SimpleX — dossier probatoire approfondi (état au 13 octobre 2026)

Registre de preuves — Phase 2

Ce dossier est une pièce de recherche datée. La conclusion canonique est celle du rapport final 1.0. Les synthèses antérieures et renvois à la Phase 3 restent historiques. UNKNOWN reste UNKNOWN.

Périmètre : applications SimpleX Chat et réseau SMP/XFTP/XRCP, sans assimiler les serveurs communautaires à l’opérateur de l’application. Dans le tableau, FACT désigne une propriété observée dans la documentation/code public consulté, non un test de production; VENDOR CLAIM est une déclaration du fournisseur; INDEPENDENT EVIDENCE est une publication ou observation tierce; INFERENCE est l’analyse qui en découle; UNKNOWN signale ce qui n’est pas établi. Les audits publics et leurs limites figurent aussi dans la section Audits SimpleX, déjà renseignée plus haut.

Catégorie	FACT	VENDOR CLAIM	INDEPENDENT EVIDENCE	INFERENCE	UNKNOWN
1. Architecture	FACTArchitecture ouverte à plusieurs opérateurs : clients, relais SMP, relais de fichiers XFTP et services facultatifs; profil local, pas de compte réseau central. Politique, protocoles	VENDOR CLAIMLe réseau n’attribue aucun identifiant utilisateur global et permet de choisir ou d’héberger ses relais. Présentation 2026	INDEPENDENT EVIDENCETrail of Bits a audité l’implémentation réseau/crypto en 2022 et le design de protocole en 2024; ni l’un ni l’autre ne couvre tout le système actuel.	INFERENCELe choix de relais répartit la confiance, mais ne crée pas un mixnet ni une protection uniforme contre une observation multi-points.	UNKNOWNCartographie exhaustive des opérateurs réellement utilisés par les clients, parts de trafic, déploiements et dépendances exactes.
2. Protocole cryptographique	FACTDouble Ratchet avec échange X3DH utilisant Curve448 selon le dossier de sécurité; couches de chiffrement SMP supplémentaires; KEM SNTRUP761 post-quantique disponible dans le protocole, mais optionnel selon version/connexion. Dossier de sécurité	VENDOR CLAIMLe fournisseur décrit les messages comme E2EE, avec forward secrecy et récupération post-compromission. Politique	INDEPENDENT EVIDENCEToB 2024 a identifié des faiblesses de spécification et de session XRCP; les changements v6.1 sont revendiqués dans l’annonce. Audit résumé	INFERENCE« PQ disponible » ne signifie pas que chaque échange de la version installée l’utilise; l’option, le négociateur, la compatibilité et la version comptent.	UNKNOWNNégociation réellement observée pour chaque plateforme/version; état de sécurité du protocole complet après l’audit 2026 non publié.
3. Création d’identité	FACTCréation locale d’un ou plusieurs profils; pas de numéro/e-mail obligatoire au protocole. Connexion au pair par lien/QR à usage unique; adresse publique longue durée facultative. Guide	VENDOR CLAIMAucun identifiant réseau n’est assigné à l’utilisateur.	INDEPENDENT EVIDENCELa politique précise que le profil ne crée aucun enregistrement de compte sur un relais. Politique	INFERENCEAbsence d’identifiant de compte réduit la jointure côté réseau, pas le risque d’auto-identification par pseudonyme, nom/photo, lien public ou canal d’invitation.	UNKNOWNTests de création et de suppression de profil sur chaque build/store, y compris télémétrie indirecte.
4. Contact discovery	FACTPas d’annuaire global de numéros ou d’identifiants; découverte par échange de lien/QR; adresses publiques et annuaire de groupes sont des fonctionnalités distinctes/opt-in. Guide contacts, politique Directory	VENDOR CLAIMLe fournisseur affirme que personne ne peut contacter un utilisateur sans obtenir son adresse de connexion; les adresses publiques sont un choix.	INDEPENDENT EVIDENCELa politique indique que le bot SimpleX Directory stocke les requêtes de recherche, messages et profils des groupes enregistrés.	INFERENCEL’option « pas d’annuaire » n’implique pas l’absence d’OSINT si une adresse publique ou un lien réutilisé est publié ailleurs.	UNKNOWNFréquence actuelle d’usage de Directory, rétention effective et logs, indexation des noms publics, comportement du client par défaut.
5. Métadonnées serveur	FACTChaque direction de message utilise une queue avec clés/identifiants propres; une connexion TCP peut transporter plusieurs queues d’un profil par défaut. Les serveurs voient les requêtes, temps, tailles de transport et IP source de leurs connexions.	VENDOR CLAIMLes relais préconfigurés disent ne pas journaliser les IP; la politique autorise néanmoins une conservation temporaire d’IP, localisation et session pour défense contre attaques/surcharge. Elle indique aussi que les hébergeurs/réseaux tiers peuvent journaliser des IP. Politique, §§104–139, 173–181	INDEPENDENT EVIDENCEAucun audit indépendant de logs de production ou de rétention effective consulté.	INFERENCEIl y a une tension de formulation entre « ne journalise pas les IP » en fonctionnement ordinaire et la collecte temporaire permise en exception; « pas de profil/ID » n’équivaut pas à zéro métadonnée de transport.	UNKNOWNQuels opérateurs ont activé les logs exceptionnels, critères, durée, mesures anti-corrélation et pratique effective des hébergeurs/CDN.
