L'essor de Bitchat en France est un signal de défiance, pas une garantie de sécurité

Pourquoi tant de gens installeraient-ils une application de messagerie qui ne fonctionne qu'avec des personnes situées à proximité, alors que rien n'a été coupé ? C'est l'étrange question que soulève le moment de Bitchat en France, et la réponse en dit plus sur la confiance que sur le Bluetooth.

Ce qui s'est passé: une vague de téléchargements « au cas où »

Selon France 24, Bitchat mesh s'est classée première des applications de l'App Store jeudi, en pleine mobilisation lycéenne et manifestations sur le pouvoir d'achat. BFMTV note qu'aucune coupure n'est prévue pour l'instant, mais que les appels à télécharger l'application se multiplient sur les réseaux sociaux, nourris par des rumeurs d'interdiction des réseaux sociaux.

L'application a été créée par Jack Dorsey et annoncée en juillet 2025. Elle envoie des messages via des réseaux maillés Bluetooth Low Energy, sans internet, sans compte et sans numéro de téléphone.

Le pic mesure l'inquiétude, pas le besoin

Personne n'est coupé du monde en France en ce moment. Les gens installent un extincteur avant tout incendie. À notre avis, c'est là le vrai sujet: une rumeur a suffi pour qu'une partie des utilisateurs considèrent leurs messageries habituelles comme quelque chose qui pourrait être coupé ou surveillé.

C'est rationnel, dans une certaine mesure. Les canaux de secours ne coûtent pas cher, et les antécédents de Bitchat expliquent qu'on y pense. Selon l'article de Wikipédia, elle a été utilisée lors de coupures locales d'internet dans des pays comme Madagascar, l'Iran, l'Ouganda, le Népal et l'Inde. La France n'entre pas dans cette catégorie, et nous pensons qu'il faut le dire clairement. Emprunter l'aura de ces cas ne revient pas à affronter leurs conditions.

Un chat maillé ne vaut que par la foule qui vous entoure

Les limites physiques ne sont pas un détail. L'article de dev.to décrit des relais pouvant aller jusqu'à sept sauts et situe la liaison Bluetooth entre appareils autour de 30 mètres. Une autre explication, sur malware.news, indique que le Bluetooth fonctionne sur environ 10 à 100 mètres. Dans les deux cas, c'est un chat pour une rue ou une place, pas pour une ville.

La deuxième limite est la densité. Un réseau maillé suppose que d'autres personnes utilisent l'application à proximité, et l'installer la veille d'une manifestation ne le garantit pas. Notre pronostic: bon nombre des téléchargements de cette semaine resteront sans être ouverts, et au milieu d'une foule d'inconnus, le réseau risque d'être lacunaire. L'application s'appuie aussi sur le protocole Nostr, fondé sur internet, pour étendre sa portée, et d'après Wikipédia, les messages directs y basculent quand le Bluetooth est indisponible. C'est utile, mais ce n'est plus alors un fonctionnement purement hors ligne.

« Chiffré » ne veut pas dire « sûr pour un usage sensible »

C'est ici que nous serions le plus prudents. Wikipédia rapporte que, peu après le lancement sur TestFlight, un chercheur a découvert qu'il était possible d'usurper l'identité d'un autre utilisateur. Jack Dorsey a alors indiqué que le projet était en cours de développement, n'avait pas fait l'objet d'un audit de sécurité externe et pouvait ne pas atteindre ses objectifs de sécurité. Un billet distinct sur Medium, signé d'une personne se présentant comme chercheuse en sécurité, affirme l'existence de failles critiques, dont l'usurpation d'identité et un stockage fragile des clés. C'est l'affirmation non vérifiée d'une seule personne et nous ne pouvons la confirmer, mais elle va dans le même sens.

Une cryptographie solide ne sert à rien si l'on ne peut pas être sûr de qui se trouve à l'autre bout. Des fonctions comme les identifiants aléatoires par session et l'effacement d'urgence par triple appui sont de bons signes de conception. Ce n'est pas un audit.

Notre verdict

Installez-la par curiosité, et considérez-la comme une solution de secours pour échanger avec des personnes physiquement proches si les réseaux sont saturés ou tombent en panne. Ne la prenez pas pour un outil d'anonymat, et n'envoyez rien qui vous nuirait s'il était dévoilé. Convenez au préalable avec vos amis de la manière de vous vérifier mutuellement, et gardez aussi votre messagerie habituelle.

La leçon la plus intéressante concerne les grandes plateformes. Quand un chat Bluetooth doté de commandes dans le style d'IRC prend la tête du classement de l'App Store à cause d'une rumeur, le problème n'est pas le niveau de finition de Bitchat. C'est la fragilité que les gens ressentent dans leurs canaux de tous les jours.