Ce que voit l'opérateur
ripoux.fr a une zone d'administration. Cette page dit ce qu'elle montre, parce que vous avez le droit de le savoir, et ce qu'elle ne peut pas faire, parce que c'est construit ainsi.
Qui y accède
Des comptes ordinaires, désignés un par un dans la configuration du serveur. Il n'y a ni mot de passe d'administration à part, ni porte dérobée : l'opérateur se connecte comme vous, avec une phrase de passe. Chaque action faite dans cette zone est inscrite dans un journal d'administration qui n'est jamais purgé.
Ce qu'elle affiche
Exactement ce que décrit la page Tor et anonymat, présenté autrement :
- Activité : nombre de comptes, de sessions, de segments reçus par jour, dernier envoi, tâches en attente.
- Comptes : identifiant, type, dates de création et de dernière activité, volumes, nombre de sessions, de contacts et de téléphones, codes définis ou non, date d'un code de contrainte s'il a servi.
- Sessions : périodes d'enregistrement, verrou et sa date de fin, nombre et taille des segments, heures d'arrivée, empreintes, téléphones connectés, partages et leur état, manifeste et horodatage.
- Stockage : ce que la base déclare contre ce que le stockage contient, pour repérer des fichiers orphelins ou manquants.
- Données détenues : l'inventaire de chaque table, champ par champ, avec sa nature : en clair, chiffré par vous, empreinte, ou exclu.
Ce qu'elle n'affiche pas, et ne pourra pas afficher
- Vos images, votre son, vos photos, vos positions.
- Le nom de vos sessions, de vos contacts, votre profil.
- Votre phrase de passe, vos clés, les parts de clé de vos contacts.
Ces données sont chiffrées dans votre navigateur avec des clés que le serveur n'a jamais eues. La zone d'administration les montre comme des blocs opaques, et c'est tout ce qu'elle peut en faire.
Ce qu'elle peut faire
- Entretien : lancer sans attendre la passe des tâches planifiées (clôtures, rappels et partages, purges), supprimer des fichiers orphelins que le stockage accepte de rendre.
- Supprimer une session ou un compte, aux mêmes conditions que vous : jamais tant qu'un segment est verrouillé. La suppression d'une session passe par le même délai de 24 h, inscrite dans votre journal, et vous pouvez l'annuler depuis votre compte.
- Déconnecter partout : fermer toutes les connexions ouvertes d'un compte, dans tous ses navigateurs. La personne se reconnecte avec sa phrase de passe.
Elle ne peut ni raccourcir un verrou, ni lire un segment, ni se connecter à votre place.
Inscriptions et limites
Pour que le service ne soit pas submergé par des comptes créés en masse (ce qui coûte du stockage verrouillé pendant 30 jours), l'opérateur dispose de quelques réglages, modifiables à tout moment : inscriptions ouvertes, sur invitation ou fermées, avec un message sur la page de création ; quota de stockage des nouveaux comptes ; nombre maximal de comptes créés par 24 heures ; plafond global au-delà duquel plus aucun compte ni session n'est créé, les sessions en cours gardant une marge pour finir. Ces réglages ne touchent jamais ce qui est déjà envoyé.
Parrainage
En mode « sur invitation », chaque compte garde la trace de qui a émis son code d'invitation. L'opérateur voit cet arbre et peut supprimer un compte avec toute sa descendance, aux mêmes conditions que n'importe quelle suppression : jamais tant qu'un segment de la branche est verrouillé. Rien d'autre n'est retenu sur le lien entre deux comptes.
Publications et signalements
Quand un collectif publie une copie floutée, l'opérateur héberge cette copie, en clair, sur son serveur : c'est la seule donnée lisible qu'il détient sur des images. L'onglet Publications liste les copies en ligne, référencées ou non (une publication non référencée, absente de la liste publique, porte la mention « Non référencée »), les plus signalées d'abord, avec le motif, les précisions et le contact éventuel de chaque signalement.
Procédure recommandée : lire le signalement, regarder le passage indiqué, et retirer la publication si un visage est reconnaissable ou si le contenu est manifestement illicite. Retirer supprime aussitôt la vidéo et son aperçu, laisse une page « retirée par l'opérateur », prévient le collectif avec le motif et inscrit le retrait au journal d'administration. Un signalement sans suite se marque « traité ». L'adresse IP de la personne qui signale n'est pas conservée.
Dans Réglages, l'opérateur peut fermer les publications : plus aucune nouvelle copie, celles en ligne restant jusqu'à leur retrait.
En cas de réquisition
Si une autorité demande légalement des informations, l'opérateur ne peut remettre que ce qu'il détient : l'export légal d'un compte. C'est un fichier qui contient toutes les lignes de la base qui concernent ce compte, blocs chiffrés compris et tels quels, accompagné de l'inventaire qui dit pour chaque champ s'il est lisible. Le matériel d'authentification (empreintes de phrase de passe, de connexions ouvertes, de codes) en est exclu : il ne décrit personne et sa fuite affaiblirait le compte. Le trousseau chiffré par la phrase de passe en est exclu aussi : il permettrait d'essayer des phrases hors ligne. Aucune adresse IP, aucun e-mail, aucun nom : le service ne les collecte pas.
Si des images sont demandées, l'archive d'une session fournit les segments tels que reçus : chiffrés. Sans votre clé, ils restent illisibles, pour l'opérateur comme pour le destinataire.
Chaque export est inscrit dans le journal d'administration. La procédure recommandée à l'opérateur figure dans le modèle de sécurité du projet (docs/SECURITE.md, section 7).