Un message ordinaire, tel qu’il voyage et tel que chaque serveur du trajet le voit : en clair, en-têtes compris. Contenu fabriqué pour la démonstration, adresse de l’expéditeur masquée.

La souveraineté numérique est partout dans le discours. Chaque site affiche sa politique de confidentialité, chaque contrat sa clause de protection des données, chaque entreprise sa charte sur l’usage de l’IA. Pendant ce temps, notre canal écrit le plus universel, le mail (personnel comme professionnel), circule en quasi-totalité sous une forme lisible : lisible par chaque serveur qu’il traverse, lisible par ceux qui hébergent le courrier de la planète.

Nous avons donc un sérieux problème avec nos mails.

Il ne date pas d’hier, il ne vient pas de l’IA, et je n’invente rien en le nommant : la solution technique existe, l’idée a cinquante ans (1976), l’outil libre et gratuit trente-cinq (1991), et presque personne ne s’en sert. Cet article enfonce donc une porte ouverte. Je vais l’enfoncer avec des faits publics et deux expériences que j’ai réellement menées sur mon propre serveur, reproductibles chez vous.

D’abord, la mesure du sujet. Plus de 360 milliards de mails circulent chaque jour dans le monde (Radicati Group). Un utilisateur de Microsoft 365 en reçoit 117 par jour en moyenne. Tout y passe : contrats, factures, échanges clients, décisions écrites, et chaque « mot de passe oublié » de chaque outil de l’entreprise. Ce courrier vit de plus en plus au même endroit : dans le Fortune 500, près de deux entreprises sur trois hébergent leur messagerie chez Microsoft (64,5 % en 2026, d’après les enregistrements DNS de leurs domaines). Ajoutez Google, et l’essentiel du courrier des grandes entreprises se joue entre deux fournisseurs américains.

Ensuite, deux chiffres qui résument le problème.

En transit, presque tous les mails sont chiffrés : 98 à 99 % circulent chiffrés entre les serveurs (rapport de transparence de Google ; il mesure le trafic vu par Gmail, pas le mail mondial, mais c’est le meilleur ordre de grandeur public disponible). De bout en bout, presque aucun : sur 81 millions de mails échangés en 27 ans dans une université allemande, 0,06 % étaient chiffrés (étude IEEE, 2022 ; une population universitaire, donc a priori mieux équipée que la moyenne).

L’image juste : le camion postal est blindé, mais la lettre voyage ouverte. Sur la route, elle est à l’abri ; dans chaque centre de tri, elle est ouverte et lisible.

Le trajet d’un mail

Pour comprendre ces deux chiffres, il faut suivre le trajet. Un mail part de votre client mail (le logiciel avec lequel vous l’écrivez : Outlook, Apple Mail, le webmail dans le navigateur, etc.), monte sur le serveur de votre fournisseur, puis voyage de serveur en serveur jusqu’à celui du destinataire, qui le remet à son client mail. Le trajet le plus court compte deux serveurs, mais il est souvent plus long : relais d’envoi, passerelle antispam placée devant la messagerie de l’entreprise, redirection d’adresse. Chaque intermédiaire est une machine de plus entre les mains d’un acteur de plus.

Autre différence avec la lettre papier, et elle change beaucoup de choses : rien ne se déplace, tout se copie. À chaque étape, le serveur transmet une copie du message, et rien ne l’oblige à effacer la sienne. À l’arrivée, le mail ne descend pas dans votre appareil : dans l’usage courant (IMAP, webmail), il reste sur le serveur, c’est là que vit la boîte, parfois pendant des années ; votre client s’y connecte pour en afficher, à son tour, une copie. Même la suppression est relative : effacer un message le retire de votre boîte, pas nécessairement des systèmes du fournisseur. Google, par exemple, indique dans sa politique de conservation qu’une donnée supprimée met environ deux mois à disparaître de ses systèmes actifs, et jusqu’à six mois de ses sauvegardes. Rien de caché là-dedans, c’est l’architecture même du mail : des copies, qui durent.

Entre chaque machine, le tuyau est chiffré (TLS) : c’est le camion blindé, ce sont les 98 à 99 %. Mais le chiffrement s’arrête à la porte de chaque serveur : le serveur déchiffre le message, le traite (antispam, tri, indexation), puis le rechiffre vers l’étape suivante. Le mail est donc en clair sur chaque machine qu’il traverse. Le centre de tri lit tout : le contenu, les pièces jointes, et l’enveloppe (qui écrit à qui, quand, à quelle fréquence). Pour une entreprise, cette enveloppe, c’est par exemple la liste des clients et les négociations en cours.

Ce qui empêche votre hébergeur d’exploiter cette lecture n’est pas une barrière technique : c’est un contrat. Un contrat est un engagement, pas une impossibilité. Et il se signe, le plus souvent, avec un géant américain soumis à ses propres lois : le CLOUD Act permet aux autorités américaines d’exiger l’accès aux données, où qu’elles soient hébergées.

