Transmettre à un proche

Réglages → Transmission. Une carte rédige une lettre à vos proches : où sont vos comptes, qui appeler, où sont les papiers, sur des pages qu’ils liront sans Badlen, sans votre mot de passe et sans que ce serveur tourne encore.

La lettre transmet une information à quelqu’un que vous avez choisi, et rien de plus. Elle n’ouvre aucun compte, ne donne de droit sur rien et ne fait de personne un héritier.

Les quatre champs

Quatre champs libres, chacun imprimé sous son titre, et absents de la lettre tant qu’ils sont vides :

Un mot pour vos proches : par où commencer, ce qui ne presse pas.
Qui appeler : le notaire, votre banque, et la personne qui sait faire tourner ce serveur si ce n’est pas vous.
Où sont les papiers : relevés, contrats, titres de propriété, le testament s’il y en a un.
Ce que Badlen ne suit pas : un compte joint, une voiture, un compte à l’étranger.

Deux règles sont écrites au-dessus des champs, parce que la lettre sera lue par quelqu’un d’autre :

Aucun secret. Écrivez où se trouvent un mot de passe, un code ou une phrase de récupération, jamais leur valeur. La lettre est une feuille ou un fichier : qui la tient la lit en entier.
Aucune volonté sur qui reçoit quoi. C’est le rôle d’un testament, et une lettre n’en tiendrait pas lieu.

Vos comptes dans la lettre

Badlen ajoute lui-même la liste, tirée de ce que vous suivez. Chaque compte ouvert est coché ; décochez ceux qui n’ont rien à y faire. Les comptes clôturés n’y figurent pas.

La lettre les regroupe par établissement, ou par type quand aucun établissement n’est indiqué, et donne pour chacun son type en toutes lettres, l’IBAN masqué sauf ses derniers caractères, le mois d’ouverture et, pour un prêt, le bien qu’il finance. Deux remarques s’ajoutent seules là où un proche se tromperait :

un contrat d’assurance-vie va aux bénéficiaires qu’il désigne, hors de la lettre ;
un portefeuille crypto est perdu sans sa phrase de récupération, et la lettre renvoie à Où sont les papiers.

Montrer les montants imprime la dernière valeur de chaque compte et un total des avoirs et des dettes, avec une phrase qui dit que ce sont vos chiffres, au jour de l’impression, et que les relevés des établissements font foi. Désactivé, la lettre ne porte aucun chiffre.

L’imprimer

Ouvrir la lettre enregistre ce que vous avez tapé et ouvre la lettre en PDF dans un nouvel onglet, où le navigateur l’imprime ou l’enregistre. Elle est rédigée dans la langue de l’app.

Imprimez-la et rangez-la avec vos papiers, ou confiez-en une copie à votre notaire. La lettre imprimée est la seule copie qui ne dépend pas de ce serveur : une instance auto-hébergée s’arrête quand plus personne ne la paie ni ne la garde allumée, ce qui est précisément la situation pour laquelle la lettre existe. La date en tête dit quand elle a été imprimée ; la carte dit quand vous l’avez enregistrée pour la dernière fois, de quoi savoir quand la relire.

La lettre fait partie de votre export, tout comme les comptes qu’elle écarte : une restauration remet l’une et les autres en place.

Le relais

Une seconde carte, Relais vers un proche, envoie cette même lettre par e-mail à la personne que vous désignez, si Badlen reste longtemps sans nouvelles de vous. Elle demande deux choses à l’instance, et dit laquelle manque : un serveur d’envoi (Le serveur de messagerie) et une PUBLIC_URL que votre proche peut ouvrir de chez lui.

La mise en place demande le nom et l’adresse de votre proche, puis votre mot de passe et, si la double authentification est active, un code : la même preuve qu’un changement d’adresse. Changer de proche, de code ou de silence la redemande, tout comme arrêter le relais. Chaque changement vous est confirmé par e-mail et inscrit au journal de la carte. Un proche que vous remplacez n’en est pas prévenu.

Badlen écrit alors une fois à votre proche, pour confirmer l’adresse : une faute de frappe ne doit jamais envoyer un jour votre lettre à un inconnu. Le relais attend que l’adresse soit confirmée. La même page permet à votre proche de refuser ce rôle, ce qui arrête le relais et vous en prévient.

Le code d’ouverture est facultatif. Cochez-le et Badlen tire vingt caractères, en cinq groupes de quatre, sans aucune lettre ni aucun chiffre que l’on confond (ni I, ni L, ni O, ni 0, ni 1). Le PDF que reçoit votre proche et sa copie en ligne ne s’ouvrent alors qu’avec ce code : qui lirait sa boîte mail ne lirait pas la lettre. Sans code, le lien du message suffit. Le même proche garde le même code quand vous modifiez autre chose ; un nouveau proche reçoit un nouveau code.

Joindre aussi l’export complet n’est possible qu’avec un code, et la case le dit tant que celle du code n’est pas cochée. Décochée par défaut, elle sert à un proche qui reprendrait Badlen : le message joint alors, à côté de la lettre, le même fichier que l’export chiffré, toutes vos données comprises, scellé sous le code d’ouverture par la même enveloppe argon2id. Il ne se lit pas tel quel : votre proche l’ouvre dans un Badlen, le sien ou une instance installée pour l’occasion, sous Réglages → Données → Importer un fichier, avec le code pour phrase de passe, tirets compris. Le fichier ne porte ni le code, ni votre relais, ni votre mot de passe. Au-delà de 10 Mo, il serait trop lourd pour la plupart des messageries : le message part alors avec la lettre seule et le dit.

