Qui détient les clés de vos e-mails ? Quatre combinaisons

La garde de l’e-mail pose deux questions, pas une : qui détient les clés qui déchiffrent votre courrier, et qui détient les octets dans lesquels ces messages sont stockés. Presque toutes les promesses de confidentialité de ce marché répondent à l’une et laissent tranquillement l’autre de côté. Les clés décident qui peut lire votre courrier. Les octets décident qui peut vous le retenir, le perdre, ou être contraint de le produire.

Croisez les deux et vous obtenez quatre montages. Chaque produit de messagerie du marché se trouve dans l’un d’eux, et chacun échoue à sa manière.

Où se placent les quatre combinaisons ?

Clés	Octets	Qui fonctionne ainsi	Ce que cela protège réellement
Fournisseur	Fournisseur	Gmail, Microsoft 365, la plupart des hébergements mutualisés et cPanel	Un disque volé ou mis au rebut
Vous	Fournisseur	Les fournisseurs à accès zéro : Proton Mail, Tuta	Le fournisseur lisant votre courrier stocké
Fournisseur	Vous	Un service de routage qui chiffre le courrier et l’écrit dans un stockage qui vous appartient, en gardant la clé côté serveur	Perdre l’archive à cause du système de comptes ou de la juridiction d’un fournisseur
Vous	Vous	Auto-héberger un serveur de messagerie ; les boîtes à garde côté appareil, dont les clés naissent dans votre navigateur	Les deux — et cela vous remet chaque mode de défaillance

La troisième ligne est celle qu’on n’attend pas, parce que « chiffré, dans votre propre bucket » sonne comme l’option forcément la plus solide. C’est une conception réelle et défendable — le service a besoin de la clé pour afficher votre boîte dans un navigateur et pour filtrer le courrier entrant — mais un service qui détient la clé peut lire tout ce qu’il va chercher, où que le fichier se trouve physiquement.

Pourquoi « chiffré au repos » n’est-il qu’une demi-réponse ?

Parce que dans presque tous les produits, la formule désigne un chiffrement avec des clés que le fournisseur gère, et qu’il déchiffre donc de façon transparente à chaque lecture. Google, Microsoft et AWS chiffrent tous les données clients au repos en AES-256 avec des clés qu’ils détiennent. C’est de l’ingénierie sérieuse, et elle défend contre une menace précise : des disques qui sortent du bâtiment. Elle ne dit rien sur qui peut lire votre boîte depuis l’intérieur.

Le test tient en une question. Si quelqu’un chez le fournisseur est contraint demain de produire votre courrier, qu’est-ce qui sort : des messages lisibles, ou un fichier que personne dans la boucle ne peut ouvrir ? Tout le reste d’une page consacrée à la vie privée est un commentaire sur cette réponse.

Qu’est-ce qui casse dans chaque quadrant ?

Des choses différentes, et savoir à laquelle vous êtes exposé compte davantage que choisir l’option théoriquement la plus forte.

Clés du fournisseur, octets du fournisseur. Une réquisition judiciaire produit du courrier lisible. Un compte d’administration compromis ou un salarié qui abuse de ses accès aussi ; les garde-fous sont contractuels et journalisés, pas mathématiques. Le contenu est disponible pour le fournisseur par construction : c’est ainsi que fonctionnent le filtrage du spam, la recherche, les réponses suggérées et, historiquement, le ciblage publicitaire. Si le compte est suspendu, l’archive part avec lui. En pratique, ce quadrant convient à l’essentiel du courrier et devient catastrophique pour la petite fraction que vous ne voudriez pas voir lue à voix haute.

Vos clés, octets du fournisseur. Le problème de lecture est résolu, celui de disponibilité s’aggrave. Une réquisition livre du texte chiffré plus tout ce qui l’entoure : facturation, adresses IP de connexion, journaux d’enveloppe, parfois les objets des messages. Une suspension vous sépare toujours de l’archive, et désormais personne ne peut vous la rendre, puisque le fournisseur ne sait pas déchiffrer ce qu’il stocke. Oublier son mot de passe sans phrase de récupération détruit la boîte définitivement. Ce n’est pas un défaut, c’est la garantie qui fonctionne — et c’est la façon la plus courante de perdre une archive à accès zéro.

Clés du fournisseur, vos octets. Votre archive survit au fournisseur : elle est dans votre propre compte cloud, sur votre propre relation de facturation, dans une région que vous avez choisie, et aucune suspension ne l’atteint. Deux réserves voyagent avec ce montage. Le service peut toujours lire les messages qu’il traite, et une ordonnance qui réclame la clé est une ordonnance triviale à exécuter. Et l’archive n’est à vous, dans un sens utile, que si le format sur disque est documenté ; si le logiciel du fournisseur est la seule chose capable de l’analyser, vous possédez des octets et pas du courrier.

Vos clés, vos octets. Il n’y a rien à réquisitionner, sinon les métadonnées de transport détenues par les relais des autres, et aucun compte que quiconque puisse suspendre. Le prix : chaque défaillance devient définitive et vôtre. Une phrase secrète perdue, un bucket supprimé, une politique de stockage trop permissive qui publie une archive, une sauvegarde arrêtée en mars sans que personne le remarque. L’auto-hébergement ajoute la traîne d’exploitation — renouvellement des certificats, surveillance des listes noires, reverse DNS, chauffe d’adresse IP — et la délivrabilité sortante se décide dans les systèmes de réputation des autres, Gmail, Outlook, Orange ou Free, quelle que soit la justesse de votre configuration.

Quelle combinaison choisir ?

Prenez le quadrant qui couvre la défaillance à laquelle vous ne survivriez pas, puis organisez-vous autour de celle qu’il laisse ouverte.

Si votre crainte est qu’un fournisseur ou un État lise votre correspondance, il vous faut les clés, et il faut accepter que perdre l’identifiant perde le courrier. Si votre crainte est de perdre l’accès — compte suspendu, rachat, hausse de tarif, société qui ferme, juridiction que vous ne pouvez pas utiliser —, il vous faut les octets, et la garde des clés devient une décision séparée, que vous pourrez prendre plus tard. Si une exigence écrite dit que les données vivent dans un compte que vous contrôlez, seules les deux dernières lignes la satisfont, et aucune promesse commerciale ne s’y substitue.

C’est aussi la grille qui manque aux discussions françaises sur la souveraineté : SecNumCloud et la doctrine « cloud au centre » interrogent qui exploite et sous quel droit, autrement dit la colonne des octets, pendant que les pages produit ne parlent que de chiffrement.

Presque personne n’a besoin de la charge d’exploitation du quatrième quadrant pour obtenir ses garanties, et c’est pourquoi les deux dernières lignes sont devenues une vraie catégorie ces dernières années.

Une habitude vaut plus que toute cette analyse. Posez les deux questions séparément, par écrit : qui détient les clés, et qui détient les octets. Ceux qui y ont réfléchi répondent en une phrase chacune. Les autres répondront deux fois à la question des clés.