« Chiffré » : un mot, trois réalités

Quand un service vante ses « échanges chiffrés », il faut demander de quel chiffrement il s’agit.

Chiffré en transit : le tuyau entre les machines. Personne ne lit sur la route, mais chaque serveur traversé lit. C’est le chiffrement des 98 à 99 %, et c’est presque toujours de lui que parlent les arguments commerciaux.

Chiffré au repos : le disque du serveur. Dans sa version sérieuse, chaque mail entrant est chiffré avec la clé publique du compte avant d’être écrit sur le disque : une fois stocké, il est illisible pour tout le monde, hébergeur compris ; seule la clé privée du titulaire l’ouvre. Le hic est ailleurs : le mail est arrivé en clair, le serveur l’a vu passer avant de le chiffrer. Quant à la version pratiquée par les grands fournisseurs, elle est plus faible : Gmail chiffre votre courrier au repos avec ses propres clés. Google peut lire.

Chiffré de bout en bout : ce n’est plus le tuyau ni le disque qui est chiffré, c’est le message lui-même, du logiciel de l’expéditeur jusqu’à celui du destinataire. Toutes les machines intermédiaires, hébergeur compris, transportent une lettre scellée qu’elles ne peuvent pas ouvrir. C’est le seul chiffrement qui ne repose sur la confiance de personne. Et c’est lui qui plafonne à 0,06 % dans l’étude citée au-dessus.

Trois « chiffré », deux questions qui départagent tout. D’abord : qui chiffre ? Celui qui chiffre a le message en clair entre les mains, et tous ceux qui le précèdent aussi ; plus le chiffrement part tôt, moins il y a de regards possibles. Ensuite : qui détient les clés ? Celui-là pourra toujours rouvrir.

Deux expériences, reproductibles

La solution s’appelle le chiffrement asymétrique. L’idée date de 1976, l’outil grand public de 1991 (PGP, dont l’auteur fut un temps visé par une enquête pour « export de munitions » : la cryptographie forte relevait alors du même régime que les armes de guerre). Une paire de clés, deux usages : le cadenas (chiffrer : n’importe qui peut fermer un message avec ma clé publique, seule ma clé privée l’ouvre) et le sceau (signer : je scelle avec ma clé privée, n’importe qui vérifie avec ma clé publique que c’est bien moi et que rien n’a été altéré). Je l’ai mis à l’épreuve deux fois.

Première expérience : le chiffrement au repos, sur mon serveur. J’héberge une boîte mail sur mon propre serveur (Stalwart, open source). J’y ai déposé ma clé publique : chaque mail entrant est désormais chiffré avant d’être écrit sur le disque. Résultat vérifié : moi, l’administrateur de la machine, je ne peux plus lire le contenu de cette boîte. J’ai relevé le même message avec deux logiciels : Apple Mail, qui n’a pas la clé, n’affiche qu’une pièce jointe illisible (un long bloc de caractères pour un mot de six lettres) ; Thunderbird, qui détient ma clé privée, le déchiffre et l’affiche. La limite, déjà nommée : le mail est arrivé en clair jusqu’au serveur. C’est une protection du stockage, pas une garantie de confidentialité.

Le contenu du message « azerty », tel qu’il est stocké sur le disque de mon serveur : illisible, même pour l’administrateur.

Deuxième expérience : le bout en bout, à travers Google. J’ai envoyé, depuis un compte Gmail configuré dans Thunderbird (OpenPGP y est intégré), un mail chiffré et signé vers ma boîte. La preuve tient dans le dossier « Envoyés » de Gmail : pas d’objet, et pour tout contenu un bloc chiffré en pièce jointe. Google vient d’expédier, depuis ses propres serveurs, un courrier qu’il ne peut pas lire. À l’arrivée, seul le logiciel détenant la clé privée affiche le message, et il vérifie au passage la signature : auteur garanti, contenu intact.

Mon dossier « Envoyés », vu de Gmail : pas d’objet, une pièce jointe chiffrée (un bloc du même type que sur la capture précédente). C’est tout ce que les serveurs du trajet verront du contenu.

Ce sceau mérite qu’on s’y arrête, parce que l’enjeu le plus concret pour une entreprise est là : la fraude au virement et à la fausse facture repose sur l’usurpation d’expéditeur, et la signature la casse. (DKIM, que votre service informatique connaît, authentifie le canal : le serveur du domaine. La signature PGP authentifie l’auteur : la personne qui détient la clé.) Rien n’empêcherait une banque ou une administration, usurpées chaque jour, de signer leurs mails. Presque aucune ne le fait.

