Comment Shoulder Surf protège vos clés API
Quand vous utilisez votre propre clé, vos identifiants restent sur votre appareil et vont directement au fournisseur d'IA.
Stockée dans le Trousseau iOS
Vos clés API sont conservées dans le Trousseau iOS d'Apple, le même stockage chiffré et adossé au matériel qu'iOS utilise pour vos mots de passe, vos cartes bancaires et vos identifiants Face ID. Les clés sont chiffrées au repos à l'aide du code de votre appareil et de la biométrie. Elles ne sont jamais écrites en clair, ni dans UserDefaults, ni dans aucun autre stockage non protégé.
De l'appareil directement au fournisseur
Quand vous posez une question, votre clé API voyage directement depuis votre iPhone vers le fournisseur d'IA (OpenAI, Anthropic, Google, etc.) via une connexion HTTPS chiffrée. La requête ne transite jamais par les serveurs de Shoulder Surf. Nous ne voyons jamais votre clé, nous ne la relayons pas et nous ne l'enregistrons pas.
N'atteint jamais nos serveurs
Shoulder Surf ne dispose d'aucun composant côté serveur qui recevrait des identifiants BYOK. Votre clé n'existe que sur votre appareil et dans la requête HTTPS vers le fournisseur que vous avez choisi. Il n'y a aucune sauvegarde dans le cloud, aucune capture analytique, ni aucune télémétrie qui inclurait votre clé.
Uniquement en local sur l'appareil
Les clés API ne se synchronisent pas avec iCloud, CloudKit ni aucun autre service cloud. Si vous changez d'appareil, vous saisirez à nouveau votre clé, c'est voulu. Cela garantit que vos identifiants ne peuvent pas être exposés par une compromission de votre compte cloud.
Jamais enregistrée ni mise en cache
Les clés API sont lues depuis le Trousseau, utilisées pour une seule requête, puis effacées de la mémoire. Elles ne sont jamais écrites dans les journaux de l'application, les rapports d'erreur ni les caches sur disque. Les journaux de requêtes masquent automatiquement tous les en-têtes sensibles et les données d'images en base64.
Validation du format
L'application détecte lorsque vous collez par accident une clé du mauvais fournisseur (par exemple, une clé Anthropic dans le champ OpenAI) et vous avertit avant d'effectuer une requête. Cela évite d'exposer accidentellement une clé au mauvais destinataire.
Comment se déroule une requête BYOK
Chaque requête suit le même chemin sécurisé. Votre clé ne quitte jamais votre appareil, sauf à l'intérieur de la requête chiffrée vers le fournisseur que vous avez choisi.
Shoulder Surf capture votre transcription, votre photo ou votre instruction sur l'appareil.
Votre clé API est récupérée depuis le Trousseau iOS et chargée en mémoire uniquement pour cette requête.
La requête va directement au fournisseur d'IA via TLS. Aucun serveur de Shoulder Surf n'est impliqué.
La réponse du fournisseur s'affiche à l'écran. Votre clé est libérée de la mémoire.
Questions fréquentes
Shoulder Surf peut-il lire ma clé API ?
L'application lit votre clé depuis le Trousseau pour effectuer l'appel API, et c'est le seul moment où elle est en mémoire. Elle ne nous est jamais transmise, ni enregistrée, ni stockée ailleurs que dans le Trousseau.
Que se passe-t-il si je perds mon téléphone ?
Les données du Trousseau iOS sont chiffrées avec le code de votre appareil. Si votre appareil est verrouillé, la clé est inaccessible. Vous pouvez aussi révoquer la clé depuis le tableau de bord de votre fournisseur d'IA à tout moment.
Ai-je besoin d'un compte pour utiliser le BYOK ?
Non. Le BYOK ne nécessite aucun compte Shoulder Surf, aucune connexion, ni abonnement. Il vous suffit de coller votre clé dans les Réglages et c'est parti.
Quelles données sont envoyées au fournisseur d'IA ?
L'extrait de la transcription, votre question et toute photo jointe (compressée). Votre clé API est incluse dans l'en-tête de la requête. Aucune autre donnée personnelle n'est envoyée. Consultez notre Politique de confidentialité pour plus de détails.
Est-ce plus sûr que d'utiliser le service cloud de Shoulder Surf ?
Les deux options sont sécurisées. Avec le BYOK, les données vont directement au fournisseur que vous choisissez, sans intermédiaire. Avec Shoulder Surf AI (notre service géré), les données sont traitées via notre cloud avec l'authentification Sign in with Apple et des jetons JWT stockés dans le Trousseau. Choisissez le modèle qui correspond à vos préférences de confiance.
Prêt à utiliser votre propre clé ?
Ouvrez Shoulder Surf, allez dans les Réglages et collez votre clé API.
C'est tout.
