What is a dead man's switch?

A dead man's switch is a safeguard that acts only if you stop acting. In Kinship Vault you choose what goes into a separate Recovery Vault and name one trustee. If you do not check in for the window you set, and the grace period also passes, your trustee can release that Recovery Vault on their own device as a separate read-only copy. As long as you keep using the app, nothing happens and they have no access at all.

Can I turn off or change the dead man's switch?

Yes. The switch is optional and off until you enable it, and you stay in full control while you are active. You choose a check-in window of 30, 60 or 90 days and a grace period of 7, 14 or 30 days, and every time you open and use the vault the clock resets. You can change the window, change your trustee, change what the Recovery Vault holds, or turn the whole thing off at any time. Turning it off removes the copy from your trustee's phone the next time it connects.

Does a server decide when the dead man's switch fires?

No. There is no Kinship Vault server involved. Your iCloud account carries the encrypted Recovery Vault and a signed note each time you check in, which is storage and delivery only. The policy is evaluated on your trustee's device against time taken from iCloud rather than the device clock, and the decryption happens there too. Everything you sign is verified against the key their app pinned when they accepted, so a trustee cannot forge a check-in or move your deadline.

Dispositif d'homme mort · Documentation Kinship Vault

Le dispositif d'homme mort est une transmission facultative pour le cas où vous ne pourriez plus ouvrir votre coffre vous-même. Vous choisissez ce qui entre dans un coffre de récupération distinct, vous désignez un seul fiduciaire, et vous fixez la durée que doit atteindre votre silence. Si vous cessez de donner signe de vie pendant ce délai, votre fiduciaire peut libérer le coffre de récupération sur son propre appareil, en lecture seule. D'ici là, il n'y a accès à rien.

Il est désactivé tant que vous ne l'activez pas, et il ne change jamais le comportement de votre coffre pendant que vous l'utilisez.

En bref

Ce qui est transmis : un coffre de récupération distinct ne contenant que les types de fiches que vous cochez, tenu à jour en arrière-plan.
Qui le reçoit : un seul fiduciaire, invité par compte Apple.
Quand : après une fenêtre de contrôle de 30, 60 ou 90 jours, plus un délai de grâce de 7, 14 ou 30 jours.
Qui décide : l'appareil de votre fiduciaire, qui évalue localement votre politique signée. Aucun serveur de notre part n'intervient.
Ce qu'il obtient : un coffre distinct, en lecture seule. Votre propre coffre n'est jamais touché.
Conditions : iPhone ou iPad, iCloud connecté, une formule payante pour l'activer.

Ce que vous configurez

Armer le dispositif demande trois décisions. Réglages › Dispositif d'homme mort vous y guide dans l'ordre.

1. Ce que contient le coffre de récupération

Le coffre de récupération est un coffre distinct doté de sa propre clé de chiffrement. Vous cochez les types de fiches qui doivent s'y trouver : documents, photos, mots de passe, passkeys, pièces d'identité et vos propres types de fiches personnalisés. Tout ce que vous laissez décoché n'est jamais copié hors de votre coffre principal.

Une fois armé, l'application maintient le coffre de récupération à jour en arrière-plan : ce que recevrait votre famille reflète donc votre coffre tel qu'il est aujourd'hui, et non tel qu'il était le jour de la configuration. Les fiches proviennent de votre coffre principal ; les coffres sensibles et les coffres partagés ne sont pas inclus.

2. Votre fiduciaire

Une seule personne, invitée par son compte Apple, adresse e-mail ou numéro de téléphone, et confirmée par Face ID. Son appareil crée sa propre paire de clés et conserve la moitié privée. Votre application scelle la clé du coffre de récupération pour sa clé publique et range ce scellé à côté du coffre.

L'invitation ne fonctionne que pour ce compte Apple. Tant que la politique n'en décide pas autrement, ce scellé est tout ce qu'il détient, et il n'ouvre rien.

