Aide et FAQ

Oui. La démo sur try.privacynotes.app est l'application complète avec des contenus d'exemple : pas d'inscription, pas d'e-mail, et rien de ce que tu tapes n'est enregistré. Elle tourne entièrement dans ton navigateur et n'envoie rien à nos serveurs.

Fermer l'onglet efface tout, et c'est exactement le but. Quand tu veux garder tes notes, crée un vrai coffre sur use.privacynotes.app. Le contenu de la démo n'est pas repris, alors copie d'abord ce que tu veux conserver.

Celle qui correspond à ton niveau de menace. Il y en a trois. Un : "Continuer avec Google" ou "Continuer avec Apple", avec ta clé conservée sur notre serveur. Deux : le même bouton, mais ta clé ne quitte pas ton appareil. Trois : "Générer une phrase", sans e-mail, sans nom et sans aucune connexion. Les trois gardent tes notes chiffrées de bout en bout, et ce qui les sépare, c'est qui détient la clé et ce que nous apprenons sur toi.

Le bouton Google, Apple ou GitHub demande ensuite où vit ta clé. "Reste simple et pratique" la stocke chiffrée sur notre serveur : n'importe quel nouvel appareil se connecte avec cette seule connexion et tu n'as rien à conserver. C'est le bon niveau si ce que tu crains, c'est de perdre tes propres identifiants. "Sécurité et confidentialité maximales" garde la clé sur ton appareil : nous ne pourrions lire aucune note sous aucune pression, et un nouvel appareil réclame tes 12 mots ou un scan de QR code depuis un appareil déjà connecté.

La voie de la phrase seule est le niveau le plus haut : pas d'e-mail, pas de nom, rien qui relie le compte à une personne. En échange, la clé n'appartient qu'à toi : la perdre sans appareil connecté, c'est un cas où personne ne peut aider. Rien n'est définitif pour autant. Paramètres > Sécurité > Ta phrase te fait passer d'un mode à l'autre quand tu veux, et chaque niveau peut ajouter un PIN ou un verrou biométrique par-dessus. L'échelle complète, avec le prix de chaque barreau, est dans l'échelle des niveaux de menace.

Non. Un nouveau compte, c'est une phrase de récupération de 12 mots fraîchement générée, rien d'autre. Pas d'e-mail, pas de nom d'utilisateur, pas de numéro de téléphone, pas d'étape de vérification. Si tu te connectes avec la phrase, on ne pourrait même pas t'écrire si on le voulait : on ne sait jamais qui tu es.

Tu préfères un parcours familier ? La connexion avec Google, Apple ou GitHub fonctionne aussi. Cette voie nous révèle forcément l'e-mail lié à cette connexion, mais tes notes restent chiffrées de bout en bout dans tous les cas, et tu obtiens quand même une phrase sous le capot.

Ouvre Paramètres > Import & Export et choisis ta source. Il existe des importateurs dédiés pour Apple Notes, Obsidian, Standard Notes, Google Keep, Simplenote, Samsung Notes et Bitwarden (identifiants, cartes et notes sécurisées atterrissent dans le Coffre), plus un importateur Markdown générique pour n'importe quel dossier de fichiers .md.

Les imports s'exécutent entièrement sur ton appareil : tes fichiers exportés sont lus, chiffrés et stockés localement, rien n'est envoyé pour traitement. Chaque note importée reçoit une étiquette avec sa source pour relire le lot ensuite, et les checklists Google Keep deviennent même de vraies listes de tâches.

Oui. Ouvre le pilier Markdown dans la barre latérale, choisis un dossier de fichiers .md et .txt, et modifie-les dans le même éditeur que tes notes. Les sous-dossiers apparaissent tout seuls, les modifications sont enregistrées directement dans le fichier, et rien n'est converti : le même dossier continue de fonctionner dans Obsidian, dans un dépôt git ou dans tes propres scripts. Enregistrer dans mes notes copie un fichier, ou toute une sélection, dans tes notes chiffrées en un clic et laisse l'original là où il est. Tout cela est gratuit dans chaque formule.

Une limite honnête : ce dossier est la seule partie de l'app que nous ne chiffrons pas. Ces fichiers restent sur ton disque exactement comme tu les as laissés, nous ne les envoyons jamais, et ils ne se synchronisent jamais vers tes autres appareils. Il faut l'app de bureau, ou Chrome, Edge ou Opera sur un ordinateur. Safari, Firefox et les téléphones ne peuvent pas ouvrir un dossier depuis le disque.

Oui. Tape du Markdown et il se met en forme en direct : # titres, gras, listes, - [ ] cases à cocher, citations et callouts. Les notes s'exportent aussi en Markdown propre, ce que tu écris reste donc portable.

Tu peux aussi relier tes notes entre elles : tape [[ et une autocomplétion propose tes notes existantes. Un note-link ouvre sa cible en un clic, et le panneau de plan plus la recherche dans la note gardent les longs documents faciles à parcourir.

Les formats Markdown standards se mettent en forme à mesure que tu tapes : titres, emphase, barré et surlignage, listes à puces et listes numérotées, listes de tâches (Tab et Maj+Tab imbriquent toute liste, checklists comprises), citations, séparateurs, code en ligne et blocs de code avec coloration syntaxique, formules mathématiques en ligne et en bloc (KaTeX), et note-links entre notes avec autocomplétion.

La barre de mise en forme et son menu Insérer ajoutent le reste : tableaux, callouts en neuf types qui peuvent se replier, souligné, exposant et indice, alignement du texte, couleurs de texte et de surlignage, polices, liens, images et pièces jointes. Tout fait l'aller-retour en Markdown : "Afficher le markdown" sous n'importe quelle note révèle la source brute, et les exports sont des fichiers .md propres, donc rien de ce que tu écris n'est enfermé dans un format propriétaire.

