Architecture de l'AeroNyx App et du protocole

AeroNyx comporte trois parties. La première est l'AeroNyx App, dont le code source est fermé. La deuxième est un ensemble de services centraux exploités par AeroNyx. La troisième est un réseau de nœuds open source, sous licence AGPL-3.0. Le contenu des messages et des pièces jointes est chiffré de bout en bout. Les services centraux traitent toutefois les métadonnées de remise, les listes de contacts, l'appartenance aux groupes et les conversations avec l'IA Nyxi. Cette page décrit comment ces parties s'articulent et où se situe chaque frontière de confiance.

Composants

Identité de portefeuille et identité de messagerie

AeroNyx sépare votre identité de portefeuille de vos identités de messagerie.

Chaque identité de messagerie est une paire de clés Ed25519 générée par votre appareil. Elle n'est pas dérivée de votre portefeuille, et vos contacts la voient à la place de l'adresse de votre portefeuille. Vous pouvez détenir plusieurs identités de messagerie. Supprimer ou renouveler une identité de messagerie n'affecte ni votre portefeuille ni vos autres identités.

Messagerie

Le contenu des messages est chiffré et signé sur l'appareil de l'expéditeur, et déchiffré uniquement sur les appareils du destinataire. Le relais ne reçoit jamais les clés de messagerie, les clés de groupe ni les clés des pièces jointes. Pour les formats exacts, consultez Intégration client du relais de messagerie AeroNyx et Guide d'intégration de l'API de chat AeroNyx.

Chemin par défaut : le relais central

Par défaut, chaque message passe par le relais de messagerie central (RelayWS), exploité par AeroNyx. Le relais traite les éléments suivants :

• Métadonnées de remise. Il voit les clés publiques de l'expéditeur et du destinataire, les identifiants de groupe et de message, les horodatages, la taille des charges utiles, l'état de remise et de lecture, les signaux de présence et de saisie, les métadonnées de signalisation des appels et les adresses IP de connexion.
• Contacts. Il stocke votre liste de contacts : la clé publique de chaque contact ainsi que le surnom et la note que vous définissez. Ces données sont stockées en clair afin que la liste se synchronise entre vos appareils.
• Groupes. Il stocke en clair les noms, descriptions, propriétaires et listes de membres des groupes. Les clés des messages de groupe ne sont stockées que sous forme chiffrée, une fois pour chaque membre.
• File d'attente hors ligne. Il conserve les messages chiffrés destinés aux appareils hors ligne et les supprime après leur remise.

Autrement dit, le relais central ne peut pas lire ce que vous écrivez. Il peut voir avec qui vous communiquez, à quel moment, et à quels groupes vous appartenez.

Chemin facultatif : la route de confidentialité à deux sauts

L'application comporte un réglage appelé Utiliser d'abord la route de confidentialité, désactivé par défaut. Lorsqu'il est activé, l'application envoie les messages individuels par deux nœuds AeroNyx au lieu de les confier au relais central. L'application enveloppe le message, déjà chiffré de bout en bout, dans une couche de chiffrement pour chaque nœud. Chaque nœud ne peut retirer que sa propre couche et n'apprend que le saut suivant. L'application ne considère un message comme remis qu'après avoir vérifié un accusé de réception signé par le nœud final. Si aucune route de confidentialité n'est disponible, le message attend sur votre appareil. Il n'est envoyé par le relais standard que si vous l'approuvez pour ce message.

Le logiciel de nœud publie ses limites. Les chemins comptent deux sauts et le réseau est petit : l'ensemble des utilisateurs parmi lesquels vous vous fondez est donc restreint. La conception protège contre des relais curieux mais qui respectent le protocole. Elle ne protège pas contre un adversaire qui observe l'ensemble du réseau. Consultez Découverte des nœuds et relais chiffré multisaut.

Pièces jointes

Chaque photo, vidéo, message vocal ou fichier est chiffré sur l'appareil avec sa propre clé AES-256-GCM aléatoire. L'application l'envoie ensuite directement vers Cloudflare R2 au moyen d'une URL présignée émise par le backend. Le stockage ne reçoit jamais la clé du fichier, le nom du fichier ni le texte en clair. La clé voyage à l'intérieur du message chiffré de bout en bout. Les anciens points de terminaison d'envoi du backend AeroNyx restent disponibles comme solution de repli. Pour les points de terminaison et les limites, consultez Intégration client du relais de messagerie AeroNyx.

Groupes et appels

Les messages de groupe sont chiffrés avec une clé de groupe partagée. Lorsqu'un membre quitte le groupe ou en est retiré, la clé de groupe est renouvelée. Les appels vocaux et vidéo sont signalés via le relais central et acheminés par un serveur multimédia exploité par AeroNyx. L'audio et la vidéo des appels sont chiffrés de bout en bout au niveau des trames.

Sauvegarde d'identité (.ayx)

Vous pouvez exporter une identité de messagerie sous forme de fichier .ayx. Le fichier contient la graine de l'identité, chiffrée avec une clé dérivée de votre mot de passe par PBKDF2 et un sel aléatoire. La graine n'est jamais stockée en clair dans le fichier. L'export et l'import n'ont lieu que lorsque vous les lancez. AeroNyx ne conserve aucune copie du fichier et ne dispose d'aucune clé de récupération. Si vous perdez à la fois l'appareil et la sauvegarde, l'identité ne peut pas être récupérée.

IA Nyxi et mémoire

Les conversations Nyxi transitent par le backend AeroNyx et y sont stockées. Elles ne sont pas chiffrées de bout en bout. Le backend envoie les requêtes d'inférence à des modèles hébergés sur le service de calcul confidentiel (TEE) de Phala. L'application ne vérifie pas encore elle-même l'attestation de Phala.