6. IP utilisateur	FACTRoutage privé à deux relais documenté : le client expéditeur passe par un relais/proxy distinct avant le relais de destination; accès direct configurable. Design de sécurité	VENDOR CLAIMLe relais choisi comme destination ne reçoit normalement pas l’IP source quand le routage privé par défaut est actif; Tor/VPN supplémentaires sont possibles. Politique	INDEPENDENT EVIDENCEPas de capture réseau ni mesure DNS/ASN/Tor réalisée dans cette enquête.	INFERENCELe premier relais connaît l’IP source; le relais de destination connaît son pair réseau immédiat. Un observateur capable de voir entrée et sortie peut tenter une corrélation de temps/volume; routage à deux sauts n’est pas une preuve de résistance à un adversaire global.	UNKNOWNRequêtes par version, circuits réutilisés, destination réelle, options « transport isolation », IPv6, DNS, SNI et comportement en panne/fallback.
7. IP exposée au correspondant	FACTPour les appels, le réglage documenté par défaut utilise un relais TURN; l’option « Always use relay » peut être désactivée pour permettre P2P. Guide appels	VENDOR CLAIMAvec relais actif, le pair ne reçoit pas l’IP directe; le relais peut voir IP, timing et durée de l’appel.	INDEPENDENT EVIDENCEAucun test ICE/capture ni vérification de l’IP vue par un correspondant n’a été exécuté.	INFERENCELe risque de fuite au correspondant dépend du réglage et d’un éventuel fallback ICE, donc à vérifier sur le build réellement utilisé.	UNKNOWNCandidates ICE exactes selon iOS/Android/desktop, appels derrière VPN/Tor, fuites IPv6 ou lors de transition réseau.
8. Messages	FACTMessages E2EE; les paquets sont complétés à 16 Ko selon la politique; les queues serveur gardent les messages non livrés puis suppression après livraison ou 21 jours sur relais préconfiguré. Politique	VENDOR CLAIMLe fournisseur dit que relais et opérateurs ne peuvent lire ni contenu ni taille du message.	INDEPENDENT EVIDENCEL’architecture et la spec sont publiques; pas d’analyse indépendante de paquets actuelle.	INFERENCELe padding à taille fixe masque une partie de la taille, pas l’activité, le nombre d’envois, le timing ni nécessairement les détails de segmentation/transport.	UNKNOWNVérification effective du padding, exceptions, receipts, logs d’erreur et rétention sur opérateurs tiers.
9. Groupes	FACTGroupes privés/« secret groups » et groupes publics/canaux existent; membres voient nécessairement une partie des membres et du contenu; relais gérés par les clients/réseau. Les canaux sont indiqués expérimentaux/beta. Groupes, politique	VENDOR CLAIMLes groupes privés ne donnent pas au serveur une liste lisible des membres; le fournisseur décrit une topologie sans identifiant global de groupe.	INDEPENDENT EVIDENCELe protocole d’agent et le modèle de menace sont publics; pas de mesure indépendante des fuites latérales de groupes.	INFERENCEUn membre malveillant peut exporter/capturer le contenu et cartographier les participants qu’il voit; les groupes publics/canaux ont un modèle d’exposition différent des groupes secrets.	UNKNOWNTaille maximale et protections réellement actives par version, métadonnées visibles aux propriétaires de relais/canaux, limites anti-Sybil et historique remis aux nouveaux membres.
10. Appels	FACTWebRTC avec chiffrement média documenté; relais TURN prédéfini par défaut, possibilité d’ICE/TURN auto-hébergé et bascule P2P. Appels de groupe non établis comme fonctionnalité générale dans la documentation consultée. L’interface d’appel iOS/Android peut aussi s’afficher écran verrouillé et, selon réglage, accepter sans déverrouiller. Guide	VENDOR CLAIMLe relais masque l’IP du contact et observe au moins la durée.	INDEPENDENT EVIDENCEAudit de conception ToB 2024 inclut XRCP/push mais pas une validation exhaustive de chaque stack appel actuelle; aucun test réseau local.	INFERENCETURN déplace l’exposition de l’IP du pair vers l’opérateur TURN; E2EE média ne masque pas adresse IP, timing, volume ou durée du relais. Une notification d’appel peut exposer nom/photo ou permettre l’acceptation locale selon les réglages.	UNKNOWNCodecs, implémentation E2EE par build, journaux TURN en production, appels de groupe et fallback exacts.
11. Fichiers	FACTXFTP découpe les fichiers en chunks de 64 Ko, 256 Ko, 1 Mo ou 4 Mo; relais préconfigurés conservent les fichiers 48 h selon la politique.	VENDOR CLAIMLes fichiers sont E2EE et le serveur ne peut connaître leur contenu ou taille exacte.	INDEPENDENT EVIDENCELe parser ALEAPP indépendant sait lire une base SimpleX si la clé/passphrase est disponible; il n’a pas établi le format de déchiffrement des médias dans son analyse. Parser	INFERENCELa granularité de chunks et le flux réseau peuvent donner des bornes sur le volume; il faut distinguer contenu illisible et métadonnées de transfert.	UNKNOWNExistence/format de previews et fichiers temporaires par OS; chiffrement en transit des chunks au repos sur serveurs tiers; rétention réellement observée.
