Cas d'usage
Un e-mail est-il privé ? Voici ce qui lui arrive vraiment
L'e-mail est généralement chiffré pendant son trajet et presque jamais chiffré une fois stocké. Deux entreprises que vous ne contrôlez pas finissent par détenir une copie lisible et recherchable de chaque message — et cette copie survit bien au-delà de la raison pour laquelle vous l'avez envoyé.
Dites-le dans un chat sans boîte de réception — gratuit, sans inscriptionCe qui se passe vraiment après avoir cliqué sur envoyer
Votre client mail transmet le message au serveur sortant de votre fournisseur. Ce serveur cherche où le domaine du destinataire reçoit son courrier et ouvre une connexion vers lui. Si les deux machines supportent le TLS, ce trajet est chiffré — puis le serveur récepteur le déchiffre, le passe dans des filtres anti-spam et anti-malware, l'écrit sur disque, et construit un index de recherche en texte intégral pour que le destinataire puisse le retrouver plus tard en tapant trois mots. Au bout d'un trajet qui prend moins d'une seconde, deux entreprises qu'aucun de vous deux n'a choisies conjointement détiennent chacune une copie en clair et lisible, plus un index qui la rend instantanément accessible.
Cet écart est toute la réponse à la question « un e-mail est-il chiffré ? ». Le chiffrement en transit protège le fil entre deux machines. Le chiffrement de bout en bout signifie que seuls l'expéditeur et le destinataire détiennent les clés, et que chaque machine intermédiaire transporte une boîte qu'elle ne peut pas ouvrir. Par défaut, l'e-mail fait le premier et pas le second. C'est un fourgon blindé qui s'arrête à chaque dépôt, et à chaque dépôt le colis est ouvert et consigné.
La raison est architecturale, pas négligente. Le SMTP, le protocole qui transporte votre courrier, a été publié en 1982 et ne comportait aucun chiffrement. STARTTLS — le mécanisme qui fait passer une connexion en TLS — a été normalisé vingt ans plus tard, en 2002, et il est opportuniste par conception : si l'autre serveur n'offre pas de chiffrement, le message part quand même, en clair. Ça a fonctionné. Google publie la part chiffrée du trafic de Gmail dans son rapport de transparence, et elle dépasse 90 % depuis des années. Le transport est en grande partie un problème résolu. Le stockage ne l'a jamais été.
Et l'e-mail fait quelque chose que presque aucun autre canal ne fait : il fabrique des copies. Chaque destinataire, chaque Cc, chaque transfert, chaque téléphone et ordinateur qui synchronise la même boîte crée une copie indépendante sur une infrastructure avec laquelle vous n'avez aucune relation. Il n'existe aucun bouton nulle part pour les atteindre toutes. Quand on demande « quelqu'un peut-il lire mes e-mails », la réponse honnête n'a rien à voir avec l'interception — personne n'a besoin d'intercepter quoi que ce soit. Les copies sont déjà là, immobiles, dans une boîte recherchable, en attente.
Qui finit par détenir une copie lisible
| Qui | Ce qu'ils peuvent lire | Combien de temps ça dure en général |
|---|---|---|
| Votre propre fournisseur | Corps du message, pièces jointes, objet, chaque adresse — plus l'index de recherche construit sur tout ça | Jusqu'à ce que vous le supprimiez, et au-delà : la corbeille garde le courrier environ 30 jours, les sauvegardes plus longtemps |
| Le fournisseur du destinataire | Le même message, sur une infrastructure que vous n'avez jamais choisie et ne pouvez pas auditer | Ce que dit leur politique de conservation, qui n'est pas votre décision |
| Le destinataire, et chaque appareil qui synchronise cette boîte | Tout, y compris la possibilité de le transférer n'importe où | Indéfiniment — votre bouton supprimer n'atteint pas sa boîte de réception |
| Un employeur, si l'une des adresses se termine par un domaine d'entreprise | Le contenu complet de la boîte via les outils d'administration et d'eDiscovery intégrés à Google Workspace et Microsoft 365 | Souvent des années, sous une politique de conservation que presque personne ne lit |
| Les applications auxquelles vous avez un jour donné accès à votre boîte | Tout ce que la portée OAuth autorisait, ce qui signifie souvent « lire tout votre courrier » | Jusqu'à révocation, et la plupart des gens ne revisitent jamais cet écran |
| Quiconque détient une procédure légale valide contre un fournisseur | Le courrier stocké, demandé à l'entreprise plutôt qu'à vous | Les seuils diffèrent selon les pays ; la base américaine repose encore sur une loi de 1986 |
Les réglages par défaut varient selon le fournisseur, le forfait et la juridiction. Reflète des configurations courantes en juillet 2026.