La mémoire de Nyxi est désactivée par défaut. Lorsque vous l'activez :

• Les souvenirs sont extraits de vos conversations par un modèle d'IA via le backend. L'extraction voit donc le texte de la conversation.
• Les souvenirs eux-mêmes sont d'abord stockés sur votre appareil, dans une base de données locale.
• Pendant que le VPN est connecté, l'application peut également envoyer à un nœud une copie scellée et signée par le propriétaire de chaque souvenir. Le nœud stocke du texte chiffré. Cette copie est fournie au mieux (best-effort) et ne constitue pas un service de sauvegarde.

Consultez MemChain et Blind Vault : ce qu'ils stockent et ce qu'ils ne stockent pas.

État du registre d'engagements

MemChain comprend un registre d'engagements signés, un journal en ajout seul d'engagements portant sur des enregistrements de mémoire chiffrés. Il est gelé : aucun nouveau bloc n'a été produit depuis juillet 2026, et son unique nœud coordinateur a depuis été mis hors service. Ce n'est pas une blockchain et il n'a pas de consensus global. Consultez Registre d'engagements signés : conception, état actuel et limites.

Réseau de confidentialité (VPN)

Le VPN est une passerelle à nœud unique. L'application ouvre un tunnel UDP chiffré vers un nœud AeroNyx, et ce nœud transmet votre trafic à Internet. Comme toute sortie VPN, le nœud voit les adresses IP de destination et traite vos requêtes DNS. L'application authentifie chaque connexion avec un bon à signature aveugle et une clé client jetable. Le nœud peut ainsi vérifier que vous êtes autorisé à vous connecter sans connaître votre compte. Pour la comparaison complète, consultez Réseau de confidentialité AeroNyx et VPN traditionnel.

Ce que les nœuds sont conçus pour voir

Le logiciel de nœud est conçu pour que les nœuds ne détiennent jamais les clés du contenu des messages, du contenu des pièces jointes ni du texte en clair de MemChain. Sur les chemins de messagerie et de stockage, un nœud ne traite que les éléments suivants :

• le texte chiffré et sa taille
• les signatures
• le saut suivant
• les horodatages
• les protections contre le rejeu
• les limites de débit
• les compteurs agrégés

La passerelle VPN fait exception. C'est une sortie vers Internet : elle voit donc nécessairement les adresses de destination et les requêtes DNS du trafic qu'elle transmet.

Nodeboard est la console d'opérateur. Elle montre aux personnes qui exploitent un nœud les enregistrements VPN par session de ce nœud : la clé client, les octets, les heures de début et de fin. Les opérateurs peuvent mettre fin à des sessions et mettre en file d'attente des bannissements de clés client. Lorsque l'application utilise des bons, cette clé client est une clé jetable et ne nomme aucun compte. Les statistiques publiques sont uniquement agrégées.

Ce qui fonctionne de manière centralisée aujourd'hui

L'application utilise à la fois des services centraux et le réseau de nœuds décentralisé, et les chemins décentralisés ne remplacent pas les chemins centraux. Aujourd'hui, les composants suivants sont centralisés :

• le relais de messagerie
• le stockage des pièces jointes sur R2
• les notifications push APNs
• le service d'appels
• le backend d'IA
• les comptes et paiements
• l'émission des bons
• l'annuaire des nœuds

Le logiciel de nœud est open source : d'autres peuvent donc l'examiner et l'exécuter. Pour une présentation en langage simple, consultez Qu'est-ce qu'AeroNyx.

À lire ensuite

• Qu'est-ce qu'AeroNyx
• Réseau de confidentialité AeroNyx et VPN traditionnel
• Intégration client du relais de messagerie AeroNyx
• Découverte des nœuds et relais chiffré multisaut
• MemChain et Blind Vault : ce qu'ils stockent et ce qu'ils ne stockent pas
• Guide de la console d'opérateur AeroNyx Nodeboard

<!-- faq:start -->

Questions fréquentes

Le relais de messagerie central voit-il avec qui je communique ?

Oui. Le relais central voit les clés publiques de l'expéditeur et du destinataire de chaque message, ainsi que les horodatages, les tailles et l'état de remise. Il stocke également votre liste de contacts et votre appartenance aux groupes. Il ne peut pas lire le contenu des messages ni des pièces jointes, qui est chiffré de bout en bout.

Comment envoyer des messages sans passer par le relais central ?

Activez Utiliser d'abord la route de confidentialité dans les réglages de messagerie de l'application. Les messages individuels empruntent alors une route à deux sauts via des nœuds AeroNyx. Si aucune route n'est disponible, un message attend que vous approuviez son envoi par le relais standard. Ce réglage est désactivé par défaut.

Où sont stockées les pièces jointes chiffrées ?

Les pièces jointes chiffrées sont stockées sur Cloudflare R2. L'application les envoie au moyen d'URL présignées émises par le backend AeroNyx. Chaque fichier est chiffré sur votre appareil avec sa propre clé avant l'envoi. La clé ne voyage qu'à l'intérieur du message chiffré de bout en bout.

Le registre d'engagements MemChain est-il en fonctionnement ?

Non. Le registre d'engagements est gelé. Il n'a produit aucun nouveau bloc depuis juillet 2026, et son unique nœud coordinateur a depuis été mis hors service. La mémoire de Nyxi elle-même fonctionne toujours sur votre appareil et ne dépend pas du registre.

La sauvegarde .ayx permet-elle à AeroNyx de récupérer mon identité ?

Non. Le fichier .ayx est une copie chiffrée par mot de passe de votre identité de messagerie, que vous exportez et conservez vous-même. AeroNyx ne la stocke pas et ne dispose d'aucune clé de récupération.

<!-- faq:end -->