Quelle est la différence entre le chiffrement et le chiffrement de bout en bout ?

Le « chiffrement » simple inclut le chiffrement en transit (HTTPS, TLS) et le chiffrement au repos (le serveur stocke le texte chiffré sur le disque). Les deux laissent toujours l’opérateur de service lire le contenu – ils ont les clés. Le chiffrement de bout en bout signifie que seuls les appareils utilisateur aux deux extrémités disposent des clés ; l'opérateur ne peut jamais lire les messages, même avec un accès complet au serveur.

iMessage est-il vraiment chiffré de bout en bout ?

Oui pour iMessage-to-iMessage entre deux appareils Apple. Le remplacement des SMS vers les utilisateurs non Apple n'est pas E2EE. Historiquement, les sauvegardes iCloud n'étaient pas E2EE pour les messages (Apple détenait les clés), ce qui créait une porte dérobée – jusqu'à ce qu'iOS 16.2 ajoute la protection avancée des données, qui étend E2EE à la plupart des données iCloud lorsqu'elle est activée.

WhatsApp peut-il lire mes messages ?

Non, le contenu du message est chiffré de bout en bout avec le protocole Signal. WhatsApp peut voir les métadonnées : à qui vous envoyez des messages, quand, à quelle fréquence, votre adresse IP, la taille des messages, l'appartenance à un groupe. Ils en partagent une partie avec Meta. Le contenu reste crypté.

Telegram est-il crypté de bout en bout ?

Seule la fonctionnalité « Discussions secrètes » optionnelle est E2EE. Les discussions Telegram classiques sont cryptées en transit et stockées cryptées sur les serveurs de Telegram, mais Telegram lui-même peut les lire. Les discussions de groupe ne sont jamais E2EE. Il s'agit d'une différence significative par rapport à WhatsApp et Signal qui n'est pas toujours clairement communiquée.

Pourquoi les gouvernements veulent-ils briser le chiffrement de bout en bout ?

Les raisons invoquées sont la détection de CSAM, les enquêtes sur le terrorisme et l'accès des forces de l'ordre. Le problème sous-jacent est « l'obscurité » – le terme utilisé par le FBI pour désigner la perte de l'accès de routine aux communications qui ont migré vers les canaux E2EE. Les défenseurs de la vie privée répondent qu'on ne peut pas affaiblir le chiffrement de manière sélective pour les mauvais acteurs sans l'affaiblir pour tout le monde, y compris les journalistes, les militants et les citoyens ordinaires. Le consensus technique est clair depuis les « guerres cryptographiques » des années 1990 : le chiffrement mathématique fonctionne ou ne fonctionne pas.

Le chiffrement de bout en bout expliqué : ce qu'il protège réellement (et ce qui ne le fait pas)

Le chiffrement de bout en bout (E2EE) est la propriété qui rend WhatsApp, Signal, iMessage et Proton Mail significativement privés. Seuls l’expéditeur et le destinataire prévu peuvent lire les messages – ni l’entreprise qui gère le service, ni les forces de l’ordre, ni un pirate informatique qui pirate le serveur. C’est aussi une technologie que les gouvernements du monde entier tentent activement de saper. C'est l'explication.

Le corps complet de l’article est fourni en anglais ci-dessous.

Ce que signifie réellement E2EE

Le cryptage de bout en bout garantit que Seuls l'expéditeur et le destinataire prévu peuvent lire les messages. Le fournisseur de services qui exploite l’application de messagerie, l’opérateur de téléphonie mobile transportant les paquets, le fournisseur de cloud hébergeant les serveurs – aucun d’entre eux ne peut décrypter le contenu. Les clés cryptographiques résident exclusivement sur les appareils des utilisateurs à chaque extrémité.

C'est la distinction significative entre le « cryptage en transit » (TLS) ou le « cryptage au repos » (cryptage de disque sur le serveur). Ces deux éléments protègent contre des attaquants spécifiques. E2EE protège contre l'opérateur de service lui-même. Si un tribunal ordonne à WhatsApp de produire les messages d'un utilisateur, un E2EE correctement mis en œuvre signifie que WhatsApp ne peut pas se conformer au fond de l'ordonnance - ils n'ont pas les clés.

