Les bots de votre PC, dans la poche

Nous avons listé les 137 actions de l'app de bureau et décidé pour chacune si elle s'exécute depuis le téléphone comme commande, arrive comme donnée synchronisée ou reste volontairement sur le PC. Le contenu du coffre de mots de passe, les clés d'API, les fournisseurs de modèles et les identifiants des connecteurs ne quittent jamais l'ordinateur ; le téléphone peut verrouiller le coffre, pas l'ouvrir. Un script compare ce tableau au code du bureau, et chaque nouvelle fonction du PC apparaît comme un manque avant une version.

L'appairage commence sur le PC, qui affiche un QR code et un code de 8 caractères à usage unique, valable 10 minutes. Le téléphone le réclame, puis le PC demande s'il faut autoriser ce téléphone, à côté d'un code à 4 chiffres qui doit être identique sur les deux écrans. Rien n'est relié avant un clic sur Autoriser devant l'ordinateur, si bien qu'un code aperçu lors d'un partage d'écran ne suffit pas.

L'app de bureau n'ouvre aucun port. Elle fait des appels HTTPS sortants vers le relais, consulte toutes les 3 secondes un petit fichier « sonnette » dans un stockage objet et ne se synchronise que quand il sonne, si bien qu'un PC inactif ne génère aucune requête en base. Messages, cartes et commandes sont chiffrés au repos en AES-256-GCM. Les notifications push portent un texte générique (« Operator needs your OK ») et aucun contenu de chat ne passe par Apple ou Google. Les chats privés ne sont pas relayés.