Les applications de coffre-fort photo sont-elles sûres ? Un audit de sécurité 2026

La plupart des applications de coffre-fort photo iOS protègent l'écran, pas les fichiers. Dans notre audit de juin 2026 portant sur 12 des applications vault les plus installées, une seule nommait un algorithme de chiffrement spécifique dans sa fiche App Store, et 7 sur 12 déclaraient vous suivre. Les applications dignes de confiance sont la minorité qui nomment un vrai algorithme, ne détiennent aucune clé de vos données et ne collectent rien.

Les applications de coffre-fort photo ne sont pas uniformément sûres. Dans notre audit de juin 2026 portant sur 12 des applications de coffre-fort iOS les plus installées, 7 sur 12 déclaraient suivre les utilisateurs sur les applications et sites web, 1 seule nommait un algorithme spécifique dans sa fiche, et une décennie de recherche indépendante a retrouvé des applications commercialisant le "chiffrement" tout en stockant des fichiers en clair ou derrière un obscurcissement trivial. Les applications sûres nomment un vrai algorithme, ne nécessitent pas de compte et ne détiennent aucune clé de vos données.

Ce que nous avons audité et ce que nous n'avons pas testé

Nous avons extrait l'étiquette de confidentialité de l'app, la politique de confidentialité publiée et la description App Store des principales applications de coffre-fort photo et de masquage de photos dans l'App Store américain en juin 2026, classées par position dans le store et volume de notes. Nous avons classé chaque application selon son modèle de sécurité réel et recensé une décennie de défaillances documentées des applications vault, en ne conservant que les incidents traçables à une source principale ou corroborée.

Deux limites sont importantes. Premièrement, les étiquettes de confidentialité App Store sont déclarées par les développeurs eux-mêmes ; Apple ne les audité pas, donc une application pourrait déclarer moins qu'elle ne collecte. Deuxièmement, il s'agit d'une revue des étiquettes, des politiques et de l'architecture, plus un registre public d'incidents. Nous n'avons pas effectué de capture réseau en direct, donc nous ne faisons aucune affirmation sur le trafic que nous n'avons pas observé personnellement. Tout ce qui est indiqué ici est vérifiable d'après les sources listées en bas de cette page.

Constat 1 : "Chiffrement" est généralement un mot, pas un fait vérifiable

La catégorie repose sur l'expression "chiffrement de grade militaire". Elle ne signifie rien en soi. AES-256 est un standard public sans grade militaire ; l'expression est du marketing qui perdure parce qu'elle ressemble à une spécification. Ce qui compte vraiment, c'est si une application nomme un algorithme, une longueur de clé et une méthode de dérivation de clé que vous pouvez évaluer.

Dans l'audit des étiquettes des 12 applications, une seule nommait un algorithme spécifique dans sa description App Store : Secret Photos KYMS, qui indique "AES". Toutes les autres disaient "chiffrement de grade militaire", "stockage chiffré", "architecture zero-knowledge", ou ne nommaient aucun chiffrement. En approfondissant l'examen des sites développeurs et des politiques de huit applications, seulement trois nommaient un vrai algorithme quelque part dans leurs matériaux officiels : LockMyPix nomme AES-CTR, le coffre cloud optionnel de Private Photo Vault nomme AES-256, et Calculator# divulgue AES-256 avec PBKDF2 à 200 000 itérations. Ces trois-là méritent crédit pour avoir montré leur travail.

Il existe une distinction que la plupart des fiches vault brouillent : masquer une photo n'est pas la chiffrer. Masquer déplace un fichier quelque part de moins visible. Chiffrer le transforme en texte chiffré inutile sans une clé. Un écran PIN qui protège un dossier de fichiers ordinaires est un rideau, pas un mur. Quiconque atteint les fichiers en dessous via une sauvegarde, un outil forensique ou une commande adb entre directement.

