Ce que "sécurisé" peut vouloir dire — et souvent ne veut pas dire
Un service de messagerie peut être "sécurisé" sur plusieurs dimensions indépendantes : sécurité contre les attaques externes (chiffrement en transit, authentification forte), sécurité contre l'accès du fournisseur lui-même (chiffrement de bout en bout), et sécurité juridique (juridiction des serveurs, politique de coopération avec les autorités). Ces trois dimensions ne sont pas équivalentes et rarement toutes satisfaites simultanément.
La plupart des grands fournisseurs sont sécurisés au sens du premier critère — TLS en transit, authentification à deux facteurs disponible, infrastructure robuste. Ce qui les différencie réellement, c'est leur capacité à accéder au contenu de vos emails, ce qu'ils font de cet accès, et dans quelle mesure ils transmettent des données aux autorités sur demande.
Le chiffrement de bout en bout : ce que c'est vraiment
Le chiffrement de bout en bout (E2EE) signifie que le message est chiffré sur l'appareil de l'expéditeur et ne peut être déchiffré que sur l'appareil du destinataire. Le fournisseur de messagerie n'a accès qu'à du texte chiffré — techniquement incapable de lire le contenu, même sous injonction judiciaire. C'est une propriété cryptographique, pas une promesse contractuelle.
La distinction importante : ProtonMail offre un E2EE entre utilisateurs ProtonMail. Un email envoyé d'un compte ProtonMail vers un compte Gmail est transmis en clair à Gmail — l'E2EE s'arrête à la frontière du service. Pour un E2EE universel entre n'importe quels expéditeurs et destinataires, PGP (Pretty Good Privacy) reste le seul standard interopérable — au prix d'une complexité de déploiement significative.
Chiffrement au repos
Distinct du E2EE, le chiffrement au repos désigne le fait que les emails stockés sur les serveurs du fournisseur sont chiffrés. Si la clé de chiffrement est détenue par le fournisseur, ce chiffrement protège contre un accès physique non autorisé aux serveurs, mais pas contre une demande légale adressée au fournisseur. Si la clé est détenue uniquement par l'utilisateur (architecture zero-knowledge), le fournisseur est techniquement incapable de déchiffrer le contenu, même avec la clé de ses propres serveurs.
La juridiction : où sont vos données
La localisation des serveurs et le pays d'enregistrement de la société opératrice déterminent quelle législation s'applique à vos données. Cette dimension est souvent présentée comme une protection absolue — en pratique, c'est plus nuancé.
Suisse — neutralité et droit fédéral
ProtonMail opère depuis la Suisse, souvent présentée comme une juridiction favorable à la vie privée. La Suisse n'est pas membre de l'UE ni des alliances de renseignement Five Eyes / Nine Eyes / Fourteen Eyes. La loi suisse sur la protection des données a des standards élevés. En pratique, Proton a été contraint par des décisions judiciaires suisses de transmettre des adresses IP dans des affaires pénales — le E2EE protège le contenu des emails, mais pas les métadonnées de connexion qui restent accessibles au fournisseur.
Allemagne — RGPD strict et Bundesdatenschutzgesetz
Tutanota (rebaptisé Tuta) est domicilié en Allemagne. La législation allemande sur la protection des données est parmi les plus strictes d'Europe. L'Allemagne fait partie du Fourteen Eyes, mais les obligations légales en matière de transmission de données sont encadrées par des procédures judiciaires rigoureuses. Tuta a lui aussi dû transmettre des données dans le cadre d'enquêtes pénales — la juridiction réduit les risques d'accès arbitraire, elle ne les élimine pas.
États-Unis — Cloud Act et FISA
Les fournisseurs américains (Gmail, Outlook, Yahoo Mail) sont soumis au Cloud Act, qui permet aux autorités américaines d'exiger l'accès aux données stockées par des entreprises américaines, y compris sur des serveurs étrangers. La section 702 du Foreign Intelligence Surveillance Act (FISA) permet une surveillance large dans le cadre de la sécurité nationale, avec un contrôle judiciaire limité. Ces cadres légaux s'appliquent indépendamment de la nationalité des utilisateurs.
