Politique de confidentialité de Herkos

Dernière mise à jour : 11 novembre 2026. URL canonique : https://herkos.app/privacy

Traduction. Ceci est une traduction de courtoisie. En cas de divergence, la version anglaise prévaut.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive et Herkos Local Relay sont des applications libres et open source pour le réseau Nostr, publiées par le projet Herkos (« nous »). Herkos Calendar, Herkos Notes, Herkos Drive et Herkos Local Relay sont encore en développement. Ce document explique quelles données les applications et nos sites web traitent, où elles vont et qui peut les voir. Nous l'avons écrit pour être lu, pas survolé : si quelque chose ici vous surprend, dites-le-nous à privacy@herkos.email.

Informations de base sur la protection des données

Le premier niveau, en quelques lignes ; le reste de ce document est le second.

• Responsable du traitement — Pour ce que les applications gardent sur votre appareil et ce qu'elles envoient aux relais et aux serveurs : vous, avec l'opérateur de chaque relais et de chaque serveur que vous utilisez. Herkos n'en reçoit rien. Pour nos sites web et pour ce que vous nous écrivez : le projet Herkos, privacy@herkos.email.
• Finalités — Les applications : garder, envoyer et recevoir vos courriels, vos événements, vos notes et vos fichiers. Nos sites web : servir les pages, et vous répondre si vous nous écrivez.
• Base juridique — Les applications ne traitent rien de notre côté. Nos sites web : notre intérêt légitime à les servir et à les garder sûrs ; notre réponse : votre demande.
• Destinataires — Les relais, serveurs Blossom, bridges et autres services qu'utilise chaque application, nommés un par un plus bas, avec ce qu'ils voient ; Cloudflare, pour nos sites web. Certains serveurs par défaut sont situés hors de l'Union européenne (voir Herkos Drive plus bas). Nous ne vendons rien à personne.
• Vos droits — Accès, rectification, effacement, opposition, limitation et portabilité. Ce qui est sur votre appareil, vous le voyez, le modifiez et le supprimez dans les applications ; ce qui est sur un relais ou un serveur, auprès de son opérateur. Vous pouvez aussi introduire une réclamation auprès de votre autorité de protection des données (en Espagne, l'AEPD).
• Informations complémentaires — Plus bas : ce qui reste sur votre appareil, ce qui le quitte et vers qui, application par application, et vos choix.

La version courte

• Herkos n'a ni système de comptes, ni serveur propre, ni analytique. Nous ne recevons ni vos messages, ni vos événements, ni vos notes, ni vos contacts, ni votre clé, ni votre usage.
• Votre clé publique Nostr est votre identité sur le réseau. Tout ce que vous publiez sur Nostr (profil, listes de relais, étiquettes) y est rattaché et visible par les relais que vous utilisez.
• Le courrier entre utilisateurs de Nostr est chiffré de bout en bout (NIP-17). Le courrier vers ou depuis des adresses classiques passe par un bridge qui peut le lire.
• Certaines fonctions optionnelles envoient des données à des tiers (notifications push, envoi différé). Elles sont désactivées jusqu'à ce que vous les activiez, et ce document les nomme toutes.
• Les événements du calendrier sont chiffrés sur votre appareil. Les relais voient que vous avez des événements, leur taille approximative et quand ils changent, pas ce qu'ils disent. Les événements publics, la liste d'occupation et les liens de partage sont publics par votre choix, un par un. Pour savoir où vos invités reçoivent, Calendar interroge uniquement vos relais, jamais un index tiers.
• Les notes sont chiffrées sur votre appareil, avec votre propre clé. Les relais ne peuvent pas les lire, mais ils peuvent voir combien de notes vous avez et quand vous modifiez chacune d'elles. La recherche se fait sur votre appareil : les mots que vous cherchez ne le quittent jamais. Une note que vous partagez ne va qu'au compte que vous choisissez, scellée : les relais ne voient ni qui l'envoie ni ce qu'elle dit.
• Les fichiers de Herkos Drive sont chiffrés sur votre appareil, bloc par bloc, avant d'aller vers des serveurs Blossom ; leurs noms et leurs dossiers vont chiffrés vers les relais. Les relais et les serveurs peuvent voir combien de fichiers et de dossiers vous avez, leur taille approximative et quand ils changent, pas leur nom ni leur contenu. Un lien de partage porte sa propre clé après le # : gardez-le comme un mot de passe.
• Herkos Local Relay garde vos événements sur votre appareil, chiffrés, et n'envoie rien à Herkos. Il n'écoute que sur l'appareil lui-même (127.0.0.1), sauf si vous activez le réseau local, et alors seulement pour les clés de votre liste. Il ne parle qu'à vos relais et aux relais de boîte de réception des personnes à qui vous écrivez ; les événements privés ne quittent jamais l'appareil. Ses copies ne vont que dans un dossier que vous choisissez, jamais dans le cloud. Avec Tor activé (Windows et Linux), on peut aussi le joindre par le réseau Tor, là encore seulement avec les clés de votre liste.
• Nos sites web (herkos.app et ses sous-domaines) sont servis par Cloudflare, qui voit votre adresse IP comme n'importe quel hébergeur web. Ils ne déposent aucun cookie et n'utilisent aucune analytique.

Données qui restent sur votre appareil

• Votre clé secrète (nsec), lorsque vous vous connectez avec elle, est conservée dans le stockage sécurisé du système d'exploitation (Android Keystore, trousseau iOS/macOS, Gestionnaire d'identifiants Windows, libsecret sous Linux, stockage local chiffré sur le web). Si vous vous connectez avec un signataire distant (un « bunker » NIP-46), la clé n'atteint jamais l'appareil.

