Supprimer un relais push change les acteurs de la livraison ; cela ne fait pas disparaître les métadonnées de routage.
La confidentialité des notifications Android ne dépend pas seulement du chiffrement de la conversation. Un service push peut acheminer une notification sans recevoir le texte lisible du chat, tout en participant à sa livraison. Une connexion directe supprime cet intermédiaire précis, mais n'efface pas les métadonnées du serveur de messagerie ou du réseau.
La comparaison utile n'est donc pas « FCM divulgue tout ; les sockets cachent tout ». Il faut plutôt se demander quelles données parviennent à chaque partie, avec quelle fiabilité le dispositif choisi fonctionne en arrière-plan et ce que l'utilisateur peut vérifier.
Ce que transporte FCM
Firebase Cloud Messaging distingue les messages de notification, que la plateforme peut afficher, des messages de données traités par le code de l'application. La charge utile peut contenir du texte de notification lisible, des données chiffrées ou un signal minimal demandant à l'application de récupérer les nouveautés. Ces choix ont des conséquences différentes pour la confidentialité. Types de messages FCM.
Firebase décrit une protection TLS entre le serveur émetteur, FCM et l'appareil, mais précise que FCM ne fournit pas automatiquement de chiffrement de bout en bout (E2EE) au niveau applicatif. Les charges utiles sensibles nécessitent une protection adaptée au-dessus de la couche transport. Dans une messagerie privée, cette protection doit préserver la frontière prévue entre les terminaux ; chiffrer les données sur un serveur qui connaît déjà le texte en clair relève d'un autre modèle de confiance. Conseils de chiffrement FCM.
Ce que prouvent les identifiants de routage, et leurs limites
Un push ciblé nécessite un identifiant pour l'instance d'application concernée. Il ne s'agit pas d'un identifiant permanent et universel d'une personne. Les inscriptions peuvent changer ou expirer ; les recommandations actuelles de Firebase couvrent les inscriptions liées aux installations ainsi que les anciens jetons. Documentation sur la gestion des inscriptions.
Un fournisseur push participe nécessairement au traitement des requêtes et à la livraison. Cela soulève des questions de métadonnées, mais la durée exacte de conservation, les liens avec les comptes et la visibilité exigent de la documentation ou des mesures. Ne déduisez pas qu'une notification générique « nouveau message » révèle automatiquement l'expéditeur humain, le destinataire et l'ensemble du réseau de relations sociales.
La corrélation temporelle peut entrer dans un modèle de menace, notamment lorsqu'un observateur voit plusieurs flux pertinents. Sa précision dépend des observations disponibles, du regroupement des envois, de l'activité en arrière-plan et d'autres facteurs. « Peut fournir un indice » ne signifie pas « reconstitue facilement toutes les conversations ».
Comparaison entre FCM et synchronisation directe
| Question de conception | Push via FCM | Synchronisation directe en arrière-plan |
|---|---|---|
| Un relais push tiers intervient-il ? | Oui | Pas pour cette connexion directe |
| Peut-on exclure le texte lisible du chat de ce relais ? | Oui, avec une charge utile conçue à cet effet | La messagerie nécessite toujours un E2EE adapté |
| Le serveur applicatif observe-t-il des données de connexion ou de livraison ? | Souvent ; cela dépend de l'architecture | Oui, il dessert directement le client |
| La livraison instantanée est-elle garantie ? | Non | Non |
| Que faut-il tester ? | Contenu de la charge utile, cycle de vie du jeton, délais et solution de repli | Restrictions du système, reconnexion, consommation de batterie et délais |
L'interrogation directe ou les sockets peuvent réduire la dépendance à un fournisseur push. Elles ne créent pas d'anonymat automatique et n'empêchent pas le système d'exploitation, le réseau ou l'infrastructure propre à l'application d'observer des événements pertinents.
Pourquoi WorkManager n'est pas un transport de messages instantanés
Android limite le travail en arrière-plan pour gérer les ressources. WorkManager programme des tâches persistantes dans ces limites ; le citer dans une architecture ne signifie pas qu'une connexion restera continuellement active ou que chaque message arrivera immédiatement. Les réglages du fabricant, les restrictions de batterie et l'état de l'application comptent. Restrictions Android sur le travail en arrière-plan.
Désactiver les restrictions d'énergie peut modifier la fiabilité et la consommation, mais n'accordez pas aveuglément des exemptions générales. Testez le mode pris en charge par l'application sur l'appareil réel. Supprimer les composants Google n'apprend pas automatiquement aux applications à utiliser un nouveau mécanisme de livraison ; certaines fonctions peuvent cesser de fonctionner.
Ce que dit Livara sur les notifications
La documentation de sécurité de Livara indique que les notifications push de messages chiffrés ne contiennent ni détails des messages ni noms. Elle précise aussi que le service conserve des métadonnées opérationnelles et des jetons push. Ce sont des affirmations du produit, pas la preuve que Livara n'utilise pas FCM ou que les métadonnées de livraison sont cachées à tous les intermédiaires.
La documentation publique doit être lue avec le modèle de menace. Cet article ne prétend pas qu'il existe une option de synchronisation directe testée, un avantage mesuré sur la batterie ou une politique particulière de conservation des journaux là où rien de tel n'a été démontré.
Vérifier les notifications en pratique
Utilisez un message de test anodin. Comparez ce qui apparaît lorsque le téléphone est déverrouillé, verrouillé, hors ligne puis reconnecté. Vérifiez séparément les aperçus des appareils liés et les applications ayant accès aux notifications. Un réglage de l'écran verrouillé contrôle l'affichage local ; il ne modifie pas nécessairement la charge utile push côté serveur.
Pour les développeurs : inspectez les charges utiles de test et n'enregistrez que le minimum de données diagnostiques. Mesurez la livraison dans des conditions réalistes de batterie et de connectivité, puis documentez le sens de « envoyé », « accepté », « livré » et « affiché ». Confidentialité et fiabilité s'améliorent lorsque ces frontières sont explicites.
