Sources

Les sources ci-dessous sont les références primaires/indépendantes qui portent les conclusions de premier ordre. La bibliographie élargie, les audits détaillés (organisme, date, version, scope, exclusions, findings, corrections/retest), vulnérabilités et matrices par service sont dans le dossier Phase 2. Les références sont classées par rôle; l’éditeur établit ses déclarations, pas une preuve indépendante de leur application en production.

Sources transversales et référentiels

• Spécification Matrix — protocole/API, source primaire.
• XEP-0384 OMEMO — extension XMPP E2EE, spécification.
• USENIX WOOT 2026 — Practical Attacks on a Decentralized Secure Messenger Session — recherche indépendante, Session Protocol V1.
• DFRWS / Forensic Science International 2026 — analyse forensique Matrix/Synapse — étude de serveur en environnement/version précisés; pas extraction Cellebrite mobile.
• Apple Security Updates, CVE-2026-28950 — avis primaire sur correctif iOS/iPadOS 26.4.2.

Signal

• Phone Number Privacy and Usernames — billet officiel, réglages d’identité et limites du username.
• Automatic Key Verification — billet officiel, key transparency et limites d’authentification humaine.
• Signal download et support linked devices — plateformes et appairage.
• Dossier de subpoena D.C. 2026 — documents et réponse fournisseur.

SimpleX, Olvid, Session

• SimpleX download, policy, calls guide, transparency — sources officielles; les affirmations de logs ne sont pas indépendamment mesurées.
• Olvid specifications, formal analysis 2026, multi-device — protocol, étude et contraintes produit.
• Session FAQ, USENIX WOOT 2026 — calls et analyse indépendante, périmètres distincts.

Threema, Briar, Cwtch, réseaux onion/P2P

• Threema transparency report, Desktop beta limitations, 2026 cryptography whitepaper [accès à vérifier].
• Briar how it works, Briar Desktop downloads, maintenance mode notice, 9 July 2026.
• Cwtch overview, downloads, reproducible bindings report.
• Les sources de Jami, Tox/qTox et Ricochet Refresh sont inventoriées par dépôt/protocole et limite de client dans le dossier de Phase 2; ne pas généraliser un résultat d’un client à l’autre.

Discord, Matrix, Wire, Telegram, WhatsApp, Delta Chat

• Discord DAVE protocol and code — périmètre médias audio/vidéo, distinct du texte; voir aussi son advisory traité en Phase 2.
• Matrix.org privacy notice, law enforcement guide, Element privacy — sources de fournisseur sur matrix.org/Element, pas tous homeservers.
• Wire iOS advisory CVE-2026-35049 — avis de sécurité avec versions et correction.
• U.S. v. Bryant [accès à vérifier] — opinion judiciaire concernant Discord et retour de mandat.
• Telegram Delhi High Court order [accès à vérifier] et follow-up [accès à vérifier] — production civile sous pli; champs/portée partiellement contradictoires.
• Wire investigation reporting with company confirmation — remise d’e-mail de compte, sans preuve de remise de contenu Wire.
• Delta Chat : audits Cure53/OTF Webxdc, études ETH/USENIX et doc Autocrypt sont cités individuellement dans le registre Phase 2; chaque audit couvre un périmètre distinct.

Repère de lecture final

Ne pas citer ce rapport comme certification de sécurité ni comme conseil juridique. Pour refaire une comparaison après une mise à jour majeure, la première tâche est de vérifier les versions et configurations, le statut de correctifs Session/Threema/Signal, les labels mobiles, les builds installés et les disclosures légales depuis les sources primaires. Le document canonique conserve les inconnues plutôt que de remplir les cases par supposition.