Et le premier État à rejoindre la Fondation Matrix est… la France.

La DINUM est devenue membre argent. Elle côtoie, à ce niveau de sponsoring (ticket de 2000 à 80 000 $ par an), des entreprises comme Discourse, Rocket.Chat et XWiki.

La « DSI de l’État » s’engage à participer à la gouvernance du protocole et à renforcer sa qualité, en lien avec les autres États utilisateurs (Allemagne, Belgique, Luxembourg, Pays-Bas, Suède…) et avec la communauté open source. Elle rappelle avoir déjà contribué, entre autres, à améliorer l’implémentation de l’algorithme Sliding Sync.

Vers un WAF « spécial Matrix » pour Tchap

L’annonce est intervenue peu après la Matrix Conference, deuxième du nom, organisée à Strasbourg. À cette occasion, la DINUM a fait part de ses perspectives pour un produit basé sur le protocole Matrix : la messagerie instantanée Tchap (375 000 utilisateurs actifs par mois, pour 665 000 comptes).

À l’heure actuelle, Tchap compte 17 serveurs : un pour chaque ministère, un spécifique aux autorités locales et un dédié aux utilisateurs externes. Il s’agit pour le moment d’une fédération privée (pas de communication avec d’autres serveurs Matrix).

Le plus gros souci dans une perspective d’ouverture est l’usurpation d’identité. En l’état, il existe peu de moyens de la détecter dans le protocole Matrix comme dans les clients. La DINUM a donc choisi de ne se connecter qu’à des serveurs tiers de confiance, en leur imposant notamment d’avoir un annuaire d’utilisateurs et d’interdire à ces derniers de changer leur nom d’affichage.

Pour contrôler le trafic, une passerelle – sorte de WAF spécifique à Matrix – sera déployée en bordure du réseau privé de Tchap. En plus de n’autoriser que les serveurs de confiance, elle vérifiera la signature des requêtes entrantes au niveau du protocole (ce qui est censé éviter les interceptions TLS). Pour les requêtes sortantes, le domaine de fédération des serveurs de confiance sera épinglé dans la configuration. La DINUM n’exclut pas d’y ajouter l’autorité racine de certification TLS.

Il n’est pas prévu que la passerelle puisse changer le contenu des transactions (il faudrait alors les resigner avec une autre clé et la faire accepter aux serveurs de la fédération). Une approche à deux couches est privilégiée. La passerelle offrira une garantie au niveau serveur, tandis que des modules Synapse assureront la gestion des droits au niveau des salons ou des utilisateurs.

La perspective d’un modèle de confiance étagé

Une expérimentation d’un premier « modèle de confiance » doit démarrer d’ici à fin 2025 auprès d’autorités locales. Dans cette version initiale, tous les utilisateurs externes se verront appliquer les mêmes règles. Par exemple, ils ne pourront être invités que par un utilisateur qui se trouve dans un salon ouvert aux personnes externes. Ils ne pourront par ailleurs pas être désignés modérateurs ou admins, ni rejoindre de salons publics.

Les autorités locales étant plus « proches » de l’État, il s’agit, à terme, de leur donner davantage de droits que les autres utilisateurs externes. En particulier, rejoindre des salons publics, voire en administrer. Il faudra toutefois résoudre le problème de la transitivité (un serveur externe peut inviter des utilisateurs d’un autre serveur externe, ce qui risque de produire des divergences de salons). Ce sera l’objet d’une v2 du modèle de confiance.

La DINUM imagine introduire, à plus long terme, un système de niveaux de confiance : vert lorsque tous les utilisateurs de mon salon appartiennent à ma fédération, orange lorsqu’il s’en trouve de serveurs tiers de confiance, rouge lorsqu’il s’en trouve de serveurs inconnus, etc. Cette ambition suppose beaucoup de travail UX/UI et de changements dans le protocole.

En toile de fond, une circulaire du 25 juillet 2025 consacrant le déploiement de Tchap comme messagerie instantanée sécurisée de l’État. Les ministères sont encouragés à la déployer depuis septembre.

Illustration générée par IA

The post Nouveau sponsor de Matrix, la DINUM veut décloisonner Tchap appeared first on Silicon.fr.