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

1. Write your phrase down
2. Store it offline
   - paper beats cloud
   - two copies, two places

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// encrypted before it leaves
const keys = deriveKeys(phrase);
```

// encrypted before it leaves
const keys = deriveKeys(phrase);

H<sub>2</sub>O and E = mc<sup>2</sup>,
<u>underline</u> included

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Quick capture

---

Polished later

Toute ligne que tu écris sous la forme - [ ] dans n'importe quelle note devient une tâche, et la vue Tâches dans la barre latérale les rassemble toutes au même endroit. Y cocher une tâche met à jour la note où elle vit, et ouvrir une tâche saute vers cette note. Il n'y a pas de base de tâches distincte à maintenir : les tâches ne sont que des lignes dans tes notes, chiffrées comme tout le reste.

Le champ d'ajout rapide en haut de Tâches ajoute à une note appelée Quick Tasks (créée pour toi à la première utilisation), donc noter une tâche isolée prend une frappe, pas une décision de classement. La même vue propose trois dispositions (Hybride, Agrégé, Liste), un basculement des tâches terminées, et la recherche de tâches, et le bouton Nouveau sur la vue Tout peut démarrer une note de tâches directement.

Journaux est une vue dédiée aux entrées datées : une touche crée l'entrée du jour, et le bouton calendrier à côté rattrape un jour récent que tu as manqué. Une entrée est une note normale plus des suivis optionnels : humeur sur une échelle de 1 à 10 avec 24 étiquettes d'émotions, sommeil, activité, médicaments, énergie, concentration, et plus encore. "Configurer les suivis" dans n'importe quelle entrée active ou désactive ceux intégrés, et Pro ajoute jusqu'à 10 suivis personnalisés (échelles, nombres, oui/non).

Statistiques (dans Paramètres, ou l'icône stats dans le pied de page) transforme les entrées en tendances sous l'onglet Bien-être : humeur au fil du temps, graphiques de sommeil et d'activité, observance des médicaments. Les exports sont générés sur ton appareil : "Télécharger le JSON" est gratuit, et Pro ajoute un "PDF médecin" à apporter en consultation, un prompt IA prêt à copier pour le chatbot de ton choix, des analyses de tendances, et un bilan de la semaine. Les données des suivis vivent dans l'entrée chiffrée, le serveur ne peut donc en lire aucune.

Oui. Les favoris forment un pilier à part dans la barre latérale, à côté des notes, des tâches et du journal, et ils sont gratuits dans toutes les formules. Colle un lien dans la barre d’ajout rapide pour en enregistrer un. Pour transférer les tiens, exporte un fichier de favoris (.html) depuis ton navigateur, puis dépose-le dans Paramètres > Import & Export > Importer > "Browser bookmarks". Chrome, Firefox, Safari, Edge, Opera, Brave et Vivaldi contiennent le même fichier, et tes dossiers et tes dates suivent. Safari l’enveloppe dans un .zip, que tu peux déposer sans l’ouvrir.

Nous ne chargeons jamais la page derrière un lien, donc un favori que tu ajoutes toi-même porte son domaine comme nom jusqu’à ce que tu en saisisses un. C’est délibéré : lire la page reviendrait à envoyer tes adresses à un serveur. Les icônes de site sont la seule exception, et tu peux les désactiver. L’export écrit le même fichier standard, tes favoris repartent donc aussi facilement (guide d’import).

Les dossiers s'imbriquent aussi profondément que tu veux et vivent dans la barre latérale. Les parcourir est gratuit dans chaque formule. En créer un, le renommer ou y déplacer une note ("Nouveau dossier" et "Déplacer vers un dossier") est là où Pro commence, pour qu'un compte gratuit puisse toujours lire une structure importée ou construite pendant un abonnement Pro. Une ligne "Sans dossier" liste chaque note qui n'est rangée nulle part.

Une note vit dans un seul dossier à la fois, comme un fichier. Passe aux tags quand une chose appartient à deux endroits. Le dossier est stocké dans la note chiffrée : le serveur ne voit pas plus ta structure que ton texte.

Chaque note ouverte a une ligne de tags sous le titre. Tape un mot puis Entrée, une virgule ou #, et le tag devient une puce. La barre latérale liste chaque tag que tu utilises, et un clic filtre la liste sur ces notes. Tu peux renommer un tag partout d'un coup, le mettre en favori pour qu'il reste épinglé en haut, ou le supprimer, avec ou sans les notes qui le portent.

Les tags et les dossiers règlent des problèmes différents : une note vit dans un dossier mais porte autant de tags que tu veux, ce qui est exactement ce qu'il faut quand une chose est à la fois "travail" et "facture". Les imports taguent par source : tout ce qui arrive d'une autre app se pose avec son propre tag, facile à retrouver ou à nettoyer plus tard.

Tape [[ n'importe où dans une note et commence à écrire un titre. Choisis une note dans la liste et elle devient un lien de note cliquable. Si rien ne correspond, choisis "Créer" : la nouvelle note est créée et liée en une étape. Le bouton "Lier à une autre note" de la barre d'outils fait la même chose.

Les liens de note vivent dans la note : ils s'exportent avec elle et survivent à un import. Un coffre Obsidian garde ses liens, et les liens de notes Evernote sont convertis à l'arrivée. Ce qui n'existe pas encore, c'est une vue graphe ou un panneau de rétroliens : une note ne liste pas ce qui pointe vers elle. Aujourd'hui, la recherche est le chemin vers l'autre bout d'un lien.

Oui, dans Paramètres > Apparence. Mode bascule entre Clair, Sombre et Auto, qui suit ton système. Taille du texte a quatre crans et n'agrandit que ta surface d'écriture : l'interface autour ne bouge pas. Affichage dispose les éléments en Liste ou en Grille. Éditeur décide si les notes s'ouvrent en Mise en forme ou en Markdown brut.

Les thèmes de couleur sont la seule partie derrière Pro : le thème par défaut est gratuit, Pro débloque les autres, en clair comme en sombre. Le mode zen, qui masque tout sauf ton texte, est aussi Pro (Cmd+Shift+F). Le mode et la taille du texte restent sur l'appareil où tu les règles. Tout le reste suit ton compte vers tes autres appareils.

Appuie sur ? n'importe où dans l'appli pour l'aide-mémoire intégré, aussi disponible sous Paramètres > À propos et aide. Les raccourcis couvrent la navigation, les actions sur les notes, la mise en forme et les vues - et sur Windows et Linux, chaque Cmd se lit comme Ctrl et Option comme Alt.

Oui. L'aide-mémoire à imprimer présente tous les raccourcis sur une seule page A4, en deux colonnes, prête à être affichée à côté de ton écran. Il est généré à partir de la même liste que celle affichée dans l'appli, donc il ne peut jamais être en retard sur une version.

Ouvre-le et appuie sur le bouton Imprimer (ou Cmd+P / Ctrl+P). Pour garder un fichier plutôt que du papier, choisis PDF comme destination dans la boîte de dialogue d'impression. L'aide-mémoire est aussi accessible au-dessus et en dessous de la liste des raccourcis dans l'appli (Paramètres > À propos et aide > Raccourcis), ainsi que dans le pied de page de ce site.

Oui, et nous avons conçu le centre d'aide pour ça. Chaque réponse est publiée dans un seul fichier texte, llms-full.txt, donc un assistant lit tout d'un coup. L'encadré en bas de chaque page d'aide copie un prompt prêt à l'emploi : colle-le dans ChatGPT, Claude, Gemini ou l'assistant que tu utilises déjà, et pose ta question dans ta propre langue.

Nous n'avons délibérément pas de chatbot maison. Il ferait atterrir tes questions sur nos serveurs, et les questions sur une app de notes contiennent souvent le contenu des notes. T'envoyer vers un outil auquel tu fais déjà confiance nous met entièrement hors du coup, et nous n'apprenons jamais ce que tu as demandé. C'est distinct de l'app elle-même, qui n'a aucune fonction d'IA (détails).

Une règle, et elle compte : ne colle jamais ta phrase de récupération, ton PIN ou le texte d'une note dans un assistant. Aucune réponse n'en a besoin, le prompt copié dit à l'assistant de les refuser, et tout ce que tu tapes dans la fenêtre de discussion de quelqu'un d'autre a quitté ton appareil.

Rien de lisible. Notes, titres, étiquettes et pièces jointes sont chiffrés sur ton appareil avant de se synchroniser. Le serveur stocke un texte chiffré qu'il ne peut pas déchiffrer, et il n'existe aucune clé de notre côté pour changer ça.

Ce que nous voyons, c'est le minimum pour faire tourner le service : la quantité de stockage chiffré que tu occupes, le nombre d'appareils liés, et des horodatages de sync. Si tu te connectes avec une phrase plutôt qu'avec Google, Apple ou GitHub, nous ne connaissons même pas ton adresse e-mail.

Ça semble contre-intuitif au début, mais une phrase de récupération unique est la construction la plus solide. Avec identifiant et mot de passe, l'identifiant n'est pas un secret (il apparaît dans toutes les fuites de données), toute la sécurité repose donc sur le mot de passe - et les mots de passe choisis par des humains plafonnent en moyenne à 30 ou 40 bits d'entropie. Ta phrase de 12 mots, ce sont 128 bits garantis, générés par ton appareil, jamais choisis par un humain et jamais réutilisés d'un autre site.