Constat 2 : Les étiquettes de confidentialité en disent plus que le marketing

Les étiquettes de confidentialité d'app d'Apple sont la page la plus honnête de l'App Store, car les falsifier constitue une violation de la politique. C'est là où le texte marketing et les pratiques de données réelles cessent de correspondre. Notre audit de juin 2026 a révélé que 7 des 12 applications déclarent "Données utilisées pour vous suivre", le terme d'Apple pour les données partagées pour vous pister sur les applications et sites web d'autres sociétés. Seulement 2 sur 12 portent le label "Aucune donnée collectée" d'Apple, la plus forte attestation de confidentialité du store : Safe Lock et Secret Photo Vault Lock Photos.

Les deux applications les mieux notées du lot, Private Photo Vault (Pic Safe) et SV Private Photo Vault PRO, sont toutes deux publiées par Legendary Software Labs et cumulent ensemble environ 1,026 million d'évaluations combinées. Toutes deux tracent les utilisateurs et, selon leurs propres étiquettes, lient vos photos, vidéos et identifiants d'appareil à votre identité. Best Secret Folder a la plus large empreinte "lié à vous" du lot : localisation, informations de contact complètes incluant nom, e-mail et téléphone, ainsi que vos photos, vidéos et audios, tout en diffusant des publicités. Une application de photos privées qui lie vos photos à votre identité et vous piste sur d'autres applications résout un problème différent de celui pour lequel vous l'avez téléchargée.

Les autres applications de l'audit racontent leur propre histoire. Private Photo Vault (Pic Safe) et SV Private Photo Vault PRO ne nomment aucun algorithme dans leurs fiches, utilisant uniquement l'expression "valeur secrète pour chiffrer/déchiffrer". Keepsafe décrit son chiffrement comme "de grade militaire" sans nommer d'algorithme. Privault dit "stockage chiffré". HiddenVault revendique une "architecture zero-knowledge" mais ne nomme aucun algorithme. Calculator# ne nomme aucun algorithme dans sa fiche App Store. Best Secret Folder et Hide It Pro ne nomment rien du tout. Seul KYMS nomme AES, et seul Encamera est open source, ce qui offre un autre type de vérifiabilité.

Constat 3 : Un compte et un backend cloud constituent une deuxième surface d'attaque

La gestion des fichiers locaux peut être irréprochable et l'application peut quand même fuiter, car le backend est une surface d'attaque distincte. Les applications qui nécessitent un compte et stockent vos fichiers sur leurs serveurs vous demandent de faire confiance à une base de données que vous ne pouvez pas inspecter.

Keepsafe est l'exemple le plus clair de ce choix structurel. Il nécessite une adresse e-mail avant de pouvoir l'utiliser, stocke le contenu sur ses propres serveurs, et une analyse de sécurité indépendante a révélé que la société conserve la capacité d'accéder aux photos des utilisateurs. Sa politique de confidentialité est aussi la seule de notre lot qui admet que certains partages de données peuvent être qualifiés au regard du droit californien de vente ou de partage de vos informations personnelles. C'est une divulgation que les autres n'ont pas faite, et elle vous dit qui détient la clé. Quand un fournisseur détient la clé de chiffrement, une fuite chez le fournisseur est votre fuite. Le modèle qui évite cela est le chiffrement zero-knowledge, où le fournisseur ne peut pas lire vos données car il ne détient jamais la clé.

L'exemple concret de ce qui peut mal tourner est arrivé en 2025. Une application distincte appelée Photo Vault, publiée par le développeur Brain Craft, a laissé sa base de données Firebase sans protection par mot de passe. L'exposition a été signalée par Cybernews en 2025 et corroborée par The Dead Pixels Society. Elle a exposé des adresses e-mail d'utilisateurs, des mots de passe en clair, des noms de fichiers et de dossiers, et le contenu de la fonctionnalité de notes sécurisées de l'application, pour une application avec environ 72 000 téléchargements. Pour être précis : cette application Brain Craft n'est pas le même produit que Private Photo Vault ou Pic Safe de Legendary Software Labs, malgré le nom similaire. Les photos elles-mêmes n'étaient pas dans la base de données, mais tout ce qui était nécessaire pour attaquer les comptes s'y trouvait, y compris des mots de passe stockés en clair, qu'une application vault ne devrait jamais posséder sous forme lisible, et encore moins exposer.

