L’inscription sans numéro de Signal remplace la vérification téléphonique par des preuves à divulgation nulle de connaissance

L’inscription sans numéro de Signal est passée d’une demande de longue date des utilisateurs à du code Android fonctionnel, après des années de vérification téléphonique obligatoire. De récents commits ajoutent la création de comptes sans numéro, la connexion, la gestion des paiements, la récupération et des tests de bout en bout. Le code utilise également un identifiant à divulgation nulle de connaissance, permettant de prouver une autorisation sans exposer l’enregistrement d’achat sous-jacent lors de l’inscription.

Cette combinaison est importante, car supprimer les numéros de téléphone crée un difficile problème d’abus. Un numéro de téléphone n’a jamais garanti une identité réelle, mais l’obtention de numéros introduit une friction pour les personnes créant des comptes jetables. Signal semble prêt à remplacer cette barrière imparfaite par un identifiant payant, tout en séparant le paiement du compte qui en résulte.

Il s’agit de plus qu’un simple paramètre de confidentialité. Signal a introduit les noms d’utilisateur en 2024, mais les utilisateurs avaient toujours besoin d’un numéro de téléphone pour s’inscrire. Des services comme SimpleX ont fait de la communication sans identifiant un élément central de leur conception. Signal teste désormais si une messagerie chiffrée grand public peut supprimer les numéros de téléphone sans faire des achats un mécanisme de suivi durable.

L’inscription sans numéro de Signal est désormais visible dans le code Android

Signal n’a pas annoncé de lancement public, mais son dépôt Android montre un parcours coordonné d’inscription sans numéro plutôt qu’une expérimentation isolée.

Le 2 septembre 2026, les développeurs de Signal ont ajouté au dépôt Android public le travail d’inscription pour les « comptes sans numéro ». Le commit a modifié 49 fichiers, ajoutant 871 lignes et en supprimant 359. Sa portée couvrait les écrans d’inscription, l’état des comptes, les requêtes réseau, la récupération, les tests et la création de noms d’utilisateur.

Les modifications de code permettent au système d’inscription de traiter un numéro de téléphone comme facultatif. Elles permettent aussi à l’application de reconnaître un compte dont l’appareil principal ne possède pas d’identifiant de numéro de téléphone, appelé en interne PNI. Cette distinction dépasse le premier écran d’inscription.

L’application Signal supposait auparavant que les comptes principaux disposaient de numéros de téléphone au format E.164, le format international utilisé pour représenter les numéros téléphoniques. La prise en charge sans numéro oblige le client à revoir ces hypothèses partout où l’inscription, la restauration, la découverte de contacts ou l’état du compte dépend d’un numéro.

Le même groupe de commits du 2 septembre masque des réglages qui ne s’appliquent pas aux comptes sans numéro. Ils comprennent les contrôles de découvrabilité par numéro de téléphone et certains rappels de PIN. D’autres modifications ajoutent une configuration spéciale de code pays pour les comptes sans numéro, ainsi qu’une prise en charge de la connexion à un compte sans numéro existant.

Un commit distinct a introduit un nouvel identifiant issu de la bibliothèque cryptographique zkgroup de Signal. Cette bibliothèque prend en charge des identifiants préservant la confidentialité et des opérations de groupe. Le client d’inscription peut présenter un tel identifiant lors de la création d’un compte sans fournir de numéro de téléphone.

Signal a poursuivi ce travail le 9 septembre avec la gestion des paiements et d’autres correctifs pour les comptes sans numéro. Les ajouts couvrent l’intégration de la sauvegarde, la restauration de compte, la découverte de contacts, la synchronisation multi-appareils et les erreurs de verrouillage d’inscription. Signal a également ajouté 619 lignes de « tests d’inscription » couvrant les parcours sans numéro.

Cette ampleur est significative. Un prototype pourrait s’arrêter après l’affichage d’un nouvel écran d’inscription. Ces commits traitent au contraire les dépendances moins visibles qui empêchent souvent une modification du système d’identité d’atteindre les utilisateurs.

