Qu'est-ce qu'un dispositif d'homme mort, et quand l'activer ?

La plupart des gens configurent un coffre privé pour en tenir les autres à l'écart. C'est exactement ce que vous voulez, jusqu'au jour où votre famille a besoin d'y accéder et où vous ne pouvez pas l'aider. Une maladie, un accident, ou simplement la fin d'une longue vie peuvent laisser les personnes que vous aimez devant une porte verrouillée, sans clé.

Le dispositif d'homme mort comble cet écart sans jamais affaiblir le verrou tant que vous êtes là. Le terme peut sembler sombre, mais l'idée est tout en douceur : il s'agit d'une protection qui n'agit que lorsque vous cessez d'agir. Voici comment cela fonctionne, et comment décider si vous devez l'activer.

Ce qu'est réellement un dispositif d'homme mort

Un dispositif d'homme mort est un mécanisme qui se déclenche lorsqu'une personne devient incapable de l'en empêcher. L'exemple classique est le frein d'un train qui s'enclenche si le conducteur lâche le levier. Appliquée à un coffre numérique, cette logique s'étire à l'échelle d'une vie : au lieu d'un instant, elle surveille des mois entiers.

Le dispositif ne surveille qu'une seule chose : votre présence continue. Tant que vous continuez à ouvrir et à utiliser le coffre, il reste silencieux. Ce n'est ni un partage, ni une copie, ni une porte dérobée. Personne n'a accès à quoi que ce soit tant que vous êtes actif.

Comment cela fonctionne dans Kinship Vault

L'activer demande trois décisions, et l'application vous y guide dans l'ordre.

D'abord, ce que vous transmettez. Vous constituez un coffre de récupération : un coffre distinct, chiffré séparément, ne contenant que les types de fiches que vous cochez. Documents, photos, mots de passe, passkeys, pièces d'identité, vos propres types de fiches. Tout ce que vous laissez décoché reste dans votre coffre principal et n'est jamais copié. Ensuite, l'application maintient discrètement ce coffre de récupération à jour en arrière-plan : ce que recevrait votre famille est donc actuel, et non un instantané du jour de la configuration.

Ensuite, qui le reçoit. Un seul fiduciaire, invité par son compte Apple, confirmé par Face ID. Son appareil génère sa propre paire de clés et conserve la moitié privée ; votre application scelle la clé du coffre de récupération pour sa clé publique. Ce scellé est la seule copie qu'il obtiendra jamais, et il ne lui sert à rien tant que la politique n'en décide pas autrement.

Enfin, la durée que doit atteindre votre silence. Choisissez une fenêtre de contrôle de 30, 60 ou 90 jours, puis un délai de grâce de 7, 14 ou 30 jours par-dessus. En mode automatique, il suffit de déverrouiller un coffre sur votre iPhone pour que cela compte comme un signe de vie : une semaine d'usage ordinaire maintient donc le compteur au maximum. Si vous préférez faire les choses délibérément, le mode manuel vous demande plutôt de toucher un bouton.

Le dispositif ne rend jamais votre coffre moins privé aujourd'hui. Il répond seulement à la question de ce qui se passe si vous n'êtes plus en mesure d'y répondre vous-même.

Un dispositif d'homme mort sans serveur intermédiaire

La plupart des services qui promettent cela font tourner un minuteur sur leurs propres machines. Quelque chose, de leur côté, compte les jours, décide que vous avez disparu et envoie vos identifiants. Cette conception vous demande de faire confiance à une entreprise pour détenir les clés, rester en activité et prendre la bonne décision.

Kinship Vault ne fait rien de tout cela, parce que rien de notre part ne se trouve sur ce chemin. Votre compte iCloud transporte le coffre de récupération chiffré et une note signée à chaque signe de vie. C'est du stockage et de l'acheminement, rien de plus. Il ne fait tourner aucun minuteur, ne prend aucune décision, et ne peut rien lire de ce qu'il transporte.