Constat 4 : Le SDK publicitaire à l'intérieur de l'application "privée"

Sept des huit politiques de confidentialité que nous avons lues faisaient référence à de la publicité tierce. Le cas le plus marquant est NQ Vault, également distribué sous le nom de Vault-Hide, dont la politique liste six SDK publicitaires intégrés dans l'application : AdMob, Facebook Audience Network, InMobi, MoPub, AppLovin et Unity. Le rôle d'un réseau publicitaire est de construire un profil de l'utilisateur. En embarquer six dans une application dont toute la prémisse est la confidentialité est l'ironie définissante de la catégorie, et elle est énoncée dans le texte de la politique, pas dans notre spéculation.

Le schéma plus large de l'examen des politiques des huit applications : une seule des huit, LockMyPix, se positionne comme sans publicité dans son modèle de base. Private Photo Vault mentionne des cookies tiers et de la publicité. Privault liste AdMob et Umeng analytics. Best Secret Folder fait référence à des annonces personnalisées, Google Analytics et Firebase. Hide It Pro fait référence à un SDK publicitaire tiers. Les applications qui ne disposent d'aucun cloud, ne nécessitent pas de compte et nomment un algorithme sont l'exception, pas la norme.

Une décennie de défaillances documentées

Rien de tout cela n'est nouveau. Le schéma du "chiffrement" qui n'en est pas un a été documenté de façon répétée depuis 2014, par des chercheurs identifiés et des études soumises à examen par des pairs. Ce qui suit est le registre des incidents avec des niveaux de confiance, car certains sont mieux sourcés que d'autres.

En septembre 2014, le chercheur en forensique Jonathan Zdziarski a montré que Private Photo Vault, qui rapportait alors plus de 3 millions d'utilisateurs, n'appliquait aucun chiffrement au-delà du stockage iOS par défaut. Les photos étaient récupérables en clair en environ cinq minutes. Cet incident est vérifié d'après une source principale sur zdziarski.com.

En avril 2015, The Register et Slate ont rapporté que NQ Mobile Vault, qui commercialisait le "chiffrement" et avait plus de 10 millions de téléchargements, appliquait une opération XOR d'un seul octet uniquement sur les 128 premiers octets de chaque fichier. Cela laisse 256 clés possibles et le reste de chaque fichier en clair. Cet incident est vérifié.

En novembre 2015, le chercheur d'IOActive Michael Allen a testé Private Photo Vault, une application appelée "My Media" et Keepsafe, et a pénétré dans les trois en moins de 30 minutes chacune. Les méthodes comprenaient des PIN en clair stockés dans des fichiers de liste de propriétés, un serveur web non authentifié s'exécutant sur le port 5555, et des mots de passe d'album retournés en clair depuis le serveur. Cet incident est vérifié.

En 2017, Zhang, Baggili et Breitinger ont publié une étude soumise à examen par des pairs dans Computers and Security (volume 70) analysant 18 applications vault Android avec environ 220 millions de téléchargements combinés. Six ne chiffraient pas les photos stockées, 7 stockaient les mots de passe en clair, et 10 exposaient des données cachées sans accès root. La recherche a aidé à récupérer des preuves dans une affaire pénale : 66 images et 18 vidéos. Cette étude est vérifiée.

En juin 2019, un chercheur publiant sous le nom de forensicmike1 a trouvé que Private Photo Vault avait ajouté le chiffrement AES via RNCryptor, mais que la clé principale était stockée de façon statique dans le Keychain iOS et n'était jamais renouvelée quand l'utilisateur changeait son PIN. Un PIN à 4 chiffres rendait la clé trivialement craquable par force brute. Cet incident est vérifié.