Il n'y a rien à perdre chez nous non plus. Une connexion par mot de passe implique que le serveur stocke au moins un hash de mot de passe, qui peut fuiter, être cassé ou hameçonné. Ta phrase ne quitte jamais ton appareil : elle dérive tes clés de chiffrement localement, et le serveur ne voit jamais que des données chiffrées. Il n'y a pas de hash à voler ni de réinitialisation de mot de passe à détourner.

Si taper 12 mots te paraît lourd : tu peux enregistrer la phrase dans ton gestionnaire de mots de passe en un geste (Paramètres > Sécurité > Ta phrase), et la connexion ressemble à n'importe quelle autre. Tu préfères la voie classique ? La connexion avec Google, Apple ou GitHub marche aussi, et tu obtiens quand même une phrase sous le capot.

Oui, et c'est voulu. Tout le monde ne se défend pas contre les mêmes menaces, le modèle de compte est donc une échelle plutôt qu'un dogme unique. À chaque barreau, tes notes restent chiffrées de bout en bout ; ce qui change, c'est qui détient la clé et ce que nous savons de toi.

Le bout confortable : connecte-toi avec Google, Apple ou GitHub et choisis "Reste simple et pratique" quand on te le propose. Nous conservons ta phrase de récupération pour toi, chiffrée au repos sur notre serveur : chaque appareil se connecte avec cette seule connexion, et il n'y a rien à sauvegarder ni à perdre. Le prix honnête : nous connaissons l'e-mail derrière cette connexion, et un serveur totalement compromis pourrait en principe exposer la clé conservée. Si ta menace réaliste est de perdre tes propres identifiants plutôt qu'une intrusion ciblée, le compromis est raisonnable.

Le milieu : connecte-toi avec Google, Apple ou GitHub mais choisis "Sécurité et confidentialité maximales". Ta phrase ne touche jamais nos serveurs et le chiffrement est entièrement zero-knowledge ; un nouvel appareil demande la phrase ou un scan QR depuis un appareil déjà connecté. Nous connaissons forcément encore l'e-mail derrière cette connexion, mais nous ne pourrions pas lire une seule note, même sous contrainte.

Le bout privé : ignore les connexions et n'utilise que la phrase de 12 mots. Pas d'e-mail, pas de nom, pas d'identité - et associé à un achat Pro anonyme, même payer ne laisse ton nom nulle part. En échange, la garde de la clé t'appartient entièrement : perds la phrase sans plus aucun appareil connecté, et personne ne peut aider.

Tu n’es pas enfermé dans le niveau que tu as choisi. Réglages > Sécurité > Ta phrase affiche les deux modes côte à côte avec ce que chacun coûte, et tu peux passer de l’un à l’autre quand tu veux. Passer à l’autoconservation supprime notre copie et te demande d’abord de retaper trois de tes douze mots, puisque ceux qui cliquent sont justement ceux qui ne les ont jamais notés. Revenir en arrière renvoie la phrase et demande un choix explicite. Les deux sens sont signés avec ta propre clé de compte, une session volée ne peut donc pas changer ton mode. Et chaque niveau accepte les couches locales par-dessus : verrouillage par PIN, déverrouillage biométrique et protection par note.

Oui, 12 mots suffisent. Une phrase BIP-39 de 12 mots encode 128 bits d'entropie. Casser 128 bits par force brute n'est pas un problème du type "il faut un plus gros ordinateur", mais du type "il faut plus d'énergie que l'humanité n'en produit". Aucune attaque réaliste ne casse 128 bits tout en échouant à 256.

La comparaison avec Bitcoin montre justement pourquoi 24 mots relèvent surtout du marketing : les clés Bitcoin vivent sur la courbe secp256k1, qui n'offre elle-même qu'environ 128 bits de sécurité. Une phrase de 24 mots injecte 256 bits d'entropie dans une serrure qui ne demande toujours qu'environ 128 bits de travail pour céder. C'est aussi pour ça que beaucoup de grands portefeuilles restent par défaut à 12 mots.

PrivacyNotes vise le même niveau de sécurité 128 bits de bout en bout : ta phrase passe par une fonction de dérivation de clé, et le chiffrement qu'elle protège (XChaCha20-Poly1305) est calibré pareil. Passer à 24 mots doublerait ce que tu notes et tapes sans aucun gain pratique de sécurité, nous ne prévoyons donc pas de le proposer.

Les vrais points faibles de toute phrase de récupération sont le phishing et l'endroit où tu ranges le papier, pas sa longueur. Protège la phrase elle-même et 12 mots nous survivront à tous.

Réponse courte : oui. Ta phrase est la clé, donc quiconque la détient peut se connecter, exactement comme quiconque tient la clé de ta maison peut ouvrir ta porte. C'est voulu : c'est l'unique clé maîtresse de tes notes, et rien de plus faible ne se dresse devant. La vraie question n'est donc pas de savoir si détenir la phrase donne accès (oui), mais si quelqu'un pourrait la deviner - et là, la réponse est non : aucun ordinateur existant ou prévisible n'y parviendrait.

Voici l'échelle. Une phrase de 12 mots est une possibilité parmi 2^128 : environ 340 sextillions, un nombre à 39 chiffres (3,4 x 10^38). La probabilité de deviner la tienne du premier coup est de 1 sur 340 sextillions - moins probable que de gagner quatre fois de suite un jackpot de loterie à 1 sur 300 millions. La traiter comme une recherche plutôt qu'un coup de chance n'aide pas : même à un milliard de milliards de tentatives par seconde (10^18, bien au-delà de tout matériel réel, États compris), tout parcourir prendrait environ 10 000 milliards d'années, près de 800 fois l'âge actuel de l'univers. Et c'est la version fantasmée, car chaque tentative réelle doit traverser une dérivation de clé volontairement lente, et toute attaque en ligne doit passer par nos serveurs - ce qui ralentit le vrai essai de plusieurs ordres de grandeur supplémentaires. Le procédé n'a d'ailleurs rien d'inédit : la même construction 128 bits sécurise les portefeuilles Bitcoin depuis plus d'une décennie, et personne n'en a jamais deviné un.

On est tenté d'imaginer la phrase comme un mot de passe, qu'on renforcerait avec des majuscules, des chiffres et des symboles. Une phrase de récupération ne marche pas comme ça, et tu ne dois jamais essayer d'en construire ou d'en modifier une à la main. Ton appareil génère 128 bits d'aléa cryptographiquement sûr et les encode en 12 mots issus d'une liste publique fixe de 2048 mots : cet aléa est toute la force. Le dernier mot porte même une somme de contrôle intégrée, une phrase mal tapée ou inventée est donc rejetée d'emblée. L'ordre des mots compte, la casse non (nous la normalisons à la connexion), et ajouter des symboles ne ferait que rendre la phrase invalide. Tape les mots exactement comme ils t'ont été donnés.

Parce que c'est un arbitrage délibéré, pas un oubli. La 2FA familière - code par SMS ou appli d'authentification - existe pour consolider des mots de passe faibles choisis par des humains, et elle repose sur un secret partagé et un chemin de récupération hébergés sur un serveur. C'est exactement la surface d'attaque que le modèle à phrase supprime : ton appareil prouve qu'il détient la clé en signant un défi, nos serveurs ne reçoivent donc jamais qu'une clé publique et une signature - jamais la phrase, jamais un hash de mot de passe. Boulonner un code par-dessus réintroduirait la machinerie serveur que ce design évite précisément, sans rien apporter contre le risque qu'on devine ta phrase, puisque 128 bits ferment déjà cette porte.

Le seul second facteur qui apporterait vraiment quelque chose est un facteur résistant au phishing, comme une clé de sécurité matérielle ou une passkey, car les vrais risques résiduels ne sont pas qu'on devine ta phrase, mais le phishing, les malwares et une phrase volée ou lue par-dessus ton épaule. Sur un appareil laissé déverrouillé, le verrouillage de l'appli (PIN) et le déverrouillage biométrique sont le garde-fou local.

Au-delà, la phrase est la clé, alors sauvegarde-la le jour où tu crées ton compte : range-la dans un gestionnaire de mots de passe sérieux, ou imprime-la ou écris-la et garde cette copie en lieu sûr. Et ne la colle jamais ailleurs que dans l'appli elle-même.

Oui, la liste BIP-39 standard (anglaise) : 2048 mots, exactement la même liste que les portefeuilles Bitcoin. Nous générons les phrases avec @scure/bip39, une bibliothèque open source auditée. Pas de liste maison ni de crypto bricolée.

La liste est conçue pour l'écriture à la main : les quatre premières lettres de chaque mot sont uniques, un mot mal écrit ou abrégé reste donc sans ambiguïté, et les mots visuellement proches ont été volontairement exclus.

Comme c'est la liste standard, tu peux vérifier ta phrase contre n'importe quelle référence BIP-39 publique, et notre couche de chiffrement est publiée en open core, tu peux donc contrôler l'implémentation toi-même.

Non. La recherche interroge un index plein texte construit et stocké sur ton appareil. Les requêtes ne le quittent jamais, les résultats s'affichent même sans aucune connexion, et rien de ce que tu cherches n'est jamais transmis.

Ce n'est pas une politique que nous pourrions discrètement inverser, c'est imposé par l'architecture : le serveur ne détient que du texte chiffré, il n'y a donc rien de lisible de notre côté à indexer ou à fouiller. Un serveur qui ne peut pas lire tes notes ne peut pas non plus les chercher.

