Confidentialité de Flit : vérifiez par vous-même

Affirmation : votre audio et votre texte ne quittent jamais votre Mac. Jamais.

Flit enregistre votre voix, la transcrit et la met au propre entièrement sur l’appareil :

Il n’y a ni compte, ni télémétrie, ni statistiques d’usage, ni outil de rapport de plantage, et aucun serveur ne voit jamais votre voix ni votre texte. La conception limite toute connexion réseau à trois points bien définis, listés ci-dessous en entier.

Les seules connexions réseau que Flit établit

1. Les téléchargements de modèles que vous lancez explicitement : un clic sur Télécharger dans Réglages récupère les fichiers du modèle sur huggingface.co. Les ressources vocales et de mise en forme d’Apple sont téléchargées par macOS lui-même.
2. L’activation de la licence, une fois par Mac : quand vous collez votre clé de licence, Flit envoie à apps.fore.studio la clé, une empreinte SHA-256 de l’UUID de plateforme de ce Mac (jamais l’UUID lui-même), le nom du Mac et les versions de macOS et de Flit. Il reçoit en retour un fichier de licence signé, qu’il vérifie ensuite hors ligne à chaque lancement. Tant que la licence est active, il reconfirme la clé et l’empreinte au plus une fois tous les 7 jours et récupère une liste signée des licences révoquées. Rien de ce que vous dictez n’en fait partie, et l’essai n’établit aucune connexion réseau.
3. La recherche de mises à jour : au premier lancement, Sparkle demande si Flit peut rechercher les mises à jour. Si vous acceptez, il récupère régulièrement statics.fore.studio/flit/updates/appcast.xml, en envoyant la version installée et la version de macOS, afin de choisir le bon build. Si vous refusez, il ne vérifie jamais, sauf si vous choisissez vous-même Rechercher les mises à jour… dans le menu.

C’est toute la liste.

Mode développeur

Quand vous dictez dans un éditeur de code ou un terminal, Flit lit le chemin du document de la fenêtre active via l’API Accessibility de macOS (la même autorisation que celle qu’il utilise déjà pour coller), trouve la racine du projet et indexe les noms de fichiers et de dossiers du projet pour que les identifiants prononcés soient écrits correctement. L’index reste uniquement en mémoire. Il n’est jamais écrit sur le disque, jamais inclus dans l’historique et jamais envoyé nulle part. Le contenu des fichiers n’est pas lu. Vous pouvez le désactiver dans Réglages → Mise en forme.

Mise en forme selon le contexte

Désactivée par défaut. Quand vous l’activez (Réglages → Mise en forme), Flit lit, via l’API Accessibility de macOS, le champ de texte actif de l’app où vous dictez et le texte visible dans sa fenêtre. C’est la même autorisation que celle qu’il utilise déjà pour coller. Ainsi, la mise en forme peut écrire les noms comme la conversation les écrit et poursuivre naturellement une phrase inachevée. Cette capture reste en mémoire le temps d’une seule dictée : elle alimente uniquement le modèle de mise en forme local, n’est jamais écrite sur le disque ni dans l’historique, et n’est jamais envoyée nulle part. Dans les champs de mot de passe ou sécurisés, la capture est entièrement annulée.

Modifier la sélection à la voix

Cette fonction lit aussi l’écran, elle a donc sa place dans la même liste. Désactivée par défaut. Quand vous activez « Modifier la sélection à la voix » (Réglages → Mise en forme), une dictée faite sur une sélection et qui ressemble à une instruction (« make this shorter ») envoie ce texte sélectionné au modèle de mise en forme local pour qu’il soit réécrit sur place. La sélection est lue via l’API Accessibility, utilisée pour cette seule réécriture, puis supprimée. Elle n’est jamais écrite sur le disque ni dans l’historique et ne quitte jamais le Mac. Rien n’est lu en l’absence de sélection, et une dictée qui ne ressemble pas à une instruction est insérée à la place comme du texte ordinaire. Vous pouvez la désactiver dans Réglages → Mise en forme.

Les deux sont désactivées quand vous installez Flit : au départ, il ne lit donc aucun texte de votre écran. La seule chose qu’il regarde, dans tous les cas, est le rôle de l’élément actif. Cela suffit pour distinguer un champ de recherche d’un document, afin qu’une requête dictée arrive sous forme de termes de recherche et non de phrase. Cette vérification ne lit aucun texte, et il n’y a aucun réglage à désactiver, car il n’y a rien à refuser.

Apprendre de vos corrections

Quelques secondes après un collage, et seulement si vous êtes toujours dans la même app, Flit lit le champ actif une fois via l’API Accessibility et le compare avec ce qu’il a inséré. La comparaison se fait en mémoire et le texte du champ est supprimé immédiatement. Ce qui est conservé, localement : les corrections de mots répétées (la graphie écrite et la graphie corrigée) et des compteurs de style par app (par exemple « point final supprimé dans WhatsApp, 3 fois » : un identifiant de bundle, une catégorie et un nombre, jamais votre texte). Les deux ne deviennent jamais que des suggestions dans Réglages, avec les boutons Ajouter/Ignorer. Flit ne modifie jamais votre dictionnaire ni vos styles par app de lui-même. Les champs de mot de passe ou sécurisés ne sont jamais lisibles de cette façon.

Vérifier avec un moniteur réseau

Avec Little Snitch, LuLu ou Proxyman :

1. Installez d’abord vos modèles (Réglages → Modèles / Mise en forme → Télécharger).
2. Lancez le moniteur réseau et filtrez sur le processus Flit.
3. Dictez n’importe quoi, n’importe où, autant que vous voulez.
4. Connexions observées pendant la dictée : aucune. Sur une journée entière, vous verrez au plus les trois éléments ci-dessus : les téléchargements que vous avez lancés d’un clic, une confirmation de licence vers apps.fore.studio (une fois par semaine au plus, jamais pendant une dictée) et la recherche de mises à jour vers statics.fore.studio si vous l’avez autorisée.

Flit.app peut aussi être inspecté de façon statique : le binaire n’intègre aucun SDK de statistiques (otool -L Flit.app/Contents/MacOS/Flit affiche les frameworks système d’Apple ainsi que Sparkle, le programme de mise à jour open source).

Les données locales que vous contrôlez

• Historique des transcriptions : facultatif, plafonné, tout effacer dans Réglages → Historique.
• Historique audio : désactivé par défaut ; activation explicite, avec des règles de suppression automatique.
• Hygiène du presse-papiers : le texte dicté est marqué comme transitoire (org.nspasteboard.TransientType), pour que les gestionnaires de presse-papiers ne l’archivent pas.

Une question, ou une faille dans cette affirmation ? Ouvrez une issue. Nous traitons les signalements liés à la confidentialité en P0.