Sécurité et confidentialité¶

Arca contient des données sensibles : numéros d'identité, contrats, données de santé, scans de vos documents. Cette page dit ce qu'Arca protège, ce qu'il vous laisse, et ce qu'il faut vérifier avant de l'exposer sur Internet.

Ce qui n'est pas chiffré¶

La base et les documents sont stockés tels quels sur le disque : ils ne sont pas chiffrés, données de santé comprises. Quiconque peut lire le disque peut les lire : toute personne ayant accès à l'ordinateur, à l'hôte Docker, au volume ou à une copie. C'est un choix : chiffrer le disque protège les mêmes données, avec des outils faits pour cela, et garde Arca simple. Cela comprend le texte des documents PDF (conservé pour la recherche).

Chiffrez le disque qui contient les données d'Arca : LUKS sous Linux, BitLocker sous Windows, FileVault sous macOS, le chiffrement de votre NAS ou de votre hôte de virtualisation.
Considérez que les administrateurs du serveur peuvent tout lire.
Un document supprimé est effacé du disque, mais les sauvegardes faites avant le gardent jusqu'à ce que la rotation les retire.

Ce qui est chiffré¶

Les sauvegardes et les exports sont chiffrés par votre clé de secours, affichée une seule fois quand vous activez les sauvegardes. Le serveur n'en garde que la moitié publique : il peut créer des archives, pas les lire. Tout stockage convient pour les copies, y compris un service grand public.

Gardez la clé de secours loin des archives : dans un gestionnaire de mots de passe, ou imprimée (kit de secours).
Une clé de secours perdue ne se récupère pas : les archives ne s'ouvrent plus.

Voir Sauvegardes automatiques et Copies hors du serveur.

Ce qui sort d'Arca¶

Rien, sauf ce que vous mettez en place : aucune télémétrie, aucune recherche de mise à jour, aucun appel réseau sortant.

La photo d'une pièce d'identité donnée à l'ajout rapide est lue sur le serveur par Tesseract, un programme installé avec Arca : elle n'est jamais envoyée ailleurs. Tant que le dossier n'est pas enregistré, la photo attend dans un dossier temporaire que les sauvegardes n'incluent pas ; elle est supprimée quand le dossier est enregistré, ou après 24 heures si vous abandonnez. De ce qui est lu, Arca garde le nom, la date d'expiration, le numéro du document et le pays de délivrance : la date de naissance, la nationalité et le sexe ne sont ni conservés ni affichés.

Le flux agenda est la seule exception, et c'est vous qui la choisissez. Son contenu est réduit au minimum : intitulé du dossier, action, dates et catégorie, jamais la référence, le montant, l'organisme ni les notes. Mais l'agenda qui s'y abonne (Google Agenda, Apple, une application du téléphone) voit et garde ces intitulés.

L'adresse du flux fonctionne sans mot de passe : traitez-la comme tel. Si elle fuit, régénérez-la dans la page Agenda ; l'ancienne adresse cesse de fonctionner.
Les flux par personne suivent la même règle.

Voir Flux agenda.

Qui peut se connecter¶

Arca a un seul compte, qui voit les données de tout le foyer. Ne le partagez avec personne à qui vous ne montreriez pas chaque dossier.

HTTPS dès qu'Arca sort de votre réseau local : derrière un proxy inverse, avec ARCA_HTTPS actif.
Les tentatives de connexion sont limitées par adresse. Derrière un proxy inverse, indiquez l'adresse du proxy dans ARCA_TRUSTED_PROXIES, sinon chaque échec compte pour le proxy, partagé par tous.
La double authentification (page Sécurité) pour une installation joignable depuis Internet sans proxy qui demande déjà un second facteur. Elle est inutile sur un réseau local.

Voir Sécurité de la connexion.

Liste de contrôle d'une installation joignable depuis Internet¶

[ ] Le disque qui contient les données est chiffré.
[ ] Arca n'est joignable qu'en HTTPS, avec ARCA_HTTPS actif.
[ ] ARCA_TRUSTED_PROXIES indique l'adresse du proxy inverse (la page Intégrité prévient quand il manque).
[ ] Le port d'Arca n'est publié que pour le proxy, pas pour tout le réseau.
[ ] La double authentification est activée, sauf si le proxy demande déjà un second facteur.
[ ] Le mot de passe est long et ne sert nulle part ailleurs.
[ ] Les sauvegardes automatiques sont activées, avec une copie hors du serveur, et la clé de secours est rangée à part.
[ ] Arca est tenu à jour.

Application de bureau¶

L'application de bureau (prévue) gardera ses données sur votre ordinateur, non chiffrées elles non plus : chiffrez le disque. Son verrou facultatif ne fait que masquer la fenêtre : il ne chiffre rien.