AuthSync privacy policy

What AuthSync does

AuthSync is a Chrome extension that generates two-factor authentication codes (TOTP, HOTP, Steam Guard) in your browser and can fill them into the sign-in page you are on. You add an account by scanning its QR code (from the page, an image, a screenshot or your camera) or by typing its secret key.

What we collect

Once a day: a random installation number, the version of AuthSync and the language of Chrome, to count the installations. If you turn on the Google Drive backup: the address and the name of your Google account, once, to tell you about updates. Never your codes, your keys or your accounts; nothing is sold or shared.

Where your accounts are stored

Your accounts and settings are kept in Chrome storage (chrome.storage). If Chrome sync is on, Chrome copies them between your own computers through your Google account. QR codes are decoded on your computer; images never leave it. When a page seems to show a two-factor QR code, AuthSync takes a picture of the visible page and decodes it on your computer to offer to add the account; the picture is never sent anywhere. If you set a master password, your keys and recovery codes are encrypted (AES-256) with it everywhere they are stored, including Chrome sync and backups; the password itself is never stored or sent.

Google Drive backup (optional)

If you turn on the Google Drive backup, AuthSync asks Google for the permission drive.appdata and for your address and name. With it, AuthSync writes a backup file of your accounts in the hidden application folder of your own Google Drive, and reads it back to restore your accounts. This permission gives no access to your other Drive files. The data goes directly from your browser to Google; it never passes through us. AuthSync uses this access only to save and restore your backup, never for advertising, and does not transfer it to anyone. You can turn the backup off at any time in the settings, which revokes the access; you can also remove it from your Google account permissions.

Limited Use

AuthSync’s use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

Reporting a field to support (optional)

If AuthSync does not recognise the box where a site asks for your code, you can right-click it and choose to report it. Only the description of that box is sent to us: the site name, the page path without its parameters, and the box attributes (type, name, identifier, label, maximum length). Never your code, your keys, what you typed, your e-mail address or your accounts. We use it only to recognise that box in the next version.

Leaked password check (optional, on by default)

When you type a password in a page, AuthSync computes its SHA-1 fingerprint on your computer and sends only the first 5 characters of that fingerprint to the Have I Been Pwned service (api.pwnedpasswords.com), which returns hundreds of fingerprints starting the same way; the comparison is made on your computer. Neither the password nor its full fingerprint ever leaves your computer. You can turn this check off in the settings. The strong passwords suggested by AuthSync are generated on your computer and never sent.

Other connections

To check that your computer clock is right (codes depend on it), AuthSync reads the time returned by www.google.com. To show site icons, it asks Google’s favicon service for the icon of the site name of each account.

Contact

Questions: use the contact form on https://ext.i-call.me. Last updated: November 6, 2026.

Politique de confidentialité d’AuthSync

Ce que fait AuthSync

AuthSync est une extension Chrome qui calcule les codes de double authentification (TOTP, HOTP, Steam Guard) dans votre navigateur et peut les remplir dans la page de connexion. On ajoute un compte en scannant son QR code (sur la page, dans une image, une capture ou avec la caméra) ou en tapant sa clé secrète.

Ce que nous collectons

Une fois par jour : un numéro d’installation tiré au hasard, la version d’AuthSync et la langue de Chrome, pour compter les installations. Si vous activez la sauvegarde Google Drive : l’adresse et le nom de votre compte Google, une fois, pour vous prévenir des mises à jour. Jamais vos codes, vos clés ni vos comptes ; rien n’est vendu ni partagé.

Où sont gardés vos comptes

Vos comptes et réglages sont gardés dans le stockage de Chrome (chrome.storage). Si la synchronisation de Chrome est active, Chrome les copie entre vos propres ordinateurs par votre compte Google. Les QR codes sont décodés sur votre ordinateur ; les images n’en sortent pas. Quand une page semble afficher un QR code de double authentification, AuthSync prend une image de la page visible et la décode sur votre ordinateur pour proposer d’ajouter le compte ; l’image n’est envoyée nulle part. Si vous définissez un mot de passe maître, vos clés et codes de secours sont chiffrés (AES-256) avec lui partout où ils sont gardés, synchro Chrome et sauvegardes comprises ; le mot de passe lui-même n’est jamais gardé ni envoyé.

Sauvegarde Google Drive (facultative)

Si vous activez la sauvegarde Google Drive, AuthSync demande à Google l’autorisation drive.appdata, ainsi que votre adresse et votre nom. Elle permet d’écrire un fichier de sauvegarde de vos comptes dans le dossier caché de l’application, dans votre propre Google Drive, et de le relire pour restaurer vos comptes. Elle ne donne accès à aucun autre fichier de votre Drive. Les données vont directement de votre navigateur à Google, sans jamais passer par nous. AuthSync s’en sert uniquement pour sauvegarder et restaurer, jamais pour de la publicité, et ne les transmet à personne. Vous pouvez désactiver la sauvegarde à tout moment dans les réglages, ce qui retire l’accès, ou le retirer depuis les autorisations de votre compte Google.

Utilisation limitée

L’utilisation et le transfert par AuthSync des informations reçues des API Google respectent le Règlement sur les données utilisateur dans les services d’API Google, y compris les exigences d’utilisation limitée.

Signaler un champ au support (facultatif)

Si AuthSync ne reconnaît pas la case où un site demande votre code, vous pouvez faire un clic droit dessus et la signaler. Seule la description de cette case nous est envoyée : le nom du site, le chemin de la page sans ses paramètres et les caractéristiques de la case (type, nom, identifiant, libellé, longueur maximale). Jamais votre code, vos clés, ce que vous avez tapé, votre adresse e-mail ni vos comptes. Nous nous en servons uniquement pour reconnaître cette case dans la prochaine version.

Vérification des mots de passe piratés (facultative, active par défaut)

Quand vous tapez un mot de passe dans une page, AuthSync calcule son empreinte SHA-1 sur votre ordinateur et n’envoie que les 5 premiers caractères de cette empreinte au service Have I Been Pwned (api.pwnedpasswords.com), qui renvoie des centaines d’empreintes commençant de la même façon ; la comparaison se fait sur votre ordinateur. Ni le mot de passe ni son empreinte complète ne quittent jamais votre ordinateur. Vous pouvez désactiver cette vérification dans les réglages. Les mots de passe solides proposés par AuthSync sont fabriqués sur votre ordinateur et jamais envoyés.

Autres connexions

Pour vérifier que l’horloge de votre ordinateur est juste (les codes en dépendent), AuthSync lit l’heure renvoyée par www.google.com. Pour afficher les icônes des sites, il demande au service d’icônes de Google l’icône du nom de site de chaque compte.

Contact

Questions : formulaire de contact sur https://ext.i-call.me. Dernière mise à jour : 6 novembre 2026.