12. Multi-device	FACTLa politique indique qu’un profil copié ne peut pas être utilisé simultanément sur plusieurs appareils sans perturber les conversations; export/import de données documenté.	VENDOR CLAIMLe comportement est présenté comme une propriété de sécurité du ratchet.	INDEPENDENT EVIDENCELes releases et docs distinguent app mobile, desktop et accès à distance; aucune analyse indépendante de toutes les liaisons n’a été faite.	INFERENCEUne copie de profil n’équivaut pas à des appareils liés indépendants avec état et clés séparés.	UNKNOWNExacte distinction actuelle entre transfert, desktop XRCP/remote control, sessions concomitantes et révocation par plateforme.
13. Push	FACTSur iOS, les notifications instantanées passent par un serveur SimpleX et APNs; le service SimpleX conserve le token et peut compter les queues abonnées et volumes approximatifs par queue; APNs reçoit des notifications chiffrées. Politique §§129–136	VENDOR CLAIMLe fournisseur dit qu’Apple ne voit pas les contacts ni relais d’origine. Android peut fonctionner sans push Google, avec un compromis délai/batterie selon configuration.	INDEPENDENT EVIDENCEPas de capture push, inspection de payload ou test comparatif sur iOS/Android effectué.	INFERENCEL’option push ajoute une dépendance centralisée Apple + serveur SimpleX et un canal de timing/volume, même si le contenu est annoncé chiffré.	UNKNOWNPayloads exacts, durée de rétention, lien token↔profil, notifications locales/écran verrouillé et comportement avec Play Services selon build.
14. Stockage local	FACTBase locale chiffrée; l’app génère un passphrase aléatoire et le conserve via Keychain iOS ou KeyStore Android (TPM disponible selon appareil). Desktop peut conserver le secret de base dans un fichier de configuration si choisi. Docs confidentialité/sécurité	VENDOR CLAIMLe chiffrement local protège la DB si l’appareil et le secret ne sont pas accessibles à l’attaquant.	INDEPENDENT EVIDENCEALEAPP documente l’extraction de messages/contacts à partir de la DB si la clé/passphrase est acquise; deux appareils testés et version exacte non établie dans sa note.	INFERENCEVerrouillage d’écran et chiffrement DB ne sont pas une preuve de résistance aux acquisitions forensiques; l’état du keystore et de l’appareil domine.	UNKNOWNRéglages par défaut/build exact, fichiers WAL/journaux, bases historiques non chiffrées, exposition mémoire et secrets d’appareils déverrouillés.
15. Sauvegardes	FACTExport/import de données et passphrase de base documentés; données perdues si app supprimée sans backup; les copies anciennes peuvent désynchroniser certaines connexions. Gestion des données	VENDOR CLAIMLa sauvegarde chiffrée est sous la responsabilité de l’utilisateur; le fournisseur recommande de la créer et la conserver sûrement.	INDEPENDENT EVIDENCEPas de vérification de l’archive exportée, du format ou d’un backup OS/cloud dans cette enquête.	INFERENCELa sécurité de la sauvegarde dépend du fichier/export et de son stockage; ne pas assimiler chiffrement de DB active à chiffrement garanti de toutes les copies.	UNKNOWNAlgorithmes, KDF, secrets inclus, exclusion iCloud/Google backup par version et restauration testée.
16. Analytics / SDK tiers	FACTLa politique interdit analytics/tracking dans les clients officiels et autorise des statistiques agrégées côté relais. Le repo et les dépendances sont publics.	VENDOR CLAIML’éditeur déclare que les clients ne partagent pas de tracking et que les relais préconfigurés ne publient pas de stats par personne/IP. Politique	INDEPENDENT EVIDENCELa fiche Google Play affirme « aucune donnée collectée » selon la déclaration développeur; ce n’est pas un audit indépendant. Google Play	INFERENCEUne déclaration de store et la présence de code source n’établissent pas l’absence de télémétrie dans le binaire livré ou de logs chez les SDK/OS.	UNKNOWNInspection complète des dépendances, manifestes/permissions Android, privacy label Apple actuel, SBOM et trafic sortant du build store exact.
17. Code source	FACTCode client et serveur publié sous AGPLv3 dans les dépôts SimpleX Chat et SimpleXMQ. Client, serveur/protocoles	VENDOR CLAIMLe fournisseur affirme que clients et relais préconfigurés sont compilés depuis le code public sans modification. Politique §§182–187	INDEPENDENT EVIDENCELes dépôts, tags, commits et releases sont publiquement consultables.	INFERENCE« Open source » permet l’inspection, mais ne démontre ni que les binaires livrés correspondent au code ni que tous les composants tiers sont audités.	UNKNOWNÉquivalence exacte app stores, bibliothèques natives, composants Apple propriétaires et infra déployée.
