LocalSend est-il sûr ? La réponse honnête et les réserves qui comptent

LocalSend est arrivé en tête d'une recherche sur les alternatives à AirDrop. Vous vous apprêtez donc à installer une application qui écoute sur votre réseau et accepte des fichiers. Marquer une pause est légitime. LocalSend est un projet open source bien construit, et il est sûr pour un usage ordinaire. Les réserves portent sur votre Wi-Fi, pas sur l'application.

LocalSend est sûr au quotidien sur un réseau de confiance

Trois propriétés font tout le travail ici, et chacune supprime une façon dont un outil de transfert peut mal tourner.

• LocalSend publie l'intégralité de son code source sous licence Apache 2.0. Le projet est hébergé sur GitHub, donc toute personne qui sait lire du code peut vérifier ce à quoi il se connecte.
• Un fichier envoyé avec LocalSend traverse votre propre réseau jusqu'à l'autre appareil, donc aucune entreprise n'en garde de copie. Rien n'est téléversé, donc aucun service ne peut être piraté ni revendu.
• LocalSend chiffre chaque transfert en HTTPS, avec un certificat que chaque appareil génère lui-même. Une autre machine qui surveille le même Wi-Fi voit des données brouillées, pas vos photos.

LocalSend ne demande aucun compte et fonctionne sans internet

Deux autres propriétés valent la peine d'être connues.

• LocalSend ne demande aucun compte, aucune adresse e-mail et aucune connexion d'aucune sorte. Rien vous concernant n'est enregistré, donc il n'y a aucun identifiant à faire fuiter.
• LocalSend continue de fonctionner quand internet est débranché, parce qu'un transfert n'utilise jamais que le réseau local. Il lui suffit du Wi-Fi sur lequel les deux appareils se trouvent.

Rien de tout cela ne rend LocalSend sans risque. Les parties qui dépendent de vous arrivent plus bas.

Camera to Clipboard aboutit à un collage, LocalSend à un fichier

Camera to Clipboard est notre propre application, et ce n'est pas un concurrent de LocalSend. LocalSend envoie un fichier dans un dossier. Camera to Clipboard envoie une photo dans le presse-papiers.

• Camera to Clipboard place une photo du téléphone dans le presse-papiers de l'ordinateur plutôt que dans un dossier. Appuyez sur Ctrl + V ou Cmd + V dans le document que vous avez ouvert.
• LocalSend vous laisse un fichier entre les mains, ce qui est la bonne forme quand c'est justement un fichier que vous voulez garder. Archiver des photos, déplacer une vidéo, transmettre un PDF à quelqu'un, LocalSend est fait pour ça.
• Camera to Clipboard fait passer la photo par votre propre Wi-Fi, sans rien téléverser. Les deux applications utilisent internet uniquement pour se trouver l'une l'autre. Le partage de connexion du téléphone marche aussi, car les données mobiles relient les deux applications.

Camera to Clipboard ne demande aucun compte et n'est pas open source

Une commodité et une limite honnête vont ensemble ici.

• Camera to Clipboard s'associe une seule fois en scannant un QR code et ne demande ni compte ni adresse e-mail. Ensuite, envoyer une photo tient en deux appuis.
• Le code source de Camera to Clipboard n'est pas publié, donc personne à l'extérieur ne peut le lire comme n'importe qui peut lire celui de LocalSend. En échange, l'application garde la photo sur votre propre réseau.

L'open source permet à quiconque de vérifier le code de LocalSend

« C'est open source » est la phrase que les gens répètent à propos de LocalSend sans jamais dire ce qu'elle apporte.

• Un code source publié permet de vérifier une affirmation comme « LocalSend ne téléverse rien » au lieu de la croire. La partie du programme qui ouvre des connexions réseau est là, lisible, avec toutes les adresses qu'elle peut contacter.
• Cacher un téléversement secret à l'intérieur de LocalSend serait très difficile à faire passer. N'importe qui peut lire la source, et n'importe qui peut observer depuis le routeur avec quoi un programme dialogue.
• Open source ne veut pas dire que LocalSend a été audité par des professionnels de la sécurité payés pour ça. Un code publié invite à l'examen mais ne peut pas le garantir. Être disponible et être inspecté sont deux choses différentes.

