Comment c'est conçu pour ne rien laisser fuir.

Tor toujours actif, via SOCKS5h

Un client Tor est intégré et lancé via l'assistant sandboxé de l'app. Le magasin de données de chaque WebView et l'amont du moteur de recherche local empruntent le proxy SOCKS de Tor en mode SOCKS5h — le « h » signifie que les noms d'hôte sont résolus au proxy, de sorte que votre Mac n'émet jamais une requête DNS qui pourrait révéler ce que vous visitez.

Une seule porte (PrivacyGate) décide du sort de chaque requête sortante. En Maximum elle n'autorise le trafic que via Tor ; dès que Tor n'est pas vérifié comme actif, les chargements de page, les fetch natifs et les recherches sont refusés plutôt qu'envoyés depuis votre vraie adresse. Il n'y a délibérément aucun chemin clearnet « juste cette fois ».

Un circuit frais pour chaque onglet

Tor traite une paire nom d'utilisateur/mot de passe SOCKS comme clé d'isolation de flux. Maximum donne à chaque onglet son propre jeton aléatoire, de sorte que deux onglets ouverts sur le même site empruntent des circuits différents et sortent de nœuds différents — fermant la corrélation cross-onglet que l'isolation par destination seule laisse ouverte.

Sur les réseaux qui bloquent Tor, des ponts à transport enfichable (obfs4 et Snowflake, tous deux servis par le lyrebird intégré) déguisent la connexion, et si une poignée de main directe s'arrête, Maximum bascule automatiquement sur Snowflake.

Brouillée, et fondue dans la foule

Un script de durcissement est injecté dans chaque page avant que ses propres scripts ne s'exécutent, dans chaque frame. Les lectures à haute entropie sont perturbées à chaque lecture, l'énumération est plafonnée, et l'affichage est normalisé à une valeur commune — et chaque shim est masqué en code natif pour que Function.prototype.toString ne puisse pas révéler la manipulation.

Navigation amnésique, en RAM seule

Activez le mode amnésique et toute la session vit en mémoire : l'historique et les instantanés d'onglets ouverts ne sont jamais écrits, cookies et cache utilisent un magasin non persistant, et les nouvelles entrées d'historique de recherche sont abandonnées. Quittez, et c'est parti. C'est un mode « démarrer dedans » — le drapeau est figé une fois au lancement, pour que vous ne vous retrouviez jamais à moitié amnésique.

Ce que vous possédez délibérément — favoris, mots de passe enregistrés, vos réglages — est conservé. L'amnésie oublie ce que vous avez fait, pas ce que vous possédez.

L'anti-forensique que l'OS ne vous donne pas

macOS étiquette normalement chaque téléchargement avec l'URL exacte d'où il vient (kMDItemWhereFroms — le « where-from » du Finder) et écrit vos fenêtres ouvertes sur disque pour les restaurer. Maximum retire l'étiquette d'URL source des fichiers enregistrés — tout en gardant le drapeau de quarantaine Gatekeeper intact — et désactive la restauration d'état des fenêtres, pour que votre navigation ne soit pas silencieusement enregistrée là où le mode amnésique ne peut pas atteindre.

Un runtime et un updater en qui vous pouvez avoir confiance

Avant que le binaire Tor ne soit jamais exécuté, sa signature de code est vérifiée contre la même équipe qui a signé l'app — un binaire substitué ou patché est refusé, et Tor ne démarre pas. C'est la seule substitution qui pourrait discrètement vaincre tout le modèle, donc elle échoue fermée.

Les mises à jour sont tout aussi soigneuses. La vérification et le téléchargement empruntent Tor et sont vérifiés avec la clé de signature Ed25519 de l'app, de sorte que même mettre à jour ne révèle jamais à un serveur clearnet que ce Mac exécute Searxly Maximum.