Non. Il n'y a aucune fonction d'IA dans l'appli, aucun traitement d'IA en arrière-plan et aucun entraînement de modèle sur tes contenus. Tes notes sont chiffrées avant de quitter ton appareil - il n'y a donc rien de lisible sur nos serveurs à donner à quoi que ce soit.

Si nous construisons un jour une fonction dans cette direction, elle devra tourner entièrement sur ton appareil et être strictement opt-in. Envoyer des notes en clair à un modèle cloud briserait la promesse zero-knowledge, c'est donc hors de question.

Une burn note est un moyen autodestructeur de partager une note avec quelqu'un qui n'utilise pas PrivacyNotes. L'appli chiffre le contenu avec une clé à usage unique et te donne un lien. La clé voyage dans le fragment du lien, que les navigateurs n'envoient jamais aux serveurs - notre serveur stocke donc un texte chiffré qu'il ne peut pas lire.

À la première ouverture du lien, le serveur livre le texte chiffré et le supprime dans le même geste : une lecture, puis plus rien. Les liens jamais ouverts expirent d'eux-mêmes après 24 heures. Dans tous les cas, rien ne traîne.

Partager oui, collaborer non. Une note éphémère transforme n'importe quelle note en un lien chiffré à usage unique, détruit au moment où il est lu, ce qui couvre un mot de passe, une adresse ou un brouillon. Pour quelque chose que l'autre personne garde, exporte la note en Markdown, HTML ou PDF et envoie le fichier.

Ce qui n'existe pas, c'est une note que deux personnes modifient, ou un compte que deux personnes utilisent en même temps. C'est délibéré. La collaboration en direct suppose que le serveur fasse passer des clés entre des gens, et garder le serveur loin de tes clés est toute la conception. Un compte, c'est une personne avec une phrase.

"Lecture seule" (dans le menu d'options de la note, Pro) verrouille une note contre les modifications pour qu'un document terminé ne soit pas abîmé par accident ; ça ne cache rien. "Protéger" (même menu, Pro) cache le titre et le contenu d'une note derrière ton PIN ou ton déverrouillage biométrique, pour les choses que tu préfères ne pas laisser visibles sur un écran que d'autres voient parfois.

Les deux sont des verrous de confort sur ton appareil, pas un chiffrement supplémentaire. Les indicateurs voyagent à l'intérieur des données chiffrées de la note, et la note n'est délibérément pas rechiffrée avec ton PIN : ainsi un PIN oublié ne peut jamais détruire de données. Cela signifie aussi que quiconque détient ta phrase de récupération pourrait se connecter sur un nouvel appareil, définir un nouveau PIN et tout lire. La phrase reste la vraie frontière de sécurité - protège-la d'abord, et utilise ces verrous pour la confidentialité à l'écran.

Tu n'es jamais bloqué dehors. L'écran de verrouillage propose toujours une solution de repli : "Déverrouiller avec le PIN", ou "Se connecter avec la phrase de récupération". La biométrie est un verrou local, pas une clé de chiffrement, tes notes sont donc intactes dans tous les cas.

Ensuite, répare le verrou. L'enrôlement se fait par appareil, donc un nouveau téléphone, un nouveau profil de navigateur ou une réinstallation demande de recommencer l'enrôlement : Paramètres > Sécurité > "Verrou biométrique", désactive, puis "Activer le déverrouillage biométrique" à nouveau. Cela requiert aussi "Faire confiance à cet appareil" (les sessions non fiables s'effacent à la fermeture de l'onglet) et un matériel doté d'un authentificateur de plateforme (Touch ID, Face ID, Windows Hello). Si un gestionnaire de mots de passe comme Bitwarden ou 1Password surgit à la place de l'invite système, ferme-le et réessaie, ou désactive sa capture de passkey pour le site - l'appli demande l'authentificateur intégré, mais certains gestionnaires interceptent quand même.

Les parties qui te protègent le sont déjà. Le code de chiffrement, le schéma de base de données et le modèle de menace sont publiés en open core : chacun peut auditer comment tes notes sont sécurisées au lieu de nous croire sur parole.

Les applis suivent. Une fois les applis natives livrées sur toutes les plateformes, nous ouvrirons le code des clients (web, desktop et mobile). La seule pièce qui reste fermée est le backend de sync, et il ne détient jamais que des données chiffrées que nous ne pouvons pas lire. Le garder privé ne te coûte rien en confidentialité, mais empêche quiconque de cloner tout le service et de faire passer notre travail pour le sien. Ouvert là où ça te protège, fermé là où ça nous protège.

Si tu es encore connecté sur n'importe quel appareil : oui, tu peux la récupérer toi-même. Ouvre Paramètres > Sécurité > Ta phrase et enregistre-la tout de suite dans ton gestionnaire de mots de passe.

Si tu n'as plus ni appareil connecté ni phrase : non, et personne ne le peut. Ta phrase n'atteint jamais nos serveurs, il n'y a donc rien à réinitialiser et aucun ticket de support qui puisse aider. Ce n'est pas une règle que nous pourrions assouplir - c'est la définition même du chiffrement de bout en bout. Tout service capable de restaurer tes données chiffrées après une perte totale détient tes clés.

La précaution coûte dix secondes : range la phrase dans un gestionnaire de mots de passe le jour où tu crées ton compte.

Tu as quand même une phrase de 12 mots sous le capot, et la phrase seule te connecte sur n'importe quel appareil - sans Google, Apple ni GitHub. Ouvre Paramètres > Sécurité > Ta phrase et enregistre-la dans ton gestionnaire de mots de passe.

Fais-le une fois, et perdre le compte Google, Apple ou GitHub ne te coûte rien : tu te connectes simplement avec la phrase à la place.

Considère le coffre comme perdu. Une phrase ne peut être ni changée ni renouvelée, car la phrase est la clé sous laquelle tout est chiffré - la solution est donc de passer à un nouveau coffre. D'abord, dans l'ancien compte, exporte tout : Paramètres > Import & Export > Exporter > "Sauvegarde PrivacyNotes (.zip)".

Déconnecte-toi, crée un nouveau coffre (12 nouveaux mots), et réimporte l'export via Paramètres > Import & Export > Restaurer > "Sauvegarde complète (.zip)". Ensuite, supprime l'ancien compte depuis n'importe quel appareil encore connecté dessus : Paramètres > Compte > "Supprimer le compte et les données...". Cela retire ses données synchronisées et ferme la porte à quiconque détient l'ancienne phrase. Si tu t'es connecté avec Google, Apple ou GitHub, supprime d'abord l'ancien compte, puis reconnecte-toi avec Google, Apple ou GitHub pour démarrer le nouveau coffre.

Deux coûts honnêtes : un module de stockage actif doit être résilié avant la suppression, et Pro est lié au compte sur lequel il a été acheté - il ne se transfère pas vers le nouveau coffre, et au-delà de la fenêtre standard de 30 jours, ce n'est pas un cas remboursable. La prévention coûte peu en comparaison : garde la phrase dans un gestionnaire de mots de passe et nulle part ailleurs.

Depuis n'importe quel appareil connecté, ouvre Paramètres > Compte > "Appareils enregistrés" et retire celui que tu as perdu. À sa prochaine connexion, cet appareil est déconnecté et ses données locales sont effacées, environ une minute après son utilisation suivante. Il reste listé sous "Récemment supprimés" pendant 72 heures pour que tu confirmes qu'il a bien disparu.

Les limites honnêtes : un appareil qui ne se reconnecte jamais conserve ce qu'il a déjà stocké jusqu'à ce qu'il le fasse, c'est pourquoi le verrouillage de l'appli (PIN ou biométrie) et le verrouillage d'écran de ton système comptent sur tout ce qui est portable. Et le retrait n'est pas un changement de clé - quiconque détient réellement tes 12 mots peut se reconnecter malgré tout. Si tu soupçonnes que la phrase elle-même a fuité, suis plutôt le guide en cas de fuite de la phrase.

Non. Le PIN est un verrou de confort contre les regards indiscrets sur ton propre appareil, pas une clé de chiffrement. Tes notes sont chiffrées avec des clés dérivées de ta phrase de récupération, et la phrase donne toujours l'accès complet, sans aucun PIN.

C'est un choix de conception délibéré : lier le chiffrement à un PIN à 4 chiffres signifierait qu'un PIN oublié détruit des données. Ça n'arrive jamais ici.

Dans l'appli : Paramètres > Compte, puis "Supprimer le compte et les données". Cela retire définitivement du serveur tes notes synchronisées, fichiers, appareils, réglages et le compte lui-même. Il n'y a ni délai de rétention ni sauvegarde que nous pourrions restaurer ensuite - exporte donc d'abord ce que tu veux garder (Paramètres > Import & Export).

Deux détails : un abonnement de stockage actif doit être résilié avant la suppression (un abonnement déjà programmé pour s'arrêter ne bloque pas), et comme un compte à phrase n'a jamais contenu d'e-mail ni de nom, il n'y a aucun profil ni liste marketing à nettoyer. Effacer les données locales d'un appareil est une action séparée qui ne touche pas ton compte.

Sur l'appareil que tu utilises déjà, ouvre Paramètres > Sécurité > Ta phrase. Tu y vois tes 12 mots et un QR code de connexion. Sur le nouvel appareil, choisis "Connexion par phrase", puis scanne ce QR code avec la caméra, envoie une photo, ou tape les mots. Tes notes arrivent en quelques secondes.