Dans un navigateur, ce stockage sécurisé n'existe pas. La clé réside dans le stockage local du site et transite par JavaScript à chaque signature : une extension ayant accès à toutes les pages, une faille XSS ou un déploiement altéré pourraient donc la lire ; et contrairement à une application installée, une page web sert du code neuf à chaque visite. Avec la version web, utilisez un signataire distant, ou une identité que vous pouvez vous permettre de perdre. - Votre boîte aux lettres : les courriels déchiffrés, les pièces jointes, les étiquettes, les dossiers et les contacts sont mis en cache dans une base de données locale pour que l'application fonctionne hors ligne. Cette base n'est pas chiffrée au-delà de ce que fournit le système d'exploitation ; le verrouillage de l'application (code PIN ou biométrie) est une barrière de confort, pas un chiffrement au repos. Sous Android, l'application est exclue des sauvegardes dans le cloud et d'appareil à appareil. - Le code PIN de verrouillage : stocké sous forme d'empreinte salée et étirée (PBKDF2), jamais en clair. Herkos Calendar et Herkos Notes ont chacune leur propre code PIN, stocké de la même manière. - Votre calendrier (Herkos Calendar) : les événements, les listes, les clés de lecture et les rappels que vous pouvez lire sont mis en cache sur l'appareil, chiffrés enregistrement par enregistrement avec une clé conservée dans le stockage sécurisé du système d'exploitation. Dans un navigateur, le calendrier est gardé uniquement en mémoire et récupéré à nouveau auprès des relais à chaque fois. Les rappels sont déclenchés par l'appareil lui-même : Calendar n'utilise aucun serveur push. Si vous choisissez de masquer les titres dans les rappels, ceux-ci indiquent seulement « Événement » et l'heure de début. Votre clé Calendar est conservée séparément de celles de Herkos Mail (voir « Votre compte », dans la section Calendar). - Vos notes (Herkos Notes) : les notes, leur historique, les carnets et l'index de recherche sont mis en cache sur l'appareil, chiffrés enregistrement par enregistrement avec une clé conservée dans le stockage sécurisé du système d'exploitation. Dans un navigateur, ils sont gardés de la même façon, dans le stockage du navigateur pour le site (IndexedDB), avec la clé elle aussi dans le navigateur : sur un ordinateur que d'autres utilisent, cela protège peu. Si le navigateur ne garde rien pour le site (une fenêtre privée, des données du site bloquées), ils restent uniquement en mémoire et rien ne peut être écrit sans connexion. Une note que vous verrouillez reçoit son propre mot de passe ; sans lui, personne ne peut ouvrir cette note, pas même nous. La copie de vos notes est un fichier écrit uniquement là où vous l'enregistrez, chiffré avec son propre mot de passe. La copie automatique, faite chaque jour sauf si vous la désactivez, est un fichier dans un dossier de l'appareil (Herkos Notes/backups dans vos Documents), chiffré avec la clé de votre compte ; les sept dernières sont gardées, et elle n'est envoyée nulle part (il n'y en a pas dans un navigateur). Les notes que d'autres comptes partagent avec vous attendent dans « Reçues d'autres comptes », sur l'appareil et chiffrées comme le reste, jusqu'à ce que vous les gardiez ou les écartiez.

• Vos fichiers (Herkos Drive) : la liste de vos fichiers et dossiers, avec leurs clés, est mise en cache sur l'appareil, chiffrée enregistrement par enregistrement avec une clé gardée dans le stockage sécurisé du système d'exploitation ; ce qui reste à envoyer, et les blocs en attente de téléversement, sont aussi gardés chiffrés. Les miniatures ne sont gardées qu'en mémoire. Un fichier que vous téléchargez ou ouvrez est écrit en clair là où vous le choisissez, comme n'importe quel fichier. La sauvegarde de votre Drive (.hbk, ou la sauvegarde de l'index avec son propre mot de passe) est un fichier écrit uniquement là où vous l'enregistrez. Sur Android, le sélecteur de fichiers du système et « Partager » ne montrent les fichiers de Drive que tant que Drive est déverrouillé, et ce qu'une application en obtient est déchiffré à la volée, jamais écrit sur le disque.
• Votre relais (Herkos Local Relay) : ses événements, les applications appairées, ses réglages et l'endroit où vont ses copies ; voir sa propre section plus bas.

Vous pouvez tout effacer depuis Paramètres → Plus → Réinitialiser l'application, ou en supprimant un compte.

Données qui quittent votre appareil, et vers qui

Ce tableau concerne Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive et Herkos Local Relay ont chacun leur propre section plus bas.

Vos relais privés. Si votre compte a une liste de relais privés (kind 10013, NIP-37 ; Herkos Notes et Calendar utilisent la même), Mail garde vos brouillons, vos paramètres chiffrés, vos libellés et vos envois programmés sur ses relais, et non sur vos relais d'écriture ; ce qu'il y avait laissé auparavant, il continue de le lire, et le supprime aussi là-bas. Sans cette liste, ils vont sur vos relais d'écriture. Mail ne publie la liste que si vous le demandez (Paramètres → Hébergement → Relais privés), chiffrée avec votre clé : les relais voient votre clé publique, que la liste existe et quand elle change, pas les relais qu'elle contient. Une liste écrite par une autre app est utilisée telle quelle et n'est jamais écrasée.

Transfert automatique (Paramètres → Transfert automatique, désactivé tant que vous ne l'activez pas). Une copie de chaque nouveau message part vers l'unique adresse que vous choisissez : vers un compte Nostr, chiffrée de bout en bout comme tout message ; vers une adresse traditionnelle, par le bridge de l'adresse principale de votre compte, qui la voit en entier (voir Bridges plus haut). C'est cet appareil qui s'en charge, pendant que Mail tourne ou à la synchronisation suivante ; le réglage reste sur l'appareil et n'est jamais publié.

Une app de signature sur votre téléphone Android (NIP-55, comme Amber). La clé reste dans cette app, et Mail lui parle directement sur le téléphone, sans relais ni réseau entre les deux ; l'appareil ne garde que votre clé publique et l'app qui signe. Mail ne lui demande que de signer les kinds que Mail signe avec votre compte et de chiffrer et déchiffrer (NIP-44), jamais les enveloppes des messages, qui utilisent des clés à usage unique, et vérifie chaque événement signé qui revient avant de l'utiliser.

