C'est quoi une clé PGP et pourquoi en as-tu besoin ?
PGP est le standard que tu utilises encore aujourd'hui pour protéger les e-mails privés (ProtonMail), signer les commits Git sur GitHub, et vérifier l'authenticité des logiciels (noyau Linux, Ubuntu, releases de packages signées). Tu génères une paire de clés : une clé publique (tu la donnes à tout le monde) et une clé privée (tu la gardes pour toi). N'importe qui peut chiffrer un message pour toi avec ta clé publique, mais toi seul peux le lire.
Ici tu génères la paire directement dans ton navigateur. Choisis Ed25519 (la courbe elliptique moderne et rapide) ou le classique RSA-2048/4096 (compatibilité avec tout outil legacy). Les clés sortent en format ASCII « armored », pour que tu puisses les coller direct dans Gmail, GitHub ou Keybase.
Tout tourne dans ton navigateur. La clé privée ne quitte jamais ton appareil. C'est la règle de base de PGP, toi seul connais la clé privée.
Comment l'utiliser
- Entre ton nom et ton e-mail, ces champs sont embarqués dans la clé publique comme « User ID ».
- Optionnellement entre un commentaire (par exemple « GitHub », « travail », « perso ») si tu gardes plusieurs clés pour différents usages.
- Passphrase pour la clé privée : fortement recommandée. Sans elle, n'importe qui avec accès au fichier peut signer des commits en ton nom.
- Choisis la courbe : Ed25519 pour usage moderne (GitHub, ProtonMail), RSA-2048 pour systèmes legacy, RSA-4096 quand tu veux la plus grande marge de sécurité (la génération prend quelques secondes).
- Choisis l'expiration : 1, 2, 5 ans ou jamais. Une expiration plus courte est une meilleure pratique ; la clé peut être tournée ou révoquée.
- Clique sur Générer. Tu obtiens une clé publique, une clé privée, l'empreinte (identifiant court) et le key ID.
Quand l'utiliser
Six situations courantes où une clé PGP règle le problème :
- Chiffrer un e-mail dans ProtonMail/Tutanota/Thunderbird. Échange les clés publiques avec un ami ; ensuite vous pouvez tous les deux chiffrer l'un pour l'autre.
- Signer les commits Git sur GitHub. Ajoute la clé publique à ton compte, les commits reçoivent un badge vert « Verified ».
- Vérifier la signature d'un package Linux. La signature PGP prouve que le package vient de l'auteur original (apt-get, pacman).
- Identité sur Keybase, key server ProtonMail, GitHub. Ta clé publique est ton identité cryptographique.
- Sauvegarder un mot de passe ou une clé API. Chiffre le fichier avec ta propre clé publique, tu peux même le pousser sur un dépôt public en toute sécurité.
- Lanceur d'alerte anonyme. Les journalistes et organisations (Wikileaks, ProPublica) publient leur clé publique pour que les sources puissent soumettre des documents en sécurité.
Pour chiffrer du texte sans clés (juste un mot de passe), utilise le chiffrement AES. Pour la signature JWT, voir le signataire/vérificateur JWT.