Un compte gratuit couvre 2 appareils et Pro autant que tu veux, et deux navigateurs sur un même ordinateur comptent pour un seul appareil. Traite le QR code exactement comme la phrase qu'il porte : ne le montre à personne, et ne le laisse jamais atterrir dans une photothèque qui se synchronise vers le cloud de quelqu'un d'autre.

Tout ce que tu attends, chaque élément chiffré sur ton appareil avant la sync : notes, tâches, entrées de journal, ton coffre et les fichiers chiffrés qu'il contient. Tes réglages te suivent aussi - étiquettes favorites, préférences de tri et d'affichage, thème de couleur, ton PIN (sous forme de hash salé, jamais le PIN lui-même), verrouillage de l'appli, configuration des suivis et des médicaments, et vidage automatique de la corbeille. Configure une fois, chaque appareil suit.

Quelques éléments restent volontairement locaux : mode clair ou sombre (chaque appareil suit son propre réglage système), déverrouillage biométrique (lié au matériel de chaque appareil) et ton état de déverrouillage (fermer l'appli reverrouille toujours). Le serveur ne stocke jamais que des blobs chiffrés et ne peut rien en lire.

Oui. L'appli est local-first : tes notes vivent dans une base de données sur ton appareil, donc lire, écrire et chercher fonctionnent sans aucune connexion. Les changements se synchronisent automatiquement dès que tu repasses en ligne.

Oui. Ouvre Paramètres > ID & Sync et appuie sur "Mettre en pause". Cet appareil cesse d'envoyer quoi que ce soit au serveur : notes, réglages et fichiers compris. Tu écris exactement comme avant, tout s'accumule en local, et dès que tu reprends, tout part.

La pause n'appartient qu'à cet appareil. Elle ne voyage pas vers tes autres appareils et ne se lève jamais toute seule, parce qu'un interrupteur qui dit "cet appareil ne parle à personne" ne doit être remis en marche par rien d'autre que toi. Une chose continue exprès : le petit battement qui permet à un appareil retiré d'apprendre qu'il l'a été. C'est ainsi qu'un appareil perdu s'efface quand même.

Sur Android, oui. Ouvre Paramètres > ID & Sync et active "Fichiers en wifi uniquement". Tes notes continuent de se synchroniser sur n'importe quelle connexion, parce que le texte est minuscule. Seules les images et les pièces jointes attendent, et elles partent dès que le wifi revient plutôt que d'attendre la prochaine tentative.

L'interrupteur est réservé à Android, et il est masqué ailleurs exprès : Android est la seule plateforme dont la vue applicative signale le wifi contre le mobile de façon fiable, et un interrupteur qui devine vaut moins que pas d'interrupteur. Sur une connexion facturée ailleurs, "Mettre en pause" est la version brutale qui marche partout.

Rien n'est écrasé en silence. Si les deux appareils ont modifié la même note chacun de leur côté (l'un étant hors ligne, par exemple), l'appli détecte la collision à la sync suivante et affiche une boîte de dialogue de conflit : garder la version de cet appareil, garder l'autre, ou garder les deux comme notes séparées.

Au quotidien, tu le verras rarement. En ligne, les modifications se synchronisent en quelques secondes, et la boîte de dialogue n'apparaît que quand deux versions de la même note ont réellement divergé.

Paramètres > Compte liste chaque appareil enregistré. Retire celui que tu mets au rebut : la place se libère immédiatement (utile dans l'offre gratuite à 2 appareils), et l'appareil retiré est déconnecté à sa prochaine tentative de sync. Il reste visible 72 heures sous "Récemment supprimés", pour que tu confirmes qu'il a bien disparu.

Une précision honnête : le retrait n'est pas une frontière de sécurité en soi, car quiconque détient ta phrase de récupération peut se reconnecter. Si un appareil a été perdu ou volé, c'est la phrase qu'il faut protéger - et le verrouillage de l'appli (PIN ou biométrie) est ce qui empêche un appareil retrouvé d'être une porte ouverte.

Les comptes gratuits se synchronisent sur 2 appareils au maximum, et cette boîte de dialogue apparaît quand un troisième tente de s'enregistrer. Retire un appareil que tu n'utilises plus directement dans la boîte de dialogue, ou sur un appareil existant sous Paramètres > Compte (comment fonctionne le retrait). La place se libère immédiatement, et l'appareil retiré reste visible sous "Récemment supprimés" pendant 72 heures. Pro lève entièrement la limite.

Une particularité à connaître : pour que plusieurs navigateurs sur un même ordinateur ne consomment pas plusieurs places, les appareils sont regroupés à l'aide de hashs préservant la confidentialité, calculés à partir de signaux machine grossiers sur ton appareil avec un secret propre au compte. Une mise à jour majeure du navigateur, ou des navigateurs renforcés comme Brave ou Tor qui randomisent ces signaux, peuvent placer la même machine dans une nouvelle place pendant un temps. Tu n'es jamais bloqué dehors - retire l'entrée obsolète et continue.

Rien n'est jamais supprimé. Quand les nouveaux changements ne rentrent plus, la sync le dit : "Stockage plein. Certaines notes n'ont pas pu se synchroniser." Les données existantes continuent de se synchroniser, la nouvelle croissance non. Si tu restes au-dessus de la limite, un compte à rebours de 90 jours démarre, affiché sous forme de bannière ambre. Lire, réduire des éléments, supprimer et exporter continuent tous de fonctionner pendant toute la durée.

Après 90 jours au-dessus de la limite, la sync se met en pause : la bannière passe au rouge ("Synchro en pause. Tu as dépassé ta limite de stockage depuis plus de 90 jours."). L'appli fonctionne toujours pleinement sur chaque appareil ; les changements restent simplement en local jusqu'à ce que tu repasses en dessous. La récupération est instantanée et autonome : libère de l'espace - vider la corbeille compte - ou ajoute du stockage sous Paramètres > Stockage, et la sync reprend d'elle-même. C'est l'exact opposé, volontaire, des services qui suppriment automatiquement les données hors quota.

D'abord sur ton appareil, et c'est cette copie que tu utilises : l'appli est local-first, donc tes notes s'ouvrent et se modifient hors ligne. La copie de sync vit sur des serveurs à Zurich, en Suisse. Ce qui s'y trouve : ta clé publique, des blobs chiffrés de tes notes, fichiers et réglages, plus les horodatages et les tailles dont une sync a besoin. Aucun titre, aucun texte, aucun tag.

Le pays compte moins que le chiffrement. Tout est chiffré sur ton appareil avant d'en sortir, donc cette copie serait illisible où qu'elle se trouve : la Suisse est un bonus, pas la promesse. Ce qui se synchronise le détaille point par point.

Une limite honnête : la copie sur ton appareil n'est pas chiffrée. Les notes vivent dans le stockage ordinaire du navigateur pour que l'appli les ouvre et les cherche instantanément, et le chiffrement intervient à la frontière de sync. Le chiffrement du disque et le verrouillage de l'écran sont ce qui protège cette copie ; le verrou de l'appli tient quelqu'un hors de l'appli, pas hors des fichiers.

Tu peux tout exporter à tout moment, entièrement généré sur ton appareil : des fichiers Markdown dans un zip avec les pièces jointes, une sauvegarde JSON complète, ou du HTML autonome - par note ou pour tout le compte.

L'import marche aussi : rapatrie tes notes depuis Obsidian, Apple Notes, Google Keep, Standard Notes, Simplenote et Samsung Notes. L'enfermement ne fait pas partie du modèle économique.

Oui. Fais un clic droit sur une note, ou ouvre son menu de partage, et choisis "Imprimer / Enregistrer en PDF". Ta boîte de dialogue d'impression système s'ouvre : envoie vers une imprimante ou enregistre un PDF depuis là. La page est rendue proprement sur fond blanc, mise en forme intacte, quel que soit le thème que tu utilises dans l'app.

Elle est produite sur ton appareil comme n'importe quel autre export : rien n'est envoyé pour la fabriquer. Pour plusieurs notes d'un coup, sélectionne-les et exporte en HTML : tu obtiens une page imprimable par note. Le "PDF médecin" dans Statistiques est un rapport bien-être distinct, conçu pour ça, et demande Pro.

Pour un filet de sécurité complet : "Sauvegarde PrivacyNotes (.zip)" sous Paramètres > Import & Export > Exporter. Elle contient tout - notes, journaux, coffre, tâches, images, audio, fichiers - et se restaure intégralement via l'onglet Restaurer, dans n'importe quel coffre. Elle est lisible sur ton disque, alors range-la dans un endroit de confiance : un disque chiffré, pas un lecteur partagé.

"Sauvegarde chiffrée (.pnbackup)" fait le compromis inverse : sûre à ranger n'importe où car illisible sans ta phrase, mais elle ne couvre que le texte et les métadonnées (pas les images ni les fichiers) et ne se restaure que dans le compte qui l'a créée - ce qui la rend inutile si tu passes un jour à une nouvelle phrase. La "Sauvegarde texte (.json)" et l'archive HTML sont des formats de portabilité plutôt que de restauration, et l'"Export du coffre (.json)" est un texte en clair compatible Bitwarden pour les gestionnaires de mots de passe.

