Sécurité et périmètre réseau

Mise à jour : 30 septembre 2026.

AnonymFiles n'envoie aucun document ni aucun nom hors de votre ordinateur, et vous pouvez le vérifier. Seule sort la copie relue que vous choisissez de confier à une IA, et c'est vous qui l'envoyez.

Ce que l'application ne fait pas

• Aucun compte, aucune activation en ligne, aucune vérification de licence.
• Aucune télémétrie : ni statistiques d'usage, ni signal au démarrage, ni compteur de fichiers.
• Aucun chat ni IA dans le cloud : l'application ne parle à aucune IA. C'est vous qui décidez quelle copie confier, et à qui.
• Aucun serveur local ni port ouvert : le moteur échange avec l'interface par son entrée et sa sortie standard, et les vues de l'application n'ont pas accès au réseau.

Ce qu'elle fait sur votre poste

• Détection des noms, organisations, adresses, coordonnées et dates privées par deux modèles installés sur l'ordinateur, et des e-mails, téléphones et IBAN par des règles.
• Export : le contenu masqué est supprimé du fichier reconstruit, pas recouvert d'un rectangle noir, et les couches cachées (métadonnées, annotations, formulaires, liens) sont retirées. La copie d'un document Word est un fichier texte (Markdown), sans commentaires ni suivi des modifications.
• Les noms de fichiers deviennent neutres à l'export, et un index liste les pièces exportées et exclues.
• Les originaux ne sont jamais modifiés, et l'export ne contient jamais la table de correspondance.

En cas de doute, rien n'est exporté

• Si le modèle de détection ne se charge pas ou échoue, l'export reste bloqué : aucun repli silencieux sur une détection partielle.
• Une pièce chiffrée, scannée ou illisible est exclue et signalée, jamais recopiée à moitié.
• Une pièce validée doit l'être à nouveau si l'original, les règles ou la copie changent.

Une application Mac signée et notarisée

L'application Mac est signée (Developer ID) et notarisée par Apple, et ses modèles de détection sont inclus. La version Windows est en préparation.

Le seul accès réseau

Sur Mac, les modèles de détection sont inclus dans l'application : aucune connexion, même au premier lancement. Sur Windows, ces modèles publics sont téléchargés une seule fois, au premier traitement ; aucun texte de document ne figure dans ces requêtes. Ensuite, tout fonctionne hors ligne.

Où sont vos données

• Les espaces de travail sont dans votre dossier utilisateur (sur Mac, sous ~/Library/Application Support, avec des droits réservés à votre compte ; sur Windows, sous %APPDATA%).
• La table de correspondance contient les vrais noms en clair et n'est pas encore chiffrée par l'application : activez le chiffrement du disque (FileVault sur Mac, BitLocker sur Windows).
• Si vous supprimez l'espace de travail, sa table de correspondance disparaît avec lui : la réinjection des vrais noms devient alors impossible.

Vérifiez-le vous-même

• Sur Mac, coupez le Wi-Fi dès l'installation ; sur Windows, après le premier traitement : le traitement est identique.
• Sur un PDF exporté, faites le test du copier-coller : le texte masqué n'y est plus.
• Un pare-feu applicatif (LuLu ou Little Snitch sur Mac) affiche toute tentative de connexion. Sur Windows, laissez le premier téléchargement des modèles se faire, puis bloquez l'application dans le Pare-feu Windows Defender : le traitement continue.

Limites connues

• Les PDF scannés et les images ne sont pas encore lus : ils sont signalés et exclus de l'export, jamais recopiés en clair.
• Aucune détection automatique n'est parfaite : chaque pièce est relue côte à côte avant l'export. Les montants se masquent à la main.
• Les règles reconnaissent les téléphones au format français et les IBAN de neuf pays européens ; un e-mail déguisé (par exemple « prenom [at] domaine ») peut leur échapper.
• La réinjection des vrais noms fonctionne sur la réponse texte de l'IA, pas encore sur un Word ou un PDF.