Nous aimons écrire sur les faiblesses des autres messageries — dernièrement les réglages par défaut de Telegram. Ce qui est juste est juste : avant de continuer à critiquer les autres, retournons le miroir. Voici ce qui brille un peu moins que ce que notre discours marketing laisse parfois entendre sur notre propre infrastructure.

« Décentralisé » ressemble plutôt à « deux serveurs, un seul opérateur » en ce moment

Le plus grand mot de notre propre vocabulaire est « décentralisé ». La version honnête : actuellement, exactement deux relais tournent. Un sur un serveur loué chez Infomaniak, un sur un NAS privé dans un salon en Suisse. Les deux sont exploités par la même petite équipe. Ce n'est pas la même chose qu'un réseau de nœuds indépendants que personne ne peut éteindre individuellement — c'est un système avec une redondance intégrée, mais avec le même contrôle en arrière-plan.

La différence avec un fournisseur centralisé classique reste réelle : après l'échange de clés, les relais ne voient plus que du texte chiffré, jamais du texte clair — ça reste vrai, qu'il y en ait beaucoup ou peu. Mais « personne ne peut lire au passage » et « personne ne peut couper » sont deux promesses différentes, et actuellement nous ne tenons honnêtement pleinement que la première. Plus d'opérateurs indépendants est le plan, pas l'état actuel — nous y travaillons.

Les publications locales n'atteignent que ceux connectés à ce moment-là

Une fonctionnalité que nous avons construite délibérément et dont nous ne sommes toujours pas pleinement satisfaits : les publications destinées aux environs immédiats — un vide-grenier dans le quartier, une annonce spontanée — n'atteignent que les personnes réellement connectées à cet instant précis. Il n'existe aucun mécanisme de recherche qui les retrouve plus tard, quand quelqu'un ouvre l'appli pour la première fois deux heures après la publication. Pour des publications qui périment vite de toute façon, c'est acceptable. Pour tout le reste, c'est une lacune que nous connaissons et n'avons pas encore comblée.

Une horloge intégrée que personne ne voit

Notre relais ne conserve pas indéfiniment les publications et les entrées d'annuaire — après sept jours, les anciennes publications disparaissent, sauf si quelqu'un les a mises à jour entre-temps. C'est une décision délibérée : un serveur qui accumule tout sans fin devient exactement le trésor de données que nous voulons éviter. Reste que c'est une décision centrale qui s'applique à tout le monde de la même façon, prise par nous, pas par une règle que les utilisateurs pourraient régler eux-mêmes. Ça aussi, c'est moins « décentralisé » que ça n'en a l'air, si on prend le mot au sérieux.

Ce que nous avons délibérément laissé tel quel

Certains points de cette liste ne sont pas des bugs mais des compromis pris les yeux ouverts. Pas de recherche plein texte dans l'historique des discussions côté serveur — conséquence directe du même chiffrement expliqué dans l'article StrongBox. Pas de sauvegarde qui atterrit automatiquement quelque part dans un cloud — qui perd son appareil doit avoir configuré ça lui-même au préalable (plus de détails dans l'article sur les téléphones perdus). Ce sont des compromis où nous avons délibérément choisi le côté le moins pratique, parce que le côté pratique est exactement la surface d'attaque que nous voulons éviter.

Le seul point dont nous ne sommes pas encore satisfaits

Si nous devions honnêtement nommer un seul point qui nous dérange le plus : le nombre d'opérateurs de relais indépendants. Deux serveurs sous une seule main sont un début, pas un objectif atteint. Ce n'est pas un secret que nous cachons — c'est écrit dans notre propre documentation technique, et c'est pourquoi nous voulons utiliser « décentralisé » avec plus de prudence à l'avenir, jusqu'à ce que plus de nœuds indépendants tournent. D'ici là : mieux vaut nommer honnêtement deux serveurs que de prétendre à un réseau qui n'existe pas encore.