Un point que les décideurs sous-estiment : les pièces jointes font partie du message. En clair par défaut, elles sont lisibles par l’hébergeur au même titre que le corps du mail. Chiffrées de bout en bout, elles deviennent illisibles pour tout intermédiaire, exactement comme le texte : le format utilisé dans mes expériences (PGP/MIME) chiffre corps et pièces jointes d’un seul bloc. Une facture, un contrat, un dossier client en PDF joint peuvent donc voyager aussi protégés que le message qui les porte.

Les limites, sans les édulcorer

La force du chiffrement ne dispense pas d’en dire les bornes.

• L’enveloppe reste visible. Qui écrit à qui, et quand : l’hébergeur le voit toujours, il en a besoin pour livrer. L’objet est un cas intermédiaire : en clair dans le protocole, protégé par certains logiciels (Thunderbird le déplace dans la partie chiffrée).
• Le chiffrement au repos n’est pas du bout en bout. Il protège le stockage, pas le trajet : deux menaces différentes, deux réponses différentes.
• La gestion des clés est le vrai mur. Pour chiffrer vers quelqu’un, il faut sa clé publique avant l’envoi ; personne ne la gère à votre place. Et une clé privée perdue, c’est une boîte définitivement illisible. L’étude citée plus haut mesure l’effet de ce mur : 2,8 % de mails signés (signer n’exige rien du destinataire) contre 0,06 % de chiffrés (chiffrer exige qu’il soit équipé). Là où le mur tombe, l’usage est presque cinquante fois plus haut.
• Tous les mails ne portent pas le même enjeu. Un vœu d’anniversaire n’est pas un dossier client. Ce que cela doit changer, c’est le choix de la solution, pas le principe : j’y reviens en conclusion.

Pourquoi presque personne, alors ?

Parce que ceux qui pouvaient rendre le chiffrement invisible ne l’ont pas fait. La preuve que c’était possible existe : Signal et WhatsApp chiffrent de bout en bout des milliards de messages par jour, pour des millions de personnes qui n’ont jamais vu une clé. L’adoption n’est pas venue de l’éducation des utilisateurs, elle est venue le jour où comprendre n’était plus nécessaire. La même recette existe pour le mail : chez Proton, par exemple, chaque adresse reçoit sa paire de clés à la création, et tout échange entre comptes Proton part chiffré de bout en bout et signé, sans un geste, avec le même standard ouvert que mes expériences (OpenPGP).

Ne l’attendez pas de Gmail ni d’Outlook : leurs services reposent sur la lecture du courrier (recherche, tri, antispam, fonctions IA). Un mail illisible est un mail non exploitable. Et quand Google s’y est mis (Gmail propose un chiffrement de bout en bout depuis 2025), le résultat est parlant : réservé à une offre entreprise payante, technologie propriétaire plutôt que le standard ouvert, et le destinataire externe lit le message dans une interface Google. Je n’y mets pas d’intention, je constate l’effet : là où un standard ouvert existait, le choix s’est porté sur une solution qui retient le client.

Conclusion

On s’inquiète beaucoup, et à juste titre, de ce que l’IA peut lire de nos données. Mais l’ordre des priorités est étrange : si la quasi-totalité de notre correspondance peut déjà être lue et analysée en masse par une poignée d’acteurs, le problème est là, en amont de l’IA. C’est celui-là qu’une entreprise devrait mesurer d’abord.

Ma position tient en une phrase : aucun de nos messages (même s’il n’est pas un secret d’État) ne devrait être lisible par d’autres que son destinataire. On ferme bien sa porte à clé sans avoir un coffre-fort derrière : c’est une hygiène, pas un aveu. Que tous les mails n’aient pas la même importance ne justifie pas d’en laisser l’immense majorité ouverte ; ce qui doit varier selon les besoins, c’est la solution, pas le principe.

Des solutions, il y en a pour chaque profil. Tout le monde n’a pas à héberger son serveur mail : je l’ai fait, c’est instructif, mais j’en ai aussi éprouvé le prix : l’exploitation au quotidien, et la réputation à construire (un serveur neuf, même configuré proprement, part présumé coupable chez les grands fournisseurs). Selon l’exigence et les moyens : un hébergeur dont le modèle économique n’est pas la lecture du courrier, comme Proton, où le chiffrement s’obtient en ne faisant rien ; ou, comme premier pas, la signature, qui n’équipe qu’un seul bout et casse la fraude la plus courante.

Et ce réflexe dépasse le mail. La même question vaut pour les SMS, pour les messageries d’équipe, et pour le cloud où vivent désormais nos documents, drives et espaces partagés compris : pourquoi tout cela voyage-t-il ouvert, alors que les solutions existent ? Les expériences de cet article le montrent : la solution est à portée de main depuis des décennies. Elle est même devenue confortable. Il reste à décider de s’en servir.