Secrets et vie privée

Statut (2026-11-10) : en grande partie implémenté. Faits : le chiffrement des secrets saisis (AES-256-GCM, clé DATA_DIR/protoflix.key), la confidentialité entre comptes et la bibliothèque privée, l'absence de télémétrie, les services extérieurs désactivés par défaut, la configuration affichée masquée. Planifiés et marqués comme tels plus bas : les variables *_FILE pour chaque secret, protoflix secrets rotate, l'export des données d'un compte.

1. Configuration et secrets séparés#

Règles :

• (Planifié) Chaque secret pourra être fourni par PROTOFLIX_<NOM>_FILE (compatible Docker secrets et LoadCredential= de systemd). La variable directe reste acceptée pour le développement.
• Les fichiers de secrets doivent être en 0600 (ou 0640 avec groupe dédié), propriétaire root ou protoflix. Au démarrage, le serveur avertit (ne refuse pas, pour ne pas casser Docker) si le fichier est lisible par tous.
• Le diagnostic de configuration (/api/v1/admin/config et commande CLI) affiche les clés présentes, jamais les valeurs (****).
• Les secrets saisis dans l'interface admin (ex. clé API d'un fournisseur) sont stockés en base chiffrés (AES-256-GCM) avec une clé hors base (DATA_DIR/protoflix.key, 32 octets aléatoires, créée au premier démarrage en 0600 si absente). Une sauvegarde de la base sans cette clé ne donne pas accès à ces secrets — la procédure de sauvegarde le documente.

2. Rotation#

3. Redaction des journaux#

Jamais journalisés : mots de passe, codes rapides, codes d'invitation, jetons de session/renouvellement/lecture, en-têtes Authorization et Cookie, clés API, jetons de worker, corps de requêtes d'authentification.

Mesures :

• Types dédiés pour les secrets (méthode LogValue de slog.LogValuer renvoyant ****) pour qu'une inclusion accidentelle soit masquée.
• Middleware d'accès HTTP qui journalise méthode, route modèle (/api/v1/media/s/{token}/...), statut, durée — pas l'URL brute.
• Chemins système : uniquement dans des journaux de niveau admin, jamais dans les réponses à un non-admin.
• Sortie stderr de FFmpeg : conservée pour le diagnostic admin, tronquée, avec chemins de bibliothèque remplacés par des identifiants dans les vues non admin.
• Traces OpenTelemetry : aucun attribut contenant jeton, cookie, corps ou chemin complet.

4. Données personnelles collectées#

Principe : collecte minimale. Pas de géolocalisation, pas d'empreinte d'appareil, pas d'analyse comportementale.

5. Export et suppression#

• Export (planifié) : un compte peut exporter ses données (préférences, progression, « Ma liste », historique, appareils) au format JSON, et récupérer les fichiers de sa bibliothèque privée.
• Suppression du compte par l'admin : supprime préférences, progression, « Ma liste », historique, sessions, appareils, codes rapides et la bibliothèque privée (fichiers compris, après confirmation indiquant le volume concerné, sans en montrer le contenu) ; les entrées d'audit sont conservées avec le compte pseudonymisé jusqu'à la fin de leur rétention.
• Effacement de l'historique par le compte : immédiat, lectures vues par l'administrateur comprises, sans affecter les corrections de catalogue (qui ne sont pas des données personnelles du spectateur).

6. Confidentialité entre comptes#

• Historique, « Ma liste », progression, préférences de lecture et bibliothèque privée sont privés au compte. L'admin applicatif gère les droits mais ne voit pas ces données : le refus est appliqué par les services serveur, pas seulement masqué dans l'interface (détail et exceptions minimales : authn-authz.md §7).
• Limite à dire honnêtement : ces données ne sont pas chiffrées de bout en bout. La personne qui administre la machine (root, accès au fichier protoflix.db, au stockage ou aux sauvegardes) peut techniquement les lire. Le texte d'information du compte l'indique.
• Les sauvegardes contiennent ces données et doivent être protégées comme telles (docs/operations/backup-restore-upgrade.md).

7. Aucune télémétrie externe#

• Le serveur n'envoie aucune donnée à ses auteurs ni à un tiers par défaut : pas de statistiques d'usage, pas de rapport de plantage, pas de vérification de mise à jour silencieuse.
• Seules connexions sortantes par défaut : les fournisseurs de métadonnées configurés par l'admin (ADR 0016). Le module Téléchargements (désactivé par défaut) ajoute, une fois activé, les connexions vers les sources demandées et, pour BitTorrent, vers les pairs, qui voient alors l'adresse IP publique de l'hôte.
• Les modules externes (ADR 0024) : aucun dépôt n'est contacté tant que l'administrateur ne lance pas une recherche ou une installation. La requête ne porte aucun identifiant ni statistique, et le dépôt voit l'adresse IP du serveur. Une fois activé, un module contacte les hôtes qu'il a déclarés.
• Les mises à jour (ADR 0027) sont désactivées par défaut. Activées, elles cherchent une version une fois par jour : la source voit la version installée et l'adresse IP de la machine.
• Le relais de notifications (ADR 0034) est désactivé par défaut (PROTOFLIX_PUSH_RELAY vide). Activé, il ne reçoit que des messages chiffrés de bout en bout : il ne voit qu'une poignée, une clé publique, une taille et une heure.
• Toute autre fonction future qui contacterait un service externe (un rapport de plantage, par exemple) sera, elle aussi, désactivée par défaut, décrite précisément et activable par l'admin.
• L'export OTLP (ADR 0012) est désactivé par défaut et ne pointe que vers une destination choisie par l'admin.

8. Fournisseurs de métadonnées#

Les requêtes envoyées aux fournisseurs ne contiennent que des informations sur les œuvres (titre, année, identifiants), jamais d'information sur les comptes ou ce qu'ils regardent. Le contenu des bibliothèques privées n'est jamais envoyé à un fournisseur externe sans action explicite du compte propriétaire.

Source : docs/security/secrets-and-privacy.md, dans le dépôt de ProtoFlix.