Test & Avis Expert
VERNAM est une page web qui chiffre et déchiffre un fichier sans compte ni envoi vers un serveur. Elle est publiée par PrivacyTools.io, qui l’héberge sur vernam.app et sur sa propre page de chiffrement. Le dépôt public a été créé le 16 juin 2026 et recevait des commits début septembre 2026.
Comment ça marche
Tout se passe dans le navigateur. Le fichier est chiffré avec XChaCha20-Poly1305, un chiffrement authentifié — c’est-à-dire qu’une altération du fichier chiffré est détectée au déchiffrement plutôt que de produire des données corrompues silencieusement. La clé est dérivée de la phrase de passe par Argon2id, fonction conçue pour être coûteuse en mémoire et donc lente à attaquer par force brute. L’implémentation repose sur libsodium compilé en WebAssembly et embarqué dans la page ; les gros fichiers sont écrits par flux vers le disque plutôt que chargés entièrement en mémoire.
Conséquence pratique : une fois la page chargée, elle fonctionne hors ligne. Il est possible de couper le réseau, ou d’enregistrer la page, avant de chiffrer. Les fichiers produits portent l’extension .vrn, commencent par la signature VRNM, et ne s’ouvrent qu’avec la phrase de passe d’origine.
Ce que ça ne protège pas
La licence mérite d’être lue avant de qualifier l’outil de libre. Le dépôt n’est pas sous une licence approuvée par l’OSI mais sous une « VERNAM LICENSE » écrite par l’éditeur, qui autorise tout usage à condition d’afficher un crédit visible renvoyant vers privacytools.io. C’est permissif, mais c’est une licence maison, et les catalogues de logiciels libres ne la reconnaîtront pas comme telle.
Le format .vrn est propre à l’outil. Un fichier chiffré aujourd’hui ne se rouvre qu’avec VERNAM ; si le projet disparaît, il faudra retrouver une copie du code pour récupérer ses données. Sur un projet de trois mois d’existence et d’une poignée de contributeurs, ce n’est pas une hypothèse théorique. Aucun audit externe n’a été publié à ce jour.
Enfin, un chiffrement dans le navigateur dépend du code servi au moment du chargement. Si l’on utilise la page en ligne, il faut faire confiance au serveur à chaque visite : rien n’empêche techniquement une version modifiée d’être servie un jour. Et VERNAM chiffre un fichier, rien d’autre : ni le disque, ni les sauvegardes, ni les copies temporaires que le système a pu créer avant.
Face aux alternatives
Picocrypt et Kryptor remplissent le même rôle sous forme de logiciel installé, avec un code en circulation depuis plus longtemps et un format documenté. Cryptomator répond à un besoin voisin mais différent : chiffrer un dossier entier synchronisé vers un service de stockage. VeraCrypt traite les volumes et les disques. VERNAM a pour lui de ne rien demander à installer, ce qui est décisif sur une machine que l’on ne maîtrise pas, et contre lui son âge et son format propriétaire.