Les métadonnées : ce que le E2EE ne protège pas
Même avec un chiffrement de bout en bout parfait sur le contenu, les métadonnées restent exposées : qui communique avec qui, à quelle fréquence, à quelle heure, depuis quelle adresse IP. Ces informations sont nécessaires au fonctionnement du système de messagerie — les serveurs doivent savoir vers qui router les messages. Elles représentent une quantité d'information considérable sur les réseaux sociaux, les habitudes et les activités d'une personne.
Quelques services tentent de minimiser la collecte de métadonnées. Tutanota chiffre les objets d'email en plus du contenu. Proton propose des alias d'email (SimpleLogin, intégré à l'écosystème Proton) pour masquer l'adresse réelle. Skiff Mail (acquis par Notion en 2024) avait une approche zero-knowledge sur les métadonnées. Mais la minimisation complète des métadonnées reste un problème ouvert dans l'architecture de l'email.
Grille d'évaluation : les critères à vérifier
| Critère | Ce qu'il mesure | Comment le vérifier |
|---|---|---|
| E2EE entre utilisateurs du service | Le fournisseur peut-il lire vos emails internes ? | Documentation technique, audit indépendant |
| E2EE vers des services externes | Protection des emails sortants vers Gmail etc. | Support PGP intégré ou S/MIME |
| Architecture zero-knowledge | Le fournisseur détient-il les clés ? | Livre blanc technique, code source ouvert |
| Juridiction des serveurs | Quelle législation s'applique ? | Conditions d'utilisation, siège social |
| Politique de rétention des logs | Combien de temps les métadonnées sont conservées ? | Politique de confidentialité explicite |
| Historique de transparence | Le service a-t-il transmis des données à des autorités ? | Rapport de transparence annuel |
| Audit de sécurité indépendant | L'architecture a-t-elle été vérifiée par un tiers ? | Rapports d'audit publics |
| Code source ouvert | Les affirmations sont-elles vérifiables ? | Dépôts GitHub ou équivalent |
Open source et audits : la différence entre promesse et preuve
Un service peut afficher des engagements de confidentialité importants dans sa communication marketing sans que ces engagements soient techniquement vérifiables. La publication du code source (open source) permet à des chercheurs indépendants d'auditer l'implémentation et de vérifier que le chiffrement fonctionne comme annoncé. ProtonMail et Tutanota ont tous deux publié leur code client. Les audits de sécurité réalisés par des cabinets indépendants (Cure53, SEC Consult, Trail of Bits) apportent une validation supplémentaire — à condition que l'audit porte sur les composants critiques et que le rapport soit public.
Les rapports de transparence
Un rapport de transparence annuel documente le nombre de demandes d'accès aux données reçues d'autorités, le nombre de demandes satisfaites et les types de données transmises. C'est un indicateur imparfait mais utile : un service qui publie régulièrement un rapport de transparence, même en indiquant avoir transmis des données dans certains cas, est plus digne de confiance qu'un service qui ne publie rien ou ne peut pas techniquement accéder aux données demandées.
Le modèle économique comme signal
La question du financement est rarement posée lors du choix d'une messagerie. Un service gratuit et sans publicité visible doit se financer autrement — soit par une version premium payante (modèle freemium), soit par l'exploitation des données. ProtonMail et Tutanota sont financés par leurs abonnements payants. Gmail est financé par la publicité ciblée et l'exploitation des données dans l'écosystème Google. Cette différence de modèle économique se traduit directement par des incitations différentes sur le traitement des données.
Pour une évaluation approfondie et indépendante des principaux services de boîtes mail sécurisées disponibles en français — critères techniques, politique de confidentialité réelle et alternatives concrètes — des comparatifs spécialisés offrent une lecture plus complète que les fiches marketing des fournisseurs eux-mêmes.