Herkos Local Relay. Si Herkos Local Relay est sur le même appareil, Mail propose une fois de s'y connecter ; rien n'est envoyé tant que vous n'avez pas touché Connecter et approuvé Mail dans Herkos Local Relay. Mail s'y associe avec une clé à lui et vérifie à chaque connexion qu'il s'agit du même relais. Il signe une fois avec votre clé, pour que le relais garde vos événements comme les vôtres ; puis il y copie le courrier que garde cet appareil et, à partir de là, chaque événement de votre compte que Mail envoie et chaque enveloppe qu'il reçoit, exactement tels qu'ils ont été signés et toujours chiffrés, et demande au relais de les garder sur l'appareil et de ne donner les privés qu'à votre clé. Les enveloppes que vous envoyez à d'autres ne sont pas copiées. Mail n'y lit jamais : c'est une copie. Rien ne quitte l'appareil pour cela.

Herkos lui-même ne reçoit rien de tout cela. Il n'y a ni rapport de plantage ni télémétrie.

Herkos Calendar : ce que voient les relais

Calendar communique avec des relais Nostr : ceux de votre compte (vos listes NIP-65 et de boîte de réception), ceux de Paramètres → Relais (modifiables) et, lorsque vous invitez quelqu'un ou répondez à une invitation, les relais de boîte de réception de cette personne. Avec personne d'autre, sauf ce que vous consultez vous-même (voir plus bas) : aucun index public de relais non plus. « Votre compte », plus bas, explique à quoi sert chacun. Il n'y a ni serveur Herkos, ni serveur push, ni télémétrie. Chaque relais voit votre adresse IP et l'heure de chaque connexion.

Un relais qui demande une authentification NIP-42 apprend votre clé publique ; Calendar ne répond à une telle demande que pour vos propres événements sur vos propres relais, et pour lire votre propre boîte de réception. Supprimer sur Nostr est une demande : un relais peut garder sa copie, toujours chiffrée.

Ce que rien dans les événements ne peut cacher : chaque invitation part de votre adresse IP, et chaque invité récupère l'événement sur vos relais depuis la sienne. Un relais qui héberge les boîtes de réception de plusieurs de vos invités peut voir que leurs invitations venaient de la même adresse. Seuls Tor ou un VPN le cachent.

Votre compte

Calendar ne crée pas de comptes : vous vous connectez avec une identité Nostr que vous avez déjà, de l'une de ces façons.

• Avec une app de signature sur votre téléphone Android (NIP-55, comme Amber) : la clé reste dans cette application, et Calendar communique avec elle directement sur le téléphone, sans relais ni réseau entre les deux. L'appareil ne garde que votre clé publique et le nom de l'app qui signe. Calendar lui demande les mêmes choses qu'à un bunker (ci-dessous), jamais les enveloppes des invitations, et vérifie chaque événement signé qui revient avant de l'utiliser.
• Avec votre clé (nsec, ou ncryptsec protégée par mot de passe, ouverte sur l'appareil) : elle est conservée dans le stockage sécurisé du système d'exploitation, sous un nom propre à Calendar. Herkos Mail garde ses comptes à part, et Calendar ne les lit, ne les modifie ni ne les supprime jamais : se déconnecter d'une application ne vous déconnecte pas de l'autre.
• Avec un lien bunker:// : la clé reste dans votre app de signature. Calendar communique avec elle par les relais que nomme le lien, et ne lui demande que votre clé publique, de chiffrer et déchiffrer (NIP-44) et de signer les kinds d'événement propres à Calendar ; les enveloppes des invitations ne passent jamais par elle, car elles portent des clés à usage unique. L'appareil ne garde que la connexion (une clé créée pour elle, la clé publique du signataire et ses relais). Ces relais voient votre adresse IP, les clés de la connexion et quand des signatures sont demandées ; les demandes sont chiffrées.
• Avec Nostr Connect (un QR code) : comme le bunker, mais la connexion passe par les relais de Paramètres → Relais. Calendar n'ajoute aucun relais, ni le sien ni celui de quelqu'un d'autre.

Vos relais. À la connexion, Calendar cherche vos listes (NIP-65, kind 10002, et votre liste de boîte de réception, kind 10050) sur les relais de Paramètres → Relais, sur une connexion séparée qui ne vous identifie pas : un relais qui demande une authentification reçoit une clé à usage unique, pas la vôtre. Ensuite :

• vos événements, vos listes et vos réglages chiffrés sont publiés sur vos relais d'écriture NIP-65. Sans cette liste, sur ceux de Paramètres, et la page du compte vous le signale ;
• vos invitations et réponses sont lues sur vos relais de lecture et de boîte de réception. Calendar ne répond à l'authentification NIP-42 que sur vos propres relais, et seulement pour ce qui est à vous ;
• ouvrir l'application alors que vous êtes connecté n'établit aucune connexion tant que rien n'est nécessaire ;
• si Paramètres → Relais inclut un relais qui fonctionne sur cet appareil (une adresse ws://127.0.0.1 ou ws://localhost, comme l'application Citrine), chaque synchronisation y laisse aussi une copie de vos propres événements, listes et suppressions, exactement tels qu'ils ont été signés et toujours chiffrés. Rien ne quitte l'appareil pour cela, et tant qu'un autre relais a un événement, celui-ci n'est jamais le relais où l'on dit à vos invités de le chercher. Les autres applications de l'appareil qui lisent ce relais voient ce que voit n'importe quel relais.

