L’annuaire de clés, en public.
Chaque clé publique que nous fournissons pour une adresse Thelemail est inscrite dans un journal à ajout uniquement. Cette page présente l’identité de ce journal : les valeurs épinglées par nos applications, ce que le journal indique actuellement et les éléments qui ne sont pas encore achevés.
Ce que le journal indique actuellement.
Lisez l’état actuel directement dans le journal actif.
Ce que nos clients épinglent.
Ces valeurs sont intégrées au client web public et au code source privé du client mobile. Une preuve ne compte que si elle est vérifiée par rapport à ces valeurs ; leur modification nécessite donc la publication d’une nouvelle version.
Identité du journal
- Origine
- thelemail.com/keys
- Point de contrôle
- https://tlog.thelemail.com/checkpoint
Le nom du journal dans chaque point de contrôle. Il ressemble à une URL, mais il s’agit d’un identifiant qui ne change pas lorsque le journal est déplacé.
L’endroit où le journal publie son arbre actuel. Accessible à tous.
Clés épinglées
- Clé de vérification du journal
- thelemail.com/keys+76ead63c+ASduViYkPgYHzuTuDnuTdEkjR/DIprnavuFA3vom4YZT
- Clé publique VRF
- AFye6B/Tm9oZVs25OmoSyDWn16PFdnIhG2vpOJGSzEE=
Signe chaque point de contrôle. Sans la clé privée correspondante, personne ne peut publier un arbre que nos clients accepteront.
Les adresses ne sont pas inscrites en clair dans le journal. Chaque entrée est classée sous une valeur pseudo-aléatoire vérifiable ; le journal ne constitue donc pas une liste lisible de nos utilisateurs, tandis que toute personne détenant la preuve relative à une adresse peut toujours la vérifier.
Politique
- Seuil de témoins
- 2
- Fraîcheur des cosignatures
- 24 heures
Le nombre de cosignatures indépendantes dont un point de contrôle a besoin pour être considéré comme valide.
L’ancienneté maximale autorisée pour la cosignature d’un témoin avant qu’elle ne compte plus pour le seuil.
Cosigné par des témoins de préproduction.
Le Witness Network a accepté ce journal le 1er septembre 2026, et Geomys, Mullvad et TrustFabric utilisent cette liste de préproduction. Le point de contrôle actif porte les cosignatures listées ci-dessous, telles que votre navigateur les a lues. Cette page les affiche sans les vérifier. Les clients web et macOS épinglent un seuil de deux des trois témoins et vérifient chaque cosignature à l’aide de la clé épinglée. L’application du seuil à l’exécution n’est pas encore active : les clients fonctionnent en mode surveillance, si bien qu’un point de contrôle sous le seuil est consigné sans arrêter un message.
Interrogation du journal…
Ne vous fiez pas seulement à cette page.
Ces commandes interrogent directement le journal. Le serveur qui y répond est open source.
Lire le point de contrôle actuel
La déclaration signée du journal concernant sa taille et son hachage racine.
curl https://tlog.thelemail.com/checkpoint
Confirmer qu’il est signé par la clé ci-dessus
Le point de contrôle est une note signée au format c2sp.org/tlog-checkpoint afin que vous puissiez le vérifier par rapport à la clé de vérification du journal ci-dessus.
Rechercher une adresse que vous contrôlez
Renvoie la preuve VRF de cette adresse et chaque déclaration jamais consignée à son sujet, afin que vous puissiez voir si une clé dont vous n’avez jamais été informé a été publiée sous votre nom.
curl "https://tlog.thelemail.com/monitor?label=YOUR_ADDRESS"
Récupérer une preuve d’inclusion
Un paquet c2sp.org/tlog-proof pour une entrée, vérifiable hors ligne avec les clés ci-dessus.
curl "https://tlog.thelemail.com/proof?index=0"
Ou exécuter l’ensemble
Clonez-le, lisez-le et exécutez votre propre copie à partir des mêmes tuiles.
git clone https://github.com/thelemail/keylog.git
Chaque modification apportée à ce journal.
Les rotations de clés et les incidents ont leur place sur une page comme celle-ci, qu’il y en ait ou non. Jusqu’à présent, il n’y a eu ni les unes ni les autres.
Création du journal
La clé du point de contrôle et la clé VRF ont été générées, et les premières entrées de l’annuaire de clés ont été inscrites sous l’origine thelemail.com/keys. Aucune des deux clés n’a fait l’objet d’une rotation depuis.
Déplacement du journal vers son propre service
Le serveur du journal a été séparé du backend de messagerie, publié en open source et déplacé d’un chemin sur l’hôte de l’API vers tlog.thelemail.com. Le journal lui-même a été transféré sans modification : même origine, mêmes clés, mêmes entrées, même arbre.
Acceptation dans le Witness Network de préproduction
Le journal a été ajouté à la liste de préproduction 10qps avec une allocation de 8 640 requêtes add-checkpoint par jour, soit une toutes les 10 secondes. Geomys, Mullvad et TrustFabric utilisent cette liste. Le client web est la première application configurée avec la politique de deux témoins sur trois ; le client mobile et l’application du seuil à l’exécution suivront séparément.
Cosignatures confirmées sur le point de contrôle actif
Un examen indépendant mené par Markovian Protocol a établi que le point de contrôle 233 portait des cosignatures de Geomys et de Mullvad, vérifiées à l’aide des clés de témoins épinglées. Les clients fonctionnent toujours en mode surveillance : une cosignature manquante n’arrête donc pas un message.
Aucune rotation de clé
La clé du point de contrôle et la clé VRF sont celles d’origine. Si l’une d’elles fait un jour l’objet d’une rotation, cela sera consigné ici, avec la date et le motif, et les clients devront être mis à jour pour accepter la nouvelle clé.
Aucun incident
Aucune vue divergente, aucun échec de preuve que nous n’ayons pas pu expliquer, aucune perte de données du journal. Si cela change, ce sera consigné ici, y compris les éléments qui nous donnent une mauvaise image.
Vous avez trouvé un problème ? Une preuve qui ne se vérifie pas, une clé que vous n’avez pas demandée ou un point de contrôle qui ne correspond pas à celui que vous avez enregistré auparavant mérite de nous être signalé à l’adresse [email protected]. Une preuve vaut mieux qu’un signalement, et un point de contrôle enregistré constitue une preuve.
Nous avons consigné ce que nous ne pouvons pas protéger.
Le modèle de menaces précise ce qui est chiffré, ce qui ne l’est pas, ainsi que ce qu’une compromission du serveur exposerait ou non. Les lacunes que nous n’avons pas encore comblées y sont répertoriées.
Fay ce que vouldras. La seule règle de l’abbaye de Thélème. Rabelais, Gargantua, 1534.