Test & Avis Expert
paaster est un pastebin chiffré de bout en bout : un service où l’on dépose du texte pour le partager par un lien. Licence AGPL-3.0, gratuit, utilisable sur l’instance publique paaster.io ou auto-hébergé, notamment par Docker. La version 3.4.1 a été publiée le 10 septembre 2026 et le dépôt est actif.
Comment ça marche
Le chiffrement est réalisé dans le navigateur avec libsodium, en s’appuyant sur les primitives crypto_secretstream_xchacha20poly1305, crypto_pwhash et crypto_secretbox_easy. La clé produite est placée dans le fragment de l’URL, c’est-à-dire la partie située après le caractère dièse. Ce détail est le cœur du dispositif : par construction, le fragment d’une URL n’est pas transmis au serveur lors de la requête. Le serveur reçoit donc l’identifiant du collage mais jamais la clé, et ne stocke que du texte chiffré.
Côté navigateur, les secrets sont conservés dans IndexedDB, ce qui permet à la fois de tenir un historique local de vos collages et de conserver la capacité de les modifier ou de les supprimer ensuite. Des options d’expiration existent : suppression après première consultation, ou après un délai défini.
Ce que ça ne protège pas
La confidentialité dépend entièrement du canal par lequel circule le lien complet. Un lien contenant la clé envoyé par courriel non chiffré, collé dans un salon de discussion d’entreprise ou dans un ticket public expose le contenu aussi sûrement que si rien n’avait été chiffré. Le chiffrement protège le stockage, pas le partage.
Le projet énonce lui-même la limite structurelle de tout service chiffré côté navigateur, et recommande pour cette raison d’héberger sa propre instance : n’importe qui pourrait modifier le code de paaster pour envoyer la clé au serveur, et l’utilisateur n’a aucun moyen de vérifier, à chaque chargement de page, que le JavaScript reçu est bien celui publié. Cette réserve vaut pour l’instance publique comme pour toute application web de ce type.
Deux points pratiques s’ajoutent. Le serveur connaît la taille du contenu, sa date de dépôt et l’adresse IP qui le dépose, éléments qui ne sont pas couverts par le chiffrement. Et l’historique conservé dans IndexedDB est local au navigateur : il disparaît si vous nettoyez les données du site, et il est lisible par quiconque accède au profil du navigateur.
Face aux alternatives
PrivateBin repose sur le même principe de clé dans le fragment d’URL, avec un écosystème d’instances publiques beaucoup plus fourni et des fonctions supplémentaires comme la discussion attachée à un collage. OnionShare résout un problème voisin sans serveur du tout, en publiant depuis votre machine via un service Tor — plus lourd, mais sans tiers à qui faire confiance. CryptPad va au-delà du simple texte avec des documents collaboratifs chiffrés. paaster se distingue par une interface minimale et une base de code assez réduite pour être auto-hébergée sans effort.
