Conçu pour en savoir le moins possible sur vous.
Carnet ne peut pas toucher à vos fonds, ne vous demande aucun compte et ne parle à aucun serveur de son éditeur. Voici ce qu’il fait, ce qu’il ne fait pas, et ses limites.
Ne saisissez jamais vos 24 mots.
Votre phrase de récupération (12 ou 24 mots) donne un accès total à vos fonds. Carnet ne la demande jamais et n’accepte que des adresses publiques et des clés publiques étendues (xpub). Si une application, un site ou une personne vous demande ces mots, c’est une tentative de vol.
Ce qui sort de votre appareil, et vers qui.
Trois destinations possibles. Les deux premières ne reçoivent que le strict nécessaire. La troisième ne reçoit rien : il n’y a pas de serveur Carnet.
Votre appareil
- Le coffreAdresses, opérations, corrections, réglages : un fichier chiffré.
- L’interfaceAucun accès réseau.
- Le cœur, en RustLe seul à se connecter, en HTTPS ou à travers Tor.
-
les adresses du portefeuille synchronisé, un circuit par portefeuille
Services publics de blockchainmempool.space, Blockscout, Koios… Ils voient ces adresses, et votre adresse IP sauf avec Tor.pas votre adresse IP.
-
la liste des cryptos dont il faut le cours
Sources de coursDefiLlama, taux BCE… Jamais vos adresses, quantités ou dates d’opération.
-
rien
L’éditeur de CarnetPas de compte, pas de télémétrie, pas de rapport de plantage.
Lecture seule, par construction.
Carnet ne connaît que des identifiants publics : les mêmes que ceux que vous donnez pour recevoir des cryptos. Avec eux, on peut lire l’historique d’un portefeuille, pas le dépenser. Carnet ne signe aucune transaction et ne se connecte pas à votre Ledger.
Pour Bitcoin, Litecoin, Dogecoin, Bitcoin Cash et Zcash, les adresses sont dérivées de la xpub sur votre appareil : la xpub elle-même n’est envoyée à aucun service.
Aucun serveur, aucun compte, aucune télémétrie.
Carnet fonctionne en local, sans serveur de son éditeur : il n’y a pas de compte à créer, pas de synchronisation dans le « cloud », pas de mesure d’audience, pas de rapport de plantage, pas de mise à jour automatique. Rien de ce que vous faites dans Carnet n’est transmis à son éditeur.
Un coffre chiffré, sur votre appareil.
Tout ce que Carnet sait de vous (adresses, opérations, corrections, réglages) tient dans un seul fichier, chiffré par votre mot de passe :
- la clé est dérivée de votre mot de passe avec Argon2id, volontairement coûteux en calcul et en mémoire pour freiner les attaques par essais successifs ;
- le contenu est chiffré et authentifié avec XChaCha20-Poly1305 ; sa taille est arrondie pour ne pas révéler le volume exact de vos données ;
- chaque enregistrement est atomique, et la version précédente est conservée à côté du coffre ;
- le coffre se verrouille automatiquement après 10 minutes d’inactivité (réglable de 1 à 240 minutes) et, sur ordinateur, à la fermeture de la fenêtre. Une synchronisation en cours compte comme une activité : le verrouillage intervient une fois qu’elle est terminée.
Le mot de passe (12 caractères au minimum) n’est stocké nulle part et ne peut pas être récupéré. Si vous l’oubliez, il faut recréer le coffre : vos portefeuilles se resynchronisent depuis les blockchains, mais vos imports et corrections manuelles sont perdus. Les sauvegardes exportées restent chiffrées.
Vos relevés Coinbase ne sont pas conservés.
À l’import, Carnet extrait les opérations des fichiers CSV : dates, quantités, montants en euros. Votre nom, votre IBAN, vos numéros de carte et les adresses e-mail sont écartés, et le fichier lui-même n’est pas copié. Une fois l’import terminé, supprimez les fichiers de votre appareil ou rangez-les dans un endroit chiffré : ils contiennent vos coordonnées.
Discrétion à l’écran.
Sur ordinateur, Carnet demande par défaut au système d’exclure sa fenêtre des captures et des partages d’écran (le résultat dépend de l’outil de capture utilisé), et un bouton masque tous les montants. L’application n’accepte ni extension, ni glisser-déposer de fichiers, ni outils de développement.
Qui Carnet contacte, et ce qu’ils apprennent.
