Une promesse doit être exacte

Ce que Capsule garantit, et ce qu’elle ne garantit pas

Mise à jour le 10 octobre 2026. Chaque phrase de cette page décrit ce que fait réellement Capsule. Son code, votre navigateur le reçoit en entier : chacun peut le lire.

Qui peut lire, et quand

Pour que la date tienne, il suffit que la première ligne reste vraie jusqu’au jour dit : la personne a la capsule, pas encore le code. Ou que la dernière s’applique : la date verrouillée tient même si la personne a déjà tout, sauf la clé d’auteur, qui ne se transmet pas.

Ce que Capsule garantit

• Illisible sans le codeLe contenu est chiffré sur votre appareil en AES-256-GCM, avec une clé dérivée du code par PBKDF2-SHA-256 et 600 000 itérations, sur un sel tiré au hasard pour chaque capsule. Pour une capsule média, une clé propre, tirée au hasard, chiffre les fichiers bloc par bloc ; c’est elle que le code protège. Sans le code, ni le lien ni le fichier ne livrent rien, avant comme après la date.
• Rien de vos capsules ne passe par nousLe message, les fichiers et les prénoms ne quittent votre appareil que chiffrés ; le code, jamais. Dans un lien, le contenu chiffré voyage après le signe #, que les navigateurs n’envoient pas aux serveurs. Nous ne gardons aucune copie : il n’y a rien à nous demander, et rien à nous prendre. Un compteur anonyme apprend seulement qu’une capsule a été scellée, envoyée ou ouverte, sans rien de son contenu.
• Toute retouche se voitLa date, les prénoms, les fichiers et la durée de vie sont scellés avec le contenu. Changer un seul caractère empêche l’ouverture au lieu de l’avancer.
• Une empreinte pour vérifierAu scellement, Capsule affiche seize caractères calculés sur la capsule chiffrée. Donnés avec le code, ils permettent au destinataire de vérifier qu’il a reçu celle-ci, et pas une autre.
• Les codes trop faibles sont refusésSelon une estimation volontairement prudente, Capsule refuse tout code qu’un matériel puissant, à un million d’essais par seconde, devinerait en moins de dix mille ans. Le code proposé, six mots tirés au hasard parmi 2 048, demanderait plus d’un million d’années.
• Aucune pièce jointe ne s’exécuteSur ce site, et dans les fichiers créés depuis le 25 septembre 2026, photos, vidéos et sons s’affichent ; tout le reste se télécharge, sans jamais s’exécuter, quel que soit le type annoncé.
• Le fichier se passe de nousUne capsule en fichier .html s’ouvre dans un navigateur, hors ligne, même si ce site disparaît. Au-delà de 250 Mo, le fichier .oveliya s’ouvre avec le lecteur à joindre, qui a la même propriété. Et le format est public, sous licences libres : sa description, des capsules de contrôle et un lecteur indépendant permettent d’ouvrir une capsule sans nous.
• Une date verrouillée, si vous le choisissezPour un message, une capsule média ou une capsule IA, l’option de date verrouillée scelle aussi la capsule pour un tour de l’horloge publique drand, tenue par des organisations indépendantes, la League of Entropy. Avant ce tour, la clé n’existe pour personne : ni pour le destinataire, même avec le code, ni pour une IA, ni pour nous. Seule la clé d’auteur, gardée par l’auteur, ouvre sans l’horloge. Le détail.
• Ni compte, ni adresse e-mailPersonne n’a besoin de s’inscrire, ni pour créer, ni pour ouvrir.

Ce que Capsule ne garantit pas

• Sans verrou, la date n’est qu’un rendez-vousC’est alors la page qui la fait respecter : sur l’heure de notre serveur quand la capsule s’ouvre sur ce site, sur celle de l’appareil quand elle s’ouvre en fichier. Qui détient déjà le code peut techniquement lire le contenu avant le jour dit, en contournant la page. Les photos, vidéos et documents ne peuvent pas encore être verrouillés.
• Le verrou dépend de l’horloge publiqueOuvrir une capsule verrouillée demande une connexion le jour venu, et la balise publiée ce jour-là par drand ou par l’un de ses relais. Le verrou suppose aussi que les membres de la League of Entropy ne s’entendent pas pour signer un tour à l’avance : c’est la promesse de drand, pas la nôtre. Si l’horloge disparaissait, seule la clé d’auteur ouvrirait encore la capsule.
• La clé d’auteur ouvre avant l’heureElle est faite pour l’auteur, au cas où l’horloge disparaîtrait. Transmise, elle défait le verrou : gardez-la pour vous. Perdue, elle ne se remplace pas.
• Une capsule sans code est une surprise, pas un secretSon lien suffit à l’ouvrir. Sans verrou, la date n’y est tenue que par la page ; verrouillée, elle tient, mais le jour venu, quiconque a le lien lit la capsule. Choisissez-la pour une carte d’anniversaire, pas pour ce qui doit rester caché.
• Aucune estimation ne connaît votre vieUne phrase que vos proches devineraient reste faible, même acceptée. Le code proposé, tiré au hasard, n’a pas ce défaut.
• Un code perdu est perduNous ne pouvons ni le retrouver, ni ouvrir une capsule à votre place. C’est le prix d’un service qui ne garde rien.
• Une fois ouverte, la capsule appartient à qui la litSon contenu peut être copié, photographié, enregistré. La fermeture programmée s’applique à la page, pas à ce que chacun fait de ce qu’il a vu.
• Certaines informations restent visiblesL’adresse d’un lien, comme l’en-tête d’un fichier de capsule, contient la date d’ouverture. L’étiquette, si vous en écrivez une, est lisible par qui reçoit le lien. Notre hébergeur voit, comme pour toute page web, l’adresse IP et le chemin demandé. Pour ouvrir une capsule verrouillée, la page demande la balise du jour, par nos relais, ou directement à drand s’ils ne répondent pas ou depuis un fichier ; l’agent Capsule la demande à drand lui aussi. Le numéro de ce tour dit la même date que l’adresse.
• Un fichier garde le lecteur de sa naissanceChaque capsule en fichier embarque sa propre page d’ouverture. Nos améliorations ne l’atteignent pas : une capsule créée hier s’ouvre avec la page d’hier.
• Ce qu’une IA fait de ce qu’elle reçoitUne capsule IA garantit ce que l’IA a reçu, avec votre accord, pas ce qu’elle en fait. Ce que l’agent Capsule fait respecter, et ce qu’il ne peut pas tenir : Remettre à une IA.
• Un lien dépend de ce siteUne capsule en lien s’ouvre avec la page que sert oveliya.com ce jour-là : sa sécurité dépend aussi de la nôtre. Pour vous en affranchir, gardez la capsule en fichier.

Pour que la date tienne

1. Choisissez une capsule avec code.Le code proposé, ou une phrase à vous que Capsule accepte.
2. Envoyez la capsule quand vous voulez.Elle peut attendre des années chez la personne : sans le code, elle ne livre rien.
3. Remettez le code le jour venu.De vive voix, c’est le plus sûr. Ou confiez-le à quelqu’un de confiance, qui le remettra à la date.

La capsule attend chez la personne, le code arrive à la date : rien ne peut être lu avant.

Signaler une faille

Vous avez trouvé une faille dans Capsule, ou ailleurs sur oveliya.com ? Écrivez-nous avant d’en parler ailleurs.