Comment cela fonctionne mécaniquement

Chaque appareil utilisateur génère une paire de clés d'identité à long terme (publique + privée) lorsque l'utilisateur installe l'application pour la première fois. Les clés publiques sont téléchargées dans l'annuaire du service ; les clés privées ne quittent jamais l'appareil. Lorsqu'Alice souhaite envoyer un message à Bob :

L'appareil d'Alice récupère la clé publique de Bob sur le serveur.
L'appareil d'Alice dérive une clé de cryptage partagée avec Bob via l'échange de clés Diffie-Hellman.
Le message est crypté avec cette clé dérivée sur l'appareil d'Alice.
Le blob crypté voyage à travers les serveurs du service.
L'appareil de Bob le reçoit et le déchiffre avec la clé dérivée correspondante.

Les protocoles E2EE modernes (Signal Protocol, la base de WhatsApp/Signal/Messenger et des conceptions similaires dans iMessage et Matrix) ajoutent forward secret via éphémère clés de session qui tournent par message ou par session. Même si un appareil est compromis ultérieurement et que la clé d'identité à long terme est volée, les messages passés restent chiffrés avec des clés qui n'existent plus.

L'histoire

1991 — Phil Zimmermann publie PGP par courrier électronique. S'ensuit une enquête pénale gouvernementale pour violations du contrôle des exportations de l'ITAR (accusations abandonnées en 1996). E2EE pour le courrier électronique devient possible mais ne se généralise jamais car l'UX est brutal.
2010 — TextSecure (plus tard Signal) est lancé avec la conception moderne du protocole de signal. La messagerie secrète est enfin suffisamment peaufinée pour les utilisateurs ordinaires.
2013 — Les révélations de Snowden sensibilisent considérablement le public à la surveillance de masse. E2EE passe d'une niche de confidentialité à une préoccupation grand public.
2014–2016 — Apple livre E2EE pour iMessage de bout en bout ; WhatsApp déploie Signal Protocol auprès de ses utilisateurs (alors ~ 1 milliard) dans le monde. E2EE devient la valeur par défaut pour les applications de messagerie les plus utilisées sur Terre.
2022 — Meta commence à activer E2EE sur Facebook Messenger par défaut après des années d'adhésion uniquement.
2022 — Apple livre Advanced Data Protection pour iCloud, étendant E2EE à la plupart des données cloud (sauvegardes, photos, notes) au-delà des messages.
2025 — WhatsApp dépasse les 3 milliards d'utilisateurs, devenant ainsi de loin le service E2EE le plus utilisé de l'histoire.
2026 — Meta supprime E2EE d'Instagram, invoquant des besoins en matière de fraude et de modération de contenu. Les défenseurs de la vie privée repoussent.

Ce contre quoi E2EE protège

Le fournisseur de services lui-même. WhatsApp ne peut pas lire vos messages WhatsApp.
Violations du serveur. Si les serveurs de WhatsApp sont piratés, les attaquants trouvent le texte chiffré, non texte en clair.
Citations à comparaître du gouvernement et ordonnances du tribunal. Le service peut être ordonné de se conformer, mais il ne dispose que de métadonnées à transmettre, pas du contenu des messages.
Observateurs du réseau. FAI, espions Wi-Fi, fournisseurs de transit — tous voient uniquement crypté blobs.
Menaces internes. Les employés du fournisseur de services ne peuvent pas lire les messages même avec un accès administrateur complet.

