Dépôts publics / activité observée — échantillon borné, pas audit exhaustif

Registre de preuves — Phase 2

Ce dossier est une pièce de recherche datée. La conclusion canonique est celle du rapport final 1.0. Les synthèses antérieures et renvois à la Phase 3 restent historiques. UNKNOWN reste UNKNOWN.

Dépôt client	Observation vérifiable au 13 oct. 2026	Ce qu’on ne peut pas en déduire
Signal Android	Observation vérifiable au 13 oct. 2026GitHub liste des releases fréquentes; v8.31.1 (8 oct.) est explicitement marquée pré-release, alors que v8.30.3 est marquée latest dans la page observée. Les tags affichent des commits courts; la page consultée n’établit pas à elle seule une signature cryptographique/reproductibilité. Releases.	Ce qu’on ne peut pas en déduireLa fréquence prouve une maintenance observable de ce dépôt, pas le nombre réel de mainteneurs, la sécurité du backend ou que le Play APK correspond au code taggé. Les artifacts et build pipeline n’ont pas été reproduits.
SimpleX Chat	Observation vérifiable au 13 oct. 2026Releases affichent v7.0.3 comme latest (26 sept. selon la page) et v7.1.0-beta.6 (3 oct.). Le tag et commit de cette beta sont marqués « verified » par GitHub pour la clé GPG D53BDFD153C366BA de Simplex Operations. La politique SECURITY.md est révisée le 25 mai 2026. Releases, security.	Ce qu’on ne peut pas en déduireSignature vérifiée GitHub ≠ build reproductible ni attestation que l’APK/IPA provient de ce commit; disponibilité de la clé/révocation et contrôle de la chaîne complète encore à documenter.
Element Android	Observation vérifiable au 13 oct. 2026Releases publiques jusqu’à v1.6.66. Un correctif high de sécurité est publié en v1.6.58 (13 mai, commit 80285ed selon la page) contre l’usurpation de sender_device_keys sur événements to-device chiffrés Olm, CVE-2026-45056/GHSA-wfq4-36m3-9g42; v1.6.62 (21 juillet, commit e2df418) corrige aussi la sanitisation d’emplacement de fichiers (GHSA-fr74-76wm-x6pp). Releases.	Ce qu’on ne peut pas en déduireCes correctifs doivent être reliés aux versions effectives utilisées; ils ne démontrent pas l’état de toutes les implémentations Matrix/clients ou serveurs. Date/commit courant de v1.6.66 pas suffisamment établi dans la lecture actuelle.
Briar	Observation vérifiable au 13 oct. 2026Page GitHub de releases consultée ne donne pas une liste exploitable dans l’extraction Web.	Ce qu’on ne peut pas en déduireCe résultat ne permet pas d’affirmer « projet sans releases » ni inactif; il faut interroger le dépôt, tags, F-Droid et site officiel de manière croisée.
Threema Android / iOS / Desktop / Web / Push Relay	Observation vérifiable au 13 oct. 2026Les dépôts officiels Android/iOS indiquent un commit par release publique non-bêta et commits PGP signés; Desktop publie l’historique des commits; Push Relay documente les champs de requête/payload. Au snapshot GitHub du 14 oct. 2026, l’activité était récente; Web est explicitement en maintenance (correctifs critiques, pas de nouveautés majeures). Android, iOS, Desktop, Web, Push Relay.	Ce qu’on ne peut pas en déduireCela ne prouve pas que les binaires distribués correspondent au code. Android décrit la reproductibilité comme expérimentale; iOS dit qu’elle reste à l’étude. Le README iOS signale une dépendance WebRTC fournie en binaire par Threema. Aucun rebuild/comparaison de hash ni audit du backend principal n’a été effectué. La clé PGP Web indiquée dans le README expire le 4 sept. 2026 : rotation/révocation à vérifier; cette date seule n’invalide pas rétroactivement les signatures.

