Why is this safer than email or Slack?

Email and Slack store your secret in plaintext on their servers, in message logs, in archives, and on every device that ever opened the conversation. Vaulted stores only encrypted ciphertext, deletes it after the view limit is hit, and the decryption key never reaches our server — so a server breach exposes nothing readable.

What happens if Vaulted gets hacked?

An attacker would only see encrypted blobs. The AES-256-GCM key never touches our servers — it lives in the URL fragment (the part after the # in the link), which browsers explicitly never send in HTTP requests. Without the key from the link, the ciphertext is useless.

Why is the key stored in the URL fragment?

The fragment (everything after #) is a client-only part of the URL defined in RFC 3986. Browsers never include it in HTTP requests, so the encryption key only lives on the sender’s machine and the recipient’s machine — never on a server, never in our access logs, never in CDN caches.

Is Vaulted open source? Can I verify the encryption myself?

Yes. The encryption code runs entirely in your browser and you can inspect it via DevTools, or follow our 5-minute verification guide to confirm no plaintext is sent over the wire. The CLI, GitHub Action, and MCP server are all open source on github.com/vaulted-fyi.

What if the recipient never opens the link?

The secret auto-expires after the time you set (up to 30 days), at which point it is deleted from Redis. View counts are also enforced atomically — once the limit is hit, the ciphertext is removed regardless of expiry.

Comment ça marche

Le chiffrement de bout en bout en quatre étapes, puis une démo en direct de ce que notre serveur voit vraiment. Bascule le schéma ci-dessous pour les détails techniques.

Expéditeur

Saisit un secret

Le navigateur chiffre

AES-256-GCM

Le serveur stocke

Blob chiffré uniquement

Le destinataire déchiffre

Clé issue du fragment d'URL

Le chiffrement a lieu dans ton navigateur — le serveur ne voit jamais le texte en clair.

La clé vit dans le fragment d'URL (#). Les fragments ne sont jamais envoyés au serveur.

Définis une limite de consultations et une expiration. Une fois atteinte, le secret est définitivement supprimé.

Vois le chiffrement zero-knowledge en direct

Tape n'importe quel texte, chiffre-le dans ton navigateur, puis bascule la vue pour voir ce que notre serveur reçoit réellement. Le texte en clair et les clés ne quittent jamais cette page.

Texte en clair (chiffré localement avec AES-256-GCM)

Ce que ton navigateur voit

Texte en clair

Clé de chiffrement (base64url)

Texte chiffré (base64url)

Le chiffrement s'exécute dans ton navigateur via la Web Crypto API. Bascule l'interrupteur pour voir la version expurgée que notre serveur reçoit réellement.

Tu veux la visite guidée complète étape par étape ?

Ouvrir le playground de chiffrement complet →

Tu veux en savoir plus ?

Lis notre guide visuel du chiffrement de bout en bout — avec une démo interactive, une comparaison des types de chiffrement et une FAQ.

Questions fréquentes

Créer un secret →

Comment ça marche

Vois le chiffrement zero-knowledge en direct

Questions fréquentes

Pourquoi est-ce plus sûr que l'e-mail ou Slack ?

Que se passe-t-il si Vaulted se fait pirater ?

Pourquoi la clé est-elle stockée dans le fragment d'URL ?

Vaulted est-il open source ? Puis-je vérifier le chiffrement moi-même ?

Et si le destinataire n'ouvre jamais le lien ?