Comment vvault protège ta musique inédite
Tes beats pas encore sortis sont ce que tu as de plus sensible. Voici, sans détour, comment vvault les protège, y compris ce qu'on n'a pas encore fait.
Rien ne sort tant que tu ne l'as pas décidé
Tout ce que tu mets en ligne commence en privé. Ce n'est accessible, listé ou référencé nulle part tant que tu ne le partages pas.
Quand tu le fais, tu choisis jusqu'où ça va. Dans un projet, c'est le projet qui décide : toute personne qui peut l'ouvrir peut écouter chaque beat dedans. Le lien propre d'un morceau garde son réglage, donc partager un projet n'ouvre jamais le lien de chaque beat.
- Chaque upload commence en privé
- Quatre niveaux : privé, sur invitation, toute personne qui a le lien, en vente
- Un lien que tu n'as pas créé n'existe pas
Connecte-toi sans mot de passe
vvault ne demande pas de mot de passe : tu t'inscris et tu te connectes sans, donc rien à réutiliser d'un site à l'autre, ni à faire fuiter dans le piratage d'un autre site.
Un code à la place du mot de passe
Connecte-toi avec un code à usage unique reçu par email, ou avec Google ou Apple. Les comptes ouverts quand vvault avait encore des mots de passe peuvent toujours utiliser le leur.
Des codes impossibles à deviner
Les codes expirent, ne marchent plus après quelques erreurs, et sont limités par adresse IP : personne ne peut tous les essayer.
Une deuxième étape si tu veux
Dans Paramètres, Sécurité et confidentialité, ajoute ton numéro de téléphone. Ensuite, la connexion te demande aussi un code reçu par SMS, sur le web comme dans l'app iPhone.
Un code PIN dans ton navigateur
Verrouille vvault dans ton navigateur avec un PIN, pour qu'un ordi ouvert ne soit pas un coffre ouvert. Le PIN est haché avec scrypt et son propre sel, et vérifié sur notre serveur, jamais dans ton navigateur.
Ton audio n'est jamais à une adresse publique
Tes fichiers sont dans un stockage privé. Aucun de tes beats n'a d'adresse publique qu'on pourrait deviner, aspirer ou faire circuler par erreur.
Chaque écoute et chaque téléchargement passe par un lien signé qui expire. Une fois expiré, il ne marche plus : une adresse copiée depuis un navigateur n'est pas une clé vers ton master.
C'est la base de données qui dit non, pas seulement l'écran
Cacher un bouton, ce n'est pas de la sécurité. Les règles d'accès de vvault sont imposées par la base de données elle-même (la sécurité au niveau des lignes de Postgres), sous l'app. Une demande pour quelque chose que tu n'as pas le droit d'ouvrir revient vide, peu importe qui demande et ce qu'a fait l'écran.
C'est pour ça que le lien propre d'un morceau privé reste fermé, même quand le morceau est dans un projet que tu as partagé : dans le projet, c'est le réglage du projet qui décide.
Où est stockée ta musique
Tout circule chiffré (TLS), et les fichiers comme la base de données sont chiffrés là où ils sont stockés (AES-256) : c'est ainsi que Supabase, qui les héberge, chiffre les données de tous ses clients.
| Quoi | Géré par | Où |
|---|---|---|
| Tes beats, tes pochettes et ton compte | Supabase, sur Amazon Web Services | Union européenne |
| Le site et l'app | Vercel | Union européenne pour tes requêtes, une société aux États-Unis |
| Les emails que vvault envoie pour toi | Resend | États-Unis |
| Les paiements et les versements | Stripe | Irlande et États-Unis |
La liste complète, avec la base légale de chaque transfert hors de l'UE, est sur la page des sous-traitants.
Ce que vvault n'a pas encore
Les pages sécurité ne listent en général que des victoires. Voici ce que vvault n'a pas, pour que tu juges le reste de cette page en connaissant les manques.
Pas de test d'intrusion externe
Aucune entreprise extérieure n'a encore attaqué la plateforme. Le jour où ce sera fait, cette page dira qui et quand.
Pas de SOC 2 ni d'ISO 27001
vvault n'est encore passé par aucun de ces deux audits.
Pas de bug bounty
Et pas de service de surveillance automatique des menaces. Chaque signalement arrive directement à l'équipe vvault.
Pas de chiffrement de bout en bout de tes fichiers
Tes fichiers sont chiffrés là où ils sont stockés, mais les systèmes de vvault peuvent les ouvrir : c'est comme ça qu'un beat se lance chez les gens à qui tu l'envoies.
Tu as trouvé une faille ?
Écris à contact@vvault.app avec assez de détails pour la reproduire. Ça arrive directement à l'équipe vvault.
On ne poursuivra personne qui signale un vrai problème de bonne foi. Laisse-nous le temps de le corriger avant de publier, n'ouvre et ne modifie pas les données de quelqu'un d'autre pendant tes tests, et ne lance pas de tests qui ralentissent vvault pour les autres.
Sources
D'où viennent les faits de cette page.
- Supabase, Security : le chiffrement des données (AES-256 au repos, TLS en transit), en anglais
- Documentation Supabase, les fichiers privés servis par des liens signés qui expirent (en anglais)
- Documentation PostgreSQL, les politiques de sécurité au niveau des lignes (en anglais)
- RFC 7914, la fonction de dérivation de clé scrypt (IETF, en anglais)
- Sous-traitants de vvault : qui fait tourner quoi, et où
À lire ensuite
Tes données et le RGPD
Ce que vvault collecte et pourquoi, où c'est stocké, et comment en avoir une copie ou le faire supprimer.
Lire
Comment garder ta musique inédite privée
Envoie des liens plutôt que des fichiers, choisis qui peut ouvrir chaque beat, et coupe l'accès quand tu as fini.
Lire
Comment vvault protège ton compte
Ce qui protège déjà ton compte, et une checklist de cinq minutes pour le verrouiller.
LireNe te demande plus jamais qui a écouté.
Starter, Pro ou Ultra, au mois ou à l'année. Annule quand tu veux.
Photos : Nathan Thomas, cottonbro studio, Brett Sayles, Raul Ling et George Becker sur Pexels