Arpokrat est juridiquement domicilié en Suisse et exploite son réseau de relais dans des juridictions indépendantes, sur du matériel conçu pour résister à une compromission physique — pas seulement aux attaques à distance. Cette page montre comment tout cela est bâti, pour que vous n’ayez pas à nous croire sur parole.
Nos serveurs sont volontairement inintelligents. Ils ne savent jamais qui parle à qui — et oublient le reste.
L’infrastructure d’Arpokrat ne repose sur aucune des grandes plateformes cloud américaines — ni Amazon Web Services, ni Google Cloud, ni Microsoft Azure, ni Cloudflare — ni sur d’autres. C’est un choix d’architecture délibéré aux conséquences juridiques concrètes : une injonction fondée sur le CLOUD Act américain fonctionne en contraignant un prestataire établi aux États-Unis à remettre les données qu’il contrôle, or Arpokrat n’exploite aucune infrastructure chez ces prestataires qu’une telle injonction pourrait atteindre. Ces quatre-là ne sont que les exemples les plus connus — le même raisonnement écarte tout prestataire relevant de la juridiction américaine.
Vous découvrez le CLOUD Act ?
Le lieu d’établissement d’une entreprise détermine quels gouvernements peuvent la contraindre. Nous avons délibérément choisi la Suisse.
Notre entité juridique est établie à Zoug, dans le cadre de cette même Crypto Valley qui a fait du canton un foyer pour les projets cryptographiques et décentralisés. Nos serveurs web publics sont situés à Genève, dans des centres de données Tier III+ certifiés ISO, et relèvent de la stricte loi fédérale suisse sur la protection des données (FADP).
Le chiffrement protège les données en transit. Mais un relais reste une machine physique dans une baie — nous concevons donc aussi pour le jour où quelqu’un y accède physiquement.
Les messages en attente de livraison ne résident que dans la RAM volatile, jamais sur le disque. Le swap est désactivé, de sorte que le système ne peut pas décharger cette mémoire vers le stockage — c’est ce qui rend le principe du « tout en RAM » réellement effectif.
Comme les données en attente ne résident que dans la RAM, couper l’alimentation les efface instantanément. Un relais examiné après extinction ne contient aucun contenu de message sur le disque.
L’accès administratif est limité à deux personnes — une redondance si l’une est indisponible, sans élargir la surface d’attaque.
Les manifestes de version d’ArpokratOS, du Messenger et de l’installateur web sont signés sur une machine Qubes OS dédiée et isolée du réseau (air-gapped), qui n’a jamais été connectée à internet — et ne le sera jamais. Les clés de signature n’atteignent jamais un appareil connecté au réseau.
Des relais dans des pays dotés de lois protectrices de la vie privée, indépendants des grandes alliances de surveillance — aucune juridiction ne contrôle à elle seule le réseau.
C’est la référence détaillée qui sous-tend ce que la page Messenger résume.
Suisse
Islande
Panama
Malaisie
MauriceNotre warrant canary est mis à jour et signé PGP à intervalles réguliers. Tant qu’il continue de paraître, c’est que nous n’avons reçu aucune injonction secrète dont nous n’aurions pu vous informer.
Voir le warrant canary Lire le codeChaque entrée du canary est signée PGP — vous pouvez vérifier la signature vous-même.
Découvrez ce que cela signifie pour vos messages sur la page Messenger
.
Vous gérez les communications d’une organisation ? Découvrir Enterprise
.