Telegram, WhatsApp, Signal : quelle messagerie est vraiment chiffrée ?

Les mobilisations de l'automne s'organisent en grande partie sur des messageries. Au même moment, le Parlement débat de la protection du chiffrement. L'article 16 bis du projet de loi Résilience interdit d'imposer aux fournisseurs de chiffrement des portes dérobées. Le gouvernement a annoncé le 1er octobre 2026 qu'il soutiendrait sa suppression, et le texte a été retiré de l'ordre du jour le 6 octobre. Savoir ce que protège vraiment votre messagerie n'a jamais été aussi utile.

Que veut dire « chiffré de bout en bout » ?

Un message chiffré de bout en bout est chiffré sur le téléphone de l'expéditeur et ne peut être déchiffré que sur celui du destinataire. Les clés ne quittent jamais les appareils. Le serveur qui transporte le message ne voit qu'un contenu illisible, et l'éditeur de l'application ne peut pas le lire, même s'il le voulait ou si on le lui demandait.

À ne pas confondre avec le chiffrement « en transit » ou « au repos », où le fournisseur détient les clés et peut donc accéder au contenu.

Telegram est-il chiffré de bout en bout ?

Non, pas par défaut. Les conversations classiques et les groupes Telegram sont chiffrés entre votre téléphone et les serveurs de Telegram, qui détient les clés. Seules les « conversations secrètes », à activer manuellement et limitées aux échanges à deux, sont chiffrées de bout en bout. Les groupes et les canaux, très utilisés pour s'organiser, ne le sont jamais.

WhatsApp et Signal, quelle différence ?

Les deux chiffrent tous les messages de bout en bout par défaut, avec le même protocole cryptographique, le protocole Signal. La différence porte sur les métadonnées : qui parle à qui, quand, combien de fois, depuis quel appareil.

1. WhatsApp appartient à Meta et collecte des métadonnées associées à votre compte.
2. Signal est opéré par une fondation à but non lucratif et réduit au minimum les données conservées sur ses serveurs.

Le contenu est protégé dans les deux cas. Les métadonnées en disent souvent autant que le contenu.

Qu'est-ce qu'une porte dérobée, et pourquoi pose-t-elle problème ?

Une porte dérobée est un accès volontairement prévu pour qu'un tiers, en général les autorités, puisse lire des contenus chiffrés. Le problème est mathématique avant d'être politique : il n'existe pas de porte qui ne s'ouvre que pour les « bonnes » personnes. Une clé supplémentaire est une cible supplémentaire, que des attaquants chercheront à voler ou à exploiter.

En mars 2025, l'Assemblée nationale avait déjà rejeté très largement (24 voix pour sur 143 votants) un amendement visant à rétablir l'accès des enquêteurs aux messageries chiffrées dans la loi contre le narcotrafic. Le débat revient aujourd'hui avec la loi Résilience.

Quelle messagerie choisir pour un usage professionnel ?

Pour des échanges professionnels sensibles, quatre critères comptent :

1. Le chiffrement de bout en bout activé par défaut, y compris dans les groupes.
2. Un code ouvert et audité, qui permet de vérifier ce que fait réellement l'application.
3. Le minimum de métadonnées conservées par l'éditeur.
4. Le droit applicable à l'éditeur et à ses serveurs.

L'État a fait ses propres choix. Depuis 2023, une circulaire demande aux membres du gouvernement et aux cabinets d'utiliser Olvid ou Tchap plutôt que les messageries grand public. Olvid, messagerie française, est certifiée par l'ANSSI. Tchap est la messagerie interne de l'administration.

Et pour vos fichiers ?

La même logique vaut pour les documents. Un stockage cloud « chiffré » dont le fournisseur détient les clés reste lisible par ce fournisseur. Chez DIV Protocol, les fichiers sont chiffrés de bout en bout sur l'appareil de l'utilisateur : personne d'autre, pas même nous, ne peut les lire.

Sources : NosParlementaires, Phonandroid, mars 2025