Bitchat : ce que la messagerie sans Internet fait et ne fait pas

Bitchat est une messagerie décentralisée pair-à-pair qui peut fonctionner sans Internet, grâce à un maillage Bluetooth entre téléphones proches, ou via le réseau Nostr lorsqu'une connexion existe. D'après son dépôt GitHub, elle ne demande ni compte, ni numéro de téléphone, ni serveur central. Lancée par Jack Dorsey, cofondateur de Twitter, elle a aussitôt attiré l'attention de chercheurs en sécurité, dont plusieurs ont jugé son état actuel insuffisant pour des échanges sensibles. Voici ce que l'application fait, ce qu'elle ne fait pas, et ce qu'il faut savoir avant de l'installer.

Selon le dépôt GitHub du projet, publié sous le nom permissionlesstech/bitchat, Bitchat repose sur deux transports. Le premier est un maillage Bluetooth LE, qui fonctionne hors ligne, de téléphone à téléphone. Le second passe par Nostr, un protocole de messagerie décentralisé, et nécessite donc un accès à Internet. L'application choisit entre les deux selon ce qui est disponible, sans qu'il faille créer un compte.

Cette absence de compte est l'un des arguments mis en avant. D'après le dépôt GitHub et le site 9to5Mac, il n'y a ni numéro de téléphone à fournir, ni serveur central qui stockerait l'identité des utilisateurs ou la liste de leurs contacts. Chaque appareil joue à la fois le rôle de client et de relais. C'est ce qui rend l'outil intéressant dans les situations où l'infrastructure habituelle est défaillante ou contrôlée.

Ces situations ne sont pas théoriques. On a vu, par exemple, les coupures d'Internet liées au Bac en Algérie, désormais limitées aux centres d'examen, ou encore la coupure quasi totale d'Internet et des communications en Iran en janvier 2026. Lorsque le réseau tombe, l'idée d'une messagerie qui n'en dépend pas séduit naturellement. Reste à savoir si Bitchat tient ses promesses, et à quel prix pour la sécurité.

Comment fonctionne Bitchat, concrètement

Pour le maillage, le dépôt GitHub décrit un relais multi-sauts : un message peut passer d'un téléphone à un autre pour aller plus loin que la portée d'une seule liaison, avec un maximum indiqué de sept sauts. La découverte des pairs est automatique, le format des échanges est binaire et compact, et un cycle d'activité adaptatif sert à économiser la batterie. Les données sont par ailleurs compressées avec LZ4, toujours d'après le dépôt.

La portée de la liaison directe n'est pas précisée dans le dépôt lui-même. Les articles de presse avancent des estimations divergentes, de l'ordre d'une trentaine de mètres à une centaine de mètres selon les cas. Il faut donc la considérer comme une estimation variable, qui dépend de l'environnement, des murs et des appareils, et ne promettre aucun chiffre précis. Pour couvrir une distance plus longue, il faut des utilisateurs répartis sur le trajet, qui relaient les messages.

Pour les messages directs, le dépôt indique que le Bluetooth est utilisé en priorité, et que Nostr sert de secours. Si aucun des deux n'est disponible, le message est mis en file d'attente. Cela signifie qu'un message n'est pas forcément remis tout de suite, et que sa livraison dépend de la présence d'un pair ou d'une connexion.

Du côté de Nostr, les messages privés utilisent un format propre à Bitchat. Le dépôt précise qu'il est « proprietary and is not NIP-17, NIP-44, or NIP-59 compatible », ce qui veut dire qu'ils ne sont interopérables qu'avec les clients Bitchat. Le dépôt décrit aussi des canaux de localisation par geohash, dont la précision va de la région, sur deux caractères, jusqu'au bloc, sur sept caractères. Ils reposent sur des clés éphémères, avec une nouvelle identité par zone, et sur un réseau de plus de 440 relais Nostr.

L'application propose enfin des commandes de type IRC, comme /msg ou /who, ainsi qu'un effacement d'urgence déclenché par un triple appui. Le code est placé dans le domaine public, sous licence Unlicense, d'après le dépôt. Sur l'App Store d'Apple, 9to5Mac a signalé l'arrivée de l'application le 28 juillet 2025, après une courte bêta et pas encore dans tous les pays. L'identifiant en @ est attribué au hasard mais modifiable, et l'application affiche une liste des utilisateurs joignables et permet des discussions privées en tête-à-tête.

Sécurité : ce que les chercheurs reprochent à Bitchat

Selon le dépôt GitHub, le chiffrement du maillage s'appuie sur le protocole Noise. Les sessions en direct bénéficient de la confidentialité persistante (forward secrecy), mais le courrier en « store-and-forward » est scellé sans elle. Ce détail compte : la protection n'est pas identique selon que les deux interlocuteurs sont connectés ensemble ou non.

