E-mail dans votre propre stockage cloud : le principe BYOS

L’e-mail BYOS (bring your own storage) est un hébergement de messagerie dans lequel un service reçoit, authentifie et chiffre vos messages, puis les écrit dans un stockage qui vous appartient : un bucket S3 sur votre propre compte cloud, un bucket Cloudflare R2, un serveur WebDAV dans votre cave, voire un dépôt Git. Le prestataire garde ce qui doit vivre sur l’internet public : enregistrements MX, vérification SPF, DKIM et DMARC, filtrage du spam, réputation d’envoi. Les octets atterrissent sur votre compte, dans la région que vous avez choisie.

Personne ne tape encore l’expression dans un moteur de recherche. Je la nomme quand même : le montage existe, plusieurs équipes le construisent, et ni « messagerie chiffrée » ni « auto-hébergement » ne décrit ce qu’il fait.

Pourquoi l’e-mail BYOS existe-t-il ?

Parce que le chiffrement et la garde des données sont deux problèmes distincts, et que l’industrie n’a réglé que le premier. Les fournisseurs à accès zéro chiffrent le courrier entrant de façon à ne pas pouvoir le lire : un progrès réel, que je ne cherche pas à minimiser. Le texte chiffré repose quand même sur leurs disques, dans leur datacenter, sous la juridiction de leur société, accessible par leur seul système de comptes.

Ce résidu compte pour des raisons que le chiffrement ne touche pas : un compte suspendu emporte votre archive alors que les octets sont parfaitement à l’abri. La juridiction suit l’entreprise, pas le matériel — le CLOUD Act américain, en vigueur depuis mars 2018, oblige un prestataire de droit américain à produire les données qu’il contrôle, où que tournent les disques. C’est le raisonnement de la qualification SecNumCloud, qui évalue l’immunité aux lois extra-européennes à l’échelle de l’actionnariat et pas du datacenter. Rachats, hausses de prix, arrêts de service : vous négociez pendant qu’un autre détient douze ans de votre correspondance.

La garde du stockage est l’autre moitié du problème. Déplacez les octets dans un compte qui est le vôtre, et « peuvent-ils le lire » et « peuvent-ils me le retirer » cessent d’être la même question.

Qu’est-ce qui change concrètement quand le courrier vit dans votre stockage ?

Quatre choses deviennent nettement plus simples : la sauvegarde, la migration, la juridiction, et le fait de survivre à votre prestataire.

La sauvegarde cesse d’être une fonctionnalité que vous attendez. Versionnage des objets, règles de cycle de vie vers une classe froide, un rclone sync nocturne vers un second fournisseur : les outils que vous pointez déjà sur le reste de ce bucket. Aucune tâche d’export, aucun ticket au support.

La migration devient un repointage plutôt qu’une extraction. L’archive ne bouge pas quand vous changez de service de routage ; seul ce qui écrit dedans change.

La juridiction devient quelque chose que vous spécifiez au lieu de l’accepter. Ce sont deux choix, pas un : la région où les octets se trouvent physiquement, et le pays où l’opérateur du stockage est immatriculé. La région n’est pas la juridiction — une région européenne exploitée par une société américaine reste atteignable par le droit américain, comme la CJUE l’a rappelé en 2020 — et le BYOS vous laisse fixer les deux.

Si le service de routage disparaît le mois prochain, vous perdez une interface, pas dix ans de courrier. Cette asymétrie est tout l’argument.

Est-ce la même chose qu’héberger son propre serveur mail ?

Non, et la différence tient à la charge d’exploitation. L’auto-hébergement, c’est faire tourner la pile SMTP vous-même : Postfix, Dovecot, un moteur antispam, le renouvellement des certificats, la surveillance des listes noires, le reverse DNS, la chauffe d’adresse IP. Le BYOS déplace le stockage et laisse le serveur de messagerie à quelqu’un dont c’est le métier.

Le partage suit les modes de défaillance. Perdre ses données est définitif ; un filtre antispam mal réglé, c’est un mardi. La délivrabilité sortante se décide dans les systèmes de réputation des autres : une adresse IP neuve sur un petit bloc se fait temporiser ou refuser par Gmail, Outlook, Orange ou Free quelle que soit la justesse de votre configuration, et une IP froide ne se réchauffe pas vite.

Le contrôle des données sans le démon à faire tourner. Pour la plupart des gens qui ont tenté l’auto-hébergement puis renoncé, c’était exactement la partie qu’ils voulaient.

Que ne règle pas l’e-mail BYOS ?

Les métadonnées de transport, le spam, la délivrabilité, et la confiance que vous placez dans celui qui route. Rien de tout cela ne s’améliore parce que votre archive a déménagé.

Le SMTP négocie en clair entre les serveurs. Adresses d’enveloppe, horodatages et chemin parcouru sont visibles de chaque relais qui traite le message. La garde du stockage change l’endroit où un message se repose, pas la façon dont il a voyagé.

Le filtrage doit lire le message : il a donc lieu dans le service de routage, avant le chiffrement au repos. Il existe un instant où votre texte en clair se trouve dans la mémoire de quelqu’un d’autre. Un prestataire qui filtre votre spam et affirme ne jamais voir votre courrier décrit une chose impossible.

Les copies détenues par vos correspondants ne vous appartiennent pas non plus. Votre archive est à vous ; l’exemplaire posé dans leur Gmail est l’affaire de Google.

La garde ne vous sort pas non plus du RGPD : vous restez responsable du traitement, le service de routage est votre sous-traitant, et le contrat de l’article 28 va avec. Elle transfère aussi la responsabilité : une politique de bucket trop permissive publie votre courrier, un bucket supprimé le supprime, et personne ne le restaurera depuis la sauvegarde que vous n’avez pas faite.

Que vérifier avant de brancher sa messagerie sur son propre stockage ?

Quatre questions, dans l’ordre où je les poserais.

Qui détient la clé de chiffrement, et qui détient les octets ? Ce sont deux choses séparées. Un service peut écrire du texte chiffré dans votre bucket tout en gardant la clé sur ses serveurs pour afficher votre boîte dans un navigateur : c’est défendable, mais ce n’est pas tenir les deux.

Que se passe-t-il quand votre stockage est injoignable ? Des identifiants expirés et des limitations de débit sont des conditions normales d’exploitation. La réponse que vous voulez : le point d’entrée refuse d’accuser réception avant que le message soit stocké, et la file du serveur expéditeur réessaie. Celle que vous ne voulez pas : une perte silencieuse.

Combien le bucket va-t-il vous coûter réellement ? Les frais par requête et les frais de sortie, pas le tarif au gigaoctet affiché, rendent chère une charge faite de petits objets.

Le format sur disque est-il documenté ? Si le seul logiciel capable de lire votre archive est celui du prestataire, vous possédez les octets et pas le courrier. C’est la question que je vérifierais en premier.