Les relais de vos invités (décidé le 21 octobre 2026). Pour inviter quelqu'un, l'application doit savoir où cette personne reçoit. Calendar cherche ses listes (10002 et 10050) uniquement sur les relais de Paramètres → Relais, jamais sur l'index public d'un tiers (comme purplepag.es) : ce service verrait l'adresse d'où vous demandez et sur qui vous vous renseignez, c'est-à-dire qui vous invitez. Chaque invité est cherché séparément, dans un ordre aléatoire, sur une connexion à part avec une clé à usage unique, pour que ces relais ne puissent pas savoir qui est invité avec qui. Ce qu'ils voient, en revanche, c'est votre adresse IP et la clé publique de chaque personne que vous cherchez. Si les listes d'une personne ne sont pas sur ces relais, l'application la marque comme « aucune boîte de réception connue » avant l'envoi, et l'invitation ne lui parvient pas. Pour la trouver, ajoutez à Paramètres → Relais un relais où elle publie ses listes.

Ce qui se synchronise entre vos appareils, toujours chiffré pour vous et sur vos relais d'écriture : vos listes de calendriers (avec les clés de leurs événements), vos réglages de rappels (d=calendar-alarms), les calendriers que vous suivez (d=calendar-subscriptions) et les invitations que vous ignorez ou les événements d'autres personnes que vous retirez de votre calendrier (kind 30078, d=calendar-declined : seulement quel événement et quand, jamais son titre). Les relais voient qu'ils existent et quand ils changent, pas ce qu'ils disent. Les rappels que l'appareil fait sonner sont ceux du compte avec lequel vous êtes connecté, jamais ceux d'un compte précédent.

La copie de vos clés. Calendar propose d'en enregistrer une copie : un fichier avec vos listes de calendriers et les clés de leurs événements, chiffré avec un mot de passe que vous choisissez pour lui (le chiffrement de NIP-49). Il est écrit uniquement là où vous l'enregistrez ; il ne va vers aucun relais ni serveur. Son nom porte la date, jamais le compte. Pour vous le rappeler, l'appareil ne retient que deux dates : celle de la dernière copie et celle du dernier « Pas maintenant ».

Se déconnecter vous montre d'abord ce qui sera perdu et propose d'enregistrer la copie. Ensuite, cela supprime de cet appareil votre clé (ou la connexion au bunker) et le calendrier stocké. Ce qui a été publié reste sur les relais, chiffré. L'autorisation que vous avez donnée dans votre app de signature se retire depuis celle-ci.

Public par votre choix

Ces éléments sont désactivés jusqu'à ce que vous les activiez, et l'application montre ce que chacun révèle avant que vous le fassiez :

• Événements publics (kinds 31922/31923) : tout leur contenu — titre, heure, lieu, description — est public, lié à votre clé publique, et le reste : un événement public ne peut pas redevenir privé.
• La liste d'occupation (kind 31926) : les plages où vous êtes occupé ce mois-ci et les deux suivants, arrondies à 30 minutes (ou 15), pour les calendriers que vous choisissez. Jamais quoi, où ni avec qui. La désactiver demande aux relais de la supprimer.
• Liens de partage (herkos.app/e/…) : le lien est la clé. Quiconque le possède peut lire cet événement jusqu'à ce que vous le révoquiez, et sa première partie montre votre clé publique. La clé se trouve après #, une partie de l'adresse que les navigateurs n'envoient jamais à un serveur : ni Cloudflare ni nous ne la voyons. La page interroge les relais indiqués dans le lien ; si l'un d'eux n'est pas un relais bien connu, elle indique au visiteur de quel serveur il s'agit et lui demande avant de s'y connecter, car ce serveur verrait l'adresse IP du visiteur. Révoquer rechiffre l'événement avec une nouvelle clé ; qui l'a déjà lu garde ce qu'il a lu.
• Exportations (.ics) : un fichier en texte brut avec vos titres et vos horaires. Il n'est pas chiffré ; conservez-le comme tout autre document privé.
• La copie automatique (.ics, sur la page Exporter en .ics) : une fois par jour, les jours où Calendar est ouvert, une exportation de tous vos calendriers dans un dossier que vous choisissez, en gardant les 7 dernières. Comme une exportation, elle n'est pas chiffrée : tout ce qui peut lire ce dossier (une autre application, un dossier cloud qui le synchronise) peut lire vos titres et vos horaires. Calendar n'y écrit et n'y supprime que ses propres fichiers (herkos-calendar-auto-…ics), et ne retient le dossier que sur cet appareil.
• Signalements de problème (bêta) : l'application prépare seulement un texte que vous copiez et envoyez vous-même. Il contient la version de l'application, la plateforme, la langue, le fuseau horaire et si les rappels peuvent sonner, jamais vos événements, votre clé ni votre compte.

Herkos Calendar lit les réponses publiques à vos événements publics écrites par d'autres applications (RSVP, kind 31925, et retraits, kind 84) ; il n'écrit ni les unes ni les autres.

Ce que vous consultez vous-même

Ces connexions n'ont lieu que lorsque vous les demandez :

• Calendriers que vous suivez par leur adresse (.ics ou webcal) : l'appareil demande le calendrier directement au serveur de cette adresse, uniquement en https, toutes les quelques heures, sans cookies et sans aucun intermédiaire de notre part. Ce serveur voit votre adresse IP et le moment de la demande, et quiconque a l'adresse peut lire le calendrier. La liste des adresses est conservée sur votre appareil et sur vos relais, chiffrée pour vous (kind 30078, d=calendar-subscriptions).
• Calendriers publics Nostr que vous suivez (un lien naddr…) : ils sont demandés toutes les quelques heures à vos relais et aux relais que nomme le lien, jamais à d'autres. Ces relais voient votre adresse IP et quel calendrier vous lisez. Ils figurent dans la même liste chiffrée.
• Jours fériés : ils sont inclus dans l'app ; les suivre ne demande rien à aucun serveur.
• « Voir s'ils sont libres » (dans l'éditeur, quand vous appuyez dessus) : l'app demande la liste d'occupation publique (kind 31926) de chaque invité aux relais où cette personne publie, sans s'identifier. Ces relais voient votre adresse IP et sur qui vous vous renseignez.
• Fichiers d'un événement : ils sont chiffrés sur un serveur Blossom. Quand vous en ouvrez un, l'app le télécharge depuis ce serveur, qui voit votre adresse IP et l'identifiant du fichier, jamais son contenu.

