Un babyphone privé qui n'enregistre rien

Tous les babyphones du marché se disent respectueux de la vie privée. Le mot a fini par ne plus rien vouloir dire, parce qu'on lui fait couvrir au moins quatre choses différentes : une connexion chiffrée, un mot de passe sur un compte, une posture RGPD, et des images conservées sur un serveur que le fabricant promet de bien garder.

Une seule de ces quatre choses vous dit ce qu'il advient de la vidéo de la chambre de votre enfant. La bonne question est plus étroite que « est-ce privé ». Elle tient en deux points : où finit la vidéo, et combien de temps elle y reste.

La réponse courte

MonitorUltra n'enregistre rien. La vidéo et l'audio de l'unité bébé sont chiffrés en transit et relayés en direct vers l'unité parent via LiveKit, puis abandonnés au passage. Aucun historique de séquences, aucune relecture, aucune image écrite sur un serveur. Le flux existe uniquement pendant que les deux appareils sont connectés, et il n'en survit aucune copie.

Ce que « privé » veut dire sur la boîte

Cinq formulations que vous croiserez, et ce que chacune couvre réellement.

• « Connexion chiffrée ». Décrit le tuyau. Ne dit rien de ce qui se trouve au bout. Une caméra peut chiffrer sa connexion et écrire quand même chaque image dans un bucket.
• « Protégé par mot de passe ». Décrit le contrôle d'accès. Ne dit rien de la conservation, et c'est la promesse que le moindre mot de passe réutilisé fait tomber.
• « Stockage local sur carte SD ». Vraiment utile. Dans la plupart des produits, la caméra reste connectée au cloud pour permettre la consultation à distance, donc la carte ajoute une deuxième copie et la copie serveur existe toujours.
• « Stockage cloud avec conservation de 30 jours ». Une formulation honnête, et qui signifie que les images existent. Une politique de conservation est une promesse de suppression, et elle suppose qu'il y ait quelque chose à supprimer.
• « Conforme au RGPD ». Une affirmation sur le traitement licite de données personnelles. Elle part du principe que des données sont détenues.

Aucune de ces phrases n'est mensongère. Elles répondent simplement à une autre question que celle que se posent la plupart des parents.

L'architecture, précisément

Rien n'est enregistré

Il n'y a pas de bouton d'enregistrement, pas de liste de séquences, aucun moyen de revoir la nuit dernière. C'est un choix produit qui supprime une fonction que les gens réclament, et c'est la pièce porteuse de tout le reste de cette page. Un stockage qui n'existe pas ne peut pas être fouillé, réquisitionné, revendu, mal configuré ni exfiltré.

Chiffré en transit

L'audio et la vidéo sont chiffrés pendant leur trajet entre les appareils et le relais. C'est la description exacte de ce qui se passe, et je ne vais pas l'étirer jusqu'à quelque chose de plus flatteur. Si vous voulez comparer des babyphones sur ce point précis, la formule à chercher sur le site d'un concurrent concerne ce qui se passe au repos, parce que le chiffrement en transit est désormais quasi universel.

Relayé via LiveKit

Un serveur média se place entre l'unité bébé et l'unité parent et transmet le flux. MonitorUltra utilise LiveKit pour cela.

Ce relais est ce qui fait tenir le reste du produit. Parce qu'un serveur intermédiaire prend en charge la connexion, les deux appareils n'ont pas à se trouver sur le même réseau Wi-Fi, vous n'avez aucun port à ouvrir sur votre box, et l'unité parent fonctionne en données mobiles partout où vous captez. Un babyphone qui exige que les deux téléphones partagent le même réseau local évite le relais et le paie en utilité.

Ce que fait ce relais, c'est transmettre des paquets entre deux participants connectés. Il ne les écrit pas sur disque, et il n'y a pas de bucket qui accumule les nuits de la semaine dernière.

La détection des pleurs tourne sur l'unité bébé

L'audio est classifié sur le téléphone de la chambre, avec le framework SoundAnalysis d'Apple. Rien n'est envoyé à un modèle hébergé pour être écouté et étiqueté. Ce point compte indépendamment de la question du streaming, parce qu'un babyphone peut très bien éviter de stocker la vidéo et expédier malgré tout chaque seconde de la chambre de votre enfant vers un classifieur distant. Pourquoi la détection des pleurs doit rester sur le téléphone explique comment cela marche, et pourquoi c'est un choix d'ingénierie plus exigeant que la version cloud.

Ce que je ne prétends pas

Cette section existe parce que les promesses de confidentialité sont vérifiables, et que celles qu'on vérifie avant de les prendre en défaut font plus de dégâts que si elles n'avaient jamais été faites.

• Ce n'est pas du pair-à-pair. Un relais prend en charge le média. Les deux appareils n'ouvrent pas de connexion directe entre eux.
• Ce n'est pas limité à votre réseau domestique. Le trafic sort de chez vous. C'est précisément le mécanisme qui permet à l'unité parent de fonctionner depuis le bureau.
• Cela ne « ne touche jamais un serveur ». Un relais est un serveur. Il transmet du média en direct et n'en garde rien.
• Ce n'est pas du chiffrement de bout en bout au sens d'une messagerie. Chiffré en transit est la formule honnête, et c'est celle que j'emploie.

Un fabricant qui revendique ces quatre propriétés à la fois, pour un babyphone qui fonctionne aussi en données mobiles, décrit quelque chose qui ne peut pas exister.

