Vérifiez-nous

Ouvrez n'importe quelle page avec l'onglet réseau de votre navigateur, ou un bloqueur. Tout ce qui est chargé vient de tousensembles.fr : aucune police Google, aucun réseau de diffusion, aucune image d'un autre domaine.

curl -s https://tousensembles.fr/presentation \
  | grep -oE '(src|href)="https?://[^"]+"' \
  | grep -oE 'https?://[^/"]+' | sort -u

Les seules adresses externes qui apparaissent sont des liens vers les autres sites du projet — des liens sur lesquels on clique, pas des ressources chargées.

Ce qui le rend impossible, et pas seulement absent — notre politique de sécurité de contenu l'interdit. Elle se lit dans les en-têtes :

curl -sI https://tousensembles.fr/ | grep -i content-security-policy

Vous y verrez img-src 'self' data: blob: : aucune origine tierce n'est autorisée pour les images. Jusqu'au 30 septembre 2026 au matin, ce n'était pas encore vrai — 983 de nos articles portaient une image hébergée chez Unsplash. Nous les avons rapatriées le jour même, avant d'écrire cette page.

La revue de presse affiche des articles de journaux, avec leurs images. Celles-ci pourraient être chargées depuis les serveurs des journaux — ce que font la plupart des agrégateurs, et qui signale à chacun d'eux votre adresse IP, la page que vous lisez et votre navigateur.

Chez nous, elles passent par un relais côté serveur, qui les récupère, les convertit et les garde en cache local. Regardez l'adresse d'une vignette : elle commence par tousensembles.fr/media/img. Votre navigateur ne contacte que nous.

Ni Google Analytics, ni Matomo, ni Plausible, ni pixel de réseau social. Cherchez-les dans le code de la page :

curl -s https://tousensembles.fr/ \
  | grep -iE 'analytics|gtag|matomo|plausible|fbq|hotjar'

Deux cookies sont posés avant même que vous ayez un compte, et nous préférons les nommer plutôt que de prétendre qu'il n'y en a aucun :

• tousensembles-session — le panier technique de votre visite. Sans lui, un formulaire ne peut pas fonctionner.
• XSRF-TOKEN — le jeton qui empêche un autre site de soumettre un formulaire à votre place.

Ni l'un ni l'autre ne sert à vous suivre, et c'est pour ça qu'ils ne demandent pas de consentement. Notre règle n'a jamais été « pas de cookies », elle est « pas de traçage ».

Un serveur web enregistre ordinairement, pour chaque page ouverte, l'adresse IP du visiteur, son navigateur et la page d'où il vient. C'est le fichier que personne ne montre jamais.

Le nôtre ne contient ni adresse IP, ni en-tête : ils sont supprimés à l'écriture, avant d'atteindre le disque. Il reste l'heure, la méthode, l'adresse demandée et le code de réponse. Une IP est une donnée de localisation approximative, et elle n'a rien à faire là.

Ce contrôle-là, vous ne pouvez pas le faire vous-même, et il faut le dire : un fichier sur notre serveur n'est pas lisible depuis votre machine. C'est exactement le genre d'affirmation qui ne vaut que si elle est vérifiable — nous montrons ce fichier à qui vient le regarder.

Créez un compte, puis demandez l'export depuis vos paramètres : vous recevez un fichier JSON contenant ce que nous détenons de vous. Pas un résumé, pas une promesse — le contenu.

C'est le seul contrôle de cette page qui demande un compte, et c'est aussi le plus direct : comparez ce que vous avez donné et ce qui revient.

Vérifier son identité est facultatif. Quand quelqu'un le fait, sa pièce est lue puis détruite, et il ne reste en base que le mois et l'année de naissance, un indicateur majeur/mineur, et deux empreintes illisibles qui empêchent qu'une même pièce serve deux fois.

Ni le nom, ni le prénom, ni le jour de naissance, ni l'image. Le nom affiché sur un profil est celui que la personne écrit elle-même.

Ce que demandent les deux inscriptions, exactement — parce que c'est la première chose que vous constaterez en vous inscrivant, et qu'une page de vérification qui se trompe là-dessus ne vaut rien :

• Le service d'identité (auth.tousensembles.fr) ne demande qu'une adresse et un mot de passe.
• TousEnsembles demande un nom d'affichage — votre nom, ou un pseudonyme, au choix —, un identifiant, une adresse, un mot de passe, et une date de naissance.

Cette date est demandée pour trois raisons qui ne se contournent pas : l'âge minimum de 13 ans, le dispositif de l'adulte référent pour les comptes mineurs, et le droit de vote à 16 ans. Elle est saisie entière — ce qui permet de vérifier ces seuils au jour près — mais seuls le mois et l'année sont conservés. C'est le jour qui rend une date de naissance identifiante.

Conséquence, et elle nous plaît : nous ne pourrons jamais vous souhaiter votre anniversaire. Nous n'y tenons pas — ce serait le type même du message que nous nous interdisons, celui qui vous rappelle à nous parce que ça nous arrange.

