DeltaChat est une superbe application de messagerie chiffrée avec des fonctionnalités tout à fait comparables à WhatsApp ou Signal.

Je vais tenter d'écrire ici les raisons qui me font apprécier DeltaChat, et pourquoi il pourrait être intéressant pour vous. Je listerai aussi ses inconvénients, ainsi de comment il se compare à Signal (le "gold standard" des messageries chiffrées).

Telegram est populaire, mais l'éditeur peut lire toutes vos conversations. Snapchat surveille vos conversations et communique avec la police. Le chiffrement de bout en bout n'est pas une option : C'est le strict minimum que devrait proposer toute application de messagerie.

Signal le fait, par défaut. DeltaChat aussi.

WhatsApp collecte votre liste de contacts et l'envoie à Facebook. Pensez à vos amis: Ils n'ont pas forcément envie d'avoir leurs noms, photo, téléphones et adresses email envoyés à Facebook (et associés à votre identité) !

DeltaChat ne collecte pas votre carnet d'adresse.

Si vous utilisiez DeltaChat auparavant, il faut absolument vous sortir de la tête que DeltaChat est basé sur l'email. Ce n'est plus vrai.

DeltaChat ne recommande plus de passer par votre propre adresse email. Une identité DeltaChat, c'est désormais une clé cryptographique stockée dans votre appareil, et peu importe quels serveurs transportent vos messages (même s'il y a un serveur par défaut proposé).

Il faut le redire : Un compte DeltaChat n'est pas lié à un serveur particulier. C'est une identité cryptographique stockée dans votre appareil et pas ailleurs.

Pas de procédure lourde pour créer un compte, pas de carte SIM, pas de numéro de téléphone à donner, pas de SMS à valider, pas d'adresse email à fournir, pas de mot de passe à définir ou de confirmation à recevoir par email.

Pour se créer un compte:

• Lancez DeltaChat
• Choisissez un pseudo, validez.
• C'est tout, vous avez un compte DeltaChat.

Vous n'avez plus qu'à transmettre le QR-Code ou l'URL d'invitation à d'autres.

Votre identité DeltaChat est sur votre appareil. Aucun serveur ne la détient (pas même la photo de profil ou le pseudo).

Par défaut, il utilise le relai nine.testrun.org, mais sentez-vous libre d'ajouter un ou deux autres relais et même supprimer nine.testrun.org de votre compte.

(Vous avez en prime la possibilité d'héberger vous-même un relai ChatMail (C'est un serveur DoveCot modifié assez léger))

Signal a quelques problèmes:

• En plus du QR-Code et de l'URL d'invitation, quelqu'un peut vous contacter via votre numéro de téléphone ou via votre pseudo (pseudo.chiffres), ce qui fait qu'il est possible d'être spammé sur Signal (ou d'être contacté par quelqu'un qui voudrait se faire passer pour une autre personne)
  • Des utilisateurs de Signal se font spammer ou encore reçoivent de fausses invitations. Si vous avez Signal depuis longtemps, vous avez déjà dû recevoir du spam ou des mises en relation non-sollicités.
• Comme Signal a un problème de spam, il doit restreindre les inscriptions en demandant votre numéro de téléphone.
  • Il faut savoir que Signal utilise de multiples passerelles externes de vérification SMS selon les pays (qui donc savent que vous avez installé Signal) et cela coûte 6 millions de dollars par an à la fondation Signal.

DeltaChat n'a pas ce problème:

• Les comptes DeltaChat ne sont pas énumérable ou découvrables.
• Quelqu'un ne peut vous contacter que si vous lui avez envoyé l'URL ou le QR-Code d'invitation.
• Donc aucun spam ou contact frauduleux possible…
• …ce qui fait que DeltaChat n'a pas besoin de restreindre la création de compte en vérifiant votre identité (numéro de téléphone ou autre).
• Et si quelqu'un abuse du lien d'invitation que vous avez distribué, il vous suffit de le révoquer.

Non seulement DeltaChat n'a pas de problème de spam, mais du coup il n'a pas besoin d'informations personnelles (ni numéro de téléphone, ni adresse email, ni mot de passe).

Par défaut, quand vous créez un compte DeltaChat, vous êtes relié⋅e à un relai. À partir du moment où vous avez 2 ou 3 relais ChatMail attachés à votre compte, vous avez une vraie décentralisation:

• Si un serveur est saisi, le contenu de vos échanges est illisible.
• C'est votre appareil qui détient votre compte (pseudo, images de profil, clés de chiffrement). Il n'y a rien sur les serveurs (à par les messages chiffrés tant qu'ils ne sont pas livrés).
• Aucun des relais ne peut bloquer ou censurer votre compte (Ou du moins, s'il le fait cela n'aura aucun impact sur vous)
• Si un serveur ferme, ou est en panne, ou est saisi par les autorités, vos messages continueront d'être acheminés par les autres relais comme si de rien n'était.

