Aller au contenu
← Retour à Scanyt

Vérifier par toi-même

Tu n'as pas à nous croire sur parole. Ton navigateur a tout ce qu'il faut pour constater que ton mot de passe et tes emails ne passent jamais en clair par Scanyt. Cinq contrôles, sans rien installer.

Avant de commencer : ouvrir les outils du navigateur

Sur ordinateur, ouvre la page de Scanyt, puis les outils de développement : F12 ou Ctrl + Maj + I sur Windows et Linux, ⌘ + ⌥ + I sur Mac (dans Safari, active d'abord « Afficher les fonctionnalités pour les développeurs web » dans Réglages › Avancés). Garde l'onglet Réseau (Network) ouvert avant de lancer le scan : il enregistre chaque échange de la page avec Internet.

1. Le relais ne transporte que du chiffré

Lance un scan, puis filtre l'onglet Réseau sur WS (WebSocket). Une seule ligne apparaît : relay?host=imap.gmail.com (ou le serveur de ta messagerie). C'est le passe-plat entre ton navigateur et ta messagerie. Clique dessus, puis sur Messages : tu ne verras que des blocs binaires illisibles. Les premiers octets des blocs, 16 03 au début puis 17 03 03, sont la signature d'une connexion TLS : le chiffrement est négocié par ton navigateur, directement avec ta messagerie.

Pour aller plus loin, utilise la recherche de l'onglet Réseau (Ctrl + F, ou ⌘ + F) et tape ton mot de passe d'application : aucun résultat. Il n'apparaît nulle part dans ce qui quitte ton navigateur.

2. Aucune autre requête n'emporte tes données

Filtre maintenant sur Fetch/XHR et Img. Pendant et après le scan, tu ne verras que :

Pas d'outil de mesure d'audience, pas de publicité, pas de requête qui contiendrait ton adresse, tes emails ou tes résultats. Les appels à /api/accounts ou /api/scan que tu pourrais croiser ne partent pas sur Internet : ils sont traités dans la page même, et l'onglet Réseau ne les affiche donc pas.

3. Seul le code de Scanyt peut s'exécuter

Clique sur la toute première requête de l'onglet Réseau (la page elle-même), puis regarde ses en-têtes de réponse. Tu y trouveras une ligne Content-Security-Policy : c'est une consigne que ton navigateur fait respecter. Elle interdit d'exécuter tout script qui ne vient pas de Scanyt (même un script glissé dans la page par une extension ou un pirate), interdit d'afficher le site dans une autre page, et limite les connexions WebSocket au seul relais.

Le code est lisible : dans l'onglet Sources (Debugger dans Firefox), les fichiers app.js, extras.js et gestes.js sont servis tels qu'ils ont été écrits, et le moteur scanyt-web.js est accompagné de sa « source map », qui fait réapparaître le code d'origine, commentaires compris.

4. Le relais ne peut pas se faire passer pour ta messagerie

Un relais malhonnête pourrait tenter de se glisser au milieu en présentant son propre certificat. C'est pour l'en empêcher que ton navigateur télécharge /roots.pem : la liste des autorités de certification reconnues par Mozilla (celle de Firefox). Le certificat présenté par ta messagerie est vérifié dans la page, contre cette liste et contre le nom du serveur. Au moindre écart, la connexion est coupée et le scan s'arrête avant que le mot de passe ne soit envoyé.

5. Tes résultats restent sur ton appareil

Ouvre l'onglet Application (Stockage dans Firefox et Safari), puis IndexedDB : c'est là, et seulement là, que sont rangés tes résultats, tes statuts et tes notes. Le bouton « Effacer toutes mes données », en bas de Scanyt, les supprime. Le mot de passe, lui, n'y est jamais : il reste en mémoire le temps du scan, puis disparaît quand la page se ferme.

Et après le scan

Même si tout est vérifié, une bonne habitude reste la meilleure garantie : supprime le mot de passe d'application dans les réglages de sécurité de ta messagerie dès que le scan est terminé. Tu pourras en créer un nouveau la prochaine fois. Les étapes sont détaillées dans la FAQ.

Ce que ces contrôles ne prouvent pas

Ils montrent ce que fait le site au moment où tu le vérifies. C'est pour cela que la Content-Security-Policy et le chiffrement dans le navigateur comptent : ils rendent une fuite visible dans l'onglet Réseau, au lieu de la laisser se faire en silence sur un serveur. Le fonctionnement complet et la liste des données traitées sont dans la politique de confidentialité. Une question, un doute ? Écris à comelimouzineau07@gmail.com.