18. Builds reproductibles	FACTLe projet publie une procédure pour reproduire/vérifier les builds; les releases publient des hashes; tag v7.0.4 et beta.6 affichés signés par clé committer vérifiée D53BDFD153C366BA. Guide [accès à vérifier], releases	VENDOR CLAIML’utilisateur est invité à comparer les binaires reproduits au binaire publié.	INDEPENDENT EVIDENCEAucun APK/IPA/Desktop n’a été reconstruit ni comparé dans cette investigation; la signature GitHub ne suffit pas à établir la reproductibilité.	INFERENCELes tags signés et hashes améliorent provenance/intégrité, sans prouver le chemin complet source→build→store.	UNKNOWNRésultats de reproduction indépendante récente par OS, toolchains déterministes, provenance CI et correspondance App Store/Play.
19. Supply chain	FACTDépôt actif avec releases fréquentes, CI visible et fichiers de dépendances; la release beta.6 publie des hashes et un commit signé.	VENDOR CLAIML’éditeur dit que les apps officielles suivent le code public; les modifications réseau AGPL doivent être publiées.	INDEPENDENT EVIDENCEAudit ToB ne couvre pas la totalité de la supply chain actuelle; aucun SBOM/attestation SLSA complète examiné ici.	INFERENCERisques restants : mainteneur/compte GitHub, action CI, dépendances Haskell/Swift/Kotlin/native, app stores et mise à jour.	UNKNOWNNombre de mainteneurs réellement actifs, revue à deux personnes des composants critiques, signatures de tous artefacts, vulnérabilités de dépendances à l’instant du build.
20. Infrastructure	FACTRéseau multi-opérateur et relais auto-hébergeables; la doc serveur publie notamment les presets mobiles smp11, smp12, smp14. Serveurs	VENDOR CLAIMUne publication d’août 2026 affirme plus de 1 000 serveurs communautaires, chiffre non audité indépendamment. Présentation	INDEPENDENT EVIDENCESnapshot DNS/BGP daté du 14 oct. 2026 : smp11.simplex.im a répondu par 23.128.248.121 (AS400226, StormyCloud); smp12 et smp14 par 172.234.102.246 et 172.232.141.74 (AS63949, Akamai Connected Cloud/Linode). Les AAAA ont aussi répondu mais leurs préfixes ne sont pas établis dans cette passe. RIPEstat AS400226, AS63949	INFERENCELes presets vérifiés montrent au moins deux opérateurs réseau pour trois noms, sans établir les opérateurs de toutes les instances, leur propriétaire effectif, leurs régions ou le trafic réel.	UNKNOWNTopologie effective, hébergeurs/régions par relais, CDN, points concentrés, entités opératrices, logs et trafic réel par opérateur.
21. Juridiction	FACTSimpleX Chat Ltd est une société enregistrée au Royaume-Uni selon sa politique; les relais ont des opérateurs, hébergeurs et pays distincts. Politique, adresse société	VENDOR CLAIMLa société dit traiter les demandes légales via due process et ne fournir que le minimum imposé.	INDEPENDENT EVIDENCELe rapport de transparence est une publication du fournisseur, pas une décision judiciaire indépendante. Transparence	INFERENCELe droit applicable à une donnée dépend de la garde réelle (société, relais, hébergeur, Apple/Google, utilisateur), pas uniquement du siège SimpleX Ltd.	UNKNOWNEntité contractante par app store, résidences précises de données, sous-traitants, accords et lois applicables à chaque opérateur.
22. Demandes policières	FACTRapport fournisseur mis à jour le 9 février 2026 : 12 demandes d’autorités en 2025, aucune donnée responsive identifiée/remise selon l’entreprise. Transparency report	VENDOR CLAIMSimpleX affirme n’avoir jamais fourni de données utilisateur en réponse à ces requêtes; données présentes chez un tiers ne sont pas couvertes par cette seule déclaration.	INDEPENDENT EVIDENCEPas de dossier judiciaire, ordonnance ou production réellement remise par SimpleX identifié dans les sources consultées.	INFERENCELe résultat décrit le stock détenu par l’entité au moment des demandes, pas ce qu’un opérateur indépendant, Apple/Google, ISP ou appareil pourrait remettre.	UNKNOWNNature juridictionnelle des 12 requêtes, catégories visées, requêtes non comptées, demandes adressées aux serveurs communautaires et cas ultérieurs.
23. Affaires judiciaires connues	FACTAucune affaire publiquement documentée de remise de contenu ou de données par SimpleX Ltd n’a été identifiée dans cette étape.	VENDOR CLAIML’entreprise se présente comme n’ayant pas eu à livrer de données utilisateur.	INDEPENDENT EVIDENCEPas de recherche exhaustive par pays/nom d’opérateur/ordonnance; absence de cas trouvé n’est pas preuve d’absence.	INFERENCELa faible identifiabilité serveur rend certains retours impossibles, mais l’utilisateur peut être identifié par endpoint, paiement, lien, hébergeur ou appareil.	UNKNOWNSubpoenas sous scellés, saisies d’opérateurs communautaires, demandes d’interception et dossiers étrangers non indexés.