Ce contrôle non plus ne se fait pas de l'extérieur. Ce que vous pouvez constater, c'est ce que le formulaire vous demande — et ce que l'export vous rend.

Le détail complet est sur une page à part, parce qu'il est long et qu'il mérite d'être cité : ce que la base contient colonne par colonne, les quatre champs qu'un service reçoit, les huit actions où une adresse IP est écrite, les durées d'effacement — et les deux endroits où le service en sait encore trop. Le service d'identité, en détail.

Un article peut citer une vidéo. Le lecteur de la plateforme n'est pas chargé à l'ouverture de la page : vous voyez une vignette locale et un bouton. Tant que vous n'avez pas cliqué, ni YouTube, ni Vimeo, ni Dailymotion ne sait que vous êtes là.

Au clic, le lecteur s'insère — et c'est vous qui l'avez demandé. Pour YouTube, l'adresse utilisée est youtube-nocookie.com.

Un article cite ses sources, et cliquer sur une source mène chez son éditeur. C'est le web : nous ne le changerons pas, et nous ne devrions pas.

On nous demande parfois pourquoi nous ne faisons pas passer ces liens par notre serveur, comme nous le faisons pour les images. Parce que ce serait pire. Relayer une destination, c'est télécharger la page du journal à la place du lecteur : devenir l'intermédiaire qui lit le contenu, décide de ce qu'il en montre, et voit passer chaque lecture. On remplacerait « ce journal voit arriver un lecteur » par « TousEnsembles voit tout ce que ses membres lisent ailleurs ».

La règle est donc : on relaie les ressources, jamais les destinations. Une image est un morceau de notre page, elle nous regarde. Une page d'arrivée appartient à son éditeur et à son lecteur.

Ce qui compte pour un lien sortant, c'est ce qu'il dit de vous en partant. Trois choses :

• le site d'arrivée apprend seulement que vous venez de tousensembles.fr, jamais quel article vous lisiez — c'est l'en-tête Referrer-Policy: strict-origin-when-cross-origin, que vous pouvez lire vous-même ;
• l'adresse de destination passe par une redirection signée, et notre journal de serveur en efface la destination : nous ne conservons pas où vont nos membres ;
• les liens portent rel="noopener" : la page ouverte ne garde aucune prise sur la nôtre.

Elle est facultative, sauf pour administrer le site et pour l'adulte qui veille sur un mineur. Elle se fait avec une clé d'accès : votre appareil en garde la partie secrète et ne la libère qu'avec votre empreinte, votre visage ou son code. Pas de SMS : il faudrait votre numéro.

Ce que nous gardons, exactement :

• pour chaque clé, son identifiant, sa partie publique — inutilisable sans votre appareil —, un compteur, le nom que vous lui donnez et sa date. Le modèle de votre gestionnaire de clés, sa façon de se brancher et ses certificats : la norme permet de les recevoir, nous les effaçons avant d'écrire ;
• de votre code de secours, une empreinte qui ne permet pas de le retrouver ;
• de votre contact de secours, qui il est — rien d'autre ; du code qu'il vous donne, une empreinte, effacée quand il sert ;
• d'une demande d'effacement de vos clés, sa date d'effet et l'empreinte du lien pour l'annuler.

Votre appareil, lui, emporte le nom affiché sur votre profil, pour que vous reconnaissiez votre clé — pas votre adresse. Si la clé est gardée par le compte Google ou Apple de votre téléphone, elle voyage dans leur nuage, chiffrée : c'est ce qui vous la rend sur un nouveau téléphone.

La clé ne vaut que pour tousensembles.fr et ses applications, Messages et Instants : une fausse page de connexion, sur une autre adresse, ne peut pas la déclencher. Et si vous perdez tout, l'effacement de vos clés prend sept jours, avec un courriel pour l'annuler : le temps d'arrêter quelqu'un qui aurait votre mot de passe.

Ce contrôle non plus ne se fait pas de l'extérieur. Ce que vous pouvez constater : ce que votre appareil vous montre en créant la clé — le site et le nom —, et la page Paramètres → Sécurité, qui redit ce que nous gardons.

Une page qui ne dirait que ses forces ne mériterait pas d'être lue. Voici ce qui reste hors de votre portée :

• Le code n'est pas public. Vous ne pouvez pas lire ce qui tourne. Nous ajoutons que l'ouvrir ne prouverait rien non plus : personne ne peut vérifier qu'un dépôt publié correspond au programme qui s'exécute.
• Ce qui se passe sur nos serveurs se croit ou se vient voir. Les journaux, la base, les sauvegardes chiffrées : nous les ouvrons à qui demande, mais c'est un déplacement, pas une commande.
• Nous hébergeons en France, sur un serveur que nous administrons, et notre courrier sort de notre propre serveur de messagerie. Vous pouvez le vérifier dans les en-têtes d'un message reçu de nous.