L’interface de Carnet n’a aucun accès réseau : sa politique de sécurité (CSP) ne l’autorise à parler qu’au cœur de l’application. Seul ce cœur, écrit en Rust, se connecte à Internet, uniquement en HTTPS (ou vers des adresses .onion à travers Tor), sans cookie, sans Referer et avec un identifiant de navigateur générique. Il ne contacte que des services publics, sans clé d’API ni compte :
| Usage | Services par défaut | Ce qu’ils voient |
|---|---|---|
| Bitcoin | mempool.space (son adresse .onion avec Tor), blockstream.info en secours | Les adresses du portefeuille synchronisé, et votre adresse IP sauf avec Tor |
| Litecoin | litecoinspace.org | |
| Ethereum | Blockscout (eth.blockscout.com), Routescan en secours, nœuds publics (Tenderly, dRPC, MEV Blocker, Blast, PublicNode) et l’API des validateurs de PublicNode | |
| Solana | Nœud public de la fondation Solana (api.mainnet-beta.solana.com) | |
| Cardano | Koios (api.koios.rest) | |
| XRP Ledger | Serveurs de Ripple (s1, s2), honeycluster.io, xrplcluster.com | |
| Dogecoin | Blockbook (dogecoin.atomicwallet.io), explorateur de Ledger en secours (explorers.api.live.ledger.com) | |
| Bitcoin Cash | Haskoin (api.haskoin.com), Blockchain.com, Blockbook (bchblockexplorer.com) en secours | |
| Zcash | Blockbook de Zelcore (blockbook.zec.zelcore.io), explorateur de Ledger en secours | |
| Arbitrum One, Avalanche, BNB Smart Chain, Cronos, HyperEVM | Routescan, 3xpl, explorateurs et proxys Etherscan de Ledger (proxyetherscan.api.live.ledger.com…), nœuds publics de chaque réseau (Arbitrum, Avalanche, BNB Chain, Cronos, Hyperliquid, dRPC, PublicNode, 1RPC) | |
| Cours | DefiLlama (coins.llama.fi), taux BCE via Frankfurter (et le portail de données de la BCE en secours), Coinbase Exchange (cours publics), Binance (cours publics, en secours, jamais avec Tor) | La liste des cryptos dont il faut le cours. Jamais vos adresses, quantités ou dates d’opération : les historiques sont demandés sur une grille fixe. |
Les listes de jetons reconnus et les adresses connues de Coinbase sont intégrées à l’application : elles ne sont pas téléchargées à l’usage. Le lien « voir dans l’explorateur » d’une opération ouvre votre navigateur seulement après confirmation. Dans les réglages avancés, vous pouvez remplacer chaque service de blockchain par votre propre nœud.
Tor, sans fuite silencieuse.
Sans Tor, un fournisseur peut associer les adresses qu’on lui demande à votre adresse IP. Sur ordinateur, Carnet peut passer par Tor. Il ne l’embarque pas : il utilise celui de Tor Browser (laissé ouvert) ou du service tor, une fois l’option activée dans ses réglages. Avec Tor, Carnet :
- utilise un circuit distinct par portefeuille, et un autre pour les cours : un fournisseur ne peut pas relier vos portefeuilles entre eux ni à votre adresse IP ;
- fait résoudre les noms de domaine par Tor et utilise les adresses .onion quand elles existent ;
- refuse de se connecter si Tor ne répond plus, au lieu de basculer en connexion directe ;
- demande une confirmation dans une fenêtre du système, hors de l’interface, pour désactiver Tor ou modifier un serveur : une interface compromise ne peut pas le faire en silence.
Ce que Carnet ne peut pas promettre.
- Un fournisseur de blockchain voit les adresses d’un même portefeuille ensemble : c’est inévitable pour les synchroniser. Tor empêche seulement de les relier à vous et à vos autres portefeuilles.
- Le chiffrement protège le coffre au repos. Il ne protège pas contre un logiciel malveillant installé sur votre appareil pendant que le coffre est ouvert.
- La sécurité du coffre dépend de votre mot de passe : choisissez-en un long et unique.
- Les données affichées dépendent de services publics qui peuvent se tromper ou être indisponibles ; Carnet signale les écarts qu’il détecte dans « À vérifier », sans les corriger à votre place.
- Carnet n’a pas encore fait l’objet d’un audit de sécurité indépendant.
Carnet arrive bientôt.
Sur Mac, Windows, iPhone et Android. Sans inscription, et vos données restent sur votre appareil.