Le lancement a été annoncé par Jack Dorsey, un dimanche précédant le 9 juillet 2025, d'après un article de TechCrunch signé Lorenzo Franceschi-Bicchierai. Il promettait une messagerie « secure » et « private » sans infrastructure centralisée. Or, d'après le même article, l'avertissement affiché sur GitHub n'était pas présent au départ : « This software has not received external security review and may contain vulnerabilities. » La mention « Work in progress » n'a été ajoutée que le mercredi, et Dorsey lui-même a écrit qu'il ne fallait pas « rely on its security whatsoever until it has been reviewed ».

Le chercheur Alex Radocea a jugé l'authentification et la vérification d'identité « broken », selon TechCrunch. D'après lui, un attaquant pourrait intercepter la clé d'identité et la paire « peer id » qui sous-tendent les contacts « Favoris » (l'étoile), puis usurper un contact. Il a ouvert un ticket sur GitHub le lundi ; Dorsey l'a marqué « completed » sans commentaire avant de le rouvrir le mercredi. Radocea a déclaré : « I'd argue it has received external security review, and it's not looking good. »

Toujours selon TechCrunch, un utilisateur GitHub a contesté l'affirmation de forward secrecy, et un possible dépassement de tampon a été signalé. Dans un billet daté du 18 juillet 2025, Jim Miller, de Trail of Bits, parle de failles de conception sérieuses et non de simples bugs mineurs. Selon ce billet, Dorsey a corrigé le dépassement de tampon en moins de quatre heures, et il a annoncé le 15 juillet 2025 le passage au framework Noise, qui répond aux problèmes d'authentification, sans que Trail of Bits l'ait vérifié de façon indépendante. La forward secrecy n'y existe qu'au niveau de la session, et non message par message comme avec Double Ratchet.

La conclusion de Trail of Bits est sans ambiguïté : « Users should absolutely not rely on Bitchat for sensitive communications in its current state. » Ses auteurs jugent toutefois positives la transparence et la rapidité des correctifs, et écrivent que la sécurité est un processus, pas un état binaire. Les sources consultées ne font pas état d'un rapport d'audit externe complet publié depuis, ce qui ne permet ni d'affirmer qu'il en existe un, ni qu'il n'en existera pas.

Le dépôt reconnaît aussi des limites propres au mode maillage. Il utilise un identifiant persistant par appareil, dérivé de la clé d'identité, qu'une radio proche peut observer. La portée se limite au Bluetooth plus les sauts, et Nostr nécessite Internet. Autrement dit, l'usage anonyme n'est pas garanti, et l'application ne rend pas invisible celui qui l'utilise.

La question du blocage se pose aussi. Le 5 janvier 2026, d'après Yahoo et Cointelegraph (article du 7 janvier 2026), Nyombi Thembo, directeur exécutif de la Commission ougandaise des communications, a déclaré que les régulateurs pouvaient techniquement bloquer Bitchat « si nécessaire » : « We know how it can be made not to work », puis « Don't be excited by Bitchat, it's a small thing ». Un développeur connu sous le nom de Calle a répondu : « You can't stop Bitchat. You can't stop us. » Il avance plus de 400 000 téléchargements en Ouganda, d'après des données internes, un chiffre qui n'a pas été vérifié indépendamment. Le même article rappelle les coupures nationales d'Internet et des réseaux sociaux ordonnées en 2016, puis une coupure de quatre jours à partir de la nuit électorale en 2021.

Autre point de prudence : des clones de l'application existent sur Google Play et ne sont pas l'application officielle, d'après une recherche web. Le dépôt recommande lui-même de compiler l'application depuis le code source vérifié, car les versions obtenues ailleurs ne peuvent pas être comparées au manifeste de hachages de chaque version. Avant toute installation, mieux vaut donc vérifier l'éditeur de l'application.

Pour résumer, voici dans quels cas l'outil peut servir, et dans quels cas il vaut mieux s'en passer :

• Bitchat peut servir à échanger des messages courts avec des personnes proches lorsque le réseau mobile ou Internet est indisponible, à condition que d'autres utilisateurs soient à portée.
• Il peut aussi servir à tester une messagerie sans compte ni numéro de téléphone, avec des échanges peu sensibles.
• Il ne convient pas à des informations sensibles, confidentielles ou dangereuses à divulguer, au vu des avertissements des chercheurs cités plus haut.
• Il ne convient pas non plus si vous comptez sur un anonymat garanti, puisque le mode maillage expose un identifiant observable par une radio proche.

Le conseil pratique est donc simple : ne confiez pas d'informations sensibles à Bitchat, et ne comptez pas sur un usage anonyme garanti. Tant que les sources consultées ne font pas état d'un audit externe complet, l'application reste, selon ses propres avertissements, un travail en cours. Elle peut dépanner pour des échanges ordinaires quand le réseau fait défaut, mais elle ne remplace pas un outil dont la sécurité a été éprouvée.