Privnote est-il sûr ? Le site privnote.com est-il légitime ?

Privnote est-il sûr ? Pour une note qu’il serait sans conséquence de voir lue une fois par la mauvaise personne, oui. Pour un mot de passe, une clé API ou tout ce qui compte pour une entreprise, non. Le site privnote.com est-il légitime ? Oui : c’est le vrai service, et il fonctionne depuis des années. Le danger vient des sites d’imitation qui l’entourent.

Le principe de l’ouverture unique fonctionne. Les trois risques décrits plus bas concernent tout ce qui l’entoure, et le premier a déjà coûté de l’argent à de vraies personnes.

Mise à jour du 2 octobre 2026 : ajout de ce que nous avons pu vérifier sur la bibliothèque de chiffrement de Privnote à partir du code source de sa page en ligne, ajout du réseau de clones documenté en 2024 par Krebs on Security, et correction d’une affirmation antérieure sur le chiffrement de LinkPilot. Quand cet article dit « nous avons vérifié », la vérification date du 2 octobre 2026.

Cet article donne notre verdict sur la sécurité. Si vous savez déjà que vous voulez autre chose, notre sélection des meilleures alternatives à Privnote compare sept outils sur le chiffrement, la révocation, les journaux d’audit et le prix, et LinkPilot vs Privnote confronte directement notre propre produit à Privnote. Si vous devez envoyer un mot de passe aujourd’hui, le guide du partage sécurisé de mots de passe explique comment le faire sans risque, l’outil gratuit de note qui s’autodétruit fonctionne sans compte, et la page Tarifs de LinkPilot détaille ce que comprennent les forfaits Free et Pro.

Qu’est-ce que Privnote fait bien ?

Rendons-lui justice. Le produit de base est réellement pratique : pas de compte, vous collez une note, vous obtenez un lien, et la note est détruite après lecture. La page de Privnote indique que la note est « chiffrée dans votre navigateur puis stockée dans Privnote », propose un « mot de passe manuel » pour chiffrer la note, des durées d’expiration de 1 heure, 24 heures, 7 jours ou 30 jours, une notification par e-mail quand la note est détruite, et le conseil raisonnable d’envoyer le mot de passe par « une autre méthode » que le lien.^[1] Pour un « voici la clé Wi-Fi, à supprimer après lecture » entre personnes qui se font confiance, cela convient.

Quels sont les 3 risques ?

1. Des sites clones d’hameçonnage qui lisent votre note

La notoriété de Privnote a fait naître des domaines d’imitation, et les mieux documentés ont été conçus pour voler.

En juin 2020, Brian Krebs a révélé que privnotes.com (au pluriel) imitait Privnote, ne chiffrait pas réellement les notes et exécutait un script qui repérait les adresses bitcoin dans une note pour les remplacer par celles des escrocs. Le remplacement n’avait lieu que si l’expéditeur et le destinataire ouvraient la note depuis des adresses IP différentes : l’expéditeur qui vérifiait sa propre note ne voyait donc jamais l’échange.^[2] En avril 2024, il a documenté tout un réseau de clones, dont privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com et privnate[.]com, qui « fonctionnent plus ou moins comme annoncé, mais injectent aussi discrètement leurs propres adresses de paiement en cryptomonnaie lorsqu’une note créée contient des portefeuilles crypto ». Quatre adresses liées à l’un de ces sites ont reçu près de 18 000 $ en quatre jours, et les opérateurs mettaient en place de nouvelles adresses à peu près tous les cinq jours.^[3]

Le danger ne vient pas du vrai site. Il vient du fait qu’un clic sur un résultat de recherche ou une publicité peut vous mener vers une copie convaincante, dont le seul but est de lire votre secret. Si vous utilisez Privnote, tapez le domaine vous-même. Un contrôle de réputation des liens, comme notre outil gratuit de score de confiance des liens, permet de vérifier une URL suspecte avant d’y coller quoi que ce soit.

2. Un chiffrement impossible à vérifier

Privnote affirme que les notes sont chiffrées de sorte que le serveur ne peut pas les lire ; en 2020, l’entreprise a déclaré à Krebs que le vrai Privnote utilise un chiffrement « pour que même Privnote ne puisse pas lire le contenu ».^[2] C’est peut-être vrai. Mais le code est fermé, donc personne en dehors de l’entreprise ne peut le confirmer, et ce que l’on peut observer de l’extérieur n’a rien de rassurant.