Selon le dépôt, la fonctionnalité reste protégée dans les versions internes. Les utilisateurs publics d’Android ne doivent pas interpréter du code fusionné comme une disponibilité immédiate. Signal n’a publié ni date de lancement, ni liste des pays pris en charge, ni politique de paiement, ni documentation utilisateur définitive.

Les éléments disponibles permettent donc une conclusion limitée. Signal met activement en œuvre et teste des comptes sans numéro, y compris leurs mécanismes de paiement et de confidentialité. Ils ne permettent pas encore d’établir quand l’inscription sans numéro de Signal deviendra une fonctionnalité générale.

Cette distinction est particulièrement importante pour les utilisateurs existants. Le code visible crée et restaure des comptes sans numéro, mais ne promet pas clairement que les utilisateurs déjà inscrits pourront supprimer un numéro associé. Un participant de la communauté a demandé si un compte existant pouvait être dissocié, et un autre contributeur a indiqué que les modifications disponibles n’établissaient pas cette possibilité.

La première version pourrait donc prendre en charge de nouveaux comptes sans numéro sans convertir les anciens comptes. Elle pourrait aussi limiter la fonctionnalité selon la plateforme, la région ou une cohorte de test. Tant que Signal n’aura pas publié sa conception, ces questions resteront ouvertes.

Pourquoi Signal a besoin d’un remplacement à la vérification téléphonique

Supprimer le numéro de téléphone supprime aussi une ressource rare que Signal utilisait pour ralentir les inscriptions automatisées et les abus liés aux comptes jetables.

Les numéros de téléphone remplissent plusieurs fonctions dans les systèmes de messagerie. Ils aident les utilisateurs à trouver leurs contacts, fournissent un canal de récupération familier et créent un identifiant de compte que les utilisateurs comprennent déjà. Ils imposent également un coût lorsqu’un attaquant a besoin de centaines ou de milliers d’inscriptions.

Aucun de ces avantages ne rend un numéro de téléphone privé ou sûr par défaut. Les numéros sont souvent liés à des identités légales, à des relevés de facturation, à des employeurs et à des historiques de localisation. Les personnes peuvent les perdre à la suite d’une réattribution, d’une résiliation de compte ou d’attaques par échange de carte SIM.

Signal a réduit l’exposition interpersonnelle lorsqu’il a introduit les noms d’utilisateur et de nouveaux contrôles de confidentialité en 2024. Sa « conception des noms d’utilisateur » officielle permet d’entamer des conversations sans partager son numéro. Des noms d’utilisateur exacts sont requis, et Signal ne propose pas d’annuaire public consultable.

Cependant, les noms d’utilisateur ont modifié la découverte plutôt que l’inscription. La documentation d’assistance actuelle de Signal indique toujours que le service utilise un numéro de téléphone existant. Un numéro doit recevoir un SMS ou un appel téléphonique lors de la création conventionnelle d’un compte.

Cette lacune frustre depuis des années les utilisateurs soucieux de leur vie privée. Un journaliste pourrait vouloir publier un nom d’utilisateur Signal sans exposer son numéro personnel. Un organisateur pourrait avoir besoin d’une identité distincte sans acheter une autre ligne mobile. Le propriétaire d’une tablette pourrait ne disposer d’aucun numéro.

Le risque augmente pour les personnes dont les relevés téléphoniques sont accessibles aux employeurs, aux entreprises de télécommunications ou aux gouvernements. Le chiffrement de bout en bout protège le contenu des messages pendant leur transit. Il n’efface pas tous les enregistrements externes créés lors de l’acquisition et du maintien d’un numéro de téléphone.

