votre adresse IP. Il écrit ne pas garder les adresses cherchées. Ses résultats sont affichés avec son nom, comme il le demande.
• LeakCheck (leakcheck.io) dit si une adresse email ou un pseudo figure dans une fuite connue : le nom et le mois de chaque fuite, et les types de données exposés dans leur ensemble — jamais les données elles-mêmes. Quand vous cliquez sur « Vérifier », c'est NOTRE serveur qui l'interroge, une demande par seconde au plus pour tout le site : il lui transmet 24 caractères de l'empreinte SHA-256 de votre adresse, calculée par votre navigateur, ou votre pseudo tel que vous l'avez tapé. LeakCheck voit donc l'adresse IP de notre serveur, pas la vôtre. Une empreinte n'est pas un anonymat : LeakCheck peut reconnaître une adresse que ses fichiers contiennent déjà. Il écrit ne pas garder les recherches. Ses résultats sont affichés avec la mention « Powered by LeakCheck », comme il le demande.
• Have I Been Pwned (haveibeenpwned.com) fournit deux choses, toujours demandées par VOTRE navigateur, directement : le test d'un mot de passe (Pwned Passwords) — votre navigateur calcule l'empreinte SHA-1 du mot de passe et n'en envoie que les 5 premiers caractères sur 40, jamais le mot de passe — et le catalogue public des fuites (licence CC BY 4.0), téléchargé quand vous ouvrez l'onglet « Fuites récentes ». Have I Been Pwned voit votre adresse IP lors de ces demandes.
• Des listes publiques, copiées sur notre serveur : 2FA Directory et sa liste des clés d'accès (2factorauth ; licences MIT et CC BY 4.0), JustDeleteMe (MIT) et datarequests.org (CC0), réduites aux sites des catalogues de fuites, ainsi que l'outil zxcvbn-ts (MIT) et ses dictionnaires anglais et français (dont des fréquences de mots tirées d'OpenSubtitles par OPUS, licence ODC-BY). Votre navigateur les télécharge en entier depuis notre serveur, comme la page elle-même : rien de ce que vous tapez ou cherchez ne part avec, et ces projets ne voient pas votre visite. Ces fiches peuvent être incomplètes ou dépassées. La lettre RGPD est préparée dans votre navigateur : nous ne l'envoyons jamais, c'est vous qui l'envoyez si vous le voulez.

Publicité

Ce site n'affiche pas de publicité pour le moment, et ne dépose donc aucun cookie publicitaire. S'il en affiche un jour, cette page le dira, et une bannière vous demandera votre accord avant tout dépôt.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement et d'opposition sur les données qui vous concernent (articles 15 à 21 du RGPD). Écrivez à l'éditeur contact@rapidall.eu. Vous pouvez aussi saisir la CNIL (cnil.fr).