3. Votre politique de contrôle

Choisissez la durée que doit atteindre le silence avant que quoi que ce soit puisse se produire.

Réglage	Choix	Par défaut
Fenêtre de contrôle	30, 60 ou 90 jours	60 jours
Délai de grâce	7, 14 ou 30 jours	7 jours
Mode de contrôle	Automatique ou manuel	Automatique

En mode automatique, déverrouiller n'importe quel coffre sur votre iPhone compte comme un signe de vie : un usage ordinaire maintient donc le compteur au maximum sans que vous y pensiez. En mode manuel, vous touchez plutôt « Donner signe de vie ». Dans les deux cas, donner signe de vie à tout moment réinitialise la fenêtre et le délai de grâce.

Le dispositif ne rend jamais votre coffre moins privé aujourd'hui. Il répond seulement à la question de ce qui se passe si vous ne pouvez plus y répondre vous-même.

Aucun serveur intermédiaire

La plupart des produits qui proposent cela font tourner un minuteur sur leurs propres machines. Quelque chose, de leur côté, compte les jours, décide que vous avez disparu et envoie vos identifiants. Cela vous demande de faire confiance à une entreprise pour détenir les clés, rester en activité et prendre la bonne décision.

Kinship Vault n'a rien sur ce chemin. Les rôles se répartissent ainsi :

Élément	Rôle	Ce qu'il ne peut pas faire
Votre compte iCloud	Transporte le coffre de récupération chiffré, votre politique signée et une note signée à chaque signe de vie	Faire tourner un minuteur, décider quoi que ce soit, ou lire ce qu'il transporte
Votre appareil	Chiffre le coffre de récupération, signe la politique et chaque signe de vie	Joindre directement l'appareil de votre fiduciaire
L'appareil de votre fiduciaire	Évalue la politique localement, puis déchiffre après une libération explicite	Falsifier un signe de vie, déplacer l'échéance, ou ouvrir quoi que ce soit en avance
Kinship Vault, l'entreprise	Rien. Il n'y a pas de compte chez nous ni de serveur dans le circuit	Voir votre politique, votre fiduciaire, ou vos fiches

L'éligibilité est évaluée à partir de l'heure fournie par iCloud et non de l'horloge de l'appareil : avancer la date d'un téléphone ne rapproche donc pas une libération. Tout ce que vous signez est vérifié avec la clé que l'application de votre fiduciaire a épinglée lors de l'acceptation de l'invitation : une politique substituée ou un signe de vie falsifié est donc rejeté.

Ce que cela vous apporte. Aucun compte chez nous qui puisse être compromis, aucun serveur de notre part qui puisse tomber au mauvais moment, et aucun opérateur nulle part qui puisse être convaincu, assigné en justice ou trompé pour libérer votre coffre en avance. Si Kinship Vault disparaissait demain, la transmission que vous avez mise en place fonctionnerait encore.

Voir toute la transmission

Une minute d'écrans réels, des deux côtés. L'armement du dispositif et le choix du contenu du coffre de récupération, l'invitation du fiduciaire, l'écran d'état qui décompte, puis le téléphone du fiduciaire qui constate que l'échéance est passée et libère le coffre sous forme de copie distincte en lecture seule.

Le dispositif d'homme mort, côté propriétaire et côté fiduciaire. Ouvrir la vidéo directement.

Ce que voit votre fiduciaire, étape par étape

Étape	Sur son appareil	Son accès
Invité	Une invitation à accepter, qui vous nomme	Aucun
En veille	« Vous êtes le fiduciaire de votre nom », et qu'une copie scellée se trouve sur le téléphone	Aucun. Aucune fiche, aucun nom de fichier, aucun décompte de votre contenu
Éligible	Une bannière et une notification locale indiquant qu'une libération est possible	Toujours aucun tant qu'il ne libère pas
Libéré	Un coffre distinct à côté du sien, marqué en lecture seule	Lire et copier. Aucune modification, jamais

Il ne peut ni raccourcir votre échéance, ni la prolonger, ni déclencher une libération en avance. La libération est toujours un acte délibéré de sa part, confirmé par Face ID, et proposé uniquement une fois votre fenêtre de contrôle et le délai de grâce tous deux écoulés.