Pourquoi c'est l'enregistrement qui fuit

Les incidents de babyphones qui sortent dans la presse prennent deux formes.

La première, c'est quelqu'un qui entre dans un compte et regarde une caméra en direct, généralement via un mot de passe réutilisé ou un identifiant par défaut resté en place. C'est une défaillance de contrôle d'accès, et l'utilisateur peut la limiter avec des mots de passe uniques et une double authentification. Pour savoir si cela vous est arrivé, comment savoir si votre babyphone a été piraté propose une marche à suivre concrète.

La seconde, c'est une exposition d'images stockées, côté fabricant. Un bucket mal configuré, une base de données compromise, un outil d'accès interne trop permissif. Celle-là, vous ne pouvez rien en faire. Vous vous en remettez entièrement à une entreprise dont vous ne voyez rien pour garder en sécurité, indéfiniment, une archive vidéo de la chambre de votre enfant, y compris après un rachat, un changement de cap ou une liquidation.

Ne rien enregistrer supprime intégralement la seconde catégorie. C'est la seule propriété de confidentialité de toute cette catégorie de produits qu'un utilisateur n'a pas à prendre sur parole, parce qu'elle se déduit de la liste des fonctions : il n'y a pas d'écran de relecture, donc il n'y a rien à relire.

L'accès, l'autre moitié de la question

Le stockage est ce qui fuit à grande échelle. L'accès est ce qui déraille foyer par foyer, et cela mérite sa propre réponse.

MonitorUltra s'appaire en affichant un QR code sur l'unité bébé, que l'unité parent scanne. Cela donne une propriété physique utile : ajouter un spectateur suppose d'être dans la pièce avec l'appareil de la chambre, de le tenir en main, au moment de la configuration. Il n'y a aucun identifiant à deviner, aucun mot de passe par défaut livré avec le matériel, et aucune caméra posée sur l'internet public en attendant qu'un scan de ports la trouve.

Plusieurs appareils parent peuvent suivre la même unité bébé, et chacun reçoit ses propres alertes, donc un deuxième parent ou un grand-parent de passage n'oblige personne à tendre son téléphone. La liste des appareils autorisés à se connecter, vous l'avez construite à la main, un scan à la fois, ce qui est plus court et plus lisible qu'un compte avec des liens de partage.

Ce à quoi vous renoncez

C'est un vrai compromis, et prétendre le contraire décrédibiliserait le reste de la page.

• Pas de relecture. Vous ne pouvez pas montrer à votre conjoint ce qui s'est passé à 3 h du matin, ni envoyer une séquence aux grands-parents.
• Pas d'historique de sommeil. Aucun timelapse, aucun bilan nocturne, aucune courbe des réveils à présenter à un professionnel de santé ou à un consultant en sommeil.
• Aucune preuve. Il arrive que des parents veuillent des images de la chambre ou d'une personne qui garde l'enfant. Vous ne les aurez pas ici.

Si l'un de ces points compte pour vous, achetez un babyphone qui enregistre. Il en existe de bons, et le bon choix dépend du risque que vous préférez porter.

Cinq questions à poser à n'importe quel babyphone

Posez-les à tout ce que vous envisagez, y compris à celui-ci. Les réponses se trouvent plus souvent dans la politique de confidentialité que sur la page marketing.

1. De la vidéo ou de l'audio est-il écrit sur un disque en dehors de mes propres appareils, et pendant combien de temps ?
2. Quelqu'un chez le fabricant peut-il voir un flux en direct ou des images stockées, et selon quelle procédure ?
3. Si je supprime mon compte, qu'advient-il des images déjà stockées, et à quelle échéance ?
4. Où l'audio est-il analysé pour la détection des pleurs, sur l'appareil ou sur un serveur ?
5. Si j'arrête de payer, ce qui est déjà stocké subsiste-t-il ?

Un babyphone qui répond « rien n'est stocké » à la première question rend les questions deux, trois et cinq beaucoup moins intéressantes. Ce qui rend un babyphone réellement sûr couvre le reste de la liste, y compris les points qui relèvent de vous plutôt que du fabricant.

Où cela s'inscrit

Tout ce qui précède décrit une propriété d'un babyphone construit avec deux iPhone. L'installation, les fonctions et la comparaison honnête avec du matériel dédié sont dans le guide complet des applications babyphone pour iPhone, et vous pouvez tester la formule audio de MonitorUltra sans rien payer.

Questions fréquentes

Le flux est-il chiffré de bout en bout ? Il est chiffré en transit. Un relais prend en charge le média entre les deux appareils, le bout en bout au sens où l'entend une messagerie n'est donc pas la bonne description.

Quelque chose est-il stocké sur un serveur ? Non. Aucun enregistrement, aucun historique de séquences, aucune image conservée après la fin d'une session.

L'unité bébé a-t-elle besoin d'un compte ? Non. L'appairage se fait par un QR code affiché sur l'unité bébé et scanné par l'unité parent. Il n'y a rien à créer sur l'appareil de la chambre.

Les deux téléphones doivent-ils être sur mon Wi-Fi pour que ce soit privé ? Non, et le réseau ne change rien à la question du stockage. L'unité parent fonctionne en données mobiles, et rien n'est enregistré dans un cas comme dans l'autre.

Où se fait la détection des pleurs ? Sur l'unité bébé, avec le framework SoundAnalysis d'Apple. L'audio n'est pas envoyé ailleurs pour être analysé.