Confidentialité
Ce site n'a ni inscription libre, ni lettre d'information : seuls les comptes que l'éditeur invite s'y connectent, pour la version avec compte de RapidGuard (voir ci-dessous). Sans compte, voici, exhaustivement, ce qu'il sait de vous.
RapidGuard a aussi une version avec compte, sur invitation : un compte Rapid invité fait vérifier chaque nuit, par notre serveur, ses adresses et ses pseudos, et reçoit un courriel quand une fuite nouvelle apparaît. Elle a ses propres mentions légales et sa propre politique de confidentialité, en français avec un résumé en anglais : rapidguard.rapidall.eu/compte/mentions-legales · rapidguard.rapidall.eu/compte/confidentialite.
Ce que gardent ces comptes invités est aussi copié chaque nuit dans une sauvegarde chiffrée (l'éditeur est averti si elle manque), gardée en France chez l'éditeur, sur un serveur qui lui appartient, et lisible seulement avec une clé que lui seul détient ; chaque copie de cette sauvegarde est effacée au bout d'environ 30 jours, sauf la plus récente, qui peut rester plus longtemps si les suivantes manquent.
Ce que le serveur enregistre
- Les journaux du serveur web : pour chaque page demandée, l'adresse IP, l'heure, la page, et le nom du navigateur. Ils servent à détecter les pannes et les abus (intérêt légitime, art. 6-1-f du RGPD) et sont effacés au bout de 30 jours.
- Un compteur de visites, qui n'est qu'un nombre : il ne retient ni qui, ni d'où.
Notre serveur ne garde rien de ce que vous tapez. Votre mot de passe ne quitte pas votre navigateur : seuls 5 caractères sur 40 de son empreinte partent, vers Have I Been Pwned. Votre adresse email ne nous parvient jamais : votre navigateur l'envoie directement à XposedOrNot et, pour LeakCheck, n'envoie à notre serveur que 24 caractères de son empreinte SHA-256. Un pseudo, lui, nous parvient en clair, parce que LeakCheck ne sait pas chercher un pseudo par son empreinte. Notre serveur transmet cette empreinte ou ce pseudo à LeakCheck, vous renvoie la réponse et les oublie : ils ne sont écrits ni sur son disque ni dans ses journaux, où la demande figure sans sa valeur. Le nom d'un site cherché dans « Fuites récentes » ne quitte pas votre navigateur. Toutes ces vérifications ne partent que quand vous cliquez.
Ce que votre navigateur garde
Le site retient dans votre navigateur (« stockage local », pas un cookie) le thème d'affichage et la langue choisie, pour les retrouver à votre prochaine visite. Ces réglages ne quittent jamais votre appareil, ne sont pas lus par le serveur, et s'effacent avec les données de site de votre navigateur. Ils sont strictement nécessaires au service que vous avez demandé, ce qui dispense de vous demander votre accord.
Vous pouvez installer cet outil comme une application (« Installer », ou « Sur l'écran d'accueil » sur iPhone) : il s'ouvre alors dans sa propre fenêtre, avec son icône. Rien de plus n'est gardé sur votre appareil et rien de personnel n'est envoyé ; il lui faut toujours Internet.
Les tiers
- XposedOrNot (xposedornot.com) dit si une adresse figure dans une fuite connue. Quand vous cliquez sur « Vérifier », VOTRE navigateur lui envoie l'adresse tapée, directement, sans passer par notre serveur ; quand vous ouvrez l'onglet « Fuites récentes », il lui demande aussi son catalogue public des fuites. XposedOrNot voit donc cette adresse et votre adresse IP. Il écrit ne pas garder les adresses cherchées. Ses résultats sont affichés avec son nom, comme il le demande.
- LeakCheck (leakcheck.io) dit si une adresse email ou un pseudo figure dans une fuite connue : le nom et le mois de chaque fuite, et les types de données exposés dans leur ensemble — jamais les données elles-mêmes. Quand vous cliquez sur « Vérifier », c'est NOTRE serveur qui l'interroge, une demande par seconde au plus pour tout le site : il lui transmet 24 caractères de l'empreinte SHA-256 de votre adresse, calculée par votre navigateur, ou votre pseudo tel que vous l'avez tapé. LeakCheck voit donc l'adresse IP de notre serveur, pas la vôtre. Une empreinte n'est pas un anonymat : LeakCheck peut reconnaître une adresse que ses fichiers contiennent déjà. Il écrit ne pas garder les recherches. Ses résultats sont affichés avec la mention « Powered by LeakCheck », comme il le demande.
- Have I Been Pwned (haveibeenpwned.com) fournit deux choses, toujours demandées par VOTRE navigateur, directement : le test d'un mot de passe (Pwned Passwords) — votre navigateur calcule l'empreinte SHA-1 du mot de passe et n'en envoie que les 5 premiers caractères sur 40, jamais le mot de passe — et le catalogue public des fuites (licence CC BY 4.0), téléchargé quand vous ouvrez l'onglet « Fuites récentes ». Have I Been Pwned voit votre adresse IP lors de ces demandes.
- Des listes publiques, copiées sur notre serveur : 2FA Directory et sa liste des clés d'accès (2factorauth ; licences MIT et CC BY 4.0), JustDeleteMe (MIT) et datarequests.org (CC0), réduites aux sites des catalogues de fuites, ainsi que l'outil zxcvbn-ts (MIT) et ses dictionnaires anglais et français (dont des fréquences de mots tirées d'OpenSubtitles par OPUS, licence ODC-BY). Votre navigateur les télécharge en entier depuis notre serveur, comme la page elle-même : rien de ce que vous tapez ou cherchez ne part avec, et ces projets ne voient pas votre visite. Ces fiches peuvent être incomplètes ou dépassées. La lettre RGPD est préparée dans votre navigateur : nous ne l'envoyons jamais, c'est vous qui l'envoyez si vous le voulez.
Publicité
Ce site n'affiche pas de publicité pour le moment, et ne dépose donc aucun cookie publicitaire. S'il en affiche un jour, cette page le dira, et une bannière vous demandera votre accord avant tout dépôt.
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement et d'opposition sur les données qui vous concernent (articles 15 à 21 du RGPD). Écrivez à l'éditeur contact@rapidall.eu. Vous pouvez aussi saisir la CNIL (cnil.fr).
In English
Only accounts invited by the publisher sign in, for RapidGuard's watchlist, which has its own legal notice and privacy policy. Without an account, our server keeps nothing you type: when you click, your browser sends the e-mail address directly to XposedOrNot, and only the first 5 characters of a password's SHA-1 hash to Have I Been Pwned; for LeakCheck, it sends our server only 24 characters of the address's SHA-256 hash (a username, in plain text), which our server passes on to LeakCheck and forgets — it is written neither to disk nor to our logs, and LeakCheck sees our server's IP address, not yours. Opening “Recent breaches” downloads the public catalogues of Have I Been Pwned and XposedOrNot. These services see your IP address. A password's strength is calculated in your browser, the lists of what to do for each site are downloaded whole from our server, and the GDPR letter is prepared in your browser and never sent by us. The web server keeps standard access logs (IP address, time, page, browser) for 30 days, for security, and a visit counter that is just a number. Your browser stores a few display preferences locally; they never leave your device. There is no advertising and no advertising cookie. What these invited accounts keep is also copied every night into an encrypted backup (the publisher is alerted if it is missing), kept in France by the publisher, on a server he owns, and readable only with a key that he alone holds; each copy of this backup is deleted after about 30 days, except the most recent one, which may stay longer if the following ones are missing. You may exercise your GDPR rights by contacting the publisher at the address above.