Sécurité

Chiffrement

Les messages ne sont pas chiffrés de bout en bout. Ils reposent sur le serveur de la conversation. Un live public n’est pas chiffré de bout en bout non plus. Le transit HTTPS (TLS) n’est pas un E2EE.

Les appels 1:1 visent le pair-à-pair WebRTC. Le transport DTLS-SRTP est chiffré entre les deux appareils lorsque la session s’établit. Sans serveur relais TURN, certains réseaux d’entreprise ou box strictes empêchent l’appel. Nous ne le cachons pas.

Preuve d’identité

Un mot de passe ne prouve pas que vous possédez la boîte. D’où le code e-mail, distinct du code SMS. Google confirme l’adresse auprès de Google ; 𝕏 confirme le compte 𝕏. Dans tous les cas le numéro est confirmé à part.

Les e-mails jetables (yopmail, mailinator, et assimilés) sont refusés. Un appareil révoqué se déconnecte en moins d’une minute. Une passkey remplit l’e-mail : elle n’ouvre pas une session à elle seule.

Appareils et sessions

La liste des appareils est dans les Réglages. Révoquer un appareil le sort de votre compte. Un ban serveur affiche un écran fixe : l’application ne « plante » pas, elle refuse l’entrée.

Ce que vous pouvez faire

Un mot de passe long, unique. Ne donnez jamais un code BreniCall. Nous ne vous le demanderons pas par message. Méfiez-vous des liens dans un premier message d’un compte tout neuf.

Coupez le micro et la caméra dans le système si vous quittez un live. Sur le web, il n’y a pas de CallKit : l’appel sonne dans BreniCall, pas dans l’écran de verrouillage natif.