Le papier du code

Papier du code affiche le code de nouveau, après votre mot de passe et votre code de double authentification, avec un bouton qui l’imprime sur une page A4 : un papillon à découper selon le pointillé et à plier le code vers l’intérieur. Il dit à qui il est destiné, de votre part, à quoi sert le code et comment s’en servir (le PDF, la page en ligne, l’export s’il est joint), et rien d’autre : ni montant, ni liste de comptes.

Le code n’est jamais dans une adresse, la réponse qui le porte interdit toute mise en cache, il n’est écrit dans aucun journal et ne part jamais par e-mail. Le journal de la carte note seulement qu’il a été affiché. Il disparaît de l’écran dès que vous fermez le panneau.

La même étape peut tirer un nouveau code : l’ancien n’ouvre plus rien, et le papier déjà remis ne sert plus, ce que la case dit avant que vous la cochiez. Un e-mail vous le confirme, sans le code. Ce n’est plus possible une fois la lettre partie, puisqu’elle est scellée sous le code que votre proche tient déjà.

L’essai

Faire un essai vous envoie, à votre propre adresse et jamais à votre proche, le message exact qu’il recevrait si la lettre partait aujourd’hui : la même lettre, sous le même code, l’export s’il est joint, avec Essai dans l’objet et une phrase en tête qui le dit. Le bouton du message mène à la page de votre proche, qui refuse ce lien d’essai : de quoi vérifier que votre instance s’ouvre depuis l’extérieur. L’essai demande votre mot de passe, comme les autres réglages du relais, s’inscrit au journal, et ne change ni l’étape ni les dates du relais. Trois essais par jour. Sans serveur d’envoi, la carte le dit et l’essai n’est pas proposé.

Le calendrier

Chaque étape attend un nombre de jours fixe après celle qui l’a précédée pour de bon. Le tableau suit le silence par défaut, de 90 jours :

Jour	Ce qui se passe
0	votre dernier signe de vie
83	un bandeau sur chaque page de l’app : Un signe de vie, s’il vous plaît
90	premier e-mail à votre adresse
93	deuxième e-mail
97	troisième e-mail
104	dernier avis : Dans 7 jours, votre proche recevra votre dossier
111	la lettre part chez votre proche, en PDF joint, et un e-mail vous le dit
201	la copie en ligne se ferme ; le PDF déjà reçu reste lisible

Le silence avant la première relance est de 60, 90 ou 180 jours, au choix, dans le même formulaire Modifier que le reste du relais et sous la même preuve. Relances et dernier avis gardent ensuite leur rythme : la lettre part 81, 111 ou 201 jours après votre dernier signe de vie, et le formulaire donne cette date avant que vous enregistriez. L’enregistrement compte comme point de départ : un silence raccourci entre deux relances ne fait jamais partir la lettre plus tôt que ne l’annonçait la dernière, et le code d’ouverture reste le même. Le changement est inscrit au journal. Sous 180 jours, le formulaire prévient qu’une instance que plus personne ne paie s’arrête souvent avant, et le relais avec elle : c’est à cela que sert la lettre imprimée.

Un signe de vie, c’est une connexion avec votre mot de passe, et votre code s’il y en a un, ou un appui sur Je suis là, dans le bandeau ou sur la page où mène une relance. L’un ou l’autre remet le relais au jour 0. Une clé d’API, le serveur MCP ou un script ne comptent pas, puisqu’ils tournent sans vous, pas plus qu’une session qui se renouvelle seule dans un onglet resté ouvert. Ouvrir le lien d’une relance ne fait rien tant que le bouton de sa page n’est pas pressé, parce que certaines messageries ouvrent seules les liens.

Rien de ce que fait votre proche ne peut avancer l’envoi : ses deux pages confirment une adresse ou ouvrent une lettre déjà envoyée, rien d’autre.

Après un long arrêt, le relais ne fait que l’étape suivante et lui redonne tout son délai : une instance éteinte trois semaines envoie une relance à son retour, pas la lettre.

La lettre, l’e-mail et la copie en ligne

Au jour 111, ou 81, ou 201, un e-mail avec la lettre en PDF joint, celle que vous imprimez, l’export complet si vous l’avez demandé, et un lien vers une copie en ligne ouverte 90 jours. Le message ne dit jamais décès : Badlen sait seulement que personne ne répond, et une hospitalisation donne le même silence. Chaque ouverture de la copie en ligne est inscrite à votre journal et vous est signalée par e-mail, et cinq codes faux dans la journée ferment la page vingt-quatre heures, ce qui vous est signalé aussi.

Si la lettre est partie à tort, connectez-vous et arrêtez le relais : la copie en ligne se ferme aussitôt. Le PDF déjà envoyé ne se reprend pas, et c’est à cela que sert le code.

Si l’instance s’arrête

Le relais tourne sur cette instance. Quand elle s’arrête, serveur éteint ou abonnement impayé, le relais se tait et personne n’est prévenu. Rien hors de votre instance ne peut prendre le relais : Badlen ne contacte aucun serveur du projet. La carte affiche la date du dernier passage du relais, pour qu’un arrêt se voie, et la lettre imprimée est la seule copie qui survit à la machine. Si vous êtes seul à faire tourner le serveur, nommez dans Qui appeler quelqu’un qui saurait le faire.

Le relais ne voyage pas dans un export : après une restauration, il faut le remettre en place, avec votre mot de passe et une nouvelle confirmation. Après une restauration sous une autre SECRET_ENCRYPTION_KEY, le code d’ouverture ne se lit plus ; la carte le dit, et Papier du code en tire un nouveau.