Fonctionnement

1. 01

   Une clé naît dans votre navigateur

   Quand vous créez un paste, votre navigateur génère une clé aléatoire de 256 bits avec la Web Crypto API. Elle ne quitte votre appareil qu'au sein du lien que vous partagez.

2. 02

   Chiffré avant l'envoi

   Votre texte, le titre et la syntaxe choisie sont compressés puis chiffrés en AES-256-GCM. La clé est dérivée avec HKDF-SHA256. Si vous ajoutez un mot de passe, il est intégré via PBKDF2-SHA256 avec 600 000 itérations.

3. 03

   La clé vit après le #

   Les navigateurs n'envoient jamais le fragment de l'URL (tout ce qui suit le #) au serveur. Nous ne recevons que du texte chiffré : nous ne pourrions pas lire votre paste, même si nous le voulions ou y étions contraints.

4. 04

   Disparu au bon moment

   Les pastes expirent automatiquement et sont purgés toutes les heures. Les pastes « Détruire après lecture » sont supprimés de façon atomique dès leur récupération, et le lecteur est consulté d'abord pour que les aperçus de liens ne les détruisent pas.

Stocké sur le serveur

Texte chiffré, IV, sels, taille, expiration, indicateurs de destruction et de mot de passe, un compteur de vues facultatif et une empreinte SHA-256 de votre jeton de suppression.

Jamais stocké

Texte en clair, titres, clés, mots de passe, adresses IP, user agents, cookies ou statistiques.

Tiers

Uniquement Cloudflare Turnstile, sur la page de création, pour bloquer les robots de spam. Il ne voit jamais votre paste et nous ne lui transmettons pas votre IP. Consulter un paste ne charge rien depuis des tiers. Les polices et le code sont hébergés chez nous ; une Content-Security-Policy stricte bloque tout le reste.

Votre historique

« Mes pastes » réside uniquement dans le stockage local de ce navigateur. Désactivez-le paste par paste ou effacez-le à tout moment.

Attention : le chiffrement de bout en bout protège contre le serveur, pas contre un appareil compromis ni contre les personnes avec qui vous partagez le lien.