Même Signal ne peut pas faire ça. (Les pannes d'AWS sont devenues des pannes de Signal: Plus personne ne pouvait communiquer)

(PS: Le proxy GCM qu'utilise DeltaChat reste tout de même presque un SPOF (Single-Point Of Failure))

Signal ne vous autorise qu'une identité. Ce qui peut être problématique: On ne veut pas forcément donner le même niveau d'information à tout le monde. On peut vouloir communiquer de manière confidentielle sans être publiquement identifiable. C'est une question de protection de soi et de ses proches.

DeltaChat vous permet d'avoir de multiples identités dans l'application et de passer très facilement de l'une à l'autre. La création d'une nouvelle identité prend moins de 10 secondes. Et il n'existe aucun moyen de faire un rapprochement entre deux identités ¹⁾. Cela permet de vous protéger en ligne en cloisonnant vos échanges.

Imaginez une liste de courses partagée dans une discussion. Les membres de la discussion peuvent venir l'éditer, en même temps, directement dans l'application DeltaChat. La mise à jour est instantanée. Et les données sont chiffrées de bout en bout pour les participants.

Mais il y a plein d'autres choses possibles ! : Calendrier partagé, édition de texte collaborative, sondages/votes/planification de dates, checklists, comptes à rebours, HyperCard, tableau blanc partagé, suivi du temps (timetracking), tableur (le tout en édition collaborative !), mini-blog/journal (exportable en html/pdf), suivi de tâches, liste de dépenses en commun, liste de souhaits… Les possibilités sont vraiment très chouettes.

Et le tout sans sortir de l'application et chiffré de bout en bout pour les participants.

Ça a l'air bête, mais c'est réellement unique et assez incroyable à utiliser. Je vous encourage à tester ! (Dans une conversation DeltaChat, appuyez sur 📎 puis "Appli")

Essayez par exemple, dans une conversation, d'ajouter "Realtime editor" (https://webxdc.org/apps/#durian-realtime-editor): Il permet de travailler sur un document texte de manière collaborative. C'est un petit éditeur Markdown. Vous voyez le curseur des autres utilisateurs, et vous recevez en temps réel les modifications du fichier.

https://webxdc.org/

Pour que d'autres personnes puissent communiquer avec vous, vous devez préalablement leur donner le QR-Code ou le lien d'invitation.

Sur Android, dans la liste des discussions, cliquez sur l'icône QRCode en haut à droite : Le QR-Code d'invitation s'affichera. Vous avez en dessous un bouton "LIEN" qui vous permet de partager le lien d'invitation au lieu du QR-Code.

Ce lien d'invitation est très pratique car il fait deux choses à la fois:

• Proposer d'installer DeltaChat pour ceux qui ne l'ont pas.
• Permettre d'entrer directement en contact avec vous pour ceux qui ont déjà DeltaChat.

Pour révoquer le lien/QRCode d'invitation, allez dans le menu "…" en haut à droite, et choisissez "Réinitialiser le code QR". Cela va créer un nouveau lien/QRCode d'invitation et invalider l'ancien (L'ancien code ne sera plus utilisable pour entrer en contact avec vous).

Votre appareil contenant votre identité DeltaChat, il est important d'en faire au moins une sauvegarde sur un autre appareil.

Allez dans Paramètres > Discussions > Exporter une sauvegarde

Le fichier ainsi créé contient:

• votre profil (identité cryptographique, photo de profil, pseudo).
• l'historique de toutes vos conversations et tous les médias associés (images, etc.)

Sauvegardez alors ce fichier sur un autre appareil. Cela vous permettra de le restaurer sur un appareil et de continuer à discuter. (L'historique de vos conversations s'arrêtera au moment où vous avez effectué la sauvegarde, bien sûr.)

⚠️ C'est d'autant plus important que DeltaChat ne permet pas de voir la liste des appareils associés à votre compte, ni de révoquer un appareil. Si quelqu'un met la main sur ce fichier de sauvegarde et l'utilise, vous n'aurez aucun moyen de le savoir. Protéger-le bien !

Ajouter un ou deux relais permet de fiabiliser l'envoi et la réception de messages en cas de problème sur le serveur par défaut (nine.testrun.org).

Sur Android, allez dans Paramètres > Avancé > Relais et appuyez sur le bouton "+" pour scanner le QR-Code d'un relai.

