Alternative à Google Workspace : la souveraineté avant la suite

La plupart des organisations sur Google Workspace devraient y rester. Le filtrage antispam de Gmail est meilleur que tout ce que je peux construire, Docs et Meet n’ont pas de remplaçant que vos collègues accepteront sans bruit, et la console d’administration fait des choses — SSO, politique de terminaux, gel des données à des fins juridiques — qu’un hébergeur de messagerie ne fait tout simplement pas. Cette page s’adresse au groupe plus restreint dont la première exigence est différente : le courrier stocké doit se trouver dans une infrastructure et une juridiction que vous choisissez. Si cette exigence n’est écrite nulle part, gardez Workspace et allez lire autre chose.

Google Workspace est-il vraiment un problème ?

Pas de la façon que suggère le marketing de la vie privée, et oui d’une façon précise.

Le courrier Workspace n’est pas analysé pour cibler la publicité : Google a mis fin en 2017 à l’analyse publicitaire du contenu de Gmail grand public, et Workspace ne l’a jamais eue. Le problème est structurel plutôt que comportemental. Google détient les octets, Google est une société américaine, et le CLOUD Act — en vigueur depuis 2018 — oblige un prestataire de droit américain à produire les données qu’il contrôle, quel que soit le pays où sont les disques. Google vend des contrôles de région de données sur certaines offres, qui fixent l’endroit où les données reposent. Cela répond à la localisation et laisse la juridiction là où elle était.

Pour la plupart des acheteurs, c’est un compromis acceptable, accepté en connaissance de cause. Pour un sous-traitant de la défense, un comité social et économique, un cabinet d’avocats sous mandat d’un client, ou un organisme public soumis à une règle de souveraineté écrite, c’est toute la décision.

Que perdez-vous en sortant la messagerie de Workspace ?

Trois choses, et l’une d’elles est plus grosse qu’on ne le croit.

La suite part d’abord : la collaboration en temps réel dans Docs et Sheets, le partage Drive avec des gens extérieurs à la société, les liens Meet que tout le monde sait déjà cliquer. L’agenda partagé est ce qui fait vraiment mal — réservation de salles, disponibilités à l’échelle de l’organisation, et l’habitude ancrée chez chaque collègue.

Le plan d’administration part ensuite. Workspace comme fournisseur d’identité SAML pour vos autres SaaS, la validation en deux étapes imposée, les règles DLP, la conservation et la recherche de preuves dans Vault, la gestion des terminaux mobiles, les journaux d’audit. Un hébergeur de messagerie BYOS n’a rien de tout cela, et prétendre le contraire serait ridicule.

Le filtre vient en troisième. Le classificateur de spam de Gmail est entraîné sur une part du courrier mondial que personne d’autre ne possède. Nisdos Mail filtre avec des heuristiques de contenu, des contrôles de réputation et un classificateur par boîte entraîné uniquement par vos propres clics « spam » — privé, explicable, et partant de bien moins de signal que celui de Google.

Que gagnez-vous ?

La garde des données, la juridiction comme réglage, une facture qui ignore les effectifs, et des adresses que vous cessez de rationner.

Chaque message est chiffré avec une clé propre à la boîte avant d’être écrit dans un stockage qui vous appartient — votre bucket S3 ou R2, votre serveur WebDAV, un dépôt Git. L’offre de garde côté appareil, en bêta, génère les clés dans votre navigateur et efface notre copie ; après quoi nous ne pouvons pas lire votre courrier stocké non plus.

La juridiction devient deux choix explicites au lieu d’un héritage : la région où les octets se trouvent physiquement, et le pays où l’opérateur du stockage est immatriculé. La région seule n’est pas la juridiction, ce qui est précisément pourquoi une région européenne exploitée par une société américaine ne satisfait pas une exigence de souveraineté.

Le prix cesse de suivre les recrutements. Nisdos Mail, c’est $2 par 25 GB et par mois avec domaines, utilisateurs et alias illimités, plus $1 par 25 GB pour un stockage dans l’UE. La facture de messagerie d’une équipe de quinze personnes devient une fonction du volume stocké, et des adresses illimitées sur vos domaines changent votre usage du courrier : une par fournisseur, une par projet, une par chaîne de déploiement.

Partir est différent aussi. Il n’y a pas d’export, puisque l’archive est déjà dans votre compte. Vous repointez le routage.

Peut-on garder Workspace et ne déplacer que la messagerie ?

Oui, et c’est l’hybride que je recommande le plus souvent aux équipes qui nous écrivent. Workspace sait tourner sans Gmail : désactivez le service Gmail dans la console d’administration, gardez Docs, Drive, Agenda et Meet, et pointez les enregistrements MX de votre domaine vers l’hébergeur de messagerie. Les invitations d’agenda continuent de fonctionner, parce qu’une invitation est un message électronique ordinaire. Vous gardez les outils de collaboration et Google cesse de stocker la correspondance.

La version plus étroite marche aussi. La garde des données est un réglage par domaine ou par boîte : vous pouvez ne déplacer que les boîtes qui portent l’exigence — juridique, RH, le conseil d’administration — et laisser tous les autres où ils sont. Une règle de souveraineté qui s’applique à un service n’a pas à devenir un projet de migration à l’échelle de la société.

Comment se passe la migration, concrètement ?

Environ deux jours de travail réel étalés sur un mois, et l’archive est la partie lente.

Montez d’abord le domaine chez le nouvel hébergeur et laissez-le vérifier SPF, DKIM et DMARC pendant que Gmail reçoit encore tout. Déplacez ensuite l’archive : Takeout pour un MBOX complet par compte, ou imapsync directement de Gmail vers la nouvelle boîte, ce qui atteint d’habitude un état utilisable plus tôt. Faites tourner les deux en parallèle par une redirection depuis Gmail vers la nouvelle boîte, pour que rien ne dépende d’un DNS juste du premier coup. Basculez les enregistrements MX quand l’envoi sortant est propre dans vos rapports DMARC, et gardez le compte Workspace un cycle de facturation de plus.

Les échecs sont prévisibles. Des expéditeurs automatiques dont personne ne se souvient — factures, alertes de supervision, notifications de CI — sont configurés sur d’anciennes adresses. Tout ce qui utilise « Se connecter avec Google » ne marche qu’aussi longtemps que le compte Workspace existe. Et quelqu’un aura dans Gmail une règle de filtrage qui tenait discrètement son travail depuis six ans.

Qui ne devrait PAS faire cela ?

Dites non si l’une de ces phrases vous décrit.

Votre équipe vit dans Docs et Sheets, avec beaucoup de collaboration en temps réel et de partage externe ; le courrier est le moindre de ce que Workspace fait pour vous. Vous utilisez Workspace comme fournisseur d’identité, auquel cas le résilier suppose de remplacer aussi votre IdP. Vous comptez sur Vault pour un gel des données à des fins juridiques ou une recherche de preuves sous obligation réglementaire. Personne chez vous ne veut porter des identifiants de stockage ni tester une restauration. Ou l’exigence que vous cherchez réellement à satisfaire est la localisation des données dans l’UE et rien de plus — dans ce cas les contrôles de région de Google, ou une suite hébergée en Europe, vous y mèneront avec une fraction du bouleversement.

La garde des données est une propriété réelle avec un prix réel, payé en outillage que vous n’avez plus et en responsabilité que vous portez désormais. Achetez-la quand une exigence le dit.