Pourquoi garder des sauvegardes locales, alors que tout se synchronise ? Parce que la sync n'est pas une sauvegarde : elle propage fidèlement les suppressions, y compris, dans le pire des cas, un serveur compromis qui laisse tomber des données que tes appareils recopient ensuite. Une sauvegarde complète périodique sur ton propre disque est la seule copie qu'aucun événement serveur ne peut toucher. Exporte avant les gros imports, avant de partir, et à un rythme que tu tiendras vraiment.

Ouvre Paramètres > Import & Export > Restaurer et choisis le format que tu as. "Sauvegarde complète (.zip)" reprend tout l’export : notes, journal, coffre-fort, tâches, images, audio et fichiers. "Sauvegarde chiffrée (.pnbackup)" reprend l’export texte chiffré. Ton fichier est lu et déchiffré sur ton appareil, et la restauration est gratuite dans toutes les formules.

Tout arrive sous forme de nouveaux éléments, et rien de ce que tu as déjà n’est écrasé. Restaurer deux fois le même fichier te laisse donc deux copies de chaque note. Il n’y a pas encore de déduplication automatique. Une .pnbackup ne se restaure que dans le compte qui l’a créée, parce qu’elle est liée à sa clé de phrase ; une .zip se restaure dans n’importe quel coffre. C’est pour ça que la .zip est celle à garder (quelle sauvegarde faire).

L'app web garde tes notes dans le stockage de ton navigateur : effacer les données de site pour PrivacyNotes efface donc la copie locale et te déconnecte. Tout ce qui était déjà synchronisé est en sécurité : connecte-toi avec ta phrase de 12 mots et tout revient. Ce qui n'avait pas encore été synchronisé est perdu, parce que nous n'en avons jamais eu de copie.

Alors fais deux choses. Vérifie que le pied de page indique "Synchronisé" avant d'effacer quoi que ce soit, et garde ta phrase dans un gestionnaire de mots de passe, parce qu'un navigateur vidé ne peut pas te la redemander gentiment. Les apps de bureau et mobiles ne sont pas concernées du tout : elles ont leur propre stockage, qu'un nettoyage de navigateur ne touche jamais.

Tout ce que tu synchronises, à sa taille chiffrée : le texte des notes, les images, les enregistrements audio et les pièces jointes. La barre sous Paramètres > Stockage montre le total ; l'empreinte propre de chaque note figure dans ses options de note sous "Stockage utilisé". Les notes à la corbeille comptent encore tant que la corbeille n'est pas vidée.

Pour libérer de l'espace vite, ouvre Fichiers, trie par Taille, et supprime les plus gros éléments - les pièces jointes écrasent le texte dans presque tous les comptes. Ensuite, vide la corbeille : la vue Corbeille montre combien d'espace "Vider" va libérer. Le texte seul ne remplit presque jamais un quota ; même les 50 Mo gratuits contiennent des dizaines de milliers de notes simples.

Ta place est déjà libre. Dès que la suppression est synchronisée, ces octets cessent de compter dans ton quota, sur le serveur comme sur cet appareil. Si la barre affiche encore l'ancien chiffre, appuie sur l'icône d'actualisation à côté : elle recompte depuis le serveur et laisse de côté tout ce qui est déjà en file d'attente de suppression. Un appareil resté hors ligne garde son propre dernier comptage jusqu'à ce qu'il rattrape son retard.

Les "quelques jours" dont parle l'app concernent le fichier chiffré lui-même, pas ton quota, et cette attente est délibérée. Supprimer un fichier du stockage est définitif, sans corbeille pour aller le repêcher. Un appareil qui n'a pas fini de se synchroniser n'a qu'une vue incomplète de tes notes : il pourrait supprimer une image qu'une autre note affiche encore. Un fichier attend donc au moins 24 heures, et seul un appareil dont la synchronisation s'est terminée proprement le retire. Cette patience ne te coûte rien, puisque la place a été créditée le jour de la suppression.

N'importe quel type de fichier : images, PDF, audio, archives, tout ce que tu déposes. Chaque fichier est chiffré sur ton appareil avant l'envoi, exactement comme le texte des notes, et la vue Fichiers rassemble toutes les pièces jointes au même endroit.

La limite par fichier est de 5 Mo dans l'offre gratuite et de 50 Mo avec Pro. Les fichiers comptent dans ton stockage de sync total (50 Mo gratuit, 500 Mo avec Pro, extensible à 5,5 Go avec les modules de stockage), et la barre de stockage dans Paramètres > Stockage montre toujours où tu en es.

Deux limites s'appliquent, et l'erreur te dit laquelle tu as atteinte. Par fichier : 5 Mo en gratuit, 50 Mo avec Pro, 100 Mo avec n'importe quel module de stockage. Au total : tout ce que tu synchronises doit tenir dans le stockage de ton compte (50 Mo en gratuit, 500 Mo avec Pro, plus avec les modules), donc un quota plein fait échouer les envois même quand le fichier lui-même est petit. Tout type de fichier est accepté - il n'y a aucune restriction de format.

Vérifie la barre de stockage dans la vue Fichiers ou sous Paramètres > Stockage, puis choisis la solution la moins coûteuse : libère de l'espace, passe à Pro, ou réduis le fichier (les photos de téléphone sont souvent des originaux de plusieurs Mo ; un JPEG compressé pèse une fraction de la taille). Les envois ont aussi besoin d'une connexion : les fichiers ne se mettent pas en file d'attente hors ligne.

La corbeille n'est pas une archive : par défaut, tout ce qui s'y trouve est définitivement supprimé après 30 jours. L'interrupteur est dans la vue Corbeille elle-même, intitulé "Suppression automatique après 30 jours" - désactive-le là si tu veux garder la corbeille pour toujours, et le réglage se synchronise sur tous tes appareils. Le nettoyage s'exécute sur ton appareil à l'ouverture de l'appli, car le serveur ne peut pas voir quelles notes chiffrées sont à la corbeille.

Définitivement supprimé veut dire disparu : aucune copie serveur et aucun chemin de récupération. Si tu utilises la corbeille comme une pile de "peut-être un jour", désactive la suppression automatique ou restaure les notes avant le 30e jour. En attendant, les notes à la corbeille comptent encore dans ton stockage - "Vider" dans la même vue libère cet espace immédiatement.

Oui, avec Pro. Ouvre le menu "..." de la note et choisis "Historique de la note" pour parcourir et restaurer jusqu'à 20 versions précédentes. Restaurer ne perd rien : le texte actuel est d'abord enregistré comme version, tu peux donc faire des allers-retours. Les versions sont chiffrées comme la note elle-même : nous ne pouvons pas les lire non plus.

Deux limites à connaître. Un instantané est pris au plus une fois par minute : deux modifications à quelques secondes d'écart partagent une version. Et c'est la seule fonction Pro qui a besoin du serveur : elle ne tourne pas dans la démo et cesse d'enregistrer si un abonnement Pro expire. Chaque formule a la corbeille, qui garde une note supprimée 30 jours.

Le Coffre est un espace dédié aux secrets structurés : identifiants avec nom d'utilisateur et mot de passe, cartes de crédit et de débit, et clés SSH. Les entrées ont de vrais champs plutôt que du texte libre, les identifiants affichent l'icône du site, et tout est chiffré de bout en bout comme le reste de tes données.

Il offre un endroit rangé et protégé à la poignée d'identifiants qui finissent sinon éparpillés dans les notes. Combine-le avec le verrouillage de l'appli et la protection PIN pour une seconde barrière devant tes entrées les plus sensibles. Un import Bitwarden atterrit ici automatiquement.

Oui. Un identifiant du coffre a un champ "Code 2FA" qui accepte soit un secret base32, soit un lien otpauth:// entier, et un import Bitwarden reprend les clés existantes. La clé est chiffrée, enregistrée et synchronisée dans chaque formule, gratuite comprise. Pro en fait le code qui tourne avec son compte à rebours : plus besoin d'une seconde app ouverte à côté.

Une chose à savoir, parce que le choix t'appartient. Un mot de passe et son code à usage unique dans le même coffre, cela veut dire qu'un appareil déverrouillé détient les deux facteurs. C'est le même compromis que fait tout gestionnaire de mots de passe avec codes intégrés, et pour la plupart des comptes le confort l'emporte, surtout avec le verrou de l'app ou un PIN devant. Si tu préfères séparer les deux facteurs pour ta messagerie ou ta banque, mets ces codes ailleurs et laisse le coffre porter le reste.

Écris autant que tu veux - pour des notes normales, la taille ne se pose jamais. Quand une note grossit vraiment beaucoup, une petite indication apparaît dessous et monte en trois paliers : vers 50 000 mots, elle signale que la note devient longue et pourrait ramer sur des appareils lents ; vers 75 000 mots, elle passe à l'orange, la frappe peut commencer à accrocher ; et vers 100 000 mots, elle suggère de scinder la note car tu approches de la limite de sync. Ce sont des repères, pas des limites bloquantes - rien ne t'empêche de continuer.

Cette limite de sync est le seul vrai plafond. Une note peut contenir environ 1 Mo de texte une fois chiffrée - très grossièrement 120 000 mots d'anglais courant, moins avec une écriture non latine ou beaucoup de mise en forme. Une note au-delà continue de fonctionner et reste en sécurité sur l'appareil où tu l'as écrite, mais cette note-là ne se synchronisera plus vers tes autres appareils (tu verras un avis "échec de la sync"). Le reste de tes notes n'est pas affecté : une note trop grosse ne bloque jamais rien d'autre.