Un code fermé ne se vérifie pas, un code ouvert ne se retire pas

Deux conséquences découlent du fait de pouvoir lire le code ou non.

• Une application de transfert au code fermé ne peut être jugée que de l'extérieur, sur la parole de son éditeur. Beaucoup de produits fermés sont dignes de confiance. C'est simplement un moyen de vérification qui vous est fermé.
• Un projet open source comme LocalSend peut être repris et poursuivi si ses mainteneurs s'en vont. Le code ne peut pas être retiré, donc un projet ouvert à l'abandon pose un problème plus petit.

Les fichiers LocalSend ne quittent jamais votre réseau local

« Local uniquement » est l'autre phrase que l'on répète. C'est le point le plus fort de la sécurité de LocalSend, et la source de sa principale limite.

• Un fichier envoyé par LocalSend traverse votre propre Wi-Fi d'un appareil à l'autre et s'arrête là. Les deux appareils dialoguent directement, donc rien n'est déposé sur un serveur.
• Comme LocalSend n'utilise aucun serveur, il n'existe aucune copie stockée de vos fichiers qu'une future intrusion pourrait exposer. Les services de cloud conservent votre fichier au moins brièvement, et tout ce qui est conservé peut fuiter.
• LocalSend transfère normalement même quand votre routeur n'a aucune connexion internet. Une application qui téléverserait vos fichiers en douce échouerait à ce test, et il prend une minute à faire.

LocalSend ne traverse ni les réseaux ni l'isolation client

La conception même qui protège vos fichiers limite aussi leur portée.

• LocalSend ne quitte jamais le réseau local, donc il ne peut rien envoyer à un appareil situé dans un autre bâtiment. C'est une limite plutôt qu'un défaut, et la principale raison pour laquelle les gens regardent ailleurs.
• Les Wi-Fi d'hôtel, de campus et d'entreprise qui séparent les appareils empêchent LocalSend de voir l'autre appareil. On appelle cela l'isolation client, et elle met en échec tous les outils de transfert local. Utilisez plutôt le partage de connexion du téléphone.

LocalSend annonce votre appareil et son nom à tout le réseau

Ce point compte, et il ne concerne pas internet. LocalSend doit rendre votre appareil trouvable avant que quoi que ce soit puisse l'atteindre. Sur un réseau d'inconnus, cela change le sens du mot « trouvable ».

• LocalSend annonce votre appareil sur le réseau local, donc toute autre personne qui y fait tourner LocalSend le voit apparaître dans sa liste. C'est ainsi que les deux extrémités se trouvent sans que vous tapiez la moindre adresse.
• Le nom d'appareil que vous choisissez dans LocalSend est montré à tous les autres sur le réseau, donc n'utilisez pas votre nom complet. Sur un Wi-Fi partagé, ce nom est tout ce qu'un inconnu apprend de vous.
• Le réglage Quick Save de LocalSend accepte un fichier entrant sans rien demander, donc laissez-le désactivé sur un réseau non fiable. Sinon, un inconnu sur le Wi-Fi d'un hôtel peut déposer un fichier directement dans vos téléchargements.

Coupez Quick Save et ajoutez un code PIN sur un réseau d'inconnus

Trois réglages décident de ce qu'un inconnu sur ce Wi-Fi peut faire.

• Avec Quick Save désactivé, un transfert LocalSend venu d'un inconnu ne peut pas arriver tant que vous n'avez pas appuyé sur Accepter. Cette confirmation est toute la défense dont vous disposez sur un réseau non fiable.
• LocalSend peut réclamer un code PIN avant d'accepter un fichier, ce qui vaut la peine d'être activé sur un portable qui vit sur le Wi-Fi du bureau. Cela compte surtout sur une machine que vous laissez allumée.
• Rien dans LocalSend n'expose votre appareil au reste d'internet, donc la seule question est de savoir qui d'autre est sur votre Wi-Fi. Un réseau domestique composé de gens que vous connaissez n'a besoin d'aucune des précautions ci-dessus.

