Le Puits du Revenant · Tout perdre, tout retrouver

Variante 1 : un autre appareil (objectif de taverne)

Suivez la même recette sur un autre ordinateur ou sur votre téléphone. C’est le jet de sauvegarde le plus réaliste : l’ordinateur de Paul est en panne, souvenez-vous. C’est aussi la meilleure façon de vérifier que votre parchemin voyage bien. Un navigateur qui n’a jamais ouvert le site a la mémoire vide : il compte pour l’objectif de taverne.

Variante 2 : derrière un VPN (objectif de donjon, sur votre parole)

Un VPN fait passer votre connexion par le serveur d’une entreprise, le fournisseur du VPN. Les sites voient alors l’adresse IP de ce serveur (le numéro qui identifie une connexion sur internet), pas la vôtre. Votre fournisseur d’accès à internet ne voit plus qu’une connexion au VPN.

En échange, le fournisseur du VPN voit ce que votre fournisseur d’accès ne voit plus. Vous déplacez la confiance, vous ne la supprimez pas. L’EFF, une association de défense des libertés numériques, le dit nettement : un VPN n’est pas un outil d’anonymat.

1. Activez votre VPN, si vous en avez un.
2. Ouvrez une fenêtre privée, puis suivez la recette ci-dessus.
3. Au moment de décacheter, cochez « je suis derrière un VPN ».

Le site ne peut pas voir votre VPN : aucune fonction d’un navigateur ne le permet. Il vous croit donc sur parole. La vraie vérification compare votre adresse IP avant et après le VPN. Elle se fait, avec votre accord explicite, dans la salle La Diligence aux Rideaux Tirés · VPN et fournisseur d’accès.

Pour le prix : un VPN sérieux coûte environ 5 € par mois. Mullvad, par exemple, ouvre un compte sans courriel ni nom, avec un simple numéro, et accepte les espèces envoyées par la poste. Méfiez-vous des VPN gratuits : souvent, ils se paient en revendant ce qu’ils voient de votre trafic. Ce nom est un exemple vérifiable, pas une recommandation : ce site n’a ni partenaire ni lien d’affiliation.

Variante 3 : Tor Browser (objectif de donjon, et écusson Revenant d’outre-Tor)

Tor fait passer votre connexion par trois relais. Ce sont des serveurs tenus par des bénévoles, tirés parmi plusieurs milliers. Chaque relais ne connaît que le précédent et le suivant. Le premier relais, dit « de garde », reste le même pendant quelques mois, par sécurité. Le site voit l’adresse du dernier relais, pas la vôtre.

Tor Browser est un navigateur Firefox modifié par le projet Tor. Il rend aussi ses utilisateurs semblables entre eux : même fuseau horaire (UTC, l’heure de référence internationale), fenêtre aux dimensions arrondies, même description du navigateur pour un même système.

1. Téléchargez Tor Browser sur le site officiel du projet Tor, et nulle part ailleurs. Il existe pour Windows, macOS, Linux et Android.
2. Sur iPhone, faites le jet de sauvegarde en navigation privée. Il n’existe pas de Tor Browser pour iPhone. Le projet Tor y recommande l’application Onion Browser, qui passe par Tor. Mais Apple impose son propre moteur aux navigateurs de l’iPhone : Onion Browser ne peut donc pas offrir les mêmes protections que Tor Browser. Il ne lui ressemble pas non plus, et le site ne le reconnaîtra pas comme Tor Browser.
3. Installez Tor Browser et lancez-le. Cliquez sur « Se connecter ». La première connexion prend de quelques secondes à une minute.
4. Vérifiez le niveau de sécurité. « Standard » ou « Plus sûr » conviennent. « Le plus sûr » coupe le JavaScript (le langage qui fait fonctionner les pages) partout. Or ce site en a besoin pour déchiffrer votre parchemin chez vous. Si vous êtes en « Le plus sûr », le site vous le signale. Passez en « Plus sûr » le temps du jet de sauvegarde.
5. Tapez l’adresse du site, puis suivez la recette : parchemin, puis Douze.
6. Avant de fermer Tor Browser, emportez un parchemin neuf si vous avez progressé. Tor Browser efface tout à la fermeture : historique, cookies, et la mémoire que le site garde dans le navigateur. C’est sa raison d’être. Le parchemin téléchargé, lui, reste dans le dossier où Tor Browser l’a enregistré.

Le site reconnaît Tor Browser à plusieurs indices : le fuseau UTC, la version de Firefox utilisée (Firefox ESR, la version à support étendu), la fenêtre arrondie. Il ne peut pas en être certain. Un Firefox renforcé, comme Mullvad Browser, lui ressemble beaucoup. Le site vous le dit, et l’accepte.