Pourtant, supprimer simplement l’exigence de numéro rendrait la création de comptes bon marché et reproductible. Les spammeurs pourraient faire tourner les noms d’utilisateur après avoir été bloqués. Les opérateurs de fraude pourraient reconstituer des inventaires de comptes, tandis que des systèmes automatisés pourraient submerger les demandes de messages ou l’infrastructure.

Signal limite déjà ce que les expéditeurs non sollicités peuvent faire, mais le chiffrement du contenu restreint la modération côté serveur. Le service ne peut pas inspecter chaque conversation et classer les textes abusifs comme le peut une plateforme non chiffrée. La friction à l’inscription prend donc davantage d’importance.

Un participant de la communauté a relevé un autre problème de conversion. Si les utilisateurs pouvaient s’inscrire avec un numéro puis le détacher immédiatement, un seul numéro pourrait générer de nombreux comptes gratuits. Un délai de carence ralentirait cette boucle, mais des attaquants déterminés pourraient attendre ou répartir leur activité.

Une exigence de paiement fournit une autre ressource rare. Elle demande à chaque inscrit d’obtenir un achat valide plutôt qu’un numéro de téléphone valide. Le coût peut décourager la création en masse sans obliger Signal à conserver une identité liée à un téléphone.

Cette approche déplace la pression plutôt qu’elle ne l’élimine. Les systèmes de paiement créent leurs propres enregistrements, restrictions géographiques et barrières d’accès. Une personne ne disposant pas d’un moyen de paiement pris en charge pourrait trouver l’inscription sans numéro moins accessible que la vérification par SMS.

Les opérateurs de boutiques peuvent aussi savoir qu’un achat a eu lieu. Google Play, les intermédiaires financiers ou un autre fournisseur de paiement pourraient associer cette transaction à un compte existant. La question centrale en matière de confidentialité est de savoir si Signal peut utiliser l’achat sans apprendre quel compte de messagerie final l’a effectué.

C’est là que l’identifiant à divulgation nulle de connaissance intervient dans la conception. Il vise à séparer deux affirmations qui, autrement, seraient liées : un achat valide existe, et ce compte Signal particulier l’a effectué.

Comment l’identifiant à divulgation nulle de connaissance rompt le lien avec le paiement

Le mécanisme proposé permet à Signal de vérifier l’éligibilité tout en évitant un enregistrement réutilisable qui relie directement le paiement au nouveau compte.

Une preuve à divulgation nulle de connaissance permet à une partie d’établir qu’une affirmation est vraie sans révéler le secret qui la sous-tend. Ici, l’affirmation pertinente n’est ni le nom de l’utilisateur ni son identité financière. Il s’agit du fait que l’inscrit détient un identifiant de reçu autorisé.

Le code Android visible crée une demande de reçu aléatoire et l’envoie par l’intermédiaire d’un point de terminaison d’inscription lié au paiement. Une fois l’achat vérifié, le client reçoit une réponse d’identifiant. Le client vérifie ensuite cette réponse et construit une présentation d’identifiant pour l’inscription du compte.

Ce processus utilise des concepts d’identifiants aveugles. Un identifiant aveugle permet à un émetteur d’autoriser une valeur cachée sans connaître cette valeur sous une forme qu’il pourra reconnaître ultérieurement. L’utilisateur peut ensuite prouver sa possession tout en limitant la possibilité d’établir un lien entre l’émission et l’utilisation.

En pratique, le service de paiement de Signal peut valider un jeton d’achat et émettre un reçu cryptographique. Le service d’inscription peut ensuite vérifier la présentation de ce reçu. Un protocole correctement conçu empêche le serveur d’associer la présentation à l’enregistrement d’émission antérieur.

Le code de septembre rend cette séparation visible à travers plusieurs objets distincts. Ils comprennent un numéro de série de reçu, un contexte de demande, une réponse d’identifiant, un identifiant et une présentation d’identifiant. L’aléa intervient lorsque le client crée le contexte de demande.