Ce qu'E2EE ne protège PAS contre

Appareils compromis. Si votre téléphone est infecté par un logiciel malveillant (ou un Exploit ciblé de type Pegasus), l'attaquant lit le texte en clair sur votre appareil après le décryptage. E2EE protège le message en transit, et non sur aucun des points de terminaison.
L'autre partie. Le destinataire peut capturer le message, le transférer, le divulguer ou le remettre à la police. « Chiffré de bout en bout » signifie chiffré entre les points de terminaison, et non chiffré À PARTIR des points de terminaison.
Metadata. Même avec un contenu chiffré, le service sait qui a envoyé un message à qui, quand, à quelle fréquence, à partir de quelle adresse IP et la taille des messages. Le signal va à l'extrême pour minimiser les métadonnées (expéditeur scellé, profils cryptés) ; WhatsApp et Telegram ne le font pas.
Sauvegardes stockées non chiffrées. Certaines applications proposent des sauvegardes cloud qui ne sont PAS chiffrées de bout en bout par défaut. Historiquement, les sauvegardes iCloud/Google Drive de WhatsApp n'étaient pas E2EE ; l'option existe maintenant mais n'est pas activée par défaut.
Échec de la vérification de la clé. Sans vérifier le numéro de sécurité/l'empreinte digitale de l'autre partie, vous ne pouvez pas confirmer que vous parlez vraiment à qui vous pensez parler - un homme du milieu aurait pu remplacer sa clé.

Le gouvernement pushback

Les gouvernements du monde entier ont passé la dernière décennie à essayer d'affaiblir ou de détourner l'E2EE. Les arguments se concentrent autour de la sécurité des enfants, des enquêtes antiterroristes et du « devenir sombre » – le terme utilisé par le FBI pour désigner les forces de l'ordre perdant leur visibilité sur les communications qui transitent vers des canaux cryptés. WhatsApp et Signal ont tous deux déclaré publiquement qu'ils se retireraient du marché britannique plutôt que de s'y conformer en brisant E2EE. L'Ofcom a ensuite déclaré qu'il n'exercerait pas ce pouvoir tant qu'une technologie « techniquement réalisable » n'existerait pas, ce qui constituerait en réalité une impasse. A rebondi à plusieurs reprises dans le processus législatif européen depuis 2022, avec l’opposition des groupes de protection de la vie privée et des grandes entreprises technologiques. En 2026, le règlement n'a pas été adopté sous une forme qui briserait réellement l'E2EE, mais la proposition revient périodiquement.

US EARN IT Act

Plusieurs itérations de projets de loi menaçant de supprimer les protections de l'article 230 des plates-formes à moins qu'elles ne se conforment aux exigences de modération de contenu qui seraient impossibles dans le cadre strict de l'E2EE. N'est pas devenu une loi en 2026.

Loi australienne sur l'assistance et l'accès (2018)

Autorise les agences australiennes à obliger les entreprises à fournir une « assistance technique » pour le décryptage. L'application réelle de la loi contre E2EE a été limitée ; les entreprises soutiennent que la loi ne peut pas les obliger à faire ce qui est techniquement impossible.

La controverse sur l'analyse côté client

Le compromis proposé que les gouvernements ont le plus poussé : analyser le message avant le cryptage sur l'appareil de l'utilisateur, signaler le contenu, signaler aux autorités. Le cryptage lui-même reste intact ; la surveillance a lieu avant la limite de cryptage.

Apple a annoncé puis retiré exactement cette conception (NeuralHash pour la détection CSAM) en 2021. Les chercheurs en matière de confidentialité, y compris la déclaration conjointe de Bugs dans nos Pockets co-écrite par Bruce Schneier, Ross Anderson, Susan Landau et Whitfield Diffie, entre autres, ont conclu que la conception sape fondamentalement E2EE - une fois qu'une infrastructure d'analyse existe sur chaque l'appareil de l'utilisateur, les contenus à signaler sont une décision politique plutôt que technique. CSAM aujourd'hui, discours politique dans certaines juridictions demain.

Comment vérifier E2EE

Clients open source (Signal, Element/Matrix, certains produits Proton) vous permettent d'inspecter le code ou de reproduire la build. Pour les clients à source fermée (WhatsApp, iMessage), vous devez être sûr que l'implémentation publiée par le fournisseur correspond au binaire déployé. La conception du protocole de Signal est la même dans WhatsApp, mais la vérification de l'implémentation de WhatsApp nécessite de faire confiance à Meta. iMessage de la même manière.