Voici précisément ce que nous avons pu vérifier, et ce que nous n’avons pas pu vérifier, le 2 octobre 2026 :

• Vérifié : la page en ligne de privnote.com charge un fichier JavaScript nommé gibberish-aes.js depuis ses ressources statiques.^[1]
• Vérifié : le projet d’origine Gibberish-AES sur GitHub a été archivé (passé en lecture seule) le 16 octobre 2018. Son propre README indique qu’il « ne prend en charge que le mode de chiffrement AES CBC », qu’il est conçu pour être compatible avec la dérivation de clé d’OpenSSL fondée sur MD5, et il comporte un avis d’obsolescence qui recommande d’utiliser plutôt libsodium ou la Stanford JavaScript Crypto Library, car Gibberish-AES « est assez ancien et utilise un mode de chiffrement plus ancien et non authentifié, CBC ».^[4]
• Non vérifié : nous n’avons pas fait la rétro-ingénierie du code minifié de l’application Privnote pour confirmer que cette bibliothèque est bien celle qui chiffre une nouvelle note aujourd’hui, et non un chemin hérité pour les anciennes notes. Considérez ce constat comme « la seule bibliothèque cryptographique que la page charge », pas comme la preuve de ce qui s’exécute.

Comparez avec les outils dont vous pouvez lire le code source : PrivateBin documente un AES 256 bits en mode Galois/Counter (un mode authentifié), exécuté dans le navigateur avec la clé dans la partie du lien située après le #,^[5] et Yopass chiffre dans le navigateur avec OpenPGP, sous licence Apache-2.0.^[6] Pour un outil censé protéger des secrets, « faites-nous confiance » est une position nettement plus faible que « vérifiez par vous-même ».

3. Aucun moyen de réparer une erreur

Vous avez envoyé la note à la mauvaise personne ? Il n’existe aucun tableau de bord pour la révoquer. Vous devez prouver à un client qu’un identifiant n’a jamais été ouvert ? Il n’y a pas de journal d’audit : l’e-mail de destruction vous dit que la note a été lue, mais ni par qui ni d’où. Vous vous demandez si elle a été lue par le bon destinataire ou par une passerelle de sécurité de messagerie qui a récupéré le lien ? Impossible de le savoir.

Rien de tout cela ne compte pour une note sans enjeu ; tout cela compte au travail.

Que faut-il utiliser à la place ?

La comparaison complète des sept outils, avec un tableau des prix et la page tarifaire de chaque éditeur citée, se trouve dans les meilleures alternatives à Privnote. Pour comparer notre produit à Privnote fonction par fonction, y compris la réserve honnête selon laquelle LinkPilot n’existe qu’en version hébergée, avec un code fermé, consultez LinkPilot vs Privnote. Pour essayer le principe sans compte, utilisez le générateur de liens secrets à usage unique pour un mot de passe ou une clé, et l’outil de note qui s’autodétruit pour un message.

Historique des corrections : la première version de cet article indiquait que LinkPilot ne prétendait pas chiffrer dans le navigateur. Depuis le 29 septembre 2026, LinkPilot chiffre les contenus texte et les pièces jointes dans le navigateur, avec la clé dans la partie du lien située après le # ; les secrets créés avant cette date étaient stockés en texte en clair jusqu’à leur expiration. Voici précisément ce que LinkPilot affirme.

Comment utiliser sans risque un outil de note à usage unique ?

1. Tapez le domaine vous-même. N’accédez jamais à un outil de secrets par une publicité ou un résultat de recherche : c’est toute l’attaque par site clone, résumée en une ligne.
2. Ajoutez une phrase de passe et envoyez-la par un autre canal que le lien.
3. Choisissez l’expiration la plus courte possible pour que les notes non ouvertes disparaissent d’elles-mêmes.
4. Renouvelez le secret au moindre doute. Une note signalée comme détruite avant que le destinataire l’ait lue, ou un e-mail de destruction reçu avant qu’il l’ait ouverte, est votre signal d’alerte : quelqu’un d’autre l’a ouverte.
5. Ne mettez jamais le mot de passe lui-même dans un e-mail ou une messagerie, seulement le lien. Notre guide du partage sécurisé de mots de passe compare les cinq façons dont les équipes partagent des identifiants et explique pourquoi cette règle compte.

L’ouverture unique est une vraie bonne idée, et c’est pourquoi tant d’outils la proposent. La question de la sécurité porte sur tout ce qui l’entoure : qui exploite le service, si vous pouvez le vérifier, et ce que vous pouvez faire en cas de problème. Jugez Privnote, et chaque alternative, la nôtre comprise, sur ces trois questions.

Références

[1] Privnote. Home page and page source (consulté le 2 octobre 2026). https://privnote.com/

[2] Krebs, B. (14 juin 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/

[3] Krebs, B. (4 avril 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/

[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (dépôt archivé le 16 octobre 2018). GitHub. https://github.com/mdp/gibberish-aes

[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin

[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass