Confidentialité
Ce que fyl.at stocke et quand cela est supprimé. Il n’y a pas de comptes.
Fichiers que vous partagez
Le fichier est stocké dans Cloudflare R2, et son nom dans l’enregistrement du fichier chez Cloudflare, jusqu’à ce que le lien expire, que son unique téléchargement soit utilisé, ou que l’expéditeur ou l’opérateur le supprime. Le fichier et son nom sont alors supprimés. Les envois inachevés sont supprimés après 24 heures. Par précaution, le stockage supprime tout fichier encore présent après 8 jours.
Un petit enregistrement sans le nom du fichier (taille, dates et raison de la fermeture du lien) est conservé 7 jours, afin que le lien puisse indiquer ce qui s’est passé. Pour un fichier retiré par l’opérateur, cet enregistrement est conservé définitivement, afin que son lien reste bloqué.
Pour un mot de passe, seul un hachage PBKDF2 salé est stocké (100 000 itérations), plus une somme de contrôle à clé qui reconnaît une demande d’envoi répétée ; jamais le mot de passe lui-même. Les deux sont supprimés avec le fichier. La clé de gestion privée n’est, elle aussi, stockée que sous forme de hachage.
Fichiers chiffrés
Avec le chiffrement de bout en bout, le fichier est chiffré sur votre appareil avant l’envoi. La clé est la partie du lien après le #, que les navigateurs n’envoient pas à fyl.at. fyl.at stocke le fichier chiffré, sa taille et le moment où il est récupéré, mais pas son nom ni son contenu : il conserve un nom générique (« fyl- » suivi du début de l’identifiant du lien), la taille exacte, deux courts en-têtes chiffrés et une somme de contrôle de chaque partie envoyée, jusqu’à la suppression du fichier, comme pour tout autre fichier.
Toute personne disposant du lien complet peut ouvrir le fichier, et une clé perdue est irrécupérable. fyl.at ne peut pas vérifier les fichiers chiffrés ni leur expéditeur, n’ouvrez donc que les fichiers que vous attendez. Dans le navigateur, cela repose sur le code servi par fyl.at ; le CLI fyl, lui, exécute sur votre ordinateur une version figée et numérotée.
Un lien sans chiffrement contient le nom du fichier dans son chemin, que chaque requête envoie à fyl.at ; les liens avec mot de passe ne contiennent aucun nom. Un lien chiffré à usage unique reste ouvert depuis le même réseau jusqu’à 15 minutes après la livraison du fichier, afin de pouvoir réessayer après un échec d’enregistrement. Les signalements refusent les détails qui contiennent une clé.
Aperçus de liens
Quand un lien est publié dans une application de messagerie, le service d’aperçu de l’application récupère la page de téléchargement, qui indique le nom du fichier, sa taille, son type et son expiration ; les liens avec mot de passe n’affichent rien de tout cela. Pour une image jusqu’à 8 MB, sans mot de passe et autorisant plus d’un téléchargement, les services d’aperçu connus récupèrent aussi l’image. Cela ne compte pas comme un téléchargement. L’application de messagerie conserve sa copie sur ses propres serveurs, et cette copie peut survivre au lien.
Réseaux
fyl.at ne stocke pas les adresses IP. Lorsqu’une limite doit reconnaître un réseau (une adresse IPv4, ou un préfixe IPv6 /56 ; un /64 pour les téléchargements à usage unique), fyl.at en stocke à la place un hachage à clé (HMAC) :
- pour les limites d’envoi, un hachage qui change chaque jour ; ces entrées sont supprimées environ 30 jours après l’envoi.
- pour la limite de ce qu’un réseau stocke en même temps, un hachage qui ne change pas ; il n’est conservé que tant que les envois de ce réseau sont stockés, et supprimé lorsque leur espace est libéré après la disparition des fichiers.
- pour les téléchargements à usage unique et les essais de mot de passe incorrects, un hachage différent pour chaque fichier ; il est supprimé avec le fichier.
Les limites de débit des requêtes sont comptées par Cloudflare et non stockées par fyl.at.
Compteurs d’usage
fyl.at compte des événements tels qu’un envoi terminé ou un mot de passe erroné, chacun avec un code (comme une erreur ou le type de client, par exemple navigateur ou curl) et un nombre tel que la taille ou la durée de vie d’un fichier. Un envoi commencé et un envoi terminé (avec la durée choisie) sont comptés avec le type de client qui l’a envoyé, et un envoi terminé avec l’indication qu’il a un mot de passe, autorise un seul téléchargement ou est chiffré ; un lien fermé avec ce type de client et le nombre de fois où il a été téléchargé. Pour cela, l’enregistrement du fichier conserve le type de client jusqu’à la suppression du fichier. Le téléchargement du script d’installation ou du programme de l’outil en ligne de commande est compté avec la plateforme visée. Les compteurs ne contiennent ni identifiants de fichiers, ni noms, ni clés, ni adresses.
Quand une page est affichée, fyl.at compte une vue de page avec exactement ces informations : de quelle page il s’agit (accueil, formulaire de signalement, cette page, page de téléchargement ou lien fermé, jamais quel fichier) et, pour un lien fermé, pourquoi il s’est fermé ; le nom du site qui a mené à la page (ou « direct », ou le type de page fyl.at, jamais quel fichier) ; une balise de campagne du lien (utm_source, utm_campaign) s’il en a une ; le pays que Cloudflare déduit de la connexion ; le type de client (navigateur, outil en ligne de commande, robot, script ou autre) et, pour un navigateur, sa catégorie d’appareil (mobile, tablette ou ordinateur) et sa première langue. Le serveur la compte ; elle ne contient ni cookie, ni script de suivi, ni adresse, et rien n’identifie un visiteur ni ne relie deux visites.
Chaque événement et chaque vue de page est conservé avec son heure dans Cloudflare Workers Analytics Engine pendant trois mois, y compris après la disparition du fichier concerné, puis supprimé. Seul l’opérateur peut les lire.
Pour choisir la langue d’une page, fyl.at lit les langues que demande votre navigateur (son en-tête Accept-Language) quand vous ouvrez fyl.at/ ou un lien de téléchargement. Elles ne sont pas stockées : seule la première langue fait partie de la vue de page décrite ci-dessus. Le menu de langue est un simple lien vers la page dans une autre langue ; aucun cookie ne mémorise le choix.
Journaux de requêtes
fyl.at fonctionne sur Cloudflare, qui traite chaque requête. Ses journaux conservent un échantillon de 10 % des requêtes pour le dépannage, sans les chaînes de requête. Un chemin journalisé peut contenir le lien et le nom d’un fichier. La durée de conservation des journaux de Cloudflare s’applique.
Signalements
Un signalement stocke l’identifiant du fichier (pas le lien que vous avez saisi), la catégorie et les détails, votre nom et votre e-mail si vous les indiquez, le hachage du jour de votre réseau, et les décisions prises. Les fichiers fermés depuis moins de 7 jours peuvent encore être signalés. Un dossier est supprimé 183 jours après sa clôture ; un dossier sur lequel personne ne statue se clôt environ 8 jours après son dépôt, une fois que le fichier a forcément disparu.
Lorsqu’il est activé, le formulaire de signalement vérifie qu’une personne l’envoie grâce à Cloudflare Turnstile, qui ne dépose aucun cookie de suivi ; fyl.at transmet votre jeton et votre adresse IP à Cloudflare pour cette vérification et ne stocke ni l’un ni l’autre.
Dans votre navigateur
Le site conserve ceci dans le stockage local de votre navigateur, jamais sur le serveur :
- vos envois récents (jusqu’à 20) avec leurs liens de gestion privés, jusqu’à ce que vous les oubliiez ou un jour après l’expiration du lien ;
- un envoi inachevé avec sa clé privée, mais sans son mot de passe, jusqu’à ce qu’il se termine, que vous l’abandonniez, ou que ses 24 heures soient écoulées ;
- les mots de passe, uniquement si vous cochez « Mémoriser le mot de passe sur cet appareil ». Sinon, un mot de passe reste dans le stockage de session de cet onglet jusqu’à sa fermeture ;
- les clés des envois chiffrés, et les clés que vous avez saisies dans une page de téléchargement, dans le stockage de session de cet onglet jusqu’à sa fermeture ; dans le stockage local uniquement si vous cochez « Mémoriser les clés sur cet appareil ». Les envois récents conservent leurs liens sans la clé ;
- pour un envoi chiffré inachevé, une somme de contrôle de chaque partie envoyée, afin qu’une reprise puisse savoir si le fichier a changé ;
- votre thème de couleur.
Pour les effacer, utilisez « Oublier cet appareil » sous Envois récents, ou effacez les données de ce site dans votre navigateur. Le site ne dépose aucun cookie et ne charge aucun script, police ni traceur d’autres sites, sauf Turnstile sur le formulaire de signalement lorsqu’il est activé ; le formulaire a sa propre adresse, report.fyl.at, si bien que Turnstile ne s’exécute jamais là où ce site conserve vos données. Le CLI fyl ne stocke rien sur votre ordinateur.
Contact
Pour signaler un fichier, utilisez le formulaire de signalement.