Installez LocalSend depuis le site du projet ou un app store

Le seul vrai danger de cette page n'a rien à voir avec le code ouvert. Un nom populaire attire les imitateurs, et une page de téléchargement est facile à contrefaire.

• Le vrai LocalSend vient de localsend.org, des versions publiées sur le GitHub du projet, ou d'une boutique d'applications. Il est distribué par l'App Store, Google Play, F-Droid, Homebrew, Flathub et winget, et chacun vérifie l'éditeur.
• Le nom très connu de LocalSend en fait une cible pour une fausse version que n'importe qui peut compiler sous le même nom. Le code ouvert n'est pas la faiblesse. Un site de téléchargement atteint depuis une publicité, si.
• LocalSend n'a pas de mise à jour automatique, et c'est pour cela que le projet vous dit de l'installer par une boutique ou un gestionnaire de paquets. Ces canaux vous apportent la nouvelle version d'eux-mêmes.
• Vérifier qu'un installeur LocalSend vient bien du projet prend dix secondes et supprime le seul risque sérieux de son installation. Regardez la barre d'adresse avant de cliquer.

L'alerte du pare-feu au premier lancement de LocalSend est normale

Beaucoup de gens arrivent ici parce que Windows ou macOS a lancé un avertissement à l'instant où ils ont ouvert l'application. Cet avertissement, c'est le système d'exploitation qui fait son travail.

• Que Windows demande d'autoriser LocalSend à passer le pare-feu au premier lancement est attendu, car une application qui reçoit des fichiers doit écouter les connexions. Un outil qui ne déclencherait jamais cette question ne pourrait rien recevoir.
• Quand le pare-feu de Windows pose la question à propos de LocalSend, cochez les réseaux privés et laissez la case des réseaux publics vide. Cela le garde fonctionnel à la maison et silencieux sur le Wi-Fi d'un café.
• L'invite de macOS qui demande si LocalSend peut accepter des connexions réseau entrantes pose la même question sous un autre nom. L'autoriser est ce qui permet aux autres appareils de voir le Mac.

SmartScreen juge la rareté, un blocage prive LocalSend de réception

Deux autres avertissements de Windows méritent d'être lus correctement.

• Un avertissement SmartScreen de Windows sur un installeur LocalSend porte sur le nombre de fois où Windows a déjà vu ce fichier, pas sur quelque chose trouvé à l'intérieur. Installer par winget évite complètement la question.
• Bloquer LocalSend au pare-feu le laisse en général capable d'envoyer mais pas de recevoir. Si un transfert ne passe que dans un sens, revenez sur la réponse que vous aviez donnée au pare-feu.

Blip garde son code fermé et demande une adresse e-mail

Blip est l'outil que l'on met le plus souvent en balance avec LocalSend. Les deux diffèrent par nature plutôt que par finition.

• Blip est un produit commercial dont le code source n'est pas publié, donc sa sécurité ne peut être jugée que de l'extérieur. La vérification du code décrite plus haut ne vous est tout simplement pas ouverte.
• LocalSend est un projet open source communautaire publié sous licence Apache 2.0, avec l'intégralité de sa source sur GitHub. N'importe qui peut le lire, le compiler, le dériver ou signaler un problème en public.
• Blip demande une adresse e-mail et un code de vérification pendant l'installation, là où LocalSend ne demande rien du tout. Une adresse relie vos appareils à une identité que l'entreprise conserve ensuite.

Blip traverse internet et vend une licence aux entreprises

Quatre différences découlent du fait que Blip est un produit commercial.

• Blip peut envoyer entre deux appareils qui ne sont pas du tout au même endroit, ce que LocalSend ne sait pas faire. Envoyer des fichiers vers une machine dans une autre ville est la raison honnête de choisir Blip.
• Blip affirme qu'un transfert se fait directement entre les deux appareils et n'utilise ses propres serveurs que si la liaison directe échoue. LocalSend n'a pas ce recours, parce qu'il ne quitte jamais votre Wi-Fi.
• Blip tourne sous Windows, macOS, Android et iOS, avec une version Linux encore en développement, tandis que LocalSend couvre déjà Linux. Pour un foyer avec une machine Linux, cela suffit à trancher.
• Blip est gratuit pour un usage personnel et vend une licence aux organisations, là où LocalSend est gratuit pour tout le monde. Aucun des deux modèles n'est suspect, mais ils répondent différemment à la question « comment ce projet survit-il ».