L'évaluation se fait sur le téléphone de votre fiduciaire. Son application lit votre politique et votre dernier signe de vie, les compare à l'heure qu'elle obtient d'iCloud plutôt qu'à l'horloge de l'appareil, et détermine si la fenêtre est écoulée. Tout ce que vous avez signé est vérifié avec la clé que son application a épinglée lors de l'acceptation : un fiduciaire ne peut donc ni falsifier un signe de vie, ni déplacer votre échéance, ni avancer la date. Quand le moment arrive enfin, le déchiffrement se fait également sur son appareil.

Voir toute la transmission

Une minute d'écrans réels, des deux côtés. L'armement du dispositif et le choix du contenu du coffre de récupération, l'invitation du fiduciaire, l'écran d'état qui décompte, puis le téléphone du fiduciaire qui constate que l'échéance est passée et libère le coffre sous forme de copie distincte en lecture seule.

Ce que votre fiduciaire peut et ne peut pas faire

Avant que l'échéance ne soit passée, être fiduciaire revient presque à ne rien faire du tout. Son application indique qu'il détient une copie scellée et qu'il n'y a aucun accès. Il ne peut pas lire une fiche, voir un nom de fichier, raccourcir votre échéance, ni déclencher quoi que ce soit en avance.

Une fois la fenêtre et le délai de grâce tous deux écoulés, son application le lui indique, et la libération reste un acte délibéré qu'il doit accomplir, confirmé par Face ID. Ce qui arrive est un coffre distinct, en lecture seule, à côté du sien. Il peut le lire et en copier ce dont il a besoin. Il ne peut pas le modifier, et son propre coffre n'est jamais touché par tout cela.

Vous gardez le dernier mot du début à la fin. Donner signe de vie à tout moment réinitialise tout, et désactiver le dispositif supprime la zone partagée : la copie sur son téléphone est donc retirée à sa prochaine connexion. Si vous changez d'avis sur la personne qui la détient, changer de fiduciaire donne une nouvelle clé au coffre de récupération, et la copie de la personne sortante cesse d'être mise à jour.

Pourquoi le côté propriétaire est réservé à l'iPhone et à l'iPad

Un dispositif d'homme mort ne vaut que par sa capacité à repérer l'inactivité et à vous prévenir avant de se déclencher. Cela dépend de rappels d'arrière-plan fiables et de longue durée, ce qu'une application de bureau pouvant rester fermée des semaines ne peut pas garantir. Armer le dispositif, définir votre politique et désigner un fiduciaire se font donc sur iPhone ou iPad. Un fiduciaire sur Mac y voit bien son état, y compris quand une libération devient possible, mais la libération elle-même se fait sur son iPhone.

Qui devrait l'activer

Le dispositif d'homme mort est facultatif et désactivé tant que vous ne le choisissez pas, et son activation fait partie d'une formule payante. Il prend tout son sens quand votre coffre contient des choses dont votre famille aurait réellement besoin et qu'elle ne pourrait pas atteindre autrement : documents de succession, contrats d'assurance, informations de comptes, la paperasse qui fait tourner un foyer. Si vous êtes la personne sur qui les autres comptent pour savoir où se trouve chaque chose, c'est pour vous.

• Activez-le si votre coffre est le seul endroit où votre famille chercherait après vous, et s'il existe une personne à qui vous confieriez une copie scellée.
• Attendez si vous n'avez pas encore eu la conversation. Choisissez d'abord la personne, prévenez-la, puis armez-le.
• Associez-le avec une phrase de récupération de 24 mots notée et conservée hors ligne et le Réseau de récupération, afin que la voie d'accès de votre famille ne repose jamais sur le seul dispositif.

Garder le contrôle

Rien dans ce dispositif ne vous retire du pouvoir tant que vous êtes là. Chaque fois que vous ouvrez et utilisez le coffre, le compteur repart au maximum. Vous pouvez changer la fenêtre, changer de fiduciaire, changer le contenu du coffre de récupération, ou tout désactiver, à tout moment et sans demander à personne. C'est une promesse faite à votre famille qui n'arrive à échéance que si vous n'êtes plus en mesure de la tenir vous-même. Le comportement complet, y compris la seule limite en toute franchise, se trouve dans la documentation du dispositif d'homme mort.