Herkos Notes : ce que voient les relais

Notes communique avec des relais Nostr, et avec personne d'autre. Il n'y a ni serveur Herkos, ni serveur push, ni télémétrie. Chaque relais voit votre adresse IP et l'heure de chaque connexion.

Quels relais. Si votre compte a une liste de relais privés (kind 10013, la liste que décrit NIP-37), Notes utilise les relais qu'elle contient, tels quels, et ne l'écrase jamais ; il cherche cette liste sur les relais de ses Réglages et sur les relais où vous publiez (votre liste NIP-65). Sinon, il utilise les relais de ses Réglages : relay.formstr.app, nos.lol et relay.primal.net par défaut, jusqu'à huit, tous modifiables. Les Réglages proposent aussi une liste de relais connus à ajouter d'un toucher ; aucun n'est contacté tant que vous ne l'avez pas ajouté. Un relais ne peut être en ws://, une connexion non chiffrée, que s'il est sur l'appareil ou sur le réseau domestique (localhost, adresses privées, noms .local) : les notes voyagent toujours chiffrées, mais n'importe qui sur ce réseau peut voir ce que voit le relais (le tableau ci-dessous). Notes ne publie aucune liste de relais qui lui soit propre, sauf si vous le lui demandez (Relais → Enregistrer comme ma liste de relais privés). Il publie alors ces relais comme votre 10013, chiffrée avec votre clé, sur les mêmes relais que ceux où il cherche les listes, et la tient à jour avec ce que vous modifiez dans Notes : les relais voient votre clé publique, que la liste existe et quand elle change, pas les relais qu'elle contient. Une liste écrite par une autre app n'est jamais écrasée : Notes l'utilise telle quelle. Si l'un de ces relais fonctionne sur cet appareil (une adresse ws://127.0.0.1 ou ws://localhost, comme l'application Citrine), Notes y laisse aussi une copie de vos notes, carnets et suppressions, exactement tels qu'ils ont été signés et toujours chiffrés. Rien ne quitte l'appareil pour cela ; Notes ne lit jamais ce relais, et une note que lui seul possède ne compte pas comme envoyée. Les autres applications de l'appareil qui lisent ce relais voient ce que voit n'importe quel relais.

Herkos Local Relay. Si Herkos Local Relay est sur le même appareil, Notes propose une fois de s'y connecter ; rien n'est envoyé tant que vous n'avez pas touché Connecter et approuvé Notes dans Herkos Local Relay. Notes s'y appaire avec une clé à lui, créée pour cet appairage, et vérifie à chaque connexion qu'il s'agit du même relais : un autre programme qui écouterait sur son port ne reçoit rien. Dès lors, il y copie vos notes, points de contrôle, carnets, suppressions, votre liste de relais privés et les sceaux des notes que vous partagez, tels qu'ils ont été signés et toujours chiffrés, et lui demande de garder tout cela privé, sauf les suppressions : le relais ne le donne qu'à votre clé et ne le transmet à personne. Pour que le relais les garde comme les vôtres, Notes signe une fois avec votre clé à la connexion. Rien ne quitte l'appareil pour cela. Notes n'y lit jamais : c'est une copie, et une note qu'il est seul à avoir ne compte pas comme envoyée. S'il ne répond plus, Notes continue avec vos autres relais et lui envoie plus tard seulement ce qui lui manque. Vous pouvez le déconnecter dans les Réglages de Notes, ou révoquer Notes dans Herkos Local Relay.

Ce qui ne peut pas être caché. Le d et le k d'une note et le a d'un point de contrôle doivent être lisibles : les relais en ont besoin pour remplacer une note par sa version plus récente et pour retrouver son historique. Un relais peut donc compter combien de notes vous avez, et voir quand vous modifiez chacune d'elles et à quelle fréquence. Notes rend cela moins précis, pas invisible : il enregistre au plus un point de contrôle par note pour chaque heure de modification, un quand vous fermez une note qui a changé, et un de chaque côté quand vous résolvez un conflit, jamais un par enregistrement, pour que votre rythme d'écriture ne soit pas publié minute par minute.

Pourquoi vos notes n'expirent jamais. Les brouillons NIP-37 peuvent porter une étiquette expiration (son exemple utilise 90 jours), et un relais qui la respecte supprime l'événement à cette date. Pour un carnet de notes, cela voudrait dire perdre des notes dont personne n'a demandé la suppression : Notes ne l'écrit donc jamais. Le revers : vos notes restent sur les relais, chiffrées, jusqu'à ce que vous les supprimiez, et supprimer sur Nostr est une demande : un relais peut garder sa copie.

Partager une note. Notes envoie la copie aux relais où l'autre compte dit lire (ses relais NIP-17, kind 10050, ou à défaut les relais de lecture de sa liste NIP-65), qu'il cherche sur vos relais, et à vos propres relais, huit au plus. Ce qui part, c'est ce que dit la note (titre, texte et étiquettes), pas votre carnet, vos marques ni la corbeille ; ce que vous modifiez ensuite n'est pas envoyé. L'autre compte garde sa copie : Notes ne peut pas la reprendre, et supprimer votre note ne la supprime pas. Pour recevoir, Notes demande à vos relais les gift wraps adressés à votre clé avec k=30023 et les ouvre sur l'appareil. En écarter un ne le retire que de l'appareil : un gift wrap est signé par une clé que personne ne garde, donc aucun de vous deux ne peut demander aux relais de le supprimer, et il y reste, lisible par vous seul.

La recherche est locale. Tout est chiffré, aucun relais ne peut donc chercher pour vous. Notes télécharge et déchiffre vos notes et construit l'index sur l'appareil ; les mots que vous cherchez ne sont jamais envoyés nulle part.

Un relais qui demande une authentification NIP-42 apprend votre clé publique ; Notes lui répond avec votre compte. Notes demande aussi à vos relais les brouillons que d'autres applications ont écrits avec votre clé (kinds 31234 et l'ancien 30024), pour les afficher en lecture seule, et ne publie rien ce faisant. Si vous vous connectez avec un signataire distant (un bunker ou Nostr Connect), ses relais transportent vos demandes de signature chiffrées, et Notes ne lui demande de signer que les kinds ci-dessus (y compris le sceau d'une note partagée, kind 13 ; son gift wrap est signé sur l'appareil, avec la clé à usage unique). Avec une app de signature sur votre téléphone Android (NIP-55, comme Amber), Notes lui parle directement sur le téléphone, sans aucun relais entre les deux, lui demande la même chose et vérifie chaque événement signé qui revient avant de l'utiliser.

Herkos Drive : ce que voient les relais et les serveurs

Drive garde le contenu de vos fichiers sur des serveurs Blossom et la liste de vos fichiers et dossiers (l'index) sur des relais Nostr, les deux chiffrés sur votre appareil. Il n'y a ni serveur Herkos, ni serveur push, ni télémétrie. Chaque relais et chaque serveur voit votre adresse IP et l'heure de chaque connexion. Par défaut, l'index va vers cinq relais et les fichiers vers cinq serveurs Blossom, dont aucun n'est exploité par Herkos ; Paramètres → Hébergement de fichiers permet de changer les serveurs, et d'y ajouter un serveur à vous. Qui exploite chacun et où il se trouve, pour autant que nous le sachions (vérifié le 5 novembre 2026) :

Le pays est déduit de l'adresse IP du serveur et peut être faux, et un serveur derrière Cloudflare ne montre pas où il se trouve ; ce qui compte, c'est l'endroit où chaque opérateur déclare garder les données, et la plupart ne le disent pas. Chaque opérateur est indépendant, avec ses propres conditions ; Herkos n'a d'accord avec aucun d'eux. Au moins deux des cinq serveurs de fichiers sont situés hors de l'Union européenne : ce qu'ils gardent est chiffré sur votre appareil et ils ne peuvent pas le lire, mais votre adresse IP et l'heure de chaque téléversement leur parviennent.

Deux clés. Votre compte ne signe qu'une seule chose : le localisateur, un événement chiffré pour votre propre clé qui permet à vos appareils de trouver votre Drive. Tout le reste est signé par une clé du volume créée au hasard pour votre Drive, non dérivée de votre compte, si bien que l'index ne dit pas à qui il appartient. Drive lit le localisateur une fois par appareil, pas à chaque démarrage, pour que les relais ne voient pas votre compte et votre volume demandés ensemble. Les personnes avec qui vous partagez un dossier reçoivent aussi la clé du volume ; vous pouvez la changer à tout moment (Paramètres → Clé du volume) : vos autres appareils suivent d'eux-mêmes, et ce qui est signé avec l'ancienne n'est plus accepté.

Ce qui ne peut pas être caché. Chaque événement indique dans quel dossier il se trouve, si bien qu'un relais peut compter combien de fichiers et de dossiers vous avez, voir la forme de l'arborescence (quels dossiers contiennent combien d'éléments) et quand chacun change. Il ne peut pas savoir comment s'appelle aucun d'eux ni ce qu'il contient.

Les serveurs Blossom reçoivent des blocs de vos fichiers, chacun chiffré avec une clé propre à sa révision et complété jusqu'à un multiple de 64 KiB, si bien qu'ils voient à peu près la taille de chaque fichier, pas ce qu'il est ni comment il s'appelle. Chaque téléversement est signé : sur un serveur à vous, par la clé du volume ; sur tout autre, par une clé créée uniquement pour ce serveur et ce fichier, qui ne désigne personne et n'est jamais la même sur deux serveurs. Supprimer un fichier demande à ses serveurs de supprimer ses blocs ; comme pour les relais, un serveur peut en garder une copie.

Les liens (herkos.app/f/…). Un lien vers un fichier ou un dossier porte, après le #, la clé qui l'ouvre : le lien est la clé. La partie après # n'atteint jamais notre serveur ni Cloudflare, et la page la retire de la barre d'adresse dès qu'elle l'a lue. Mais avant cela, le navigateur peut déjà avoir gardé l'adresse entière dans son historique, et un navigateur qui synchronise son historique la garde aussi sur les serveurs de son fournisseur. Rien de notre côté ne peut l'empêcher. Pour tout ce qui est sensible, donnez au lien un mot de passe (le lien n'ouvre alors rien sans lui, et le mot de passe voyage séparément), ou partagez plutôt avec le compte de la personne, ce qui ne demande aucun lien. La page lit les relais et les serveurs du lien ; elle ne contacte un relais ou un serveur qu'elle ne connaît pas qu'après votre accord, parce qu'il verrait votre adresse IP. Un lien peut expirer : ce jour-là, il cesse de s'ouvrir, et un dossier reçoit de nouvelles clés, si bien que ce qui est ajouté ensuite ne s'ouvre pas avec l'ancienne clé. Qui l'a déjà ouvert garde ce qu'il a téléchargé. Pour couper l'accès plus tôt, supprimez le lien : un dossier reçoit alors aussitôt de nouvelles clés.

Le partage avec un compte. Drive cherche où ce compte lit (ses relais NIP-17, kind 10050, ou les relais de lecture de sa liste NIP-65) sur vos relais et ceux de Drive, une personne à la fois, jamais dans un index public. Chaque personne reçoit son propre lien, si bien qu'en supprimer un laisse les autres, et que personne ne peut savoir qui d'autre l'a reçu.

Un relais qui demande une authentification NIP-42 apprend la clé du volume, jamais votre compte : Drive lui répond avec la clé du volume. Si vous vous connectez avec une app de signature sur votre téléphone Android (NIP-55, comme Amber), Drive ne lui demande de signer que le localisateur, la requête qui en retire un ancien et le sceau de ce que vous partagez avec un compte, et de chiffrer et déchiffrer pour votre propre clé.

Herkos Local Relay : ce qu'il garde et à qui il parle

Herkos Local Relay est un relais Nostr qui fonctionne sur votre propre appareil, pour les applications Herkos et tout autre client Nostr. Il n'y a derrière lui aucun serveur à nous, et il ne nous envoie rien.

En quelques mots (le détail suit) :

• Qui traite vos données : vous. Herkos ne reçoit rien du relais : ni événements, ni clés, ni adresses IP, ni statistiques. Il n'y a ni compte ni serveur à nous.
• Ce qu'il garde : sur votre appareil et chiffré, ce que vos applications écrivent et ce qu'il rapporte de vos relais, les applications appairées et ses réglages.
• À qui il parle : à vos relais et aux relais de boîte de réception des personnes à qui vous écrivez. À personne d'autre. Si vous activez Tor, aussi au réseau Tor.
• Pendant combien de temps : jusqu'à ce que vous le supprimiez, que vous désinstalliez l'application ou que la règle que vous choisissez l'élague. L'élagage est désactivé par défaut et ne supprime jamais vos propres événements.
• Copies : uniquement là où vous le choisissez, jamais dans le cloud, et chiffrées avec un mot de passe que vous seul connaissez.
• Vos droits : vous pouvez tout voir, modifier et supprimer depuis l'application. Ce que vous avez déjà publié sur d'autres relais, chaque relais le garde : adressez-vous à son opérateur.
• Âge : il n'est pas destiné aux enfants de moins de 16 ans.

Ce qu'il garde, sur l'appareil. Les événements que vos applications y écrivent et ceux qu'il rapporte de vos relais, dans une base de données chiffrée avec une clé conservée dans le stockage sécurisé du système d'exploitation. À côté : les applications que vous avez appairées et ce que chacune peut faire ; ses réglages (settings.json : le port, le quota, l'élagage, si le journal de session est activé, si les applications non appairées peuvent entrer, si le réseau local est activé et son port) ; si vous activez le réseau local, la liste des clés autorisées, avec les noms que vous leur avez donnés, ainsi que le certificat du relais et sa clé, dans la base de données chiffrée ; et ceux des copies (backups.json : la fréquence, le dossier, la clé publique pour laquelle les copies sont chiffrées et son sel, la date de la dernière). Rien de tout cela n'est secret, et le mot de passe des copies n'est jamais enregistré. Sous Windows et Linux, tant qu'il fonctionne, relay.json dans le dossier de l'application indique sur quel port il écoute, pour que les applications Herkos puissent le trouver. Désinstaller l'application supprime la base de données, et sa clé devient inutile.

Qui peut se connecter. Il écoute sur 127.0.0.1 (port 4873, sauf si vous le changez) : tant que le réseau local est désactivé, comme il l'est par défaut, rien en dehors de l'appareil ne peut l'atteindre. N'importe quelle application de l'appareil peut atteindre cette adresse ; une application ou une page web doit donc être appairée, avec votre accord à l'écran, avant de pouvoir écrire, et une page web non appairée est refusée. Révoquer une application la déconnecte aussitôt. Les événements privés (brouillons, listes privées, rappels, les enveloppes scellées que vous recevez) ne sont remis qu'à qui prouve avec NIP-42 qu'il détient la clé à laquelle ils appartiennent.

Le réseau local, si vous l'activez, ouvre un second port (4874, sauf si vous le changez) aux appareils de votre réseau : wss:// uniquement, avec le certificat propre du relais, et seulement pour les clés de votre liste, après qu'elles se sont authentifiées avec NIP-42. Une clé de la liste lit vos événements publics et les événements privés qui lui sont destinés, et n'écrit que des événements qu'elle a signés ; la retirer de la liste la déconnecte. Toute personne sur le même réseau voit que l'appareil a ce port ouvert et combien de trafic y passe, mais pas son contenu.

Tor, si vous l'activez (sous Windows et Linux ; sur Android, il arrivera plus tard), fait du relay un service onion de Tor, avec une adresse .onion qui ne change pas. L'app lance le programme tor de cet ordinateur (ou celui fourni avec l'app), qui se connecte au réseau Tor. La clé de cette adresse est conservée dans la base chiffrée et n'est remise qu'à ce tor, sur l'appareil lui-même ; le dossier propre de tor contient sa copie de l'annuaire du réseau et son cookie, jamais cette clé. L'activation de Tor est enregistrée dans settings.json. Par Tor, les mêmes règles s'appliquent que sur le réseau local : seulement les clés de votre liste, après authentification avec NIP-42. Qui se connecte à votre adresse ne voit pas votre adresse IP, ni vous la sienne. L'adresse seule n'ouvre rien ; si elle a circulé, Nouvelle adresse la change. Herkos ne reçoit rien.

Pour savoir où quelqu'un reçoit, il interroge vos relais. Vos événements privés (brouillons, listes privées, rappels) ne quittent jamais l'appareil. Il n'annonce jamais sa propre adresse (elle n'est dans la liste NIP-65 de personne), son document NIP-11 ne dit pas qui vous êtes, et il n'y a ni analytique, ni télémétrie, ni rapports de plantage. Sous Android, il fonctionne comme un service avec une notification et son bouton Arrêter ; il se met en veille après 10 minutes sans connexion, et une application Herkos le réveille sur l'appareil même, sans serveur push.

Le journal de session est désactivé par défaut. Si vous l'activez, il est gardé uniquement en mémoire, les 500 dernières lignes, et effacé quand le relais s'arrête : connexions, authentification NIP-42, événements acceptés ou refusés et kinds demandés, par kind et par le début de leur identifiant, jamais leur contenu.