La liste des relais est là : https://chatmail.at/relays

Regardez bien où est hébergé chaque relai pour faire votre choix. Cliquez sur le relai et scannez son QR-Code pour l'ajouter.

Conseils:

• N'ajoutez pas trop de relais. Deux ou trois relais en tout, c'est largement suffisant. (Donc le relai par défaut nine.testrun.org plus 1 ou 2 relais max).
• Tant que possible, activez les messages éphémères dans les discussions afin de "purger" automatiquement les vieux messages. N'oubliez pas que tous les relais sont bénévoles, c'est plus sympa pour eux.
  • (Oui les messages sont purgés du serveur dès qu'ils sont délivrés, mais si vous avez plusieurs appareils associés ou que vous êtes dans une discussion avec des participants qui ne se connectent pas souvent, les serveurs vont retenir les messages pendant quelques jours. Activer les messages éphémères permet d'éviter que les messages trainent sur les appareils et sur les serveurs.)
• Notez aussi que chaque relai a un quota plus ou moins important: Sur nine.testrun.org (le relai par défaut), c'est 700 Mo. D'autres relais peuvent avoir des quotas différents (500 Mo, 400 ou 300). Vous pouvez voir l'utilisation de votre quota sur chaque relai dans l'option "Connectivité".
• Sentez-vous libre de supprimer ou modifier vos relais. Toute modification de votre liste de relais sera transmise à vos correspondants.
• DeltaChat n'est effectivement pas fait pour envoyer des fichiers énormes.

Entre Signal et DeltaChat (s'il y a des points de comparaison que j'ai oubliés, n'hésitez pas à me les signaler !)

DeltaChat permet de partager sa position en temps réel avec une personne ou un groupe, le tout bien sûr chiffré de bout en bout. Le partage de position n'est possible que sur les versions Android et iOS de DeltaChat.

Cas d'utilisation: Partager sa position pendant une rando ou une balade à vélo pour plus de sécurité, se retrouver dans une foule ou lors d'un festival, rassurer ses proches…

Par défaut, cette fonctionnalité n'est pas activée. Pour l'activer, allez dans les Paramètres > Avancé > et cocher "Envoi de la géolocalisation".

Dans une discussion avec une personne ou un groupe, appuyez sur 📎 et choisissez "Position". Vous pouvez alors choisir la durée de partage de votre position, de 30 minutes à 24 heures.

Cette fonction n'est accessible que sur smartphone et il faut bien entendu que les données mobiles soient activées et que vous ayez du réseau.

Pour cesser de partager sa position avant le délai d'expiration, refaites 📎 > "Position" et cela arrêtera le partage de position.

Sur smartphone : Dans une discussion, utilisez le menu "…" tout en haut à droite et choisissez "Carte". Vous pouvez alors (dé)zoomer pour voir les positions partagées sur la carte.

Sur ordinateur : Dans une discussion, cliquez sur l'icône de carte, juste à gauche du menu "…".

Il existe bien d'autres applications de messageries sécurisées : SimpleX, Wire, Olvid, xmpp+omemo, Matrix… je les connais, mais je ne les compare pas ici. Ce n'est pas le but.

Si vous voulez mon avis rapide, le voici:

• SimpleX : pas assez de recul.
• Threema : pas assez de recul.
• Briar : pas assez de recul.
• Jami
  • EDIT: Briar est en mode "maintenance". Le projet semble à l'arrêt. (source)
• Wire : Appartient à une entreprise Suisse privée. Bof. (L'affaire CryptoAG ça vous dit quelquechose ?)
• xmpp+omemo : ça marche très bien, mais les serveurs xmpp ont a priori plus de méta-données, et votre compte est détenu par le serveur (On a pas ce problème avec DeltaChat: Votre identité est une clé crypto dans votre périphérique)
• Olvid : Ça sonne faux dans mon cerveau.
• Matrix : Gouvernance trop problématique. Et du point de vue technique, bien trop de problèmes de synchronisation des clés et de messages indéchiffrables (à tel point que "Could not decrypt message" est devenu un mème). J'ai complètement laissé tomber.

• Autres comparatifs :
  • https://eylenburg.github.io/im_comparison.htm
  • https://www.messenger-matrix.de/messenger-matrix-en.html
• Expérience concrète de déploiement d'un serveur chatmail : https://runtimeterror.dev/self-hosted-chatmail-relay-for-delta-chat/
• DeltaChat fait partie des logiciels référencés par le Socle Interministériel des Logiciels Libres: https://code.gouv.fr/sill/detail?id=552