Documentation Technique

Le parcours, de bout en bout

Voici exactement ce qui se passe entre le moment où vous choisissez une offre et celui où votre trafic passe dans le tunnel. Aucune étape masquée, aucun compte à créer.

1. Choix de l'offre : Solo, Plus ou Pro, sur 1, 3, 6 ou 12 mois, depuis /tarifs.
2. Paiement : Stripe (carte), PayPal (carte ou compte) ou CoinGate (crypto-monnaies). Le site ne voit jamais vos coordonnées bancaires, seulement une confirmation du prestataire choisi.
3. Clé d'accès : un code à 16 caractères s'affiche à l'écran, une seule fois. Il n'est envoyé nulle part, ni par e-mail ni ailleurs, et le serveur n'en garde jamais la version en clair.
4. Activation : vous saisissez la clé dans l'application (desktop ou Android). L'application génère alors une paire de clés WireGuard directement sur votre appareil et n'envoie au serveur que la clé publique : la clé privée ne le quitte jamais.
5. Provisionnement : le serveur associe cette clé publique à un créneau d'accès sur l'un des nœuds VPN et vous renvoie une configuration WireGuard prête à l'emploi.
6. Connexion : le tunnel chiffré s'établit directement entre votre appareil et le nœud. Tout le trafic qui y transite est illisible pour quiconque l'intercepte en chemin, y compris votre FAI.
7. Expiration : à la fin de la durée souscrite, le profil est automatiquement révoqué côté serveur et le nœud oublie votre clé publique.

Vous            Site bloomvpn.com      Backend API        Nœud VPN
 │  1. Paiement       │                     │                  │
 │───────────────────▶│                     │                  │
 │                     │  confirmation       │                  │
 │                     │────────────────────▶│                  │
 │  2. Clé affichée    │                     │                  │
 │◀────────────────────│                     │                  │
 │                                                                │
 │  3. Activation (app) : paire de clés générée localement,       │
 │     seule la clé PUBLIQUE part vers le serveur                 │
 │────────────────────────────────────────────▶│                  │
 │                                               │ 4. Crée le profil│
 │                                               │─────────────────▶│
 │  5. Reçoit la configuration WireGuard          │                  │
 │◀─────────────────────────────────────────────│                  │
 │  6. Tunnel chiffré établi directement avec le nœud                │
 │──────────────────────────────────────────────────────────────▶│

Le réseau de serveurs

4 nœuds dédiés, situés aux Pays-Bas, au sein de l'Union européenne. Chacun exécute l'implémentation officielle de WireGuard : rien d'autre n'est exposé publiquement que le port UDP du tunnel.

• Sélection du nœud : automatique parmi les nœuds disponibles, ou manuelle depuis le sélecteur de serveur de l'application. Aucune bascule « intelligente » basée sur l'analyse de votre trafic n'existe : un nœud ne regarde jamais ce que vous faites pour décider où vous router.
• Ce qu'un nœud connaît de vous : uniquement votre clé publique WireGuard, un paramètre cryptographique qui ne révèle ni votre identité, ni l'offre souscrite, ni le temps restant.
• Ce qu'un nœud ne fait jamais : journaliser le contenu du trafic, les destinations, les requêtes DNS, ou établir une correspondance entre une clé publique et une session dans le temps.
• Accès administratif : restreint, par authentification forte, et limité à des opérations d'exploitation prédéfinies, jamais à une inspection du trafic des utilisateurs.

Système de clés

La clé d'accès est l'élément central du parcours VPN. Elle évite un formulaire de profil BloomVPN, sans supprimer les états d'achat et d'appareil nécessaires au fonctionnement.

• Format : BLOOM-XXXX-XXXX-XXXX-XXXX, soit 16 symboles aléatoires préfixés par BLOOM.
• Entropie : environ 78,5 bits issus du générateur cryptographique du système.
• Encodage : alphabet de 30 symboles sans I, L, O, U, 0 ni 1 ; un rejet statistique évite le biais de modulo.
• Stockage : enveloppe AES-GCM jusqu'à la récupération unique, puis suppression de l'enveloppe et conservation de l'empreinte SHA-256.
• Vérification : À chaque connexion, le serveur hache la clé fournie et la compare à l'empreinte stockée.