24. Audits	FACTToB 2022: implémentation (simplexmq + app), commits 413aad… / 07d2c9…, 4 findings, retest 2023 avec 3 résolus et 1 mémoire non résolu. ToB 2024: revue documentaire du design, commits d47c… / fba0…, 7 findings. Détails complets plus haut.	VENDOR CLAIMEn août 2026 SimpleX déclare une assessment ToB 2026 et promet le rapport avant fin d’année; SECURITY.md du 25 mai mentionnait une échéance prévue en juin.	INDEPENDENT EVIDENCELes PDFs ToB établissent séparément leur cible, méthode et scope; les fixes v6.1 du rapport de design sont décrits par SimpleX, sans fix review public.	INFERENCEUne assessment 2026 non publiée ne constitue pas encore preuve examinable; les rapports 2022/2024 ne garantissent pas versions 2026.	UNKNOWNAudit 2026 : versions, commit, exclusions, findings, sévérités, corrections et retest.
25. Vulnérabilités	FACTAudits précédents ont rapporté des findings; 2022: 4 issues, 3 corrections annoncées en v4.2; 2024: 7 findings dans le résumé, 3 améliorations annoncées en v6.1.	VENDOR CLAIMLe fournisseur présente le reste comme difficulté élevée, risque résiduel ou limitation de modèle; voir rapport d’audit.	INDEPENDENT EVIDENCEPas de recherche exhaustive des advisories/CVE/RustSec pour chaque dépendance et plateforme à cette étape; le code public n’est pas un scan de vulnérabilités.	INFERENCELes sévérités de cabinet, le risque exploitable dans un déploiement et le statut d’un patch sont trois questions différentes.	UNKNOWNÉtat exact des findings ouverts, CVE/advisories applicables, fixes liés à commit, retests indépendants et vulnérabilités non publiées.
26. Recherche académique	FACTLa politique renvoie notamment aux travaux sur ré-identification de graphes sociaux; cette citation générale n’est pas une évaluation de SimpleX.	VENDOR CLAIMLe fournisseur soutient que l’absence d’identifiant rend la corrélation de conversations plus difficile.	INDEPENDENT EVIDENCEAucune étude évaluant indépendamment le réseau SimpleX en production, son trafic global ou une attaque de corrélation actuelle n’a été identifiée dans le corpus de cette étape.	INFERENCELes analyses académiques générales sur traffic analysis / anonymisation motivent un test, mais ne démontrent pas la résistance de ce protocole précis.	UNKNOWNBibliographie exhaustive IACR/USENIX/NDSS/ACM/IEEE et résultats reproductibles sur SimpleX.
27. Incidents historiques	FACTAucun incident public de compromission globale du réseau n’a été confirmé dans cette étape; des findings de sécurité ont néanmoins été publiés dans les audits.	VENDOR CLAIML’éditeur dit n’avoir jamais été requis de donner accès à ses serveurs ou des données dans les textes historiques, puis publie les 12 demandes 2025 en transparence.	INDEPENDENT EVIDENCEPas de recherche DFIR exhaustive, registre d’incidents ou notification indépendante consultés.	INFERENCE« Aucun incident trouvé » ne signifie pas absence d’incident; panne, censure, bug protocolaire et violation de données sont à distinguer.	UNKNOWNIncidents non publics, compromises de relais communautaires, incidents fournisseurs cloud et réponse utilisateur.
28. Gouvernance / société / financement	FACTSimpleX Chat Ltd est l’éditeur commercial britannique; crowdfunding en capital annoncé en août 2026; le réseau compte aussi des opérateurs et contributeurs externes. Entreprise / campagne	VENDOR CLAIMLe projet affirme que le financement communautaire et les options payantes soutiendront un réseau ouvert et diversifié.	INDEPENDENT EVIDENCELa page de campagne est une déclaration du fournisseur; pas d’audit indépendant de gouvernance, cap table ou concentration des mainteneurs consulté.	INFERENCELe client est libre/AGPL, mais développement, publication, clés de signature et push iOS restent des points de confiance organisationnels.	UNKNOWNBénéficiaires effectifs, répartition financière, droits des investisseurs, gouvernance sécurité et succession des clés.
29. Résistance à la censure	FACTRelais interchangeables/auto-hébergés, adresses .onion et proxy Tor documentés selon plateformes/configuration. Guide sécurité	VENDOR CLAIMLe fournisseur présente le réseau sans identifiant et multi-opérateur comme plus résilient à la déplateformisation.	INDEPENDENT EVIDENCEAucune campagne OONI ni mesure de blocage/censure SimpleX par pays/ASN n’a été établie ici.	INFERENCEChanger de relais/Tor peut contourner certains blocages, mais domaines de découverte, téléchargement, stores, bootstrap, push iOS et disponibilité des pairs restent censurables.	UNKNOWNFonctionnement réel des bridges/obfuscation, résistance DPI, accessibilité des .onion par app/version et résultats par pays/réseau.
30. Maintenance actuelle	FACTAu snapshot du 14 oct. 2026, GitHub liste v7.0.3 comme stable/latest (26 sept.) et v7.1.0-beta.6 publiée le 3 oct.; tags/commits récents sont marqués signature vérifiée Simplex Operations. Releases	VENDOR CLAIML’éditeur publie régulièrement versions stables/bêta et plateformes Android/iOS/Desktop.	INDEPENDENT EVIDENCEReleases datées et signatures visibles sur GitHub; l’état effectivement servi par chaque store/pays n’a pas été comparé.	INFERENCEActivité récente observable, mais release cadence et signatures ne démontrent pas l’absence de défauts ni déploiement immédiat.	UNKNOWNVersions exactes en Play/App Store/F-Droid par région, taux d’adoption, mainteneurs actifs et délai de correctif.

