Cette page explique quelles données FastPwd (fastpwd.com) traite réellement, et répond à « les mots de passe sont-ils envoyés ? ». Le générateur de mots de passe en ligne, le contrôle de force, le retrait des UTM, le masquage de texte et le chiffrement de fichiers s’exécutent dans le navigateur. Le texte en clair, les clés et les fichiers ne sont pas envoyés par défaut. Burn-Link ne stocke que du texte déjà chiffré. Pour vérifier où le calcul a lieu, voir Informations de sécurité.
Ce contenu est traité par l’API Web Crypto du navigateur ou par des scripts locaux. Il n’est pas envoyé à FastPwd comme corps d’une requête métier.
Hormis les visites de pages ordinaires, FastPwd ne reçoit de données métier que pour Burn-Link, et uniquement sous forme de texte chiffré.
FastPwd est une boîte à outils de chiffrement et de confidentialité, local d’abord dans le navigateur. Ouvrez n’importe quelle page d’outil et utilisez-la — pas d’inscription. Nous ne créons pas de comptes utilisateur et n’offrons ni coffre de mots de passe ni favoris ; il n’existe donc pas de « profil personnel visible seulement après connexion ».
Cette politique répond à deux questions : quels calculs sensibles restent sur votre appareil ; et dans quels cas le serveur FastPwd reçoit des données, ce qu’il reçoit, et combien de temps elles sont conservées. Pour vérifier sur place où le calcul a lieu, voir Informations de sécurité. Pour nettoyer des liens ou du texte avant envoi, utilisez la page nettoyage de confidentialité.
Utiliser ce site signifie que vous comprenez le traitement décrit ci-dessous. Si vous n’êtes pas d’accord, cessez d’utiliser les fonctions qui nécessitent le réseau. Les pages d’outils purement statiques peuvent encore s’ouvrir en local, mais Burn-Link ne peut ni être créé ni être lu. Conditions d’usage, répartition des responsabilités et interdictions : voir les Conditions d’utilisation.
Les outils ci-dessous achèvent leur calcul dans l’onglet actuel. Le texte en clair, les clés, les fichiers et le texte source nettoyé ne sont pas envoyés par défaut comme requêtes HTTP et ne sont pas écrits dans les statistiques d’audience.
| Outil | Traité localement | Non envoyé |
|---|---|---|
| Générateur de mots de passe | Caractères aléatoires ou phrase secrète lisible, 6–128 caractères | Résultats générés ; non persistés sur le serveur |
| Audit de mot de passe | Évaluation d’entropie locale, comparée à une liste publique intégrée de mots de passe faibles fuités | Le mot de passe testé. Ce n’est pas une recherche sur tout le web et cela n’interroge aucune API externe de fuites |
| Nettoyage de confidentialité | Retirer les paramètres de suivi ; masquer numéros de téléphone, numéros de pièce d’identité, e-mails et champs similaires | Liens d’origine et texte source, et ils ne sont pas écrits dans analytics |
| Coffre de chiffrement | Chiffrement/déchiffrement en flux AES-256-GCM, un fichier jusqu’à 5 GB, sortie .lock / .enc | Le fichier, la phrase secrète et le nom de fichier d’origine |
Le chiffrement utilise l’API Web Crypto intégrée au navigateur, avec AES-256-GCM. Après fermeture de l’onglet, cette saisie ne reste pas sur le serveur FastPwd — parce qu’elle n’y est jamais arrivée comme donnée métier.
Burn-Link est le seul outil de ce site qui envoie des données métier au serveur. Création et lecture ne nécessitent pas de compte. Le destinataire ouvre le lien avec le fragment # complet et déchiffre sur cet appareil.
Le texte est d’abord chiffré dans le navigateur avec AES-256-GCM. La requête ne transporte ensuite que le texte chiffré, une durée de validité en heures et une limite de lectures. Le texte en clair est limité à 32 KB par élément. Le serveur stocke un identifiant de texte chiffré, le texte chiffré lui-même, l’heure de création, l’expiration, la limite de lectures et le nombre de lectures déjà effectuées.
La clé de déchiffrement est ajoutée après # dans l’adresse, sous la forme s.html?id={id}#{key}. Le navigateur ne met pas le fragment # dans la requête HTTP, et il n’apparaît pas dans les journaux d’accès. Le serveur ne peut donc pas ramener le texte chiffré en texte en clair.
L’API de création lit l’IP source de la requête pour une limitation de débit de courte durée, afin d’empêcher les écritures en masse. Cette limitation sert uniquement à la protection contre les abus et n’est pas utilisée pour constituer un profil utilisateur.