Copies. La copie chiffrée de tout le stockage n'est écrite que là où vous le choisissez : un dossier de l'appareil ou un disque externe. Un dossier d'un client cloud (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) est refusé. Elle est chiffrée avec un mot de passe à vous (scrypt et XChaCha20-Poly1305) ; les copies planifiées, pour la clé publique que donne ce mot de passe, si bien qu'elles se font sans lui. Les sept dernières sont gardées. Sans le mot de passe, personne ne peut ouvrir une copie, pas même nous, et si vous le perdez, la copie est perdue. L'export JSONL n'est pas chiffré : il contient vos événements privés en clair, et l'application vous le dit avant de l'écrire.

L'élagage est désactivé par défaut : sans lui, le relais garde les événements d'autres personnes tant qu'il y a de la place. Vous pouvez élaguer par ancienneté (30, 90, 180 ou 365 jours) ou par espace (de 256 MB à 5 GB), et l'application montre d'abord combien elle en supprimerait. Il ne supprime que les événements d'autres personnes : jamais les vôtres, les enveloppes qui vous sont destinées, les kinds que protègent vos applications ni les demandes de suppression ; par espace, seulement après une copie datant du dernier jour. Avec le réseau local ou Tor activé, l'élagage par ancienneté ne peut pas être désactivé : les événements d'autres personnes sont supprimés au bout de 90 jours, sauf si vous choisissez un autre délai. Un événement avec une date d'expiration (NIP-40) n'est plus remis une fois expiré, quel qu'en soit l'auteur. Et comme partout dans Nostr, supprimer est une demande : ce qui est déjà parti vers d'autres relais peut y rester.

Nos sites web et Cloudflare

herkos.app (y compris herkos.app/e/ et herkos.app/f/), app.herkos.app (la version web de Mail), calendar.herkos.app et notes.herkos.app (les versions web de Calendar et de Notes, une fois publiées) et fdroid.herkos.app (notre dépôt F-Droid) sont des fichiers statiques servis par Cloudflare (Cloudflare Pages et R2). Comme tout hébergeur web, Cloudflare reçoit votre adresse IP, l'agent utilisateur de votre navigateur, l'adresse que vous demandez (sans la partie après #) et l'heure, et peut les conserver dans ses journaux selon sa propre politique de confidentialité.

Nous ne déposons aucun cookie et n'utilisons aucune analytique ; les pages et les fichiers propres aux applications web proviennent uniquement de ces domaines (les applications web se connectent ensuite aux relais et serveurs décrits plus haut), et nous ne consultons pas de journaux par visiteur. Les téléchargements depuis Releases proviennent de GitHub, qui voit le même type de données selon sa propre politique.

Public par conception

Nostr est un réseau public. Les éléments suivants sont visibles par quiconque interroge les relais que vous utilisez, et sont liés à votre clé publique :

• votre profil (nom, image) et vos listes de relais et de serveurs Blossom ;
• les événements d'étiquette NIP-32 que Herkos Mail publie lorsque vous marquez un courriel comme lu, le mettez en favori, l'archivez ou le déplacez dans un dossier — y compris le nom des dossiers personnalisés. Celui qui vous a envoyé un courriel et en connaît l'identifiant peut donc savoir quand vous l'avez lu. Nous prévoyons de les chiffrer ; en attendant, sachez-le ;
• dans Herkos Calendar, seulement ce que vous rendez public (voir plus haut) ;
• dans Herkos Notes, aucun contenu, seulement le schéma décrit plus haut : combien de notes vous avez et quand vous les modifiez ;
• dans Herkos Drive, ni noms ni contenus, seulement le schéma décrit plus haut : combien de fichiers et de dossiers vous avez, la forme de l'arborescence et quand chacun change ;
• via Herkos Local Relay, seulement les événements publics que publient vos applications, comme avec n'importe quel relais.

Vos choix et vos droits

• Tout ce qui précède est sous votre contrôle dans Paramètres → Réseau et serveurs (relais, relais de DM, serveurs Blossom, bridges) et Paramètres → Notifications ; dans Herkos Calendar, c'est vous qui modifiez les relais, la liste d'occupation et chaque lien de partage (Partager par lien → Révoquer le lien) ; dans Herkos Notes, les relais (dans ses Réglages, ou dans votre propre liste de relais privés).
• Dans Herkos Drive, c'est vous qui modifiez les serveurs (Paramètres → Hébergement de fichiers), la clé du volume (Paramètres → Clé du volume) et chaque lien et chaque personne avec qui un fichier ou un dossier est partagé (Partager).
• Dans Herkos Local Relay, les applications appairées et ce que chacune peut faire, le port, le quota, l'élagage, le journal de session, le réseau local, Tor et la liste de clés, et les copies se trouvent dans ses propres écrans.
• Se déconnecter de Herkos Notes supprime les notes sur cet appareil, mais l'application envoie d'abord ce qui ne se trouve que là et vous dit combien de notes vous perdriez ; les notes sur les relais restent, et reviennent quand vous vous reconnectez.
• Vous pouvez exporter votre clé, supprimer un compte (ce qui demande aussi aux relais d'effacer vos données, NIP-62) ou réinitialiser l'application à tout moment.
• Comme nous ne détenons aucune donnée personnelle, nous ne pouvons pas répondre nous-mêmes aux demandes d'accès, de rectification ou d'effacement ; adressez-les à l'opérateur du relais, du bridge, du serveur push ou de l'hébergeur web concerné. Nous vous aiderons à l'identifier.
• Herkos n'est pas destiné aux enfants de moins de 16 ans.

Modifications

Nous modifierons ce document quand le comportement de l'application changera, et nous noterons la date en haut. La source de vérité est PRIVACY.md dans le dépôt ; la page publiée en est une copie.

Contact : privacy@herkos.email · https://herkos.app

Autres langues

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська