Un devis, un contrat, un bulletin de paie, un RIB, parfois un compte rendu médical : votre entreprise fait transiter chaque jour par e-mail des documents qu’elle ne laisserait jamais traîner sur un bureau ouvert. Une messagerie sécurisée est censée régler ce problème. Sauf que l’expression recouvre des réalités très différentes, et que la plupart des services vendus comme « sécurisés » ne chiffrent pas ce que vous croyez. Ce guide fait le tri : ce que signifient vraiment TLS, chiffrement de bout en bout et chiffrement au repos, un comparatif honnête des solutions de 2026, le cas MSSanté, ce que le RGPD impose réellement à une PME, et comment déployer tout cela sans casser votre organisation.
⏱ L’essentiel en 40 secondes
- « Sécurisé » ≠ « chiffré de bout en bout ». Gmail, Outlook et la quasi-totalité des messageries pro chiffrent en transit et au repos, mais le prestataire détient les clés.
- Aucun chiffrement ne protège les métadonnées — qui écrit à qui, quand — et en e-mail, l’objet reste souvent lisible.
- Olvid est la seule messagerie instantanée certifiée CSPN par l’ANSSI, imposée aux membres du gouvernement français depuis la circulaire du 21 novembre 2023.
- Données de santé : c’est MSSanté, l’espace de confiance encadré par l’Agence du Numérique en Santé — pas Proton, pas Signal, pas Outlook.
- Le RGPD n’impose pas le chiffrement de façon absolue : l’article 32 le cite comme mesure « appropriée » après analyse de risque — mais l’article 34 le récompense en cas de fuite.
- La souveraineté ne se joue pas sur la localisation des serveurs mais sur la nationalité juridique du fournisseur : le Cloud Act suit l’entreprise, pas le datacenter.
« Messagerie sécurisée » : trois promesses très différentes sous un seul mot
L’expression peut désigner trois choses qui n’ont pas la même valeur protectrice. Les confondre, c’est acheter une serrure trois points pour une porte en carton — ou l’inverse.
Le chiffrement en transit (TLS) : le minimum, déjà présent partout
TLS chiffre la connexion entre deux serveurs de messagerie : personne ne peut lire votre e-mail en interceptant le trafic sur le Wi-Fi d’un hôtel. Sa limite est structurelle : TLS protège le tuyau, pas le contenu. Une fois arrivé, le message est déchiffré et stocké chez le destinataire, lisible par l’administrateur du serveur. Pire, TLS en SMTP est opportuniste : si le serveur d’en face ne le propose pas, beaucoup de configurations envoient quand même en clair, sans vous en informer.
Le chiffrement de bout en bout (E2EE) : seuls l’expéditeur et le destinataire lisent
Le message est chiffré sur votre appareil avec une clé que le prestataire ne possède pas, et déchiffré uniquement sur celui du destinataire. Même sous réquisition judiciaire ou après un piratage de l’hébergeur, le contenu reste inexploitable. C’est le modèle de Signal, WhatsApp, Olvid, Threema, et de Proton Mail ou Tuta entre leurs propres utilisateurs. La contrepartie est rarement dite : l’E2EE casse une partie du confort — recherche serveur limitée, filtrage antihameçonnage aveugle sur le contenu, archivage légal compliqué, et aucune récupération si l’utilisateur perd sa clé.
Le chiffrement au repos : contre le vol de disque, pas contre l’hébergeur
Les données sont chiffrées sur les disques du datacenter : cela protège du vol physique de matériel, pas d’un accès au système, puisque le serveur détient la clé. Quand un fournisseur met en avant « chiffrement AES-256 » sans autre précision, il parle souvent de cela.
Le test qui tranche : demandez à votre fournisseur « si je perds mon mot de passe, pouvez-vous me redonner accès à mes anciens messages ? ». Si oui, il détient les clés : ce n’est pas du chiffrement de bout en bout. Si non, c’en est — avec toutes les conséquences opérationnelles.
| Menace | TLS en transit | Chiffrement au repos | Bout en bout |
|---|---|---|---|
| Écoute sur un Wi-Fi public ou un réseau opérateur | Protégé | Sans effet | Protégé |
| Vol physique d’un disque dans le datacenter | Sans effet | Protégé | Protégé |
| Compromission du serveur de messagerie | Sans effet | Sans effet | Contenu protégé |
| Réquisition judiciaire adressée au fournisseur | Sans effet | Sans effet | Contenu inaccessible |
| Vol du mot de passe de la boîte (hameçonnage) | Sans effet | Sans effet | Sans effet |
| Erreur de destinataire (« Répondre à tous ») | Sans effet | Sans effet | Sans effet |
| Analyse des métadonnées (qui parle à qui) | Sans effet | Sans effet | Partiel au mieux |
Deux lignes ruinent la logique du « je passe à une messagerie chiffrée, donc je suis tranquille » : le vol de mot de passe et l’erreur humaine ne sont couverts par aucune couche de chiffrement, alors que ce sont les deux scénarios les plus fréquents en TPE-PME. Un salarié qui saisit ses identifiants sur une fausse page donne à l’attaquant le même accès que lui : savoir vérifier un e-mail suspect en 60 secondes reste prioritaire sur le choix de la marque.
Ordre des priorités, sans discussion : l’authentification multifacteur sur toutes les boîtes passe avant le chiffrement de bout en bout. Une messagerie ultra-chiffrée sans MFA est moins sûre qu’un Microsoft 365 avec MFA et accès conditionnel. Une seule action cette semaine ? Celle-là.
Les métadonnées : ce qu’aucune messagerie ne cache complètement
Le chiffrement protège le contenu, pas l’enveloppe. Restent en clair : adresses d’expéditeur et de destinataire, horodatage, parcours entre serveurs, taille du message — et, dans la plupart des solutions chiffrées, l’objet. Proton Mail chiffre le corps mais pas l’objet ; Tuta est l’une des rares à chiffrer aussi l’objet, au prix d’une recherche serveur très limitée.
La distinction n’est pas théorique : un objet « Convocation entretien préalable – M. Durand » livre l’essentiel sans qu’on ouvre quoi que ce soit, et le graphe des correspondants — un échange soutenu avec un mandataire judiciaire — reste hautement révélateur.
Côté messagerie instantanée, l’écart se joue précisément là. WhatsApp chiffre le contenu mais appartient à Meta et conserve beaucoup de métadonnées : carnet d’adresses, fréquence des échanges, appareils, connexions. Signal a bâti son architecture pour n’en conserver quasiment aucune, Threema fonctionne sans numéro ni e-mail obligatoires, et Olvid se passe même d’annuaire central.
Votre messagerie professionnelle est-elle vraiment sécurisée ?
Comparatif : les messageries e-mail chiffrées
Un point commun doit être compris avant de signer : le chiffrement de bout en bout ne fonctionne automatiquement qu’entre utilisateurs du même service. Dès que vous écrivez à un client sur Gmail, vous retombez sur du TLS classique — sauf message protégé par mot de passe, ou PGP, que la quasi-totalité de vos interlocuteurs ne sait pas manipuler.
| Solution | Juridiction | Chiffrement | Points forts | Limites honnêtes |
|---|---|---|---|---|
| Proton Mail | Suisse ; infrastructure partiellement déplacée vers l’UE depuis 2025 | OpenPGP, « zéro accès » : Proton ne détient pas la clé du contenu | Écosystème complet, offres Business avec domaine et administration, compatibilité PGP | Objet non chiffré ; E2EE automatique seulement entre comptes Proton |
| Tuta (ex-Tutanota) | Allemagne (Hanovre), pleinement dans l’UE | Protocole propriétaire AES + RSA, migration post-quantique engagée | Chiffre aussi l’objet et le carnet d’adresses ; tarifs bas ; hébergement UE | Non compatible PGP ; IMAP standard absent des offres de base, ce qui complique les connecteurs métier |
| Mailo, Infomaniak, OVHcloud | France / Suisse | TLS + chiffrement au repos, pas d’E2EE généralisé | Hébergement européen, tarifs PME, support francophone, aucune rupture d’usage | Le fournisseur détient les clés : confidentialité comparable à Microsoft 365, avec l’avantage juridictionnel |
| Microsoft 365 / Google Workspace | États-Unis | TLS + chiffrement au repos ; chiffrement avancé en option sur les plans hauts | Filtrage antihameçonnage de très haut niveau, MFA et accès conditionnel | Pas d’E2EE par défaut ; soumis au Cloud Act ; le chiffrement à clés client se paie et se configure |
Point d’attention sur Proton : après la présentation en janvier 2025 d’une révision de l’ordonnance suisse sur la surveillance des télécommunications (OSCPT), qui pourrait imposer identification des utilisateurs et conservation de données, Proton a gelé ses investissements en Suisse et déplacé une partie de son infrastructure vers l’Allemagne et la Norvège. L’entreprise reste à ce jour sous juridiction suisse. La « neutralité suisse » n’est plus un acquis : c’est un paramètre à réévaluer.
Vous ne savez pas ce que votre messagerie protège réellement ?
30 minutes avec un spécialiste pour auditer vos accès, votre MFA et vos flux sensibles. Offert.
Comparatif : les messageries instantanées pour un usage professionnel
Le sujet a changé de nature depuis que les conversations d’entreprise ont migré vers le mobile. Un groupe WhatsApp d’équipe chantier, une validation de virement par message : ces flux contiennent souvent plus d’informations exploitables que la boîte mail, et échappent totalement aux filtres de la messagerie professionnelle.
| Application | Éditeur / juridiction | Certification | Modèle économique | Pour une PME |
|---|---|---|---|---|
| Olvid | Société française, Paris | Certification de sécurité de premier niveau (CSPN) de l’ANSSI — seule messagerie instantanée dans ce cas | Gratuit, offre grand public payante autour de 5 €/mois, offre entreprise avec annuaire | Le choix par défaut quand la souveraineté compte. Imposée aux membres du gouvernement par circulaire du Premier ministre du 21 novembre 2023 |
| Signal | Signal Foundation, organisation à but non lucratif, États-Unis | Pas de certification ANSSI ; protocole audité et repris par l’industrie | Gratuit, financé par des dons | Excellent niveau technique et métadonnées minimales, mais aucune console d’administration ni archivage |
| Threema / Threema Work | Suisse | Pas de certification ANSSI ; audits externes publiés | Payant (achat de licence), offres Work et OnPrem | Usage possible sans numéro ni e-mail, version OnPrem hébergeable chez vous. Base d’utilisateurs étroite en France |
| Meta, États-Unis | Aucune | Gratuit ; monétisation via l’écosystème Meta et l’API Business | Contenu chiffré de bout en bout, mais forte collecte de métadonnées et sauvegardes cloud à surveiller. Acceptable pour de la logistique, pas pour des données sensibles | |
| Microsoft Teams / Google Chat | États-Unis | Aucune au sens ANSSI | Inclus dans les suites bureautiques | Administration et conformité solides, mais l’éditeur détient les clés. Bon pour l’interne, pas pour le secret d’affaires critique |
Le cas Olvid mérite d’être compris sans marketing. Sa spécificité tient à l’absence d’annuaire centralisé : là où Signal ou WhatsApp s’appuient sur un serveur qui associe un numéro de téléphone à une clé publique, Olvid fait établir la confiance directement entre deux personnes. Il n’y a donc pas de point central à compromettre pour usurper une identité. Le serveur de relais ne voit passer que des données chiffrées, et l’éditeur a publié le code source de son serveur.
Ce que la certification CSPN veut dire — et ne veut pas dire. La CSPN est une évaluation en temps et charge contraints, réalisée par un laboratoire agréé et validée par l’ANSSI sur une version précise du produit et un périmètre défini. C’est un signal fort et vérifiable, bien plus solide qu’une auto-déclaration marketing. Ce n’est ni une garantie d’invulnérabilité, ni une certification qui s’étend automatiquement aux versions futures.
Microsoft 365 et Google Workspace : sécurisés, mais pas confidentiels
C’est le point qui fâche, puisque ces deux suites équipent l’écrasante majorité des PME françaises. Sur le plan de la sécurité opérationnelle, Microsoft et Google sont excellents : filtrage antihameçonnage, détection de comptes compromis et journaux d’audit dépassent ce qu’une PME bâtirait seule. Migrer vers une petite messagerie chiffrée en perdant ces protections est souvent un mauvais calcul.
Sur le plan de la confidentialité vis-à-vis du fournisseur, la réponse est tout aussi claire : ce ne sont pas des messageries chiffrées de bout en bout, l’éditeur détient les clés. Des mécanismes avancés existent — chiffrement des messages via Purview côté Microsoft, chiffrement côté client (CSE) côté Google — mais ils sont réservés aux plans supérieurs, doivent être configurés explicitement et imposent des contraintes d’usage sérieuses.
S’y ajoute la dimension juridique. Lors de son audition du 10 juin 2025 devant la commission d’enquête sénatoriale sur la commande publique, Microsoft France n’a pas été en mesure de garantir qu’aucune donnée d’un client européen ne pourrait être transmise aux autorités américaines — conséquence mécanique du Cloud Act.
La bonne question pour une PME n’est pas « Microsoft 365 est-il conforme au RGPD ? » mais « quelles données précises n’ai-je pas le droit d’exposer à ce risque ? ». On protège spécifiquement ce périmètre-là, au lieu de tout migrer. Un audit RGPD est justement l’exercice qui produit cette liste.
MSSanté : le cas particulier des données de santé
Si votre activité fait circuler des données de santé — cabinet médical ou paramédical, laboratoire, EHPAD, service de santé au travail, éditeur de logiciel métier — le débat Proton contre Outlook est hors sujet. Le cadre applicable s’appelle MSSanté.
MSSanté est un « espace de confiance » : un ensemble de messageries interopérables dont les règles de sécurité et d’interopérabilité sont définies par l’Agence du Numérique en Santé dans des référentiels applicables aux opérateurs et aux clients de messagerie. Un opérateur MSSanté — éditeur privé, groupement régional, établissement de santé — fournit des boîtes et garantit l’acheminement à l’intérieur de cet espace fermé. L’identité des professionnels y est adossée aux référentiels nationaux d’identification, ce qui règle le problème de fond de l’e-mail : savoir qui est en face. Le dispositif couvre les échanges entre professionnels et professionnel vers patient via Mon espace santé. Le volet numérique du Ségur de la santé a financé la mise à niveau des logiciels métier vers des versions référencées MSSanté.
Envoyer un compte rendu ou un résultat d’examen depuis une boîte Gmail ou Outlook, c’est sortir du cadre. Les données de santé relèvent de l’article 9 du RGPD, qui interdit par principe leur traitement sauf exceptions et impose des garanties renforcées au titre de l’article 32. La CNIL a déjà sanctionné des professionnels de santé pour défaut de sécurisation. Que « ça marche » et que le patient ne se plaigne pas ne change rien à l’analyse du risque.
Deux précisions. MSSanté ne dispense pas des autres obligations : hébergeur certifié HDS, registre des traitements, gestion des violations. Et elle ne règle pas le cas des structures qui manipulent des données de santé sans être professionnels de santé — un service RH qui reçoit des arrêts de travail. Pour celles-là, chiffrement des pièces jointes et restriction stricte des accès restent la réponse réaliste.
Ce que le RGPD impose réellement (et ce qu’il n’impose pas)
Il faut lire l’article 32 exactement comme il est écrit : le texte demande de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », et cite, « selon les besoins », la pseudonymisation et le chiffrement des données à caractère personnel. Les mots qui comptent sont « appropriées », « adapté au risque » et « selon les besoins ».
Conséquence directe : le RGPD n’impose pas de chiffrer tous les e-mails de l’entreprise. Il impose de mener une analyse de risque et de justifier vos choix. Envoyer une confirmation de rendez-vous commercial en TLS classique est défendable. Envoyer un fichier de paie ou un bilan sanguin sans protection supplémentaire ne l’est pas : l’état de l’art et le coût de mise en œuvre, deux critères explicitement cités par le texte, rendent le chiffrement accessible.
L’argument qui fait basculer les décisions budgétaires : l’article 34 du RGPD dispense d’informer individuellement les personnes concernées d’une violation lorsque des mesures — le chiffrement est explicitement visé — rendaient les données incompréhensibles à toute personne non autorisée. Chiffrer transforme donc potentiellement une crise de réputation en simple notification technique à la CNIL — un retour sur investissement à mettre en face du coût réel d’une cyberattaque pour une PME.
Côté doctrine, la CNIL considère le chiffrement comme une mesure de base dans plusieurs situations : stockage de données sensibles, transmission sur des réseaux publics, supports mobiles ou amovibles. Son guide de la sécurité des données personnelles et le guide d’hygiène informatique de l’ANSSI sont la référence à laquelle un contrôle comparera vos pratiques. Les sanctions de la CNIL applicables aux PME ne sont plus théoriques : la procédure simplifiée a fortement augmenté le volume de décisions.
Souveraineté et Cloud Act : la vraie question pour une PME française
La souveraineté numérique tient, pour un dirigeant de PME, en trois questions vérifiables.
1. Qui détient les clés ?
S’il peut déchiffrer vos messages, il pourra être contraint de le faire. Avec un vrai chiffrement de bout en bout, la réquisition ne produit qu’un bloc illisible.
2. De quelle nationalité juridique relève le fournisseur ?
Le Cloud Act (2018) permet aux autorités américaines d’exiger d’une société de droit américain les données qu’elle détient, où qu’elles soient stockées. Un datacenter à Marseille exploité par la filiale d’un groupe américain n’y échappe pas.
3. Que se passe-t-il si le service s’arrête ?
Réversibilité, export dans un format ouvert, préavis contractuel : la dimension la plus oubliée, et la plus coûteuse.
La CNIL renvoie à la qualification SecNumCloud de l’ANSSI, qui atteste du niveau de sécurité technique et de l’immunité du prestataire aux législations extraterritoriales : c’est le repère de la doctrine « cloud au centre » de l’État. Côté fournisseurs américains, les offres de « cloud souverain » se multiplient, mais leur capacité à neutraliser réellement le Cloud Act reste discutée.
Le piège du raisonnement binaire. Une PME de dix salariés qui vend des pièces mécaniques n’a pas le même besoin qu’un sous-traitant de la défense. Segmentez : une messagerie courante bien administrée pour l’essentiel des flux, un canal chiffré souverain pour ceux qui le justifient. Vouloir tout basculer d’un coup produit un projet abandonné à mi-parcours et un shadow IT généralisé — les équipes reviennent à WhatsApp.
Déployer une messagerie sécurisée en PME : la méthode en 7 étapes
Un déploiement raté ne se reconnaît pas à un incident de sécurité, mais au fait que six mois plus tard plus personne n’utilise l’outil. La séquence qui tient dans la durée :
- Cartographier ce qui circule réellementPendant deux semaines, listez ce qui passe par messagerie : devis, contrats, RIB, bulletins de paie, pièces d’identité, arrêts de travail, secret des affaires. Cette liste détermine le niveau de protection, flux par flux ; sans elle, vous achetez une solution avant d’avoir posé le problème.
- Sécuriser l’existant avant de penser à migrerMFA sur toutes les boîtes, SPF, DKIM et DMARC configurés, audit des règles de transfert — un attaquant qui prend une boîte crée presque toujours une règle discrète qui lui recopie le courrier. Quelques heures de travail, une part disproportionnée du risque réel.
- Choisir un niveau de chiffrement par flux, pas pour toute l’entrepriseInterne courant : la suite existante suffit. Échanges sensibles avec des tiers : canal chiffré de bout en bout, ou pièce jointe chiffrée avec mot de passe transmis par un autre canal. Données de santé entre professionnels : MSSanté, sans alternative. Cette matrice tient sur une page et vaut mieux qu’un comparatif produit.