L’implémentation du paiement traite également l’achat comme une catégorie de produit réutilisable plutôt que comme un abonnement. Le « flux de paiement » visible prend en charge l’achat répété du même article ponctuel. Il vérifie l’absence d’achat non consommé avant de lancer un nouveau prélèvement.

Après une utilisation réussie, l’application peut consommer le jeton d’achat. Cela rend l’article de boutique à nouveau achetable tout en empêchant le même jeton d’autoriser des inscriptions répétées. Ce détail relie l’objectif anti-spam à la conception de l’identifiant.

Le système a donc besoin de deux protections simultanées. L’identifiant doit être suffisamment non corrélable pour protéger les inscrits, tandis que les règles d’utilisation doivent empêcher les doublons. Une faiblesse de l’un ou l’autre côté compromettrait la fonctionnalité.

Si les enregistrements de paiement et d’inscription étaient directement liés, l’inscription sans numéro échangerait simplement un identifiant de télécommunications contre un identifiant financier. Cela pourrait offrir un avantage pratique, mais ne produirait pas l’amélioration de confidentialité suggérée par la fonctionnalité.

Si l’identifiant pouvait être copié ou rejoué, des attaquants pourraient acheter une fois et créer de nombreux comptes. Signal perdrait alors la résistance aux abus qui motivait le paiement. Les numéros de série des reçus, les étapes de vérification et le processus de consommation présents dans le code semblent conçus pour éviter ce résultat.

Signal applique déjà des idées cryptographiques apparentées dans d’autres domaines. Son système de groupes privés utilise des identifiants anonymes afin que les serveurs puissent appliquer les opérations de groupe sans connaître les membres du groupe en fonctionnement normal. Les badges de don utilisent également des identifiants de reçu pour dissocier les paiements des badges de profil.

Cet historique réduit la nouveauté de l’implémentation, mais il n’élimine pas le risque de déploiement. Réutiliser une primitive examinée est plus sûr que d’en inventer une nouvelle. L’inscription introduit néanmoins de nouveaux points de terminaison, transitions d’état, dépendances aux stores et cas d’échec.

Le code source visible ne peut pas non plus prouver ce que les serveurs de production conservent. La cryptographie côté client peut limiter ce qu’un protocole valide révèle. Les chercheurs ont toujours besoin de l’implémentation finale du serveur, de la spécification du protocole, de la politique de conservation et du comportement de déploiement pour évaluer l’affirmation dans son ensemble.

Les travaux antérieurs de Signal sur la « découverte privée » illustrent la même philosophie. Ses clients devraient éviter de confier aux serveurs des graphes sociaux en clair chaque fois que possible. L’inscription sans numéro étend ce principe à la création de compte.

Le mécanisme protège également une relation précise, et non toutes les formes de métadonnées. Un store peut toujours savoir qu’une personne a acheté un élément lié à Signal. Signal peut toujours observer les requêtes réseau, le timing, les informations sur l’appareil et l’activité ultérieure du compte dans le cadre de son architecture de service habituelle.

Les utilisateurs devraient donc interpréter « zero knowledge » avec précision. Cette expression décrit ce qu’une preuve dissimule au sein d’un protocole défini. Elle ne signifie pas que chaque participant n’apprend rien sur chaque événement.

Pour un utilisateur à haut risque, le timing reste particulièrement pertinent. Acheter un identifiant et l’utiliser quelques secondes plus tard pourrait permettre une corrélation entre des systèmes distincts. La séparation des réseaux, le traitement par lots, l’utilisation différée ou d’autres choix opérationnels pourraient réduire cette exposition.

Signal n’a pas expliqué si le processus final introduit de telles mesures. L’entreprise n’a pas non plus indiqué quelles métadonnées de paiement ses serveurs reçoivent ou conservent. Ces omissions comptent davantage que l’étiquette rassurante accolée à la cryptographie.

L’inscription sans téléphone modifie la position concurrentielle de Signal

Signal passe de la dissimulation des numéros de téléphone dans les conversations à leur suppression lors de la création de compte, un domaine dans lequel plusieurs concurrents axés sur la confidentialité se distinguent déjà.