En 2022, Ruffin et ses collègues ont publié une étude soumise à examen par des pairs à ACM WPES analysant 20 applications vault Android populaires avec plus de 10 millions de téléchargements chacune. Seulement 5 sur 20 tentaient le chiffrement de fichiers. 15 étaient entièrement récupérables avec un simple adb pull, et 7 stockaient des PIN ou des e-mails de récupération en clair. Cette étude est vérifiée.

En février 2025, Kaspersky a signalé la campagne SparkCat : un logiciel malveillant trouvé dans des applications à la fois sur l'App Store et Google Play qui utilisait la reconnaissance optique de caractères sur l'appareil pour scanner les bibliothèques de photos des utilisateurs à la recherche de phrases de récupération de cryptomonnaies et de captures d'écran de mots de passe, puis exfiltrait les correspondances. Apple et Google ont supprimé les applications. C'était le premier voleur de photos basé sur l'OCR connu à avoir passé la revue de l'App Store. Cet incident est vérifié.

Deux incidents supplémentaires ont une vérification partielle et doivent être lus avec cette réserve. Une analyse de 2021 a trouvé une famille d'applications vault style calculatrice sur Android partageant une seule clé AES-CBC codée en dur sur chaque installation, ce qui signifie qu'une clé connue déchiffrait les médias de chaque utilisateur. C'est partiellement vérifié, d'après un seul chercheur techniquement spécifique. Séparément, l'application Vault-Hide a été signalée par le ministère indien de l'Électronique et des Technologies de l'Information en 2017 pour l'exfiltration de numéros de téléphone, de numéros IMEI et de listes d'applications installées, et aurait évité la suppression en se renommant. C'est partiellement vérifié via des sources secondaires de Cybernews et CPO Magazine.

Un point de données est remarquable par son absence : nous n'avons trouvé aucun CVE attribué à une application de coffre-fort photo grand public. La divulgation formelle la plus proche est un avis de 2018 concernant un produit "Photo Vault" non relié avec un serveur Wi-Fi non authentifié, classé gravité moyenne (CVSS 4.8), sans CVE émis (seclists.org Full Disclosure, janvier 2018). La catégorie n'est pas formellement suivie, ce qui signifie que la plupart de ces défaillances ont été détectées par des chercheurs indépendants en dehors de tout processus de divulgation coordonné.

Comment évaluer concrètement une application vault

Vous n'avez pas besoin de faire de rétro-ingénierie. Cinq questions filtrent la plupart des risques. Premièrement : nomme-t-elle un algorithme ? "AES-256" ou "AES-GCM" est une affirmation que vous pouvez vérifier. "Grade militaire" ne l'est pas. Deuxièmement : nécessite-t-elle un compte ? Un e-mail et un mot de passe créent un référentiel d'identifiants susceptible de fuiter, comme l'a montré l'incident Firebase de Brain Craft. Troisièmement : si elle sauvegarde dans le cloud, qui détient la clé ? Si le fournisseur peut réinitialiser votre mot de passe et récupérer vos photos, le fournisseur peut lire vos photos, et quiconque compromet le fournisseur aussi.

Quatrièmement : que disent l'étiquette de confidentialité de l'app et la politique ? Ouvrez la section Confidentialité de l'app. Si elle vous piste ou lie vos photos à votre identité, croyez-le. Lisez la politique pour les mentions de SDK publicitaires. Cinquièmement : est-elle auditable ? "Aucune donnée collectée", des algorithmes nommés avec des détails de dérivation de clé et du code open source sont des signaux qu'une application s'attend à être examinée. Les applications qui ne peuvent pas être vérifiées comptent sur le fait que vous ne vérifierez pas.