La solution est simple : découpe une très longue note en quelques plus petites. Le contenu est identique, la sync passe sans souci, et l'éditeur reste rapide. Un compteur de mots en direct sous chaque note te laisse surveiller la taille en écrivant. Et si tu comptais tester où se trouve le mur : plus besoin.

Exporte d'abord, supprime ensuite - les deux en autonomie. Paramètres > Import & Export > Exporter couvre toutes les voies de sortie : "Sauvegarde PrivacyNotes (.zip)" pour une copie complète, du Markdown et du HTML portables pour ta prochaine appli de notes, et l'"Export du coffre (.json)" au format compatible Bitwarden pour ton prochain gestionnaire de mots de passe. Les exports sont générés sur ton appareil.

Ensuite Paramètres > Compte > "Supprimer le compte et les données..." : tape DELETE, et tes notes synchronisées, fichiers, appareils, réglages et le compte lui-même sont définitivement supprimés sans aucun délai de rétention (détails). Un module de stockage actif doit d'abord être résilié sous Paramètres > Stockage. Un compte à phrase seule ne laisse rien à nettoyer, car nous n'avons jamais su qui tu étais. Pas de dark patterns et pas d'e-mails de reconquête - tes données sont à toi, y compris au moment de partir.

Surtout en détenant le moins possible. Inscris-toi avec une phrase et il n'y a ni nom, ni e-mail, ni identité au dossier à réclamer : tes données sont du texte chiffré sous une clé publique aléatoire, hébergé à Zurich, en Suisse. Connecte-toi avec Google, Apple ou GitHub et il existe exactement un identifiant - l'e-mail derrière cette connexion, lié à cette clé. Les détails de facturation de Pro résident chez Paddle, le merchant of record, pas chez nous.

Chaque droit est autonome et immédiat, aucun formulaire de demande nécessaire : l'accès et la portabilité, c'est Paramètres > Import & Export (export complet dans des formats ouverts), l'effacement, c'est Paramètres > Compte > "Supprimer le compte et les données..." sans aucun délai de rétention, et la rectification, c'est modifier tes notes. La version formelle, y compris comment nous joindre pour tout ce que l'appli ne peut pas faire elle-même, se trouve dans la politique de confidentialité.

Tu ne perds rien. L'intégralité des données est déjà sur ton appareil puisque l'appli est local-first, et l'export en Markdown, JSON ou HTML fonctionne entièrement hors ligne.

La couche de chiffrement est en plus publiée en open core : le format reste lisible de façon indépendante, même dans un monde où nos serveurs disparaîtraient du jour au lendemain.

Le gratuit est le produit complet, pas un amuse-bouche : notes, tâches, journal et coffre chiffrés de bout en bout, usage hors ligne, import et export - sur jusqu'à 2 appareils avec 50 Mo de stockage de sync.

Pro est un achat unique qui ajoute des appareils illimités, 500 Mo de stockage de sync (extensible), l'historique de versions des notes, des pièces jointes plus grandes, le verrouillage de notes et la protection PIN, le suivi bien-être avancé, le mode zen et tous les thèmes de couleur.

Parce que le service est volontairement peu coûteux à faire tourner. L'appli est local-first et les notes sont de petits blobs chiffrés : le serveur ne fait guère plus que les stocker et les relayer entre tes appareils. Pas de pipeline d'analytics, pas de fonctions d'IA qui brûlent du calcul, pas de service client.

Le seul coût qui grandit avec le temps est le stockage, et il est tarifé en conséquence : le stockage au-delà des 500 Mo inclus est un petit module annuel. Les coûts uniques se paient une fois, les coûts récurrents se paient en récurrent. Le modèle doit seulement s'autofinancer, et c'est le cas.

Oui. Pro est rattaché à ton compte, pas à un appareil, une plateforme ou une boutique. Achète-le une fois, connecte-toi avec la même phrase (ou le même compte Google, Apple ou GitHub) n'importe où, et Pro y est actif aussi.

Y compris sur les plateformes qui n'existent pas encore : quand une nouvelle appli sort, ton Pro existant l'accompagne sans surcoût.

Un compte, c'est une phrase de 12 mots, et qui détient cette phrase détient tout ce qu'il y a dedans : chaque note, chaque entrée du coffre, sur chaque appareil. Un compte partagé n'est donc pas une fonctionnalité, c'est la décision de n'avoir aucune vie privée l'un vis-à-vis de l'autre. Pro s'achète par compte, et il n'y a pas de formule famille aujourd'hui.

Pour deux personnes qui veulent leurs propres notes, deux comptes sont la réponse, et chacun reçoit 2 appareils et 50 Mo sans rien payer. Pour transmettre une seule chose précise, envoie une note éphémère plutôt que ta phrase. Si un compte de foyer partagé est vraiment ce que tu veux, cela fonctionne : garde la phrase dans une entrée partagée de gestionnaire de mots de passe, et souviens-toi qu'une personne que tu retires plus tard a déjà eu accès à tout.

Tu peux l'utiliser au travail, et beaucoup de gens le font. Ce qui n'existe pas, c'est une formule équipe : pas d'espace partagé, pas de console d'administration, pas de facturation centralisée, et aucun moyen pour une entreprise de lire ou de récupérer les notes d'une personne salariée. Chacun achète son propre Pro et garde sa propre phrase.

C'est ce dernier point qu'il faut peser avant d'en faire un standard. Le chiffrement zéro connaissance signifie qu'un employeur ne peut pas restaurer ce qu'une personne partie a emporté, et c'est exactement la propriété qui rend l'app juste pour une journaliste et inadaptée à un service conformité. Si ton organisation a besoin de séquestre de clés ou de journaux d'audit, nous ne sommes honnêtement pas l'outil qu'il faut.

Laisse-lui une minute, puis recharge l'appli. Après le paiement, l'appli interroge le serveur pendant environ 20 secondes et se débloque d'elle-même, et un rechargement revérifie le statut Pro au lancement. Si le paiement est arrivé mais que l'activation traîne, une bannière indique "Paiement reçu, mais l'activation de Pro prend plus de temps que d'habitude" - cet état se résout de lui-même dans presque tous les cas. Dans les builds de boutique, un achat qui échoue à se valider réessaie au redémarrage de l'appli, et un achat qui ne s'active jamais est remboursé automatiquement par la boutique sous 3 jours.

Toujours verrouillé ? C'est presque toujours une incompatibilité de compte : Pro se rattache au compte connecté au moment de l'achat, donc une phrase différente - ou une connexion Google, Apple ou GitHub au lieu de ton coffre à phrase - est un compte différent. Compare l'Account ID sous Paramètres > ID & Sync sur l'appareil qui l'a acheté. Si c'est vraiment bloqué, signale-le et inclus cet Account ID : il identifie l'achat et ne révèle rien de tes notes.

Pro inclut 500 Mo de stockage de sync chiffré. S'il t'en faut plus, des modules s'empilent par-dessus : 1 Go pour 4,80 $ par an, 2 Go pour 8,40 $, ou 5 Go pour 18 $, jusqu'à 5,5 Go au total. Les modules sont le seul achat récurrent du produit, car le stockage est la seule chose qui nous coûte de l'argent chaque mois où tu l'utilises.

Tout se gère dans Paramètres > Stockage : passe à un forfait plus grand (tu ne paies que la différence au prorata) ou résilie quand tu veux et garde l'espace jusqu'à la fin de la période payée. Pro, lui, reste à toi pour toujours dans tous les cas.

Paramètres > Stockage est le panneau de contrôle. Passer à un forfait plus grand s'applique immédiatement, et la confirmation montre le montant exact au prorata débité aujourd'hui avant que tu valides ; la date de renouvellement ne bouge pas. "Annuler le stockage" garde ton espace supplémentaire jusqu'à la fin de la période déjà payée. La rétrogradation n'est pas encore disponible - la voie provisoire est de résilier, puis d'acheter le forfait plus petit à la fin de la période.

Si tes données tiennent encore dans la limite restante après expiration, c'est terminé ; sinon, rien n'est supprimé et le cycle de 90 jours en cas de dépassement commence. Un renouvellement échoué affiche une bannière avec un lien "Mettre à jour la carte" pour corriger le paiement dans Paddle. Si tu t'es abonné dans un build de boutique, c'est la boutique qui te facture, la résiliation se fait donc dans les réglages d'abonnement de la boutique.

Oui. Pro et le stockage se rattachent à ton compte, pas à une plateforme ou une boutique. Achète sur le web et chaque appli où tu te connectes est Pro, y compris les builds de boutique ; achète dans un build de boutique et les applis web et desktop se débloquent de la même façon. Il n'y a pas de bouton "restaurer les achats" car se connecter est la restauration - le droit suit le compte.

La seule différence, c'est qui te facture. Les achats web passent par Paddle et se gèrent dans l'appli sous Paramètres > Stockage. Les achats faits dans un build de boutique (Google Play ou l'App Store, une fois ces applis livrées) sont facturés par cette boutique : le stockage récurrent se résilie dans les réglages d'abonnement de la boutique, et les remboursements suivent le processus de la boutique. Dans les deux cas, c'est le même compte et le même Pro partout - y compris les plateformes qui n'existent pas encore.

