Test & Avis Expert
PrivMX est une boîte à outils destinée aux développeurs qui veulent ajouter du chiffrement de bout en bout à une application qu'ils écrivent. Ce n'est pas un logiciel pour utilisateur final. Il est édité par Simplito sp. z o.o., société établie à Toruń, en Pologne.
Comment ça marche
L'ensemble se compose de deux moitiés. PrivMX Bridge est le composant serveur, que vous hébergez vous-même ; l'éditeur le décrit comme un serveur « zero-knowledge », c'est-à-dire qui relaie et stocke des données qu'il ne peut pas déchiffrer. PrivMX Endpoint est la bibliothèque cliente, écrite en C++, à laquelle s'ajoutent des enveloppes pour JavaScript, Swift, Kotlin, Java et C#. Le chiffrement et le déchiffrement se font côté client, dans votre application.
Les fonctions exposées sont découpées en briques : Threads pour des échanges de messages, Stores pour du stockage de fichiers, Inboxes pour recevoir des envois d'expéditeurs non enregistrés, Streams pour de l'audio et de la vidéo en temps réel, KVDB pour des bases clé-valeur chiffrées, et des événements personnalisés.
Ce que ça ne protège pas
Le point décisif est la licence, et il ne se voit pas depuis la page d'accueil. Le code est consultable sur GitHub, mais il n'est pas libre : la « PrivMX Free License » version 1.0 du 18 octobre 2024 autorise uniquement l'usage personnel et interdit explicitement l'usage commercial, défini très largement — y compris « for the internal needs of the Organization », y compris la recherche et développement au sein d'une organisation. Une exception permet de développer et de tester en interne, mais elle cesse dès qu'une solution devient utilisable par des clients, des membres du personnel ou des tiers. La licence interdit aussi de redistribuer le logiciel ou d'en proposer l'hébergement à des tiers, et prévoit que l'éditeur puisse vérifier la conformité de votre usage. Un usage professionnel suppose donc l'achat d'une licence commerciale séparée. Les enveloppes Java, Kotlin, Swift et la bibliothèque crypto JavaScript sont, elles, sous MIT.
Sur le plan technique, le chiffrement de bout en bout ne dispense pas d'une gestion correcte des clés et de l'authentification des correspondants dans votre application : ces choix restent les vôtres, et ce sont eux qui font la sécurité réelle du produit final. Enfin, le Bridge voit les métadonnées de trafic même s'il ne voit pas les contenus.
Face aux alternatives
Des bibliothèques libres couvrant le même terrain existent : les implémentations du protocole Signal, MLS (Messaging Layer Security, normalisé par l'IETF pour les groupes chiffrés) ou l'écosystème Matrix avec son chiffrement Olm et Megolm. Elles sont sous licences permissives ou copyleft classiques et n'imposent aucune redevance, mais elles laissent à votre charge l'assemblage du serveur, du stockage et de la gestion des identités. PrivMX vend précisément cet assemblage, prêt à intégrer et découpé en fonctions applicatives, contre une licence commerciale dès que l'usage sort du cadre strictement personnel. C'est un arbitrage économique avant d'être un arbitrage technique, et il se décide au vu du texte de la licence, pas de la page d'accueil.