WhatsApp continue de centrer l’inscription des comptes sur les numéros de téléphone, même s’il utilise également le Signal Protocol pour le chiffrement des messages. Telegram utilise lui aussi les numéros lors de l’inscription standard et propose des noms d’utilisateur pour la découverte. Ces conceptions préservent une mise en correspondance aisée des contacts, mais héritent des coûts de confidentialité liés à l’identité fondée sur le téléphone.

Signal occupait historiquement une position similaire. Son chiffrement des messages a reçu de solides évaluations, mais les critiques pouvaient souligner que la vérification téléphonique obligatoire constituait un lien d’identité fondamental. Les noms d’utilisateur ont réduit l’exposition entre les contacts sans éliminer ce lien lors de l’inscription.

L’inscription sans numéro de Signal réduirait l’écart avec les services conçus autour d’identifiants alternatifs. SimpleX, par exemple, affirme que son réseau n’attribue pas aux utilisateurs d’identifiant global. Les contacts se connectent via des liens d’invitation et des adresses par paire plutôt que par un numéro de téléphone ou un nom d’utilisateur universel.

Session utilise des identifiants de compte plutôt que des numéros de téléphone et répartit le routage des messages sur un réseau décentralisé. Matrix autorise des comptes sur des serveurs exploités de manière indépendante, généralement avec des noms d’utilisateur liés à un homeserver choisi. Chaque approche implique des compromis différents en matière de découverte, de modération, de métadonnées et de facilité d’utilisation.

Signal n’adopte pas les architectures de ces systèmes. Il demeure un service exploité de manière centralisée, avec une relation client-serveur étroitement contrôlée. Le travail sur l’absence de numéro modifie son identifiant d’inscription, non son approche de la fédération ou de la gouvernance des infrastructures.

Cette orientation est cohérente avec les priorités déclarées de Signal. Une exploitation centralisée lui permet de mettre à jour les protocoles, de déployer des contrôles contre les abus et de coordonner le comportement des clients. Elle concentre également la confiance dans l’implémentation et les politiques de Signal, même lorsque le chiffrement minimise les données disponibles.

Le changement concurrentiel est donc plus limité que « Signal devient anonyme ». Un compte sans numéro peut toujours avoir un nom d’utilisateur, un nom de profil, un appareil, une adresse réseau, des contacts et des schémas comportementaux. La confidentialité dépend de l’interaction entre ces signaux et l’identité réelle de l’utilisateur.

Ce qui change, c’est l’obligation par défaut de fournir un point de terminaison téléphonique avant de rejoindre le service. Cela compte, car les numéros de téléphone sont des identifiants particulièrement durables et interopérables. Ils circulent entre les systèmes de messagerie, bancaires, publicitaires, professionnels et gouvernementaux.

Un identifiant payant présente des propriétés différentes. Il peut imposer une friction économique sans devenir l’adresse utilisée par les contacts. Si sa séparation cryptographique fonctionne, l’achat peut autoriser l’inscription sans rester attaché au compte.

Cette conception modifie aussi la compétition sur l’expérience utilisateur. Signal peut conserver des noms d’utilisateur familiers et une expérience de contacts soignée tout en proposant une voie d’accès plus privée. Les concurrents fondés sur des identifiants anonymes demandent souvent aux utilisateurs de comprendre les liens d’invitation, le choix d’un serveur ou des modèles de récupération inhabituels.

Cependant, l’approche de Signal peut exclure les personnes qui ne peuvent pas utiliser le store ou le moyen de paiement pris en charge. Les outils de confidentialité servent souvent des utilisateurs vivant dans des environnements contraints, notamment dans des régions où les boutiques d’applications sont limitées. Une option dépendante du paiement doit offrir un accès plus large qu’une seule intégration de facturation Android.