SimpleX — observation DNS/BGP des presets publics

Résolution A/AAAA effectuée le 14 octobre 2026 vers 00:29–00:32 heure de Paris (13 oct. UTC); RIPEstat a servi à rechercher les préfixes/ASN IPv4. Le résolveur DNS utilisé n’a pas été identifié. C’est une mesure active ordinaire de résolution DNS, pas une recherche passive DNS historique, et aucun port n’a été contacté.

Nom publié par le projet	A observée	AAAA observée	Routage IPv4 RIPEstat au snapshot	Ce que cela établit / n’établit pas
smp11.simplex.im	A observée23.128.248.121	AAAA observée2602:fc05::121	Routage IPv4 RIPEstat au snapshot23.128.248.0/24, AS400226 (StormyCloud Inc.)	Ce que cela établit / n’établit pasRoute annoncée vers un réseau StormyCloud à ce moment; pas le propriétaire du serveur ni son emplacement physique.
smp12.simplex.im	A observée172.234.102.246	AAAA observée2600:3c09::2000:66ff:fe0b:4cb2	Routage IPv4 RIPEstat au snapshot172.234.96.0/19, AS63949 (Akamai Connected Cloud/Linode)	Ce que cela établit / n’établit pasAttribution réseau, pas preuve que SimpleX loue directement l’hôte ni d’une région précise.
smp14.simplex.im	A observée172.232.141.74	AAAA observée2600:3c09::2000:64ff:fe13:e8ca	Routage IPv4 RIPEstat au snapshot172.232.128.0/19, AS63949 (Akamai Connected Cloud/Linode)	Ce que cela établit / n’établit pasMême ASN que smp12 au snapshot; ne prouve pas une administration commune ni les logs du relais.

Les TTL DNS observés variaient (environ 30 s à 2 h); l’attribution BGP et les réponses DNS peuvent donc changer. Les adresses IPv6 ont été notées, mais leur préfixe/ASN n’est pas reporté ici faute de résultat RIPEstat vérifiable conservé. L’observation n’établit pas les autres services SMP, XFTP/XRCP, API, push, CDN, journaux, localisation ou l’usage effectif d’un compte donné. La policy et les docs réseau restent la preuve de l’architecture déclarée; les observations ci-dessus ne valident pas la rétention annoncée.

SimpleX — matrice des métadonnées

Ici, « fournisseur » distingue le service SimpleX Chat Ltd des relais tiers choisis; l’ISP voit le trafic réseau, pas nécessairement les données applicatives. « Autorités » signifie données potentiellement accessibles par voie légale auprès de la partie qui les détient, et non remise effectivement constatée.