Si la sécurité veut dire pouvoir vérifier ce que fait une application, LocalSend gagne nettement. Si elle veut dire envoyer un fichier vers une autre ville, Blip le peut et LocalSend non.

LocalSend est le seul outil ici dont le code est lisible par tous

Voici les quatre questions à poser à n'importe quel outil de transfert, appliquées à LocalSend et à ses trois rivaux habituels.

Envoyez un fichier avec LocalSend, une photo avec Camera to Clipboard

Rien sur cette page n'est une raison d'éviter LocalSend. Le choix porte sur le travail que vous êtes en train de faire.

• LocalSend est le bon outil pour envoyer des fichiers de toute nature entre vos propres appareils. Installez-le aux deux bouts et arrêtez de chercher.
• LocalSend reste très bien sur le Wi-Fi d'un hôtel ou d'un bureau si Quick Save est désactivé et que vous acceptez chaque transfert. Ce seul réglage décide si des inconnus peuvent atteindre votre dossier de téléchargements.
• Blip est le meilleur choix quand les deux appareils ne sont pas au même endroit, parce que LocalSend ne traverse pas les réseaux. Vous échangez une vérification du code que vous pouvez mener vous-même contre de la portée.

Prenez Camera to Clipboard pour les photos, LocalSend sur son site

Un dernier choix, et l'avertissement qui compte le plus.

• Camera to Clipboard est le meilleur choix quand les photos du téléphone partent toute la journée dans des documents, des e-mails et des conversations. Coller supprime la chasse au fichier téléchargé.
• Télécharger LocalSend depuis un résultat de recherche ou une publicité plutôt que depuis le projet est ce qui rendrait vraiment LocalSend dangereux. Tout le reste sur cette page est un réglage. Ceci est un autre programme qui porte le même nom.

Questions fréquentes sur la sécurité de LocalSend

LocalSend est-il sûr à utiliser ?
Oui, pour des transferts quotidiens sur un réseau de confiance. Le code source est publié et lisible par tous, et les fichiers vont directement d'un appareil à l'autre à travers votre propre réseau. Chaque transfert est chiffré en HTTPS, et aucun compte n'est nécessaire. Installez-le depuis le projet ou une boutique d'applications, et laissez Quick Save désactivé sur un Wi-Fi que vous ne contrôlez pas.

Les autres personnes sur le même Wi-Fi voient-elles mon appareil LocalSend ?
Oui. LocalSend s'annonce sur le réseau local, donc toute autre personne qui y fait tourner LocalSend voit votre appareil sous le nom que vous lui avez donné. Sur votre réseau domestique, c'est exactement ce que vous voulez. Sur le Wi-Fi d'un hôtel ou d'un bureau, désactivez Quick Save et choisissez un nom qui n'est pas votre nom complet.

LocalSend est-il un virus, et pourquoi mon pare-feu m'avertit-il ?
LocalSend n'est pas un virus, et une alerte du pare-feu au premier lancement est attendue. Une application qui reçoit des fichiers doit écouter les connexions entrantes, et c'est exactement ce que le pare-feu demande. Autorisez-le sur les réseaux privés et laissez les réseaux publics décochés. Le vrai risque est une copie venue d'un site sosie plutôt que de localsend.org, des versions publiées sur GitHub ou d'une boutique d'applications.

LocalSend ou Blip, lequel est le plus sûr ?
Ils demandent des formes de confiance différentes. LocalSend publie son code source, ne demande aucun compte et n'envoie jamais rien au-delà de votre réseau local. Blip est un produit commercial au code fermé qui demande une adresse e-mail pendant l'installation, et un transfert Blip peut traverser internet. Si vérifier le code vous-même est ce que vous appelez être sûr, choisissez LocalSend.