- Tester sur un périmètre pilote pendant six à huit semainesUne équipe volontaire, des scénarios réels : pièce jointe de 40 Mo, mobilité, signature électronique, transfert à un client qui n’a pas la solution, archivage contractuel. C’est là que les incompatibilités apparaissent, jamais en démonstration commerciale.
- Traiter la gestion des clés — le point qui coule les projetsQui détient les clés de récupération ? Que se passe-t-il si un salarié perd son téléphone ou part en mauvais termes ? Avec un vrai E2EE, l’employeur peut être dans l’impossibilité d’accéder à des messages professionnels. Les offres entreprise proposent séquestre ou récupération administrative : à activer et documenter avant la migration.
- Migrer historique, domaine et connecteursImport des anciens messages, conservation du domaine, redirections, et surtout inventaire des systèmes qui envoient des e-mails à votre place : ERP, CRM, facturation, formulaires du site, imprimante qui scanne vers e-mail. C’est presque toujours l’un d’eux qui casse le lundi matin.
- Former, documenter, contrôlerUne procédure d’une page : que faire quand le destinataire ne peut pas déchiffrer, quand une pièce jointe est bloquée, quand un appareil est perdu. Puis un point de contrôle à trois mois. La sensibilisation régulière pèse plus sur l’adoption que la qualité technique de l’outil.
Ce qui casse en pratique — et comment l’anticiper
Aucun commercial ne listera ces points, qui reviennent pourtant dans presque tous les déploiements en PME.
| Ce qui casse | Pourquoi | Comment l’anticiper |
|---|---|---|
| La recherche dans les anciens messages | Le serveur n’indexe pas ce qu’il ne lit pas : recherche locale et partielle | Tester sur un volume réel dès le pilote ; conserver un export local indexé |
| Les intégrations métier (CRM, ERP, facturation) | Beaucoup de solutions chiffrées limitent IMAP/SMTP ou imposent un pont local | Inventorier les connecteurs avant de choisir ; vérifier l’existence d’un pont ou d’une API |
| Les échanges avec l’extérieur | L’E2EE ne vaut qu’entre utilisateurs du même service ; le reste retombe en TLS ou impose un mot de passe au destinataire | Prévoir un mode dégradé documenté et un canal de transmission du mot de passe (SMS, téléphone) |
| L’archivage et les obligations de conservation | Certaines pièces doivent rester accessibles des années, même après le départ du salarié | Politique d’archivage et récupération administrative définies avant migration |
| Le filtrage antivirus et antihameçonnage | Un contenu chiffré de bout en bout n’est pas analysable côté serveur | Renforcer le poste : antivirus professionnel ou solution EDR |
| L’adoption par les équipes | Deux outils en parallèle : les utilisateurs choisissent le plus simple, donc l’ancien | Basculer un périmètre entier plutôt qu’ajouter un canal ; fermer l’ancien à date fixe |
Un mot sur le budget : le coût par boîte, quelques euros par mois, est rarement le sujet. Le coût réel est ailleurs — migration, reprise de l’historique, adaptation des connecteurs, formation, support des premières semaines. Comptez-le honnêtement dès le départ.
Votre messagerie protège-t-elle ce que vous croyez ?
MFA, DMARC, règles de transfert, flux sensibles, données de santé : un spécialiste passe en revue votre configuration réelle et vous remet les trois actions prioritaires. 30 minutes, offert, sans engagement.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Messagerie sécurisée
Quelle est la messagerie la plus sécurisée en 2026 ?
Gmail et Outlook sont-ils des messageries sécurisées ?
Le RGPD oblige-t-il à chiffrer les e-mails ?
Qu’est-ce que MSSanté et qui doit l’utiliser ?
Le Cloud Act s’applique-t-il si mes données sont hébergées en France ?
Pour prolonger : la sauvegarde informatique en entreprise traite l’autre moitié du problème — une messagerie chiffrée dont la sauvegarde est illisible ne sauvera rien — et la sensibilisation des équipes à la cybersécurité détermine si vos nouveaux outils seront réellement utilisés. Si vous préférez un avis direct sur votre configuration, le diagnostic cybersécurité offert vous donne en 30 minutes les trois actions prioritaires.
Laisser un commentaire