Dans une application, recherchez la fonction de numéro de sécurité ou de code de sécurité. Signal : appuyez sur une discussion → nom du contact → "Numéro de sécurité". WhatsApp : appuyez sur une discussion → nom du contact → Cryptage. Comparez les numéros entre vous et l'autre partie via un canal de confiance (appel téléphonique, en personne). Les numéros correspondants prouvent qu'il n'y a pas d'homme au milieu.

Ce que cela signifie pour une utilisation ordinaire

Pour les conversations privées : utilisez Signal. Open source, audité, métadonnées minimales, la référence.
Pour la messagerie grand public soucieuse de la confidentialité : WhatsApp est acceptable. Même protocole de signal en dessous, base d'utilisateurs beaucoup plus large (effet réseau), plus de fuites de métadonnées que Signal mais le cryptage du contenu est solide.
Évitez les conversations sensibles : SMS (non cryptés), chats par défaut de Telegram (pas E2EE - seuls les "chats secrets" le sont), Snapchat régulier, messages directs Discord (pas E2EE), messages directs Slack/Teams (pas E2EE).
Pour le courrier électronique : utilisez Proton Mail ou Tutanota avec un destinataire compatible E2EE. Le courrier électronique ordinaire n’est structurellement pas E2EE ; les deux parties doivent utiliser un client compatible E2EE.
Pour les sauvegardes cloud : activez Apple Advanced Data Protection si vous êtes sur iCloud. Si vous ne pouvez pas ou ne voulez pas le faire, supposez que les sauvegardes cloud sont accessibles au fournisseur et à toute personne ayant un pouvoir d'assignation à comparaître sur elles.

Questions fréquemment posées

Quelle est la différence entre le chiffrement et le chiffrement de bout en bout ?: Le « chiffrement » simple inclut le chiffrement en transit (HTTPS, TLS) et le chiffrement au repos (le serveur stocke le texte chiffré sur le disque). Les deux laissent toujours l’opérateur de service lire le contenu – ils ont les clés. Le chiffrement de bout en bout signifie que seuls les appareils utilisateur aux deux extrémités disposent des clés ; l'opérateur ne peut jamais lire les messages, même avec un accès complet au serveur.
iMessage est-il vraiment chiffré de bout en bout ?: Oui pour iMessage-to-iMessage entre deux appareils Apple. Le remplacement des SMS vers les utilisateurs non Apple n'est pas E2EE. Historiquement, les sauvegardes iCloud n'étaient pas E2EE pour les messages (Apple détenait les clés), ce qui créait une porte dérobée – jusqu'à ce qu'iOS 16.2 ajoute la protection avancée des données, qui étend E2EE à la plupart des données iCloud lorsqu'elle est activée.
WhatsApp peut-il lire mes messages ?: Non, le contenu du message est chiffré de bout en bout avec le protocole Signal. WhatsApp peut voir les métadonnées : à qui vous envoyez des messages, quand, à quelle fréquence, votre adresse IP, la taille des messages, l'appartenance à un groupe. Ils en partagent une partie avec Meta. Le contenu reste crypté.
Telegram est-il crypté de bout en bout ?: Seule la fonctionnalité « Discussions secrètes » optionnelle est E2EE. Les discussions Telegram classiques sont cryptées en transit et stockées cryptées sur les serveurs de Telegram, mais Telegram lui-même peut les lire. Les discussions de groupe ne sont jamais E2EE. Il s'agit d'une différence significative par rapport à WhatsApp et Signal qui n'est pas toujours clairement communiquée.
Pourquoi les gouvernements veulent-ils briser le chiffrement de bout en bout ?: Les raisons invoquées sont la détection de CSAM, les enquêtes sur le terrorisme et l'accès des forces de l'ordre. Le problème sous-jacent est « l'obscurité » – le terme utilisé par le FBI pour désigner la perte de l'accès de routine aux communications qui ont migré vers les canaux E2EE. Les défenseurs de la vie privée répondent qu'on ne peut pas affaiblir le chiffrement de manière sélective pour les mauvais acteurs sans l'affaiblir pour tout le monde, y compris les journalistes, les militants et les citoyens ordinaires. Le consensus technique est clair depuis les « guerres cryptographiques » des années 1990 : le chiffrement mathématique fonctionne ou ne fonctionne pas.