30 jours, sans poser de questions. Si Pro n'est pas fait pour toi, demande un remboursement complet dans les 30 jours suivant l'achat et il repart sur le moyen de paiement d'origine. Les clients de l'UE conservent en plus leur droit de rétractation légal de 14 jours.

Les paiements sont traités par Paddle, notre merchant of record, les remboursements sont donc gérés directement par Paddle : réponds à l'e-mail de reçu de ton achat ou visite paddle.net. La politique complète se trouve dans les conditions d'utilisation.

Moins que tu ne l'imagines. Le paiement passe par Paddle, le merchant of record : ton nom, ton numéro de carte et ton adresse de facturation vont chez Paddle pour le paiement et les taxes, et ne touchent jamais nos serveurs.

Ce qui nous parvient, c'est la confirmation que la clé publique de ton compte est désormais Pro, plus le montant de la commande. La relation de facturation, y compris l'e-mail de reçu saisi au paiement, reste chez Paddle. Un compte à phrase seule reste donc pseudonyme pour nous, même en client payant : nous savons que tu as payé, pas qui tu es.

Oui, avec deux outils standards. Pour le reçu, utilise un alias e-mail : Apple Hide My Email, DuckDuckGo Email Protection, SimpleLogin, Firefox Relay ou addy.io transfèrent tous vers ta vraie boîte sans l'exposer. Pour le paiement, utilise une carte masquée : privacy.com aux États-Unis génère des cartes virtuelles qui acceptent n'importe quel nom, et beaucoup de banques et services ailleurs (Revolut, par exemple) proposent des cartes virtuelles jetables qui font le même travail.

Au paiement, Paddle demande un e-mail, un moyen de paiement et un pays (plus un code postal dans certaines régions) pour calculer la taxe. L'alias reçoit le reçu, la carte masquée porte le nom que tu lui as donné, et la localisation fiscale ne te situe qu'à l'échelle d'une région, rien de plus. Garde l'alias vivant, cela dit : l'e-mail de reçu est ta preuve d'achat et ton canal de remboursement.

Combiné à un compte à phrase, aucune partie ne détient au final le tableau complet : ta banque voit une recharge de carte, Paddle voit un alias et une carte masquée, et nous voyons seulement qu'une clé publique est passée Pro.

Web, macOS, Windows, Linux et Android aujourd'hui, iOS arrive bientôt. Chaque appli est bâtie sur le même cœur avec le même chiffrement de bout en bout et se synchronise via le même compte. La section téléchargements a toujours les derniers builds.

Les applis natives ont besoin de macOS 13 ou plus récent, Windows 10 ou plus récent, Android 7.0 ou plus récent, ou une distribution Linux avec webkit2gtk 4.1 (Ubuntu 22.04+, Debian 12+ ou équivalent). iOS demandera iOS 15 ou plus récent. En dessous, l'appli ne s'installe ni ne démarre : passe par l'appli web.

L'appli web est un citoyen de première classe, pas une roue de secours : elle garde une copie locale complète de tes données et fonctionne hors ligne - n'importe quel navigateur moderne est donc toujours une porte d'entrée.

Chaque build que nous publions est signé, et ton système d'exploitation vérifie cette signature avant d'exécuter quoi que ce soit. Les builds macOS sont signés et notarisés par Apple. Les installateurs Windows portent une signature Authenticode que tu peux lire dans Propriétés > Signatures numériques. L'APK Android est signé avec notre propre clé, c'est pourquoi Android refuse toute mise à jour qui ne vient pas de nous. Les apps de bureau rejettent elles aussi une mise à jour qui n'est pas signée avec notre clé.

Télécharge uniquement depuis PrivacyNotes.app ou depuis nos versions sur GitHub, qui listent chaque version. Nous ne publions pas de sommes de contrôle par fichier, et une somme prouverait moins qu'il n'y paraît : elle se trouve sur le même site que le fichier, donc quiconque peut remplacer le fichier peut remplacer le nombre à côté. Une signature, elle, est vérifiée contre une clé qui n'est pas du tout sur notre site.

Souvent quelques jours. Les petites demandes et les rapports de bug arrivent en général dans la version suivante, et nous publions une version presque chaque semaine plutôt que deux ou trois fois par an. Le changelog en est la preuve : chaque entrée est datée, écrite en langage clair, et dit ce qui a changé. Lis-en un mois et tu sauras exactement à quoi t'attendre de notre part avant de confier quoi que ce soit à l'application.

Ce rythme tient en partie à l'aide de l'IA sur le travail d'interface, et nous préférons le dire clairement plutôt que de te laisser deviner. Cela veut dire que la demande d'une seule personne vaut la peine d'être construite, là où une petite équipe devrait normalement dire non à tout sauf au haut de la liste. Cela ne veut pas dire que personne ne regarde : chaque changement est relu par un humain, vérifié par la suite de tests automatiques, et publié sous notre nom. La couche de chiffrement et le protocole de synchronisation font exception, et ce sera toujours le cas. Ils avancent lentement, sont relus ligne par ligne, testés contre des vecteurs de référence publiés, et ils sont publics pour que tu puisses les lire au lieu de nous croire sur parole.

L'application elle-même n'a aucune fonctionnalité d'IA et n'envoie jamais tes notes nulle part (détails). C'est une promesse distincte, et elle ne change pas.

Seulement si tu l'as installée avec Obtainium, qui lit nos versions et propose chaque nouvelle version dès sa sortie. Si tu as pris l'APK directement sur notre site, ton téléphone ne la mettra pas à jour tout seul, car Android ne met pas à jour automatiquement une appli qui ne vient pas d'un store. Google Play n'est pas encore en ligne, il n'y a donc pas de voie store aujourd'hui.

L'APK du site te prévient à la place. L'appli vérifie s'il existe une version plus récente et affiche l'avis "Mise à jour disponible" avec un bouton "Télécharger". Appuie sur Télécharger, puis ouvre le fichier téléchargé pour l'installer par-dessus l'ancienne version, tes notes et tes réglages restent intacts. La vérification demande seulement s'il existe une version plus récente, elle ne touche jamais à tes notes, qui restent chiffrées tout du long.

Obtainium est une appli Android libre et gratuite qui installe d'autres applis directement depuis leurs pages de versions. C'est désormais la façon dont nous recommandons d'installer PrivacyNotes sur Android, car c'est la seule voie qui se tient à jour toute seule. Tu l'as déjà ? Touche le badge, il ajoute PrivacyNotes pour toi.

Pas encore installé ? Installe d'abord Obtainium, ajoute une appli, puis colle ceci :

Obtainium lit nos versions, choisit l'APK et installe chaque nouvelle version dès sa sortie. Aucun compte Google n'intervient à aucun moment.

Obtainium n'est pas notre appli, et Android te demande toujours de confirmer chaque installation : une mise à jour arrive donc sous forme de notification et d'un appui, pas en silence. L'APK est le même build que sert notre page de téléchargement, signé avec la même clé, donc Obtainium reprend une appli que tu as déjà installée en sideload : rien à désinstaller, rien à reconnecter. Sans lui, l'appli peut seulement te prévenir dans l'appli qu'une version est prête.

Prends Obtainium si tu veux que l'appli reste à jour toute seule, et l'APK directe si tu préfères ne pas faire tourner une seconde appli pour ça. Les deux te donnent le même fichier signé avec la même clé, tu peux donc passer de l'une à l'autre à tout moment : Obtainium reprend une APK déjà installée en sideload, et l'APK du site s'installe par-dessus une installation Obtainium. Google Play n'est pas encore en ligne.

Quand Play arrivera, c'est le passage entre Play et nos propres builds qui sera pénible. Play signe avec sa propre clé, Android refuse de mettre à jour une appli dont la signature a changé, et l'installation échoue avec une erreur du type "App not installed". Ce basculement-là impose de désinstaller d'abord, ce qui efface les données locales de l'appli : vérifie donc que l'appli affiche "Synchronisé" et garde tes 12 mots ou un QR de connexion depuis un autre appareil sous la main avant de commencer, pas après.

Anglais, allemand, français, italien, espagnol, néerlandais, polonais, tchèque, catalan, turc, suédois, japonais, coréen, chinois traditionnel, arabe et portugais, en variantes européenne et brésilienne. L'appli suit ta langue système par défaut, ou tu en fixes une explicitement dans Paramètres > Langue sur chaque appareil.

Les traductions sont gratuites pour tout le monde, pas un avantage Pro. D'autres langues sont prévues ; si la tienne manque, dis-le-nous sur GitHub ou Reddit.

Oui, et nous préférons le dire plutôt que de faire semblant. L'anglais, nous l'écrivons nous-mêmes. Toutes les autres langues sont traduites par une machine, à partir d'un guide de style propre à chaque langue, puis vérifiées automatiquement pour qu'aucun texte ne manque et que rien ne reste en anglais sans qu'on le voie. Ce qu'aucune vérification n'attrape, c'est une phrase techniquement correcte qui sonne quand même faux pour quelqu'un dont c'est la langue.

Si tu en trouves une, signale la traduction : ta langue, l'écran où elle apparaît, et ce qui devrait être écrit à la place. Les corrections arrivent dans la version suivante.