Cinq choses que « mon e-mail est chiffré » laisse encore à découvert
- L'objet du message
PGP et S/MIME chiffrent le corps d'un message. L'objet est un en-tête, et les en-têtes restent en clair, ce qui veut dire que la ligne la plus révélatrice de tout le message est justement celle qui voyage et se stocke lisible. « Consultation divorce — jeudi 16h » livre tout ce que le paragraphe chiffré en dessous était censé protéger.
- L'enveloppe
Qui a écrit à qui, à quelle heure, depuis quelle adresse IP, via quels serveurs. Chaque message porte une pile d'en-têtes Received qui se lit comme un journal de routage, et elle n'est jamais chiffrée de bout en bout, parce que les serveurs qui font le routage doivent pouvoir la lire. Les métadonnées seules reconstituent une relation : fréquence, horaires, et qui était en copie.
- Le stockage aux deux bouts
Le TLS protège le trajet, pas le disque dur. Un fournisseur grand public conserve votre courrier dans une forme qu'il peut lire, parce que c'est ce qui fait fonctionner la recherche, le filtrage, la détection de spam et les aperçus. Google a arrêté de scanner le contenu de Gmail grand public pour personnaliser les publicités en 2017, et c'était une décision de politique, pas un changement d'architecture — l'accès technique auquel Google a renoncé volontairement est toujours là.
- Si et quand vous l'avez ouvert
Une simple image transparente de 1×1 pixel intégrée dans un e-mail HTML indique à l'expéditeur le moment exact où vous l'avez ouvert, approximativement où vous étiez, et quel client mail vous utilisiez. Les plateformes marketing font ça par défaut, tout comme plusieurs extensions de navigateur « accusé de lecture » utilisées par de simples collègues. Bloquer les images distantes désactive le suivi ; la Protection de la confidentialité du courrier d'Apple charge à la place chaque image pour tout le monde, ce qui casse le signal plutôt que la pratique.
- Le mode confidentiel de Gmail
Ça ressemble à un e-mail qui disparaît, mais ce n'en est pas un. Le contenu reste chez Google, l'expiration est imposée par l'interface et non par la cryptographie, et le destinataire peut photographier l'écran exactement comme avant. Ça augmente l'effort nécessaire pour garder une copie. Ça ne rend le message illisible pour personne qui l'a déjà eu sous les yeux.
La séparation honnête : deux problèmes différents sous le même manteau
Si la chose appartient vraiment à l'e-mail — un fil avec un avocat, des factures dont vous aurez besoin dans dix-huit mois, une correspondance qui doit survivre même après que vous ayez tous les deux fermé votre ordinateur — alors la solution est un e-mail fait correctement. Proton Mail et Tuta sont conçus pour que le fournisseur ne puisse pas lire ce qu'il stocke : votre boîte est chiffrée au repos avec des clés dérivées de votre mot de passe, et les messages entre deux comptes du même service sont chiffrés de bout en bout, objet compris dans le cas de Tuta.
Restez lucide sur le plafond, cependant. Dès que vous écrivez à une adresse ordinaire chez un fournisseur ordinaire, vous revenez au SMTP classique, et le fournisseur chiffré ne protège que la moitié de la conversation qui vit sur ses propres serveurs. Les contournements existent mais demandent de l'effort : un message protégé par mot de passe que le destinataire ouvre via un lien navigateur, ou PGP configuré des deux côtés, ce qui en pratique veut dire convaincre l'autre personne de configurer PGP. Changer de fournisseur améliore votre côté de chaque conversation. Pas le sien.
Le second problème est différent, et c'est celui que les gens cherchent réellement. Un mot de passe. Un code de porte. Un code de secours. Votre nouvelle adresse, envoyée à une personne. Une phrase que vous voulez qu'un humain précis lise, et qu'aucun système ne conserve. Rien de tout ça n'avait besoin d'une boîte de réception — ça avait besoin d'atteindre une personne, une fois. L'e-mail n'est pas mal conçu pour ça ; il est conçu pour l'exact opposé. Il garde, il indexe, il copie, il synchronise. Lui demander d'être éphémère, c'est demander à une armoire à archives d'être une conversation.
Ce second rôle, c'est ce que fait FadeChats. Vous ouvrez la page et un salon privé pour deux existe immédiatement — pas de compte, pas d'adresse e-mail, rien à installer. Vous envoyez un lien d'invitation qui ne fonctionne qu'une seule fois. Tout ce que vous tapez voyage directement de votre navigateur vers le sien via une connexion pair-à-pair chiffrée, si bien que le serveur qui relaie la mise en relation ne voit jamais un message et n'a rien à stocker, indexer ou transmettre. Quand vous fermez l'onglet, le salon expire et il n'y a de copie nulle part à supprimer, parce qu'aucune n'a jamais été écrite.
Le compromis est honnête et bien réel. FadeChats ne peut pas faire le travail de l'e-mail : il n'y a pas de livraison hors-ligne, donc l'autre personne doit être présente en même temps ; il n'y a pas de fil à relire le mois prochain ; il n'y a pas de pièces jointes stockées ; c'est deux personnes, pas un groupe ; et comme tout outil sur terre, ça n'empêche pas l'autre personne de faire une capture d'écran. C'est un canal pour ce qui n'aurait jamais dû être archivé, pas un remplacement de l'archivage.