• Possible ? Oui. Un papier se perd, se jette, ou part dans un livre prêté.
• Probable ? C’est le risque principal de tout portefeuille gardé soi-même. Cette salle sert justement à le réduire.
• Coût si ça arrive : votre progression et vos écussons. Rien d’autre. Personne, pas même le site, ne peut les retrouver.
• Par comparaison : un mot de passe bancaire oublié se réinitialise en quelques minutes, parce que la banque garde la clé à votre place. Ici, personne ne la garde à votre place. C’est précisément la liberté, et c’est précisément ce que vous testez.
• Tendance : stable.
• S’efface avec le temps ? Non : une progression perdue l’est pour toujours. Mais vous pouvez générer de nouveaux Douze à la Herse, et repartir de zéro.

• Possible ? Oui : ordinateur en panne, dossier vidé.
• Coût : la progression faite depuis votre dernier parchemin rangé ailleurs. Si votre navigateur habituel a encore sa copie de l’écritoire, elle vous rend tout : emportez un parchemin neuf depuis ce navigateur.
• Parade : gardez une copie du parchemin ailleurs que sur l’ordinateur du jour (clé USB, autre appareil). Le parchemin n’est pas un secret : vous pouvez en faire plusieurs copies.

• Possible ? Oui. C’est un fichier ordinaire, dans un dossier ordinaire.
• Probable qu’il lui serve ? Non. Le parchemin est chiffré avec AES-GCM, une méthode de chiffrement standard. La clé vient des Douze, qui contiennent 128 bits de hasard, soit environ 3,4 × 10³⁸ combinaisons. Personne ne les essaiera toutes, ni aujourd’hui ni dans un siècle.
• Par comparaison : un relevé bancaire oublié sur une table se lit sans clé.

• Coût aujourd’hui : il voit vos écussons. C’est vexant, sans plus.
• Coût plus tard : dans les salles suivantes, le parchemin gardera vos preuves. Ce seront vos adresses publiques (les numéros de compte d’un portefeuille, que l’on peut communiquer) et les identifiants de vos transactions. Jamais vos clés privées, jamais la phrase de votre portefeuille. Une adresse publique révèle son contenu à quiconque la consulte sur un explorateur (un site qui affiche les transactions). C’est moins qu’un relevé bancaire, car il n’y a ni votre nom ni votre adresse postale. Mais ce n’est pas rien.
• Parade : ne rangez jamais le papier avec une copie du parchemin. Deux endroits, deux moitiés inutiles seules.

• Possible ? Certain. C’est le fonctionnement normal.
• Coût : aucun devant la loi (voir plus bas). Votre opérateur conserve un an vos données de connexion, comme pour tout ce que vous faites en ligne.
• Par comparaison : sans Tor ni VPN, votre fournisseur d’accès voit déjà, techniquement, à quels sites vous vous connectez. Il ne voit pas le contenu des pages, qui est chiffré. Ce qu’il conserve est limité par la loi : l’identification de l’abonné, les caractéristiques techniques des connexions et la localisation. La loi interdit que ces données portent sur le contenu des correspondances ou des informations consultées (article L. 34-1, VI, du code des postes et des communications électroniques). Avec Tor, il voit moins de choses. Si vous préférez qu’il ne voie même pas que vous utilisez Tor, il existe des « ponts », des relais d’entrée non publiés : la salle Les Souterrains à Trois Relais · Tor les explique.
• S’efface avec le temps ? Oui. La durée de conservation est d’un an. Ensuite, l’opérateur doit effacer.

• Possible ? Oui, comme pour toute application téléchargée ailleurs que chez son éditeur.
• Probable ? Il n’existe pas de statistique d’ensemble, mais un cas est documenté. En mars 2023, l’éditeur d’antivirus Kaspersky a décrit des centaines de faux installateurs de Tor Browser, diffusés hors du site officiel. Ils ont été détectés environ 16 000 fois, dans au moins 52 pays, dont la France. Ils remplaçaient les adresses de portefeuilles copiées par celles des voleurs.
• Parade : téléchargez sur le site officiel du projet Tor, et seulement là.

• Probable ? Oui, sur certains sites : CAPTCHA (les tests « je ne suis pas un robot »), lenteur. Pas sur celui-ci : il est conçu pour fonctionner sous Tor, aux niveaux « Standard » et « Plus sûr ». Il n’utilise pas WebAssembly, une technique que le niveau « Plus sûr » bloque.
• Coût : de la patience.