La place de Vaultaire dans ce tableau

Nous avons conçu Vaultaire en fonction des catégories de défaillance documentées ci-dessus : il est donc juste de nous juger sur elles plutôt que sur le marketing. Un motif sur une grille de 5 par 5 et un sel Keychain propre à l'appareil alimentent PBKDF2-HMAC-SHA512 pour dériver la clé locale du coffre. Cette clé authentifie l'index chiffré et désencapsule une clé principale aléatoire distincte, qui sert au chiffrement des fichiers en AES-256-GCM. Le motif protégé et les éléments de récupération restent dans une base de données Keychain chiffrée, et l'authentification AES-GCM permet à quiconque copie le stockage de tester des motifs hors ligne.

Vaultaire ne nécessite aucun compte d'identité et n'envoie à Wraxle ni fichiers de coffre lisibles ni clés de déchiffrement en clair. La sauvegarde iCloud est activée par défaut, peut être désactivée, et est chiffrée avant l'envoi sous une clé de sauvegarde distincte. Apple peut toujours observer les métadonnées du compte et du service CloudKit, et l'application, iOS, le Keychain et un appareil déverrouillé restent à l'intérieur de la limite de confiance. Cela ne veut pas dire que Vaultaire est le seul choix sûr. Il s'agit d'une séparation entre clés et fournisseur, qui peut être comparée aux échecs documentés ci-dessus et vérifiée par rapport au modèle de sécurité publié.

À lire également :

• Les applications de coffre-fort photo sont-elles sûres ? La version courte
• Ce que le chiffrement AES-256 signifie vraiment
• Le chiffrement zero-knowledge expliqué
• Ce que disent vraiment les politiques de confidentialité du stockage photo cloud
• Comment la clé de coffre dérivée d'un motif de Vaultaire déverrouille la clé principale

Questions fréquentes

Les applications de coffre-fort photo sont-elles vraiment sûres ?

Cela dépend entièrement de l'application, et la plupart sont plus faibles qu'elles n'y paraissent. Dans notre audit de juin 2026, 7 des 12 applications de coffre-fort iOS les plus installées déclaraient vous suivre, et 1 seule nommait un algorithme spécifique dans sa fiche. Une décennie de recherche a retrouvé de façon répétée des applications commercialisant le "chiffrement" tout en stockant des fichiers en clair ou derrière un obscurcissement trivial. Les sûres nomment un vrai algorithme, ne nécessitent pas de compte et ne détiennent aucune clé de vos données.

Un développeur d'application vault peut-il voir mes photos ?

Si l'application stocke vos photos dans son propre cloud et peut récupérer votre compte si vous oubliez votre mot de passe, alors oui : le développeur détient la clé de chiffrement et peut techniquement accéder à vos photos, tout comme quiconque compromet les serveurs du développeur. Une analyse indépendante a révélé que c'est le cas pour Keepsafe. Les applications zero-knowledge ou uniquement locales ne peuvent pas voir vos photos car elles ne détiennent jamais la clé.

Private Photo Vault (Pic Safe) est-il vraiment chiffré ?

Le Cloud Vault optionnel de Private Photo Vault nomme AES-256, qui est un vrai algorithme. Mais l'application a un historique documenté de faiblesses : aucun chiffrement trouvé en 2014 (Zdziarski), pénétrée en moins de 30 minutes en 2015 (IOActive), et une clé principale statique et non renouvelée trouvée en 2019 (forensicmike1). Son étiquette de confidentialité App Store actuelle déclare également qu'elle vous suit et lie vos photos à votre identité.

Les applications vault utilisent-elles vraiment le chiffrement, ou juste un PIN ?

Beaucoup n'utilisent qu'un PIN sur un dossier caché, ce qui n'est pas du chiffrement. Masquer déplace un fichier vers un emplacement moins visible ; le fichier reste lisible par quiconque y accède via une sauvegarde ou un outil forensique. Une étude soumise à examen par des pairs de 2022 portant sur 20 applications vault Android (Ruffin et al., ACM WPES) a révélé que seulement 5 tentaient un vrai chiffrement de fichiers, et 15 étaient entièrement récupérables avec un simple adb pull. Un vrai chiffrement transforme le fichier en texte chiffré qui nécessite une clé.