Les commits exposent actuellement la prise en charge de la facturation Google Play, tandis que les versions non-Play peuvent indiquer que l’achat n’est pas disponible. Cela soulève des questions immédiates pour les utilisateurs d’autres stores Android et de paquets d’applications distribués directement. Signal n’a pas annoncé son plan multiplateforme final.

La plateforme d’Apple nécessiterait sa propre implémentation et sa propre validation. Les appareils de bureau ne peuvent pas créer de comptes principaux selon les mêmes hypothèses que les clients mobiles actuels. Un lancement complet doit décider quelles combinaisons d’appareils et de paiements peuvent créer une identité sans numéro.

La comparaison avec la vérification par téléphone variera également selon les régions. La livraison des SMS peut échouer dans certains pays, tandis que les numéros prépayés restent accessibles dans d’autres. La facturation par store peut bien fonctionner pour un utilisateur et devenir impossible pour un autre.

Signal devra présenter l’inscription sans numéro comme une option aux limites définies. La traiter comme un remplacement universel des numéros exagérerait ce que le code actuel prend en charge. La conception la plus solide pourrait préserver plusieurs voies d’inscription tout en clarifiant leurs propriétés de confidentialité.

Les questions les plus difficiles commencent après la réussite de la preuve

Les identifiants à divulgation nulle de connaissance peuvent rompre un lien, mais la récupération, le contrôle des abus, l’accès au paiement et les métadonnées déterminent si le système complet mérite confiance.

La récupération de compte constitue le premier point de pression. Un numéro de téléphone donne aux utilisateurs un canal externe pour récupérer une identité, même si ce canal crée des risques de SIM swap. Un compte sans numéro doit s’appuyer sur des secrets, des appareils, des sauvegardes ou d’autres identifiants.

Les modifications Android incluent la prise en charge des gestionnaires de mots de passe pour la connexion sans numéro et un parcours d’intégration aux sauvegardes ajusté. Elles suppriment également certains comportements liés au PIN pour les comptes sans numéro. Ces détails suggèrent que Signal prévoit que les éléments de récupération assumeront davantage de responsabilités.

Ce changement peut améliorer la sécurité pour les utilisateurs prudents. Il peut aussi entraîner une perte définitive de compte lorsque des personnes égarent un identifiant ou ne sauvegardent pas un secret de récupération. Signal doit expliquer cette conséquence avant l’inscription, et non après la disparition d’un appareil.

Le code fait référence à un pool d’entropie de compte, un secret à forte entropie utilisé dans les processus de sauvegarde et de récupération. Un gestionnaire de mots de passe peut stocker ces informations de manière plus fiable que la mémoire humaine. Pourtant, les utilisateurs qui n’en disposent pas ont besoin d’une alternative sûre et compréhensible.

Les abus constituent le deuxième point de pression. Un paiement ne décourage les inscriptions de masse que lorsque son coût et les règles d’utilisation de l’identifiant affectent réellement les attaquants. Les opérations frauduleuses peuvent utiliser des instruments de paiement volés, des comptes de store compromis ou des mécanismes de remboursement.

Signal doit également décider comment les bannissements interagissent avec de nouveaux identifiants. Si un acteur bloqué peut immédiatement acheter une autre inscription, le système crée de la friction sans empêcher la persistance. Si Signal relie trop d’informations pour appliquer les bannissements, il affaiblit sa promesse de confidentialité.

Cette tension ne peut pas être résolue par la cryptographie seule. Les preuves à divulgation nulle de connaissance peuvent montrer qu’un achat valide a eu lieu et empêcher les simples réutilisations. Elles ne peuvent pas décider quels signaux d’abus Signal doit collecter ni avec quelle agressivité le service doit les corréler.

L’accessibilité des paiements crée une troisième préoccupation. Le travail Android visible repose sur Google Play pour son parcours d’achat mis en œuvre. Les appareils sans facturation Play renvoient un état d’indisponibilité, selon les commentaires du code. Cela inclut certaines configurations Android axées sur la confidentialité et certains canaux de distribution.