En production, Matomo est auto-hébergé et collecte les visites via le chemin /tj/ de ce site. L’aperçu local (localhost) ne charge pas le script de statistiques. Les statistiques servent à voir quelles pages sont ouvertes et quels boutons sont cliqués, pas à identifier qui vous êtes.
Nous enregistrons les vues de page et des événements d’action sans contenu, par exemple « Générer un mot de passe », « Copier le résultat », « Nettoyer les liens », « Créer un Burn-Link », « Changer de langue ». Les noms d’événements décrivent l’action. Ils ne portent ni mots de passe, ni clés, ni fichiers, ni texte source nettoyé, ni texte en clair Burn-Link.
Matomo peut écrire un cookie first-party pour distinguer les sessions de visite, et traite des champs de visite ordinaires : chemin de page, provenance, type d’appareil et région approximative. Nous n’avons pas désactivé ces cookies. Vous pouvez les bloquer ou les effacer dans le navigateur ; cela n’empêche pas les outils de fonctionner en local.
Les requêtes de statistiques passent encore par le serveur, donc une IP et un User-Agent peuvent être visibles. Cela ne contredit pas « texte en clair non envoyé » : le corps sensible n’entre pas dans les paramètres d’événements.
Le changement de langue écrit la préférence dans le localStorage de ce navigateur (clé passafer_lang, plus une clé de compatibilité). Cela n’affecte que le répertoire de langue ouvert la prochaine fois. Il ne contient ni mots de passe ni fichiers.
Les saisies de l’audit de mot de passe ne sont pas écrites dans le stockage local. Le texte en clair et la phrase secrète du coffre de chiffrement n’existent aussi que dans la session de page actuelle. Effacer les données du site retire la préférence de langue.
Les polices de la page sont chargées depuis Google Fonts. Ce tiers peut voir votre IP, votre navigateur et les graisses demandées. Hormis cela, les pages d’outils n’introduisent pas de réseaux publicitaires et n’envoient pas de texte en clair à une API externe d’analytics ou de recherche de fuites.
L’API de texte chiffré Burn-Link est hébergée par FastPwd. Les statistiques d’audience sont aussi Matomo auto-hébergé, et non des événements de page envoyés à une plateforme d’analytics tierce.
Faute de comptes, nous ne pouvons pas rechercher ni exporter un paquet de données sous un « nom d’utilisateur ». L’objet métier principal qui peut être supprimé est le texte chiffré pas encore détruit — il disparaît de lui-même après le nombre de lectures ou l’expiration.
# via un canal qui tronque les fragments ou les écrit dans des journaux.FastPwd ne publie pas d’adresse d’assistance. Les changements de politique sont écrits sur cette page avec une date de révision mise à jour. Aucun e-mail n’est envoyé — il n’y a pas de comptes, donc pas d’adresse à contacter.
Si le périmètre de traitement change — par exemple une nouvelle fonction qui remonte du contenu —, nous réviserons cette page et mettrons à jour la date « Dernière révision ». Continuer à utiliser le site signifie que vous comprenez la limite des données selon le texte alors en vigueur.
Cette politique ne décrit que la façon dont FastPwd lui-même traite les données. Lorsque vous envoyez un mot de passe généré, un texte nettoyé ou un Burn-Link à un tiers, la façon dont il le conserve est hors du champ de cette politique.
Non. La génération et l’audit de mot de passe s’exécutent dans l’onglet actuel. Les résultats générés, les mots de passe testés et la liste intégrée de mots de passe faibles fuités ne sont pas envoyés comme données métier et ne sont pas écrits dans les statistiques d’audience.
Non. Le texte est chiffré dans le navigateur avec AES-256-GCM. Le serveur ne stocke temporairement que le texte chiffré, la durée de validité et le nombre de lectures. La clé de déchiffrement se trouve dans le fragment # du lien et n’entre pas dans la requête HTTP.
Non. Matomo auto-hébergé n’enregistre que les vues de page et les noms d’événements d’action, par exemple « Copier le mot de passe » ou « Nettoyer les liens ». Le texte en clair, les clés, les mots de passe testés, le contenu des fichiers et le texte source nettoyé ne sont pas écrits dans les statistiques.
Non. Tous les outils sont prêts à l’emploi. Ce site n’offre ni inscription, ni connexion, ni coffre de mots de passe ; il n’existe donc pas de fiche de compte à consulter ou à supprimer.