Envoyer quelque chose qui ne touche jamais une boîte de réception
- Ouvrez FadeChats et obtenez un salon
Le salon est créé au moment où la page se charge. Il n'y a pas de formulaire d'inscription, parce qu'il n'y a pas de compte — rien vous concernant n'est collecté, donc rien ne peut plus tard être rattaché à la conversation.
- Envoyez le lien d'invitation à usage unique
N'importe quel canal fonctionne, y compris l'e-mail que vous alliez utiliser — le lien admet une personne une seule fois, et expire tout seul en environ 10 minutes si personne ne l'ouvre. Ce qui finit dans une boîte de réception, c'est un lien mort, pas le secret.
- Dites la chose, puis fermez l'onglet
Le texte et les images circulent de navigateur à navigateur via le canal de données chiffré. Vous pouvez répondre à « attends, c'est pour quel compte, déjà ? » dans le même salon, ce qu'une note à sens unique et autodestructrice ne peut pas faire. Puis le salon expire et il n'y a rien à supprimer.
La recommandation honnête
Gardez l'e-mail pour ce dans quoi il excelle, et passez à un fournisseur qui ne peut pas lire ce qu'il stocke — Proton Mail ou Tuta — si c'est important pour vous. Puis arrêtez d'y faire transiter des secrets ponctuels. Un mot de passe, un code ou une adresse n'a pas besoin d'un domicile permanent, indexé et recherchable dans le stockage de deux entreprises : il doit arriver une fois, à une personne, et disparaître.
Questions fréquentes
Un e-mail est-il chiffré ?
En transit, généralement — la connexion entre serveurs mail est protégée par TLS bien plus de 90 % du temps chez les grands fournisseurs. De bout en bout, presque jamais. Ça veut dire que le message est déchiffré, stocké et indexé sur les serveurs de votre fournisseur, puis de nouveau sur ceux du destinataire, dans une forme que les deux entreprises peuvent lire. « E-mail chiffré » au sens courant décrit le trajet, pas le stockage.
Quelqu'un peut-il lire mes e-mails sans que je le sache ?
Plusieurs personnes le peuvent, sans qu'il se passe rien d'inhabituel. Un administrateur sur un domaine d'entreprise peut fouiller n'importe quelle boîte via les outils d'eDiscovery intégrés. Toute application à qui vous avez un jour donné accès à votre boîte garde cet accès jusqu'à révocation. Un fournisseur peut recevoir une réquisition légale visant l'entreprise plutôt que vous. Et quiconque récupère un téléphone déverrouillé et connecté obtient tout, instantanément, par une simple recherche.
Google peut-il lire mon Gmail ?
Techniquement oui — Gmail stocke votre courrier dans une forme que Google peut traiter, ce qui est ce qui fait fonctionner la recherche, le filtrage et la détection de spam. Google a arrêté de scanner le contenu de Gmail grand public pour personnaliser les publicités en 2017, et c'était une décision de politique plutôt qu'un changement d'architecture. Des fournisseurs comme Proton Mail et Tuta sont structurellement différents : la boîte est chiffrée au repos avec des clés qu'ils ne détiennent pas, donc l'accès n'existe tout simplement pas.
Supprimer un e-mail le supprime-t-il partout ?
Non. La suppression le retire de votre vue ; la copie du destinataire, celle de son fournisseur, chaque appareil qui synchronise cette boîte et toute sauvegarde prise entre-temps restent intacts. Le rappel d'Outlook ne fonctionne que si les deux parties sont dans la même organisation Exchange, et il échoue fréquemment même là. Une fois le message livré, vous n'avez plus aucune prise dessus.
Mon employeur peut-il lire mon e-mail professionnel ?
Oui, et généralement sans demander. Google Workspace et Microsoft 365 donnent aux administrateurs des outils de recherche et d'export sur chaque boîte de l'organisation, typiquement sous une politique de conservation qui garde le courrier pendant des années. Ça s'applique aux messages personnels envoyés depuis une adresse professionnelle, et dans beaucoup d'entreprises au courrier personnel lu dans un navigateur sur un appareil géré.
Que faut-il utiliser à la place de l'e-mail pour un mot de passe ou un code ?
Quelque chose sans boîte de réception à l'autre bout. La fonction de partage d'un gestionnaire de mots de passe est le bon outil au sein d'une équipe avec laquelle vous travaillez déjà. Pour un échange ponctuel avec quelqu'un en dehors de ce cercle, un chat éphémère comme FadeChats fait transiter le détail directement entre deux navigateurs, permet à l'autre personne de poser une question de suivi, et ne laisse aucune copie stockée d'aucun côté une fois le salon expiré.