Une fonctionnalité destinée à réduire la dépendance aux entreprises de télécommunications pourrait donc accroître la dépendance aux opérateurs de stores d’applications. Google pourrait ne pas connaître le compte Signal final, mais il peut savoir que son client a acheté un élément d’inscription Signal.

La distinction est significative, mais incomplète. Certains utilisateurs veulent avant tout que leur compte Signal soit dissocié d’un numéro de téléphone. D’autres souhaitent aussi éviter de créer un enregistrement de store ou financier indiquant l’utilisation de Signal.

Signal pourrait éventuellement prendre en charge d’autres prestataires de paiement ou des bons. Il pourrait aussi concevoir des identifiants transférables permettant à une personne d’en autoriser une autre. Le dépôt actuel n’établit pas ces options ; elles doivent donc rester des possibilités plutôt que des attentes.

Les métadonnées créent la quatrième préoccupation. Un identifiant respectueux de la confidentialité peut être mathématiquement non corrélable, tandis que les événements opérationnels restent corrélés. L’heure d’émission, l’heure d’utilisation, les adresses réseau, les empreintes d’appareil et les journaux d’erreurs peuvent réduire l’anonymat.

Le client de Signal est conçu pour révéler moins de données à ses serveurs, mais aucun réseau déployé ne fonctionne sans métadonnées. La norme pertinente n’est pas l’invisibilité parfaite. Il s’agit de savoir si le système ne collecte que ce dont il a besoin et empêche les rapprochements évitables.

Une évaluation indépendante nécessitera une description du protocole et un modèle de menace clair. Signal devrait identifier quelles parties sont supposées pouvoir coopérer. Cette liste comprend l’opérateur du store, le processeur de paiement, l’émetteur d’identifiants, le service d’inscription et l’observateur réseau.

Les chercheurs devront également évaluer si une même organisation contrôle plusieurs rôles. La séparation cryptographique peut rester précieuse même dans le cadre d’une exploitation partagée. Ses garanties dépendent d’une construction correcte, de la gestion des clés, du comportement de journalisation et des frontières de déploiement.

Un fil de discussion communautaire a contribué à faire émerger le code, mais la discussion communautaire ne constitue pas une annonce officielle de produit. Certains participants décrivent la conception avec assurance, tandis que d’autres remettent en question la non-corrélation et la confidentialité des paiements. Leur débat identifie des problèmes valables sans les trancher.

Le dépôt Android fournit des preuves plus solides de l’implémentation. Il représente toutefois un logiciel en cours de développement. Les feature flags, interfaces, tests et commentaires peuvent changer avant la sortie, tandis que le comportement du serveur peut différer des hypothèses tirées du code client.

Signal mérite d’être crédité d’avoir rendu inspectable une part substantielle du travail côté client. Cette visibilité permet aux développeurs d’identifier les identifiants de reçu, les frontières de paiement et les états des comptes sans numéro. Elle permet également un examen avant que le langage marketing ne définisse le récit.

La conclusion responsable est conditionnelle. Le mécanisme semble conçu pour empêcher un lien direct entre paiement et compte tout en appliquant une autorisation à usage unique. Il n’a pas encore été vérifié de manière indépendante que le service déployé atteint cet objectif.

Ce qu’il faut surveiller avant que Signal lance les comptes sans numéro

Trois signaux indiqueront si cela devient une fonctionnalité de confidentialité crédible : disponibilité publique, modèle de menace documenté et accès étendu à l’inscription.

Le premier signal serait une bêta publique ou une version stable. Le code Android réserve actuellement l’inscription sans numéro de téléphone aux versions internes. Faire passer cette restriction en bêta établirait que Signal considère ce parcours comme utilisable hors de son environnement de développement.