Que se passe-t-il avec mes photos si je supprime une application vault ?

Si l'application n'a fait que masquer les fichiers (pas de chiffrement), les fichiers peuvent rester sur l'appareil dans un emplacement accessible ou dans des sauvegardes. Si l'application a chiffré les fichiers localement et que vous supprimez l'application sans les exporter, le texte chiffré peut devenir irrécupérable car la clé disparaît. Si l'application utilisait le stockage cloud, les fichiers peuvent persister sur les serveurs du fournisseur. Consultez la documentation d'exportation et de suppression de l'application avant de la désinstaller.

Les outils forensiques ou la police peuvent-ils contourner le PIN d'un coffre-fort photo ?

Une protection PIN seule offre peu de résistance aux outils d'extraction forensique. Des recherches de 2014, 2015, 2017 et 2022 ont montré que les PIN des applications vault étaient contournés en quelques minutes ou que des fichiers étaient récupérés sans aucune authentification. Un PIN à 4 chiffres trouvé dans l'implémentation 2019 de Private Photo Vault a été noté comme trivialement craquable par force brute. Un vrai chiffrement de fichiers avec une fonction de dérivation de clé robuste relève considérablement la barre ; une protection PIN seule ne le fait pas.

Keepsafe vend-il mes données ?

La politique de confidentialité de Keepsafe est la seule de notre lot d'audit qui stipule explicitement que certains partages de données peuvent être qualifiés au regard du droit californien de "vente" ou de "partage" d'informations personnelles. La politique fait également référence à des partenaires publicitaires. C'est une divulgation que les autres applications de notre lot n'ont pas faite. Que cela constitue une vente dépend de la définition légale appliquée, mais la politique est la plus explicite de la catégorie sur ce point.

Quelle est la différence entre masquer des photos et les chiffrer ?

Masquer déplace un fichier vers un emplacement moins visible sur l'appareil ; le fichier sous-jacent est inchangé et lisible par quiconque ayant accès au stockage, y compris les outils de sauvegarde ou les logiciels forensiques. Chiffrer transforme le fichier en texte chiffré illisible sans la clé correcte. Beaucoup d'applications vault ne font que masquer. Une étude académique de 2022 (Ruffin et al.) a révélé que 15 des 20 applications vault Android populaires étaient récupérables avec un simple adb pull, sans aucun déchiffrement nécessaire.

Est-il sûr d'activer la sauvegarde cloud dans une application de coffre-fort photo ?

Seulement si la sauvegarde est chiffrée avant de quitter votre appareil et que le fournisseur ne peut pas la déchiffrer. Si le fournisseur peut récupérer vos fichiers quand vous perdez votre mot de passe, la sauvegarde est lisible par le fournisseur et exposée lors de toute fuite de serveur. L'incident Firebase de Brain Craft en 2025 a exposé des e-mails, des mots de passe en clair et des noms de dossiers précisément parce que le côté cloud n'avait aucune protection. Recherchez une architecture zero-knowledge avec chiffrement avant l'envoi.

Quelle application de coffre-fort photo ne nécessite pas de compte ni d'accès internet ?

Plusieurs applications fonctionnent entièrement hors ligne, sans compte. Lors de notre audit, deux portaient le label « Données non collectées » d'Apple : Safe Lock et Secret Photo Vault Lock Photos. Vaultaire ne nécessite aucun compte d'identité, adresse e-mail ou connexion réseau pour chiffrer et stocker les fichiers. Cela supprime une base d’identifiants de comptes gérée par un développeur, la classe d’exposition démontrée par l’incident Brain Craft Firebase de 2025. Cela n'élimine pas les surfaces d'attaque de l'appareil, du Keychain, de CloudKit, des analyses ou du système d'exploitation.