# Génération (pseudo-code côté backend Go)
key := random_symbols(count=16, alphabet_size=30)
// → BLOOM-A7K2-XPQ9-M3NZ-WR4T

# Après récupération : l'empreinte reste conservée
hash := sha256(key)                  // irréversible
db.store(hash, expires_at, plan)

# Vérification à la connexion
if sha256(submitted_key) == db.hash:
    allow_connection()

Résolution DNS

La résolution DNS est un angle mort classique des VPN : chiffrer le trafic ne sert à rien si les requêtes DNS fuient en dehors du tunnel.

• Par défaut : vos requêtes DNS passent dans le tunnel chiffré et sont résolues côté serveur, hors de portée de votre FAI. Elles ne sont journalisées nulle part.
• Add-on anti-tracker (optionnel, désactivé par défaut) : bascule la résolution DNS vers un résolveur filtrant tiers (AdGuard DNS), qui bloque publicités et trackers connus au niveau DNS.
• Ce que ça change concrètement : quand l'anti-tracker est actif, vos requêtes DNS sortent directement vers AdGuard et non plus via l'infrastructure BloomVPN, qui n'y a alors aucun accès. La politique de confidentialité d'AdGuard s'applique à ce trafic précis, pas la nôtre.

Fonctionnalités

Ce qui existe réellement dans l'application aujourd'hui : on préfère une liste courte et honnête à une liste longue et à moitié vraie.

• Kill switch : coupe l'accès réseau de l'appareil si le tunnel WireGuard tombe de façon inattendue, pour ne jamais laisser fuiter du trafic en clair.
• Redirection de port (add-on) : alloue un port public sur le nœud et le redirige vers votre appareil à l'intérieur du tunnel, utile pour l'auto-hébergement ou le partage pair-à-pair.
• Anti-tracker (add-on) : voir la section DNS ci-dessus.
• Multi-appareils : 1 connexion simultanée (Solo), 5 (Plus) ou 10 (Pro), selon l'offre souscrite.

Ce qu'on ne propose pas encore, malgré ce qu'on voit parfois ailleurs sous forme de case à cocher qui ne fait rien : multi-hop (double VPN), split tunneling, IP dédiée, obfuscation du protocole. Si l'une de ces fonctions arrive un jour, elle sera documentée ici, jamais affichée comme active avant de l'être réellement.

WireGuard®

WireGuard® est le protocole VPN retenu. Il impose un jeu limité de primitives cryptographiques modernes, ce qui simplifie la configuration sans prouver à lui seul la sécurité du service complet.

• ChaCha20-Poly1305 : chiffrement symétrique à 256 bits et authentification de chaque paquet.
• Curve25519 : échange de clés Diffie-Hellman avec confidentialité persistante.
• BLAKE2s : hachage et dérivation de clés de session.
• Handshake : échanges limités pour établir les clés de session ; le délai réel dépend du réseau.

La compacité de l'implémentation de référence facilite la revue, mais le périmètre varie selon les plateformes. BloomVPN ne publie pas encore de benchmark reproductible et ne garantit ni débit, ni latence, ni autonomie.

# Configuration client (extrait)
[Interface]
PrivateKey = <générée localement, jamais transmise en clair>
Address    = 10.66.x.x/32
DNS        = 10.66.0.1

[Peer]
PublicKey  = <clé publique du serveur BloomVPN>
Endpoint   = fr-par.bloomvpn.com:51820
AllowedIPs = 0.0.0.0/0, ::/0

Sécurité

La sécurité est appliquée à chaque couche, du navigateur au serveur VPN.

• En-têtes navigateur : CSP, anti-framing, Referrer-Policy et HSTS sont configurés dans le frontend.
• Routes web : contrôles d'origine, limites de taille et validation côté serveur protègent les opérations sensibles.
• Récupération : jeton haché, durée limitée, affichage unique et réponses sans cache.
• Validation des entrées : formats, montants, plans et preuves de paiement sont recalculés ou validés côté serveur.
• Accès aux nœuds : clé Ed25519, empreinte d'hôte obligatoire, utilisateur non-root et commande distante limitée.

# En-têtes de sécurité appliqués
Content-Security-Policy: default-src 'self'; ...
Strict-Transport-Security: max-age=63072000; includeSubDomains
X-Frame-Options: DENY
Referrer-Policy: no-referrer
Permissions-Policy: geolocation=(), microphone=(), camera=()

Questions fréquentes