Une bêta révélerait aussi la séquence d’intégration réelle. Les utilisateurs pourraient voir si le paiement est obligatoire, si la création d’un nom d’utilisateur peut être ignorée et quels éléments de récupération doivent être conservés. La disponibilité dans les boutiques et les restrictions par pays deviendraient mesurables.

Il faudra observer si les comptes existants peuvent détacher leur numéro. La prise en charge des seuls nouveaux comptes résout l’inscription des futurs utilisateurs, mais laisse la population actuelle de Signal liée à des identifiants téléphoniques historiques. Un processus de migration élargirait considérablement l’impact de cette fonctionnalité.

Signal doit expliquer ce que signifie ce détachement. Retirer un numéro de l’interface n’équivaut pas à supprimer tous les enregistrements serveur associés. Les utilisateurs ont besoin d’une définition précise de l’état du compte et d’une politique de conservation.

Le deuxième signal serait la publication d’une conception technique. Un document utile devrait décrire l’émission des identifiants, l’utilisation des achats, la prévention des rejouements, la récupération et les métadonnées pertinentes. Il devrait aussi préciser ce que les prestataires de paiement et les services de Signal peuvent observer.

Un audit de sécurité formel renforcerait cette argumentation. La bibliothèque zkgroup est déjà utilisée au sein de Signal, mais l’inscription sans numéro crée une nouvelle combinaison de protocoles. Les évaluateurs devraient examiner à la fois les fondements mathématiques et le flux applicatif qui l’entoure.

La question la plus importante est celle de la corrélabilité. Signal devrait définir si l’émetteur peut reconnaître un identifiant utilisé, si plusieurs présentations peuvent être corrélées et quelles informations temporelles restent disponibles. Des limites claires sont plus crédibles que de vastes promesses d’anonymat.

Le troisième signal concerne la couverture des plateformes et des paiements. La facturation Google Play semble présente dans l’implémentation Android actuelle. Une fonctionnalité de confidentialité ne peut pas servir l’ensemble du public de Signal si les installations Android directes, les utilisateurs iOS ou les régions non prises en charge n’ont aucun parcours d’inscription.

Des identifiants alternatifs réduiraient cette dépendance. Des codes cadeaux, une distribution par des organisations à but non lucratif ou des mécanismes de paiement neutres vis-à-vis des prestataires pourraient aider les utilisateurs sans compte de boutique compatible. Toute voie de ce type doit préserver l’utilisation unique et la résistance aux abus à grande échelle.

Les développeurs devraient également surveiller les dépôts serveur et les bibliothèques de protocoles. De nouveaux points de terminaison, types d’identifiants et documents peuvent révéler quelles garanties sont appliquées cryptographiquement. Les interfaces clientes seules ne peuvent répondre à toutes les questions de conservation.

Les organisations sensibles à la confidentialité devraient attendre ces détails avant de modifier leurs recommandations d’intégration. Journalistes, chercheurs, organisateurs et entreprises doivent comprendre les risques de récupération et de perte de compte, en parallèle d’une exposition réduite du numéro de téléphone.

Les travailleurs du savoir qui évaluent des outils de confidentialité peuvent consigner ces hypothèses de conception dans une base de connaissances personnelle. Cela crée un point de comparaison durable lorsque Signal publie sa documentation ou modifie son déploiement.

L’inscription sans numéro de Signal répond à une contradiction réelle. Le service veut une intégration collectant peu de données, tout en devant empêcher que des comptes jetables n’envahissent un réseau chiffré. Un identifiant payant et non corrélable constitue une réponse cohérente, mais les détails d’implémentation détermineront son efficacité.

La prochaine étape appartient à Signal. L’entreprise devrait publier la fonctionnalité, documenter les métadonnées observables et expliquer la récupération sans masquer les incertitudes derrière une terminologie cryptographique. Les lecteurs devraient alors se poser une question pratique : chaque partie peut-elle prouver ce dont elle a besoin sans obtenir un chemin durable permettant de remonter jusqu’à la personne ?