• Au serment, à la Herse, le parchemin a enregistré une empreinte grossière de votre navigateur : sa famille (Firefox, Chrome…) et votre fuseau horaire. Elle est rangée dans la partie chiffrée du parchemin, et grossière exprès : assez pour constater un changement, trop peu pour vous reconnaître.
• Objectif de taverne : à l’ouverture de la page, la Cafetière note si la mémoire du site dans votre navigateur était vide. Ensuite, votre navigateur fabrique la clé à partir des Douze (avec PBKDF2, une méthode standard pour tirer une clé d’un mot de passe), puis déchiffre le parchemin (avec AES-GCM). Si les Douze sont faux, le déchiffrement échoue. Mémoire vide et déchiffrement réussi : l’objectif est atteint.
• Objectif de donjon : la Cafetière compare l’empreinte enregistrée à celle du moment. Elle cherche aussi les indices de Tor Browser (fuseau UTC, Firefox ESR, fenêtre arrondie), ou prend acte de votre case « VPN ».
• Le drapeau est calculé à partir de votre parchemin et du contexte. Ses huit caractères vous sont propres : personne ne peut les copier sur un voisin.
• Peut-on tricher ? Oui, en lisant le code du site, comme pour toutes les quêtes : c’est assumé. Plus simplement, un Firefox renforcé peut passer pour Tor Browser, et la case VPN se coche sans VPN. Le déchiffrement, lui, ne se contourne pas : sans les Douze, le parchemin reste illisible.

Le site vous reconnaît ? Alors votre navigateur se souvient encore de vous. Le jet de sauvegarde commence quand il ne sait plus qui vous êtes.

Ouvrez une fenêtre de navigation privée (Ctrl + Maj + N ou Ctrl + Maj + P). Tapez l’adresse du site. Cliquez sur « Décacheter mon parchemin ». Donnez votre parchemin le plus récent, puis saisissez vos Douze. Pour l’objectif de donjon, faites la même chose dans Tor Browser, au niveau « Standard » ou « Plus sûr ».

Cherchez le message que vous affiche le site :

• « mémoire non vide » : vous êtes dans une fenêtre normale, ou une fenêtre privée déjà ouverte contenait le site. Fermez toutes les fenêtres privées, puis ouvrez-en une neuve ;
• « mot inconnu » : relisez votre papier, en vérifiant d’abord les quatre premières lettres de chaque mot ;
• « ces mots ne déchiffrent pas ce parchemin » : le parchemin ou les Douze viennent d’un autre serment. Essayez vos autres parchemins ;
• rien ne se passe sous Tor : vous êtes au niveau « Le plus sûr ». Passez en « Plus sûr » ;
• l’objectif de donjon ne vient pas sous Tor : vérifiez que c’est bien Tor Browser, et pas Onion Browser sur iPhone. Vérifiez aussi que la fenêtre n’est pas en plein écran : cela casse ses dimensions arrondies.

• Tor, VPN et chiffrement sont libres en France. L’utilisation des moyens de cryptologie (les techniques de chiffrement) y est libre. C’est l’article 30 de la loi pour la confiance dans l’économie numérique (LCEN), rappelé par l’ANSSI, l’agence nationale de la sécurité informatique. Aucune formalité n’est exigée de l’utilisateur. Aucun texte n’interdit Tor.
• La navigation privée est une fonction ordinaire de tous les navigateurs. Rien à signaler.
• Une limite, à connaître sans s’en effrayer. L’article 434-15-2 du code pénal punit le refus de remettre à la justice, quand elle le demande, la clé de déchiffrement d’un moyen de cryptologie. Cela ne vaut que si ce moyen a pu servir à préparer ou commettre un crime ou un délit. La peine est de 3 ans de prison et 270 000 € d’amende. Elle monte à 5 ans et 450 000 € si la remise de la clé aurait permis d’éviter l’infraction ou d’en limiter les effets. Le Conseil constitutionnel a jugé ce texte conforme en 2018 (décision 2018-696 QPC, rendue sur une question posée par un justiciable), à deux conditions : le moyen doit être lié à l’infraction, et la personne doit connaître la clé. Ce texte ne joue donc que dans une procédure pénale portant sur une infraction. Le parchemin de ce site n’a aucune raison d’y entrer.
• La conservation des données de connexion. Les opérateurs gardent un an les données qui identifient la source d’une connexion, comme l’adresse IP, ainsi que des données de trafic et de localisation (article L. 34-1 du code des postes et des communications électroniques). Le même article interdit que ces données portent sur le contenu des correspondances ou des informations consultées. Pour les données de trafic, cette obligation repose sur une injonction du gouvernement, motivée par la sécurité nationale et renouvelée chaque année. La dernière en date est le décret n° 2026-920 du 30 septembre 2026.

Le détail, chiffré, est dans la salle Le Greffe · La loi en chiffres.