Échantillon reproductible d’activité visible — branche par défaut, 90 jours

Au 14 octobre 2026, j’ai demandé à l’API publique GitHub les commits depuis le 16 juillet 2026, page 1 (100 éléments max), puis compté les identifiants d’auteurs distincts dans les commits retournés. Les nombres ci-dessous sont des comptes d’auteurs visibles dans l’échantillon, pas des mainteneurs vérifiés, développeurs équivalents temps plein, reviewers ou personnes qui gèrent les releases. Les dépôts à 100 sont tronqués par la limite de page; les contributions de bots, translations, merges et comptes secondaires peuvent gonfler ou fragmenter le compte.

Produit / dépôt réellement compté	Commits renvoyés	Auteurs distincts visibles	Portée
Signal — Signal-Android	Commits renvoyés≥100	Auteurs distincts visibles7	PortéeDépôt client Android seulement; les 100 résultats sont un plafond, pas le total.
SimpleX — simplex-chat	Commits renvoyés≥100	Auteurs distincts visibles5	PortéeMonorepo du client/protocoles; plafond atteint.
Olvid — olvid-android	Commits renvoyés2	Auteurs distincts visibles1	PortéeDépôt Android public seulement; services/backend séparés non comptés.
Session — session-android	Commits renvoyés≥100	Auteurs distincts visibles5	PortéeDépôt Android; un compte auteur représente la majorité de l’échantillon, mais bots inclus.
Threema — threema-android	Commits renvoyés3	Auteurs distincts visibles1	PortéeAndroid seulement; autres clients/repos non agrégés.
Tox — c-toxcore	Commits renvoyés23	Auteurs distincts visibles6	PortéeCœur protocolaire.
qTox — TokTok/qTox	Commits renvoyés23	Auteurs distincts visibles10	PortéeClient desktop; le fork actif est distinct de l’ancien dépôt archivé.
Matrix — Element X Android	Commits renvoyés≥100	Auteurs distincts visibles9	PortéeClient Android uniquement.
Matrix — Synapse	Commits renvoyés≥100	Auteurs distincts visibles25	PortéeHomeserver Matrix; il n’est pas agrégé avec les clients.
Telegram — Android source	Commits renvoyés38	Auteurs distincts visibles6	PortéeSource Android publique du client; iOS/backend non comptés.
Discord — libdave	Commits renvoyés15	Auteurs distincts visibles2	PortéeBibliothèque DAVE seulement; ne mesure pas l’équipe du client Discord fermé.
Wire — wire-android	Commits renvoyés≥100	Auteurs distincts visibles10	PortéeClient Android uniquement; plafond atteint.
Delta Chat — deltachat-android	Commits renvoyés≥100	Auteurs distincts visibles4	PortéeClient Android seulement; le core Rust et desktop ne sont pas agrégés.
Ricochet Refresh — ricochet-refresh	Commits renvoyés2	Auteurs distincts visibles1	PortéeBranche stable par défaut; alpha séparée non incluse.
Status — status-app	Commits renvoyés≥100	Auteurs distincts visibles10	PortéeApp seulement; Logos/Waku/projets voisins non agrégés.

Hors mesure GitHub dans cette passe : Cwtch publie ses dépôts sur git.openprivacy.ca [accès à vérifier]; Briar sur son GitLab officiel; Jami sur son infrastructure de revue/dépôt jami.net. Le lien GitHub Conversations cité dans le dossier XMPP a renvoyé 404 via l’API interrogée; le bon dépôt/miroir de la version 2.20.4+free reste à confirmer, donc aucun auteur n’est compté. Aucun dépôt public complet du client WhatsApp ou Discord n’est revendiqué ici. Ces absences d’échantillon GitHub ne signifient pas absence d’activité ou de source publique ailleurs.

Bilan supply chain de cette sous-étape. Rien ici ne prouve des builds reproductibles. Une release signée, un tag publié, du code source accessible ou une CI verte ne démontrent pas que l’installateur servi au téléphone a été construit à partir de ce code. Il faut comparer des builds locaux reproductibles aux binaires de chaque canal, vérifier signatures/digests, attestations CI, dépendances vendored et provenance des stores. Ce travail n’a pas été effectué.