Prévenez votre fiduciaire. Un dispositif qui se déclenche auprès de quelqu'un qui ignorait avoir été choisi est un dispositif qui échoue au pire moment. Avant de l'armer, parlez à la personne que vous désignez. Elle doit savoir ce qu'elle détient, qu'elle ne peut pas l'ouvrir tant que vous êtes là, et grosso modo quoi faire si le jour arrive.

Changer d'avis

Tout reste modifiable aussi longtemps que vous êtes là.

Donnez signe de vie à tout moment et la fenêtre comme le délai de grâce repartent au maximum.
Changez la politique ou le contenu quand vous le souhaitez. Le coffre de récupération se met à jour en conséquence.
Changez de fiduciaire et le coffre de récupération reçoit une nouvelle clé : la copie de la personne sortante cesse d'être mise à jour. Si son téléphone est en ligne, il reçoit l'ordre d'effacer la copie qu'il détient.
Désactivez-le et la zone partagée est purement et simplement supprimée, ce qui retire la copie du téléphone de votre fiduciaire à sa prochaine connexion.

Si une libération a déjà eu lieu et que vous êtes toujours là, l'application remarque votre prochain signe de vie et indique à votre fiduciaire que vous êtes de retour. Les mises à jour de sa copie sont suspendues jusqu'à ce que vous décidiez de continuer à l'alimenter ou de désactiver le dispositif.

Conditions et limites

iPhone ou iPad pour armer le dispositif, définir la politique et désigner un fiduciaire. Une application de bureau qui peut rester fermée des semaines ne peut pas garantir les rappels de longue durée dont cela dépend : le côté propriétaire n'est donc pas proposé sur Mac.
Un fiduciaire sur Mac y voit bien son état, y compris quand une libération devient possible. La libération elle-même se fait sur son iPhone.
iCloud connecté des deux côtés, et le mode strictement hors ligne désactivé, puisque la transmission passe par votre propre compte iCloud.
Une formule payante pour activer le dispositif ou changer de fiduciaire. Un dispositif armé continue de fonctionner même si la formule expire, et c'est délibéré : une personne décédée ne peut pas renouveler, et démanteler la transmission à ce moment-là irait à l'encontre de tout l'objectif.
Un seul fiduciaire à la fois dans cette version.

La limite, en toute franchise. La règle selon laquelle rien ne s'ouvre avant l'échéance est appliquée par l'application sur l'appareil de votre fiduciaire, et sa clé privée est stockée de manière à ne pas pouvoir quitter cet appareil. La contourner supposerait d'extraire du matériel du trousseau et d'écrire du code sur mesure pour iCloud. C'est un vrai frein pour un fiduciaire curieux, pas une garantie contre un attaquant déterminé disposant du téléphone déverrouillé de votre fiduciaire. Un verrou temporel cryptographique exigerait un tiers détenant une clé, ce qui annulerait précisément la propriété qui fait l'intérêt de cette conception. Choisissez un fiduciaire à qui vous confieriez un double des clés de chez vous.

À voir aussi

Comment fonctionne la récupération, les trois moyens indépendants de revenir dans votre propre coffre.
Réseau de récupération, répartir votre clé entre des personnes de confiance. Distinct du dispositif d'homme mort, et un bon complément.
Qu'est-ce qu'un dispositif d'homme mort ?, la version en langage courant de cette page.

Configurez-le une fois, puis oubliez-le.

Réglages › Dispositif d'homme mort sur votre iPhone. Trois décisions, une conversation avec la personne que vous désignez, et il monte la garde discrètement à partir de là.

Retour à la documentation