Métadonnée	Fournisseur / relais	Contact	ISP	Apple / Google	Autorités
IP	Fournisseur / relaisCONFIRMÉ aux relais/routeurs connectés; politique dit pas de logs ordinaires mais autorise rétention temporaire défensive et logs des hébergeurs.	ContactNON ACCESSIBLE PAR DESIGN via message routé normalement; POSSIBLE si P2P appel activé ou hors-app.	ISPCONFIRMÉ IP source et adresses des relais; contenu chiffré.	Apple / GooglePOSSIBLE via app store/push; lien avec profil SimpleX inconnu.	AutoritésPOSSIBLE auprès de relais, hébergeur, ISP ou téléphone si données existent.
Téléphone	Fournisseur / relaisNON ACCESSIBLE PAR DESIGN comme champ de compte requis.	ContactPOSSIBLE si communiqué dans le profil/conversation/autre canal.	ISPNON ACCESSIBLE PAR DESIGN via seul flux de données; opérateur mobile peut l’associer à l’abonné.	Apple / GooglePOSSIBLE dans compte Apple/Google, sans lien app démontré.	AutoritésPOSSIBLE via opérateur, appareil ou carnet d’adresses; remise par SimpleX non établie.
Email	Fournisseur / relaisNON ACCESSIBLE PAR DESIGN comme identifiant SimpleX; POSSIBLE au support si l’utilisateur écrit par email.	ContactPOSSIBLE si partagé dans la conversation.	ISPNON ACCESSIBLE PAR DESIGN par le seul transport chiffré.	Apple / GooglePOSSIBLE compte store; corrélation au profil inconnue.	AutoritésPOSSIBLE via fournisseur mail, app store ou appareil.
Identifiant	Fournisseur / relaisCONFIRMÉ identifiants/clefs propres aux queues et tokens techniques; NON ACCESSIBLE PAR DESIGN pour un identifiant global d’utilisateur revendiqué par le protocole.	ContactCONFIRMÉ adresse/lien et code de connexion remis au contact; profil de chat choisi.	ISPNON ACCESSIBLE PAR DESIGN en clair comme ID de profil, mais IP/route visibles.	Apple / GooglePOSSIBLE via installation/push; mapping profil↔token non mesuré.	AutoritésPOSSIBLE via données détenues, contact, appareil ou saisie.
Graphe social	Fournisseur / relaisNON ACCESSIBLE PAR DESIGN en clair selon design; timing, queues, push et logs défensifs peuvent créer des indices.	ContactCONFIRMÉ sur les contacts/groupes qu’il rejoint et profils qui lui sont montrés.	ISPPOSSIBLE par corrélation multi-points timing/volume, pas par accès direct à la liste de contacts.	Apple / GooglePOSSIBLE par signaux de push/timing; graphe non démontré.	AutoritésPOSSIBLE auprès des membres, appareils ou par corrélation multi-sources; aucune remise SimpleX documentée ici.
Timestamps	Fournisseur / relaisCONFIRMÉ comme conséquence des connexions/queues et compteurs de push; durée de stockage inconnue.	ContactCONFIRMÉ dans historique local et événements visibles.	ISPCONFIRMÉ heures de connexions et volumes.	Apple / GooglePROBABLE sur événements de livraison push; rétention exacte inconnue.	AutoritésPOSSIBLE selon logs du relais, hébergeur, ISP et appareil.
Volumes	Fournisseur / relaisCONFIRMÉ volume de transport; fournisseur dit que le message est paddé et ne révèle pas taille exacte.	ContactCONFIRMÉ contenu/taille reçus localement.	ISPCONFIRMÉ octets, durée, cadence.	Apple / GooglePOSSIBLE nombre/cadence de push.	AutoritésPOSSIBLE via logs techniques/ISP si conservés.
Groupes	Fournisseur / relaisNON ACCESSIBLE PAR DESIGN en clair selon conception des groupes secrets; services expérimentaux/canaux à part.	ContactCONFIRMÉ pour les membres du groupe; nouveaux membres peuvent recevoir un historique limité selon réglage.	ISPPOSSIBLE par analyse de trafic répétée, pas liste directe.	Apple / GooglePOSSIBLE corrélation de push/timing; groupe précis inconnu.	AutoritésPOSSIBLE via appareils de membres, relais de canal ou données de trafic disponibles.
Appareils	Fournisseur / relaisPOSSIBLE via connexions IP/session et comportement réseau; pas d’inventaire utilisateur connu revendiqué.	ContactPOSSIBLE à partir des changements d’état, sans inventaire fiable.	ISPCONFIRMÉ adresses/connexions par appareil au niveau réseau.	Apple / GoogleCONFIRMÉ token APNs sur push iOS; relation profil exacte inconnue.	AutoritésPOSSIBLE via relais/ISP/store/appareil selon conservation et ordre.
Push tokens	Fournisseur / relaisCONFIRMÉ stockés au serveur push SimpleX pour iOS instantané.	ContactNON ACCESSIBLE PAR DESIGN au correspondant.	ISPNON ACCESSIBLE PAR DESIGN comme token; IP/temps visibles.	Apple / GoogleCONFIRMÉ APNs reçoit la notification chiffrée selon design déclaré; token détenu côté service push/Apple selon fonctionnement APNs.	AutoritésPOSSIBLE auprès de SimpleX/Apple si soumis et conservé; remise documentée inconnue.

SimpleX — première colonne de la matrice TM1–TM15

Échelle conforme aux définitions de la mission initiale; appréciation provisoire et spécifique aux versions/configurations documentées, pas classement inter-produits. Les cellules 🔴 concernant l’endpoint ne signifient pas que l’E2EE est cassé : elles indiquent que l’adversaire considéré agit après le déchiffrement.

Modèle de menace	Cellule	Justification probatoire courte
TM1 — fournisseur curieux	Cellule🟡	Justification probatoire courtePas d’identifiant global ni contenu lisible revendiqué, mais IP/temps/volumes, tokens push et rétention défensive potentielle; politique précise les sous-traitants. Politique
TM2 — fournisseur compromis	Cellule🟡	Justification probatoire courteE2EE et queues distinctes limitent le contenu; un serveur peut observer transport/queues, bloquer ou altérer la disponibilité. Analyse de compromission conjointe de plusieurs relais non établie. Security design
TM3 — fournisseur malveillant	Cellule🟡	Justification probatoire courteClés/lien de connexion établis hors bande et codes de sécurité aident contre substitution de relais; une app/mise à jour malveillante ou endpoint visé reste hors de cette protection. Guide vérification
TM4 — ISP / Wi-Fi / réseau local	Cellule🟠	Justification probatoire courtePeut voir IP des relais, horaires et volumes; Tor/proxy modifie le point visible mais aucune capture actuelle ni preuve d’obfuscation systématique.
TM5 — passif multi-points	Cellule🟠	Justification probatoire courteLe routage à deux relais complique la liaison par un seul relais; deux points d’observation peuvent corréler timing/volume, sans preuve de défense par mixage/délai/couverture.
TM6 — adversaire global passif	Cellule🔴	Justification probatoire courtePas de preuve de résistance à l’observation globale; routage à faible latence, relais connus et corrélations de trafic restent des signaux.
TM7 — contact malveillant	Cellule🟡	Justification probatoire courtePas de numéro requis et l’adresse peut être à usage unique; appel P2P si activé, profil, liens externes, capture de contenu et messages partagés restent exposés. Calls
TM8 — harceleur / doxxer OSINT	Cellule🟡	Justification probatoire courteRéduit l’énumération par identifiant public obligatoire; ne protège pas contre réemploi de pseudonyme/photo, adresse publique, liens partagés, paiement ou corrélation hors app.
TM9 — demande judiciaire classique	Cellule🟡	Justification probatoire courteSimpleX déclare 12 demandes en 2025 sans information fournie; IP/logs tiers ou push potentiellement accessibles ne sont pas couverts par cette déclaration. Transparence
TM10 — enquête policière sophistiquée	Cellule🟠	Justification probatoire courtePeut agréger données ISP/hébergeur/store, saisie d’appareil, contact et OSINT; DB peut être analysée si le secret est obtenu. Aucune extraction universelle actuelle n’est démontrée. ALEAPP
TM11 — saisie d’un appareil verrouillé	Cellule❓	Justification probatoire courteDB chiffrée et secret via Keychain/Keystore sont des protections documentées, mais aucun test forensic verrouillé sur version/OS/appareil précis n’a été établi ici.
TM12 — appareil déverrouillé	Cellule🔴	Justification probatoire courteHistorique et médias doivent être accessibles à l’app; un outil avec accès à la session peut lire les données après déchiffrement. L’E2EE réseau ne protège pas ce cas.
TM13 — spyware ciblé / endpoint compromis	Cellule🔴	Justification probatoire courteSpyware avec accès à l’écran, mémoire, base déchiffrée ou saisie peut capter avant/après chiffrement; pas de protection d’endpoint absolue démontrée.
TM14 — supply-chain compromise	Cellule🟡	Justification probatoire courteCode public, tag/commit signés et procédure de reproduction documentée; aucune reproduction de build ni validation de la chaîne CI/store n’a été faite ici. Releases
TM15 — censure étatique	Cellule🟡	Justification probatoire courteRelais interchangeables, auto-hébergement et Tor/onion offrent des options; stores, domaines, bootstrap, push iOS, protocole et pairs restent bloquables. Aucune mesure pays/ASN actuelle consultée.

Contradictions et questions expérimentales propres à SimpleX

• Identité : l’affirmation « aucun identifiant utilisateur » est vraie au sens du protocole/réseau sans compte global; elle ne signifie pas qu’un utilisateur ne peut pas créer une adresse publique ni être identifié par son profil, son lien ou les endpoints.
• Logs IP : « preset servers do not log IPs » coexiste dans la même politique avec une possibilité de stockage temporaire d’IP/session/localisation pour défense contre abus et avec les logs d’hébergeurs. C’est une différence entre pratique ordinaire déclarée, exception technique autorisée et collecte sous-traitant, pas nécessairement une contradiction logique; la fréquence et la rétention réelle sont inconnues.
• Post-quantique : la KEM PQ est une option de protocole, pas une garantie démontrée de négociation sur toute connexion/appareil.
• Audit 2026 : « effectué » dans l’annonce d’août; rapport et détails encore non publics au 13 octobre. L’état « scheduled » de SECURITY.md (révision 25 mai) est périmé sur la réalisation, mais reste la dernière page de sécurité de repo consultée.
• Tests nécessaires : capture DNS/TLS/IP/IPv6 et corrélation de flux sur deux relais; test appels ICE avec relay on/off; inspection APNs et notifications; reproduction APK/IPA depuis tags signés; inventaire AndroidManifest/permissions et frameworks embarqués; forensic Android/iOS avec build, OS, modèle, état verrouillé, passphrase/keystore, WAL et fichiers; lecture du rapport ToB 2026 dès publication; mesure DNS/ASN/CT passive datée pour les services choisis. Aucun de ces tests n’est revendiqué comme effectué